Àngela Vercher
Marketing Manager Iberia
Àngela Vercher es marketing manager con experiencia en el sector de cumplimiento y regulación. En Formalize, lidera el marketing en Iberia, ayudando a profesionales de cumplimiento, riesgo y seguridad a mantenerse al día con la regulación y a encontrar soluciones prácticas para sus retos diarios.
Puntos clave:
El Reglamento de IA no solo obliga a quien desarrolla IA: también a quien la usa, como responsable del despliegue.
Las obligaciones dependen de cada caso de uso y de su nivel de riesgo, no del tamaño de la empresa.
El inventario es el primer paso: lo que no está inventariado, incluida la IA en la sombra, no se puede evaluar ni controlar.
Tras el Ómnibus Digital, las obligaciones de alto riesgo del anexo III se aplican desde el 2 de diciembre de 2027. Las prohibiciones y la alfabetización en materia de IA ya están en vigor.
ISO 42001 ayuda a organizar el trabajo, pero no sustituye a los requisitos del Reglamento.
La inteligencia artificial ya forma parte del día a día de casi cualquier organización. Asistentes que redactan correos, chatbots que atienden a clientes, herramientas que filtran currículos o automatizan procesos internos: la IA está presente en cómo se trabaja, se decide y se presta servicio. Y allí donde afecta a personas, decisiones o datos, aparece una exigencia nueva: gobernar su uso. El Reglamento Europeo de Inteligencia Artificial (Reglamento (UE) 2024/1689, conocido como AI Act) fija ese marco de responsabilidades. Su punto más importante, y el que más empresas pasan por alto, es que no se limita a quienes desarrollan IA. Basta con que tu equipo use un copiloto o cualquier herramienta de IA generativa para que el Reglamento te concierna. Y cumplirlo no consiste en documentar una vez, sino en mantener un sistema de gobierno vivo.
1. ¿A quién afecta el Reglamento de IA? No solo a los desarrolladores
Un error habitual es pensar que el Reglamento de IA solo interesa a los fabricantes de modelos, a los proveedores de plataformas o a las empresas que «hacen IA». En realidad, el Reglamento reparte responsabilidades según el papel que juega cada organización en la cadena.
Para la mayoría de empresas, ese papel será el de responsable del despliegue: quien usa un sistema de IA bajo su propia autoridad. En algunos casos puede convertirse en proveedor, por ejemplo si adapta un sistema de forma sustancial o lo comercializa con su propia marca.
Lo que activa las obligaciones es el caso de uso y su nivel de riesgo, no el tamaño de la empresa ni el hecho de desarrollar tecnología propia.
El tamaño cuenta para las sanciones, no para la obligación
La dimensión de la empresa influye en cómo se calculan las multas, pero no decide si estás obligado. Una pyme de 50 empleados que use IA en un proceso prohibido o de alto riesgo está sujeta al Reglamento igual que una gran corporación.
2. El corazón del Reglamento: clasificar cada caso de uso por riesgo
La forma más práctica de entender el Reglamento de IA es verlo como una escalera de obligaciones con cuatro peldaños. No se clasifica la herramienta en abstracto, sino cada uso concreto que la empresa hace de ella.
Nivel de riesgo | Qué implica | Ejemplos |
|---|---|---|
Inaceptable (prohibido) | No se puede usar. La única medida es retirar el uso | Puntuación social de personas, reconocimiento de emociones en el trabajo (salvo por motivos médicos o de seguridad), identificación biométrica remota en tiempo real en espacios públicos con fines policiales (salvo excepciones tasadas) |
Alto | Controles estrictos: gestión de riesgos, supervisión humana, registros, calidad de datos | Selección de personal, evaluación de solvencia, educación, acceso a servicios esenciales |
Limitado | Sobre todo obligaciones de transparencia, aplicables desde el 2 de agosto de 2026 | Chatbots que deben identificarse como IA, contenido generado o manipulado que debe señalizarse |
Mínimo | Pocas obligaciones específicas, aunque no ninguna | Filtros de spam, correctores, recomendaciones internas de bajo impacto |
Prohibido y alto riesgo: sin margen
Si tu inventario detecta un uso que encaja en una práctica prohibida, la respuesta no es mitigar: es eliminarlo.
El alto riesgo exige más trabajo. Recursos Humanos es el área donde más empresas tropiezan con él: usar IA para analizar currículos, priorizar candidatos o apoyar decisiones sobre personal sitúa ese caso de uso, con mucha probabilidad, en alto riesgo. Por eso conviene definirlo y documentarlo con especial cuidado.
