El Reglamento de Inteligencia Artificial de la Unión Europea ha comenzado a desplegar efectos reales sobre las empresas industriales y de manufactura que operan en España. No se trata de una norma futura: los primeros plazos ya están en marcha y las obligaciones de cumplimiento afectan directamente a quienes diseñan, integran o despliegan sistemas de IA en líneas de producción, control de calidad, mantenimiento predictivo o gestión de la cadena de suministro. La exposición regulatoria es real y quien no actúa hoy asume el coste de actuar bajo presión mañana.
El Reglamento de Inteligencia Artificial es el primer marco normativo de alcance general aprobado por la Unión Europea para regular el desarrollo y el uso de sistemas de IA. Su enfoque se basa en el riesgo: cuanto mayor es el impacto potencial de un sistema, más estrictas son las obligaciones que genera. Para el sector industrial, esto no es una abstracción académica.
Una empresa manufacturera que utiliza visión artificial para detectar defectos en producción, un sistema de IA para gestionar turnos o un algoritmo de mantenimiento predictivo que incide en la seguridad de las instalaciones debe preguntarse en qué categoría encaja cada uno de esos sistemas. La respuesta determina la carga regulatoria.
El Reglamento convive con otras normas ya vigentes. La normativa de protección de datos – el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos (LOPDGDD) – sigue siendo plenamente aplicable cuando los sistemas de IA tratan datos personales, que es el caso habitual en entornos con biometría, control de accesos o vigilancia de la productividad. La Agencia Española de Protección de Datos (AEPD) es la autoridad de referencia en este ámbito y ha publicado ya criterios de interpretación para la intersección entre IA y protección de datos.
En nuestra práctica hemos observado que muchas empresas industriales contemplan el Reglamento de IA como una carga añadida al RGPD, cuando en realidad ambos marcos se solapan en los puntos más sensibles y una estrategia integrada de cumplimiento resulta más eficiente que abordarlos por separado.
El marco también interactúa con la normativa de seguridad de productos, la legislación sobre maquinaria y los estándares de la Unión Europea sobre seguridad y salud en el trabajo. Para la manufactura, donde la IA se integra con frecuencia en equipos y procesos físicos, esta convergencia normativa es uno de los aspectos más complejos de gestionar.
El Reglamento establece cuatro categorías de riesgo. Los sistemas de alto riesgo son los que concentran la mayor parte de las obligaciones y, en el ámbito industrial, incluyen expresamente los sistemas de IA usados como componentes de seguridad de maquinaria, infraestructuras críticas y gestión de trabajadores cuando inciden en las condiciones de empleo.
La distinción entre roles es fundamental. El Reglamento diferencia entre el proveedor – quien desarrolla y pone en el mercado el sistema – y el desplegador – quien lo utiliza en su actividad. Una empresa manufacturera que compra un sistema de visión artificial a un fabricante de tecnología ocupa el rol de desplegador. Si, en cambio, desarrolla internamente un algoritmo de control de calidad, actúa como proveedora. Las obligaciones son distintas en cada caso, aunque ambos roles generan cargas de cumplimiento.
Los sistemas de IA que se limitan a optimizar procesos logísticos sin incidir en la seguridad de personas o equipos pueden quedar en una categoría de riesgo limitado o mínimo, con obligaciones mucho más livianas. Pero la clasificación no es automática: requiere un análisis caso por caso que considere el contexto de uso, no solo la tecnología en abstracto.
¿Cómo saber con certeza en qué categoría encaja cada sistema? Esa es precisamente la primera tarea del análisis de cumplimiento: el inventario y la clasificación de los sistemas de IA en uso. En empresas industriales con varios centros de producción, este inventario puede revelar docenas de sistemas que nadie había identificado como sujetos a regulación.
El desplegador – la empresa que integra o usa un sistema de IA de alto riesgo – asume un conjunto de obligaciones que no descansan exclusivamente en el proveedor de la tecnología. Esta es una de las ideas que más sorprende a los directivos industriales cuando se les explica el marco.
Entre las principales obligaciones del desplegador se encuentran las siguientes:
Hemos asesorado con regularidad a empresas que asumían que el proveedor de tecnología era el responsable de todo el cumplimiento. El Reglamento de IA rompe esa expectativa de forma expresa. La empresa industrial que despliega el sistema comparte la responsabilidad y, en algunos supuestos, la asume íntegramente.
La pregunta más frecuente que recibimos de directivos industriales es también la más directa: ¿qué tengo que hacer? La respuesta depende del inventario de sistemas de IA de la empresa, de los roles que ocupa en la cadena de valor y de los plazos que marca el Reglamento.
