AI Act para empresas: qué obligaciones tienes si usas IA

Tu empresa puede no considerarse una compañía de inteligencia artificial y, aun así, estar utilizando IA todos los días. Un asistente que redacta correos, un sistema que filtra currículums, una herramienta que prioriza clientes, un chatbot de atención o una aplicación que genera imágenes ya forman parte de la operativa de muchas organizaciones.

La pregunta, por tanto, ya no es solo si una empresa “hace IA”. La pregunta relevante es qué sistemas utiliza, para qué los utiliza, qué decisiones influyen y qué papel ocupa dentro de la cadena de valor. De esas respuestas dependen sus obligaciones.

El Reglamento Europeo de Inteligencia Artificial, conocido como AI Act, establece un marco común para desarrollar, comercializar y utilizar IA en la Unión Europea. Su objetivo no es prohibir la innovación, sino hacerla más segura, transparente y respetuosa con los derechos de las personas.

El cumplimiento no empieza redactando una política genérica. Empieza sabiendo dónde hay IA en la organización, quién la controla y qué impacto puede producir.

¿Qué es el AI Act y por qué puede afectar a casi cualquier empresa?

El AI Act, Reglamento (UE) 2024/1689, adopta un enfoque basado en el riesgo. No exige lo mismo a un filtro antispam que a un sistema utilizado para seleccionar candidatos o conceder crédito. Cuanto mayor sea el posible impacto sobre la seguridad, la salud o los derechos fundamentales, más estrictas serán las obligaciones.

Su alcance, además, no se limita a las grandes tecnológicas. Puede afectar a startups, pymes, grandes corporaciones y administraciones públicas; también a empresas establecidas fuera de la Unión cuando comercializan sistemas de IA en el mercado europeo o cuando sus resultados se utilizan en la UE.

En la práctica, una organización puede quedar dentro del Reglamento aunque no haya desarrollado una sola línea de código. Basta con que utilice profesionalmente un sistema de IA de un tercero para que, normalmente, actúe como responsable del despliegue o deployer y tenga obligaciones propias.

Primero: identifica tu papel en la cadena de IA

Una de las primeras decisiones jurídicas consiste en determinar qué papel desempeña la empresa. El AI Act distingue varios operadores, pero para la mayoría de las organizaciones hay dos figuras especialmente relevantes:

Proveedor: desarrolla un sistema o modelo de IA, o encarga su desarