El Reglamento de Inteligencia Artificial de la Unión Europea ha comenzado a desplegar sus efectos sobre el tejido empresarial español de forma progresiva. Muchas organizaciones que ya emplean sistemas de IA en sus procesos internos, en la atención al cliente o en la toma de decisiones automatizadas se enfrentan ahora a una pregunta ineludible: ¿estamos preparados para cumplir con lo que esta norma exige? La respuesta honesta, en la mayoría de los casos que hemos analizado, es que no.
El Reglamento de Inteligencia Artificial, publicado en el Diario Oficial de la Unión Europea en el verano de 2024, es de aplicación directa en todos los Estados miembros, incluida España. No requiere transposición nacional: obliga desde su propio texto a las empresas que desarrollen, pongan en el mercado, distribuyan o usen sistemas de IA dentro del territorio europeo.
El ámbito de aplicación es amplio. No se limita a empresas tecnológicas. Afecta a cualquier organización que utilice un sistema de IA para tomar decisiones que afecten a personas: desde la selección de personal hasta la evaluación de crédito, pasando por la gestión automatizada de reclamaciones o el análisis de comportamiento de clientes.
En nuestra práctica hemos observado que la mayoría de las empresas medianas en sectores como la industria, el comercio, la logística y los servicios financieros utilizan ya herramientas clasificables como sistemas de IA bajo esta norma. Muchas lo desconocen. Esa ignorancia no exime de la responsabilidad regulatoria.
El Reglamento distingue cuatro categorías de riesgo: inaceptable, alto, limitado y mínimo. Los sistemas de riesgo inaceptable quedan prohibidos. Los de alto riesgo concentran las obligaciones más exigentes. Los de riesgo limitado tienen deberes de transparencia. Los de riesgo mínimo no generan obligaciones específicas, aunque sí conviene documentar la clasificación.
¿Sabe en qué categoría encajan los sistemas que su empresa ya tiene en producción? Esa es, con frecuencia, la primera pregunta que ningún responsable interno puede responder sin un análisis externo.
La lógica del Reglamento de IA pivota sobre la proporcionalidad: a mayor riesgo potencial sobre las personas, mayores obligaciones para quien desarrolla o usa el sistema. Comprender esta arquitectura es el primer paso para cualquier programa de cumplimiento.
Los sistemas de riesgo inaceptable están prohibidos. Incluyen, entre otros, los que utilizan técnicas de manipulación subliminal, los sistemas de puntuación social generalizada por autoridades públicas y ciertos usos de reconocimiento biométrico en tiempo real en espacios públicos. Si alguno de sus sistemas encaja aquí, la única vía es el cese inmediato.
Los sistemas de alto riesgo son los que concentran la mayor carga regulatoria. Se definen por referencia a sectores críticos y a funciones sensibles. Entre ellos se encuentran los sistemas usados en la selección y evaluación de candidatos laborales, en la solvencia crediticia, en la educación, en la atención sanitaria, en infraestructuras críticas y en la administración de justicia.
Para los sistemas de alto riesgo, el Reglamento impone obligaciones concretas: gestión del riesgo documentada, calidad de los datos de entrenamiento, documentación técnica exhaustiva, registro de actividad (logs), supervisión humana efectiva, ciberseguridad y exactitud. Además, antes de la puesta en servicio, estos sistemas deben someterse a una evaluación de conformidad.
Los sistemas de riesgo limitado – como los chatbots o los sistemas que generan contenido sintético – tienen obligaciones de transparencia. El usuario debe saber que interactúa con una IA. Esta exigencia parece sencilla, pero en la práctica exige revisar flujos de comunicación, condiciones de servicio y protocolos de atención al cliente.
Los sistemas de riesgo mínimo, como los filtros de spam o los videojuegos con IA, no tienen obligaciones específicas, aunque documentar su clasificación refuerza la posición de cumplimiento de la empresa frente a cualquier inspección.
La pregunta que la dirección suele hacerse primero no es técnica: es de impacto operativo y financiero. El Reglamento de IA no es solo un asunto del departamento de IT. Es una norma que afecta a la estrategia de producto, a las relaciones con proveedores, a los contratos con clientes y a la estructura de gobernanza interna.