En términos generales, una empresa industrial que usa sistemas de IA debe, como mínimo, completar cuatro pasos antes de que los plazos de aplicación plena entren en vigor:
El Reglamento de IA también introduce la figura de la documentación técnica obligatoria para los sistemas de alto riesgo. Que el proveedor la suministre correctamente es una obligación del proveedor; que el desplegador la conserve y la actualice es una obligación del desplegador. La empresa industrial debe verificar que dispone de esa documentación para cada sistema de alto riesgo que utiliza.
La experiencia de nuestra firma indica que las empresas que empiezan el proceso con un inventario riguroso reducen significativamente el tiempo y el coste de adaptación. Las que posponen el inventario tienden a descubrir problemas cuando ya hay poco margen para resolverlos ordenadamente.
El Reglamento de IA establece un calendario de aplicación gradual. Los plazos exactos para cada categoría de obligación se recogen en el texto de la norma y conviene verificarlos con la normativa vigente, dado que la Comisión Europea y los organismos nacionales pueden publicar orientaciones adicionales que modulen su aplicación práctica.
Lo que sí puede afirmarse con certeza es que los plazos más inmediatos afectan a las prácticas de IA prohibidas y a las obligaciones de competencia y alfabetización en IA. Las obligaciones relativas a sistemas de alto riesgo, que son las más exigentes para la industria, tienen un calendario de aplicación posterior, pero la ventana de preparación es limitada.
Sobre el coste de cumplimiento, la variable más determinante es el punto de partida. Una empresa con un programa de cumplimiento normativo (compliance) ya implantado, con un registro de tratamientos de datos actualizado y con documentación técnica de sus sistemas tiene una base sólida sobre la que construir. Una empresa sin ningún programa de compliance penal ni de protección de datos parte de cero y los costes de adaptación son mayores.
En nuestra experiencia asesorando a empresas industriales, el mayor error de planificación es subestimar el tiempo necesario para el inventario inicial. No es infrecuente que ese proceso ocupe varias semanas en empresas con múltiples plantas o con sistemas de IA integrados en maquinaria de origen diverso.
¿Resulta más caro actuar ahora o esperar? La respuesta no admite ambigüedad: actuar bajo presión regulatoria, con plazos vencidos o inminentes, siempre genera un coste mayor que planificar con suficiente antelación. Y eso sin considerar el coste reputacional y sancionador de un incumplimiento verificado.
La intersección entre el Reglamento de IA y el RGPD es especialmente densa en la industria. Los sistemas de control de calidad basados en visión artificial, los sistemas de gestión del rendimiento de los trabajadores y las plataformas de acceso biométrico a instalaciones tratan invariablemente datos personales. Eso los somete de forma simultánea a ambos marcos.
La notificación de brechas de seguridad a la AEPD en un plazo de 72 horas desde que se tiene conocimiento de una violación de datos personales es una de las obligaciones más críticas del RGPD. En un entorno industrial con sistemas de IA conectados, una incidencia de ciberseguridad puede desencadenar simultáneamente una brecha de datos y un fallo en el sistema de IA. Sin un protocolo integrado de respuesta, la empresa puede incumplir ambas obligaciones a la vez.
La Agencia Española de Protección de Datos ha publicado criterios de orientación sobre el uso de IA y protección de datos que resultan de referencia obligada para cualquier empresa industrial que trate datos personales mediante sistemas de IA. La AEPD no es solo una autoridad sancionadora; también es una fuente de criterios interpretativos que reducen la incertidumbre para las empresas que actúan de buena fe.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud. En todos esos entornos, la integración del RGPD y del Reglamento de IA en un único programa de cumplimiento ha resultado más eficiente que gestionarlos como proyectos separados con equipos distintos.
La adaptación al RGPD que muchas empresas realizaron entre 2018 y 2020 es un punto de partida, no una meta alcanzada. El Reglamento de IA no sustituye al RGPD; lo complementa y, en los puntos de contacto, exige que la empresa tenga actualizada su base de cumplimiento en materia de datos.
El término compliance penal se usa con frecuencia en el ámbito societario, pero su lógica – identificar riesgos, establecer controles, documentar el sistema y designar responsables – es exactamente la que el Reglamento de IA traslada al ámbito de la inteligencia artificial. Empresas que ya tienen implantado un programa de compliance penal tienen ventaja: la metodología es familiar, aunque el objeto sea distinto.
El Reglamento de IA no exige formalmente un programa de compliance al estilo del compliance penal, pero en la práctica la gestión de las obligaciones que impone – documentación, supervisión humana, gestión de incidencias, cooperación con autoridades – requiere una estructura interna equivalente. Sin esa estructura, el cumplimiento tiende a ser reactivo y desordenado.
Un programa de compliance integrado que cubra el Reglamento de IA, el RGPD y el compliance penal tiene además un efecto directo sobre la responsabilidad de la persona jurídica: en caso de incumplimiento, la existencia de controles documentados y de una cultura de cumplimiento activa puede mitigar la exposición sancionadora. No es una garantía de exoneración, pero sí un elemento que las autoridades reguladoras valoran en los procedimientos sancionadores.
¿Tiene su empresa un responsable de cumplimiento normativo con mandato explícito para el Reglamento de IA? Si la respuesta es no, ese es el primer hueco que conviene cubrir.
Los riesgos más relevantes para una empresa industrial en el contexto del Reglamento de IA no son todos evidentes. Algunos de los más frecuentes que hemos identificado en nuestra práctica son los siguientes:
El registro de tratamientos, el protocolo de brechas y el modelo de compliance reducen la sanción y la responsabilidad cuando se produce un incidente. No son documentos meramente formales: son la evidencia de que la empresa actuó con diligencia. En un procedimiento sancionador, esa evidencia puede marcar la diferencia entre una sanción máxima y una atenuada.
Una empresa que trata datos y opera sin un programa de cumplimiento se expone no solo a sanciones regulatorias, sino también a responsabilidades contractuales frente a clientes y proveedores que exigen garantías de cumplimiento normativo como condición de sus relaciones comerciales. Este riesgo de cadena de suministro es creciente en el sector industrial europeo.
La respuesta corta es: antes de que los plazos presionen. La respuesta más precisa es: en cuanto la empresa tenga o esté evaluando la adopción de sistemas de IA en su operación.
El asesoramiento temprano cumple tres funciones que el asesoramiento reactivo no puede cumplir con igual eficiencia. Primera, permite diseñar el programa de cumplimiento desde el origen, integrándolo en los proyectos de adopción de tecnología en lugar de añadirlo como capa posterior. Segunda, identifica las brechas de cumplimiento cuando aún hay margen para cerrarlas ordenadamente. Tercera, permite distribuir los costes de adaptación en el tiempo, evitando la concentración de esfuerzo y gasto en el momento en que los plazos regulatorios aprietan.
En el sector industrial, el momento natural para introducir el análisis de cumplimiento del Reglamento de IA es el de evaluación y adquisición de nuevos sistemas o maquinaria con IA incorporada. Ese momento ya está ocurriendo en la mayoría de las plantas industriales europeas.
Una creencia que conviene desmontar: la idea de que con una cláusula de privacidad en la web y un aviso de cookies la empresa ha cubierto sus obligaciones en materia de datos e IA. Esa percepción es incorrecta. El RGPD exige, entre otras cosas, un registro de actividades de tratamiento actualizado, una política de respuesta a brechas de seguridad y, en muchos casos, una evaluación de impacto sobre la protección de datos. El Reglamento de IA añade obligaciones propias. Ninguna de esas exigencias se satisface con un aviso en una página web.
El asesoramiento jurídico especializado en esta materia no es un gasto de cumplimiento: es una inversión en reducción de riesgo. La diferencia entre una empresa con un programa de cumplimiento documentado y una empresa sin él no es solo la exposición a sanciones; es también la capacidad de operar con mayor confianza en los mercados en los que el cumplimiento normativo es un criterio de selección de proveedor.
Esta pregunta tiene una respuesta práctica que puede servir de lista de verificación inicial. Una empresa industrial que utiliza sistemas de IA debería poder presentar, ante una autoridad de supervisión o ante un cliente que exija garantías de cumplimiento, los documentos siguientes:
No todos los documentos son exigibles en todos los casos. La lista depende de los sistemas de IA que tenga la empresa y de los roles que ocupa. Pero tenerla como punto de partida ayuda a identificar los huecos más urgentes.
A modo de síntesis operativa, los pasos que una empresa industrial debería haber completado o estar completando son los siguientes:
Este checklist no sustituye el análisis jurídico individualizado. Cada empresa tiene una configuración distinta de sistemas, roles y tratamientos de datos que exige una valoración específica. Pero sirve como diagnóstico inicial para identificar los ámbitos donde la urgencia es mayor.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.