Sobre los plazos: tras el Ómnibus Digital (Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026), la mayoría de obligaciones de alto riesgo del anexo III se aplican desde el 2 de diciembre de 2027, y las de la IA integrada en productos regulados (anexo I), desde el 2 de agosto de 2028. Las prohibiciones del artículo 5 están en vigor desde el 2 de febrero de 2025, y el Ómnibus añade dos nuevas a partir del 2 de diciembre de 2026, sobre la generación de contenido sexual ilegal, como las imágenes íntimas no consentidas de personas identificables. El aplazamiento da margen, pero el inventario y la clasificación conviene tenerlos cerrados cuanto antes.
3. Tres obligaciones que casi cualquier empresa debería empezar hoy
Más allá de la clasificación, hay tres pilares que se repiten en cualquier plan de cumplimiento serio.
Inventario de herramientas y casos de uso
El primer obstáculo rara vez es técnico. Es organizativo: muchas empresas no saben qué IA se está usando. Cualquier empleado puede abrir un chatbot, instalar una extensión o probar una aplicación de terceros sin pasar por el departamento de IT. Es lo que se conoce como IA en la sombra (shadow AI).
La regla es simple: lo que no está en el inventario no se controla, y no se puede evaluar el riesgo de lo que no se conoce. Por eso el inventario debe ir acompañado de un proceso claro: cualquier herramienta nueva necesita aprobación, y si alguien detecta una que no figura en la lista, debe comunicarlo.
Formación y políticas de uso
La formación no es opcional. El artículo 4 del Reglamento obliga a proveedores y responsables del despliegue a adoptar medidas para fomentar la alfabetización en materia de IA de su personal y de quienes usan la IA en su nombre. La reforma de 2026 suavizó la redacción: ya no exige un nivel concreto de conocimientos a cada persona, pero la obligación de adoptar medidas sigue en pie. La Comisión Europea recopila ejemplos en su repositorio de prácticas de alfabetización en IA.
Para que la formación sirva, tiene que traducirse en comportamientos concretos y estar ligada a una política interna. Como mínimo, el personal debería saber:
qué datos pueden introducirse en una herramienta de IA y cuáles no;
qué herramientas están autorizadas;
cómo actuar si detecta una herramienta no aprobada.
Evaluación de riesgos y controles proporcionales
Con cada caso de uso inventariado llega la evaluación. El razonamiento es directo: «uso esta herramienta para esta finalidad; por tanto, el riesgo es de este nivel y debo aplicar estas medidas». El Reglamento asigna un conjunto de obligaciones a cada nivel, de modo que el esfuerzo se concentra donde el riesgo es mayor.
4. Cómo detectar la IA no declarada
En la mayoría de organizaciones, equipos como legal, marketing, operaciones, ventas o RR. HH. prueban herramientas por su cuenta. El Reglamento de IA obliga a mirar más allá de las herramientas oficiales, y para eso funciona mejor un enfoque que combine tres frentes:
Técnico: soluciones de prevención de pérdida de datos (DLP), inventario de software y análisis de endpoints y de navegación para detectar usos no autorizados.
Organizativo: una revisión con cada departamento para aflorar las herramientas que usa y para qué.
Proveedores: cláusulas contractuales que obliguen a los proveedores a informar de la IA que utilizan en los servicios que te prestan.
El objetivo es tener claro qué se usa, qué está permitido y qué no. Sin ese mapa, cualquier esfuerzo de cumplimiento se vuelve cuesta arriba.
5. Qué debería hacer la dirección: un marco de gobierno sencillo y continuo
¿Por dónde empieza un CEO? La respuesta más útil cabe en una lista de cinco puntos:
Crear un marco de cumplimiento, aunque al principio sea básico.
Inventariar los casos de uso y clasificarlos según los niveles del Reglamento de IA.
Formar al personal y aprobar una política de uso con un circuito de autorización.
Incorporar a los proveedores al gobierno de la IA: la responsabilidad sigue siendo de la empresa.
Revisar periódicamente y conservar evidencias.
El último punto es el que marca la diferencia. El cumplimiento no es algo puntual que se prepara para una auditoría. Hay que revisar con regularidad, mantener el inventario actualizado y poder demostrar que se está haciendo.
Demostrar el cumplimiento no es burocracia
Ante un incidente o una inspección, la autoridad puede pedir pruebas de que la empresa:
conocía sus casos de uso;
evaluó el riesgo de cada uno;
aplicó los controles correspondientes;
formó a su personal;
revisó todo lo anterior con periodicidad.