La primera implicación es el inventario de sistemas. Toda empresa que quiera cumplir debe saber qué sistemas de IA utiliza, quién los ha desarrollado, con qué datos operan y qué decisiones apoyan o automatizan. En la experiencia de nuestra firma, este inventario revela sistemáticamente más herramientas de IA de las que el equipo directivo suponía.
La segunda implicación es contractual. Si su empresa utiliza sistemas de IA desarrollados por un tercero, debe revisar si ese proveedor cumple con las obligaciones del Reglamento y si los contratos existentes asignan correctamente las responsabilidades entre proveedor y desplegador. En muchos casos, los contratos actuales no contemplan este reparto.
La tercera implicación es de gobernanza. El Reglamento exige que los sistemas de alto riesgo tengan supervisión humana efectiva. Eso no es solo una declaración formal: requiere que existan procesos reales por los que una persona con autoridad pueda intervenir, corregir o detener la decisión del sistema. Implantar esa supervisión tiene consecuencias organizativas directas.
La cuarta es la intersección con la normativa de protección de datos. Si el sistema de IA trata datos personales, el Reglamento de IA se solapa con el Reglamento General de Protección de Datos (RGPD) y con la Ley Orgánica de Protección de Datos (LOPDGDD). La Agencia Española de Protección de Datos (AEPD) tiene competencias en la supervisión de los usos de IA que afectan a datos personales. Ignorar esta doble capa regulatoria es uno de los errores más frecuentes.
Para profundizar en cómo el Reglamento de IA interactúa con el cumplimiento en materia de protección de datos en España, puede consultar nuestra área de protección de datos y compliance.
El Reglamento de IA establece un calendario de aplicación escalonado que determina cuándo deben estar operativos los distintos niveles de cumplimiento. No todas las obligaciones se activan el mismo día. Esta estructura gradual es una oportunidad para planificar, pero también un riesgo: las organizaciones que no actúan con antelación se encuentran con plazos comprimidos y costes de adaptación más elevados.
Las prohibiciones relativas a los sistemas de riesgo inaceptable fueron las primeras en aplicarse, meses después de la publicación de la norma. Las obligaciones para los sistemas de alto riesgo tienen plazos de aplicación diferidos que la dirección debe conocer con precisión para trazar su hoja de ruta interna.
Las normas sobre los modelos de IA de uso general – los denominados GPAI, como los grandes modelos de lenguaje que muchas empresas ya utilizan a través de API – tienen también su propio calendario. El cumplimiento de estas reglas afecta tanto a los proveedores de esos modelos como, en determinadas circunstancias, a las empresas que los integran en sus productos o servicios.
En cuanto al coste, conviene desmitificar la creencia de que el cumplimiento del Reglamento de IA es un proyecto solo al alcance de las grandes corporaciones. El coste de adaptación varía sustancialmente según el tipo y número de sistemas, la madurez de la documentación existente y el punto de partida en materia de protección de datos. En nuestra experiencia asesorando a empresas en España, las organizaciones que ya tienen un programa de protección de datos ordenado reducen significativamente el esfuerzo de adaptación al Reglamento de IA.
El coste del incumplimiento, en cambio, es mucho menos variable. El régimen sancionador establece multas cuyas cuantías máximas se calculan como porcentaje del volumen de negocio mundial anual de la empresa. Para las infracciones más graves, ese porcentaje puede llegar a ser muy elevado. El importe exacto aplicable en cada caso depende de las circunstancias del incumplimiento y de la discrecionalidad supervisora, pero la magnitud potencial convierte a la prevención en la opción económicamente racional.
El riesgo más inmediato para una empresa que opera con sistemas de IA sin un programa de cumplimiento es el de la sanción directa. Pero hay otros riesgos que la dirección suele subestimar y que, en nuestra práctica, generan consecuencias igual de graves.
El primer riesgo operativo es el de seguir utilizando un sistema prohibido o de alto riesgo sin las garantías exigidas. No es un riesgo hipotético: muchas empresas tienen en producción herramientas de análisis de perfiles, de filtrado de candidatos o de scoring crediticio interno que podrían clasificarse como de alto riesgo bajo la nueva norma. Si no se ha realizado ese análisis, la empresa opera en la oscuridad regulatoria.
El segundo riesgo es el contractual. Si un sistema de IA de un proveedor causa un daño y el contrato no regula adecuadamente la responsabilidad, la empresa desplegadora puede quedar expuesta frente a terceros damnificados sin posibilidad de repercutir el coste al proveedor. Este es un punto que los departamentos jurídicos internos en España no siempre han incorporado a sus plantillas de contratos de software.
El tercer riesgo es reputacional. Una empresa sancionada por el uso de IA que viola derechos fundamentales – especialmente en materia de discriminación, de privacidad o de toma de decisiones automatizadas que afectan a los trabajadores – sufre un daño de imagen difícil de reparar. La transparencia y la supervisión humana no son solo obligaciones legales: son también activos de confianza frente a clientes, socios e inversores.
El cuarto riesgo, menos visible pero muy relevante para las empresas que tratan datos personales, es el de la doble exposición. Un mismo incidente – por ejemplo, una decisión automatizada discriminatoria basada en datos de empleados – puede generar simultáneamente un procedimiento sancionador bajo el Reglamento de IA y otro bajo el RGPD. La notificación de una brecha de seguridad ante la AEPD debe producirse en un plazo de 72 horas desde que se tenga conocimiento de ella; si el incidente involucra un sistema de IA, la gestión simultánea de ambas normativas requiere una coordinación que no puede improvisarse.
Existe, además, un riesgo relacionado con el compliance penal. Si la empresa opera en sectores regulados o tiene implantado un modelo de prevención de delitos, la ausencia de controles sobre el uso de IA puede generar vulnerabilidades en ese programa. El compliance penal y el cumplimiento del Reglamento de IA comparten una misma lógica: la organización debe demostrar que ha adoptado medidas razonables para evitar el daño.
Un mito frecuente que encontramos en las primeras reuniones de diagnóstico es que con una cláusula de privacidad en la web ya se cumple la normativa de datos y, por extensión, que el marco de IA es algo que vendrá después. Ni lo uno ni lo otro. El registro de tratamientos, el protocolo de brechas y un modelo de compliance estructurado no son opcionales: son la base sobre la que se construye cualquier programa serio de adaptación al Reglamento de IA.
La coexistencia del Reglamento de IA con el RGPD no es accidental. El legislador europeo ha diseñado ambas normas para que funcionen de forma complementaria, aunque en la práctica generan tensiones que deben gestionarse con cuidado.
El RGPD regula el tratamiento de datos personales: su base legal, la finalidad, los derechos de los interesados, la retención y la seguridad. El Reglamento de IA regula los sistemas que utilizan esos datos para tomar decisiones o producir outputs con impacto sobre las personas. Cuando un sistema de IA trata datos personales – y la mayoría lo hace – ambas normas se aplican simultáneamente.
Un ejemplo concreto: un sistema de IA que analiza el rendimiento de los empleados para modular condiciones laborales trata datos personales (RGPD) y es, con alta probabilidad, un sistema de alto riesgo (Reglamento de IA). La empresa debe satisfacer los requisitos de ambas normas a la vez: base legal de tratamiento, evaluación de impacto sobre la protección de datos, supervisión humana del sistema, documentación técnica, gestión del riesgo y derechos de los trabajadores sobre las decisiones automatizadas.
La adaptación al RGPD, si está bien hecha, facilita enormemente la adaptación al Reglamento de IA. El registro de actividades de tratamiento se convierte en la base del inventario de sistemas de IA. Las evaluaciones de impacto ya realizadas aportan la documentación de riesgo que el Reglamento de IA exige para los sistemas de alto riesgo. El protocolo de respuesta ante brechas tiene que extenderse para cubrir los incidentes específicos de los sistemas de IA.
Si su empresa aún no tiene ordenado su programa de protección de datos, puede explorar nuestras preguntas frecuentes sobre adaptación al RGPD como punto de partida antes de abordar el Reglamento de IA.
Una cuestión que genera inquietud especial entre los responsables de cumplimiento es la relacionada con los sistemas de denuncia interna. Los canales de denuncias que procesan información de empleados con apoyo de herramientas de análisis automatizado deben analizarse bajo el prisma del Reglamento de IA. Si el sistema prioriza, categoriza o puntúa las denuncias de forma automatizada, es posible que deba clasificarse como de alto riesgo en el ámbito laboral. Para las empresas que tienen implantado o están implantando un canal de denuncias, esta cuestión requiere atención específica: puede consultar información adicional sobre las preguntas sobre canal de denuncias y tecnología.
El Reglamento de IA distingue entre distintos roles en la cadena de valor de la IA: proveedor, desplegador, importador y distribuidor. Esta distinción es crucial para determinar quién soporta cada obligación. En la práctica empresarial española, la mayor parte de las empresas medianas actúan como desplegadores: adquieren o contratan sistemas de IA de terceros y los utilizan en sus procesos o en sus productos.
El proveedor es quien desarrolla el sistema y lo pone en el mercado. Sobre él recaen las obligaciones más intensas: la evaluación de conformidad, la documentación técnica, el registro en bases de datos de sistemas de alto riesgo, la declaración de conformidad y el marcado CE en los casos aplicables.
El desplegador, en cambio, tiene obligaciones propias: debe utilizar el sistema conforme a las instrucciones del proveedor, garantizar la supervisión humana, adoptar medidas técnicas y organizativas para proteger los derechos de los usuarios afectados y, en determinados casos, realizar su propia evaluación de impacto sobre derechos fundamentales.
Esta distinción tiene consecuencias contractuales directas. Si una empresa española contrata un sistema de IA a un proveedor estadounidense o asiático que no cumple el Reglamento de IA, el desplegador europeo puede verse expuesto a sanciones si no ha adoptado las medidas de diligencia debida (due diligence) adecuadas y no ha exigido al proveedor las garantías contractuales necesarias. La revisión de los contratos de tecnología a la luz del Reglamento de IA es, en muchos casos, la tarea más urgente que una empresa debe afrontar.
La respuesta corta es: antes de que los plazos venzan. La respuesta útil es algo más matizada.
El asesoramiento temprano en el Reglamento de IA aporta valor en tres momentos distintos del ciclo de vida empresarial.
El primero es el diagnóstico inicial. Si su empresa ya utiliza sistemas de IA y no ha realizado un inventario ni una clasificación por niveles de riesgo, el punto de partida es saber dónde está. Un análisis de situación permite identificar los sistemas que requieren atención prioritaria, estimar el esfuerzo de adaptación y priorizar las inversiones de cumplimiento.
El segundo momento es el de los cambios en el portafolio de tecnología. Cuando una empresa adquiere una nueva herramienta de IA, integra un sistema de terceros en su plataforma o desarrolla internamente una solución automatizada, ese es el momento de evaluar el riesgo regulatorio antes de que el sistema entre en producción. Corregir antes del despliegue es mucho menos costoso que remediar después.
El tercero es el de la negociación contractual con proveedores y clientes de IA. Los contratos de software, los acuerdos de niveles de servicio y los contratos de desarrollo de IA deben incorporar cláusulas específicas que asignen responsabilidades, garantías de cumplimiento, derechos de auditoría y mecanismos de respuesta ante incidentes. Sin esa cobertura contractual, la empresa desplegadora asume riesgos que podrían haber sido transferidos o compartidos.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud, y en todos esos casos hemos comprobado que el coste de actuar de forma preventiva es una fracción del coste de gestionar una inspección, un incidente o un procedimiento sancionador.
El compliance penal merece una mención aparte. Las empresas que tienen implantado un modelo de prevención de delitos deben revisar si ese modelo cubre adecuadamente los riesgos derivados del uso de IA. La responsabilidad penal de las personas jurídicas exige demostrar que la organización tiene controles efectivos. Un sistema de IA que opera fuera del perímetro de ese modelo de compliance puede ser el punto débil que un fiscal identifique como indicador de ausencia de cultura de cumplimiento.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.