Las sanciones son relevantes. Las prácticas prohibidas pueden acarrear multas de hasta 35 millones de euros o el 7 % de la facturación mundial anual, la cifra que sea mayor. El incumplimiento de otras obligaciones, como las de alto riesgo o las de transparencia, puede llegar a 15 millones o el 3 %, y facilitar información incorrecta a las autoridades, a 7,5 millones o el 1 %. Para pymes y startups se aplica la menor de las dos cifras.
A eso se suma un riesgo menos visible: cualquier persona física o jurídica que considere que se ha infringido el Reglamento puede presentar una reclamación ante la autoridad de vigilancia del mercado.
¿Quién supervisa en España?
La Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña, es la autoridad que España ha creado para supervisar la IA. El proyecto de ley orgánica para el buen uso y la gobernanza de la IA, que inició su tramitación parlamentaria en mayo de 2026, le atribuye las funciones de autoridad de vigilancia del mercado. Los supervisores sectoriales, como el Banco de España o la CNMV, mantienen sus competencias, y la AEPD supervisará, entre otros, los sistemas de identificación biométrica.
6. Lo que está en juego: multas, reclamaciones, fugas y reputación
El Reglamento de IA no se reduce a las sanciones. Un uso de la IA sin control expone a la empresa a riesgos que ya conoce bien:
Fugas de información confidencial, cuando se introducen datos internos, contratos o código en herramientas externas.
Incumplimientos del RGPD, por ejemplo al usar versiones gratuitas que envían datos personales fuera de la UE sin las garantías necesarias.
Daño reputacional, cuando información sensible o código propio acaba publicado en internet por no haber aplicado medidas básicas.
Cumplir no es solo evitar multas. Es proteger los datos, a las personas y la marca.
7. ¿Basta con ISO 42001? Ayuda mucho, pero no sustituye al Reglamento de IA
Es una de las preguntas más frecuentes: si mi empresa se certifica en ISO 42001, ¿cumple automáticamente el Reglamento de IA? La respuesta corta es no.
ISO 42001 establece un sistema de gestión de la IA: roles, procesos, evaluación de riesgos y mejora continua. Es una base excelente para organizar el trabajo. Pero el Reglamento exige requisitos concretos que hay que cubrir uno a uno: el inventario, la clasificación por niveles, los controles de cada caso, las obligaciones de transparencia y la evaluación de proveedores.
La combinación ideal es usar ISO 42001 como estructura y el Reglamento de IA como lista de requisitos que esa estructura debe cumplir.
8. De la teoría a la práctica: un plan en cinco pasos
Si quieres pasar de entender el Reglamento a aplicarlo, esta secuencia lo convierte en un plan de trabajo:
Detecta qué IA se usa. Inventario de herramientas y casos de uso, incluida la IA no declarada.
Clasifica cada caso por riesgo. Prohibido, alto, limitado o mínimo.
Define políticas y forma al equipo. Política de uso, circuito de aprobación y formación para todo el personal que use IA.
Implanta controles y guarda evidencias. Medidas técnicas y organizativas proporcionales al riesgo, revisadas con periodicidad.
Gobierna a tus proveedores. Cuestionarios y cláusulas contractuales para asegurar el cumplimiento en toda la cadena, dentro de tu gestión de terceros.
Sea cual sea tu sector, estos son los mínimos: inventario, formación, evaluación, políticas y proveedores.
Conclusión: de usar la IA a gobernarla
La IA se seguirá usando, y cada vez más. La diferencia entre una empresa preparada y una expuesta está en si convierte ese uso en un sistema gobernado.
El Reglamento de IA no pide perfección inmediata. Pide controlar el riesgo, ser transparente cuando corresponde y poder demostrar, de forma continua, que se evalúa y se mitiga. Si tu organización empieza hoy por el inventario, la formación y la evaluación de riesgos, estará en el camino más directo para cumplir y, sobre todo, para proteger sus datos, a sus personas y su reputación.
Gobierna la IA en el mismo sistema que el resto de tu cumplimiento
En Formalize, el Compliance Blueprint del Reglamento de IA convierte cada caso de uso en un registro con su nivel de riesgo, una persona responsable, los controles que le corresponden y sus evidencias. La política de uso, la formación y los cuestionarios a proveedores se gestionan en el mismo sistema que tu trabajo de RGPD, ISO 27001 o NIS2. Descubre cómo funciona el Reglamento de IA en Formalize.
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.
¿Por dónde empieza tu empresa con el Reglamento de IA?
Te enseñamos cómo inventariar tus casos de uso, clasificarlos por riesgo y asignar controles y responsables en Formalize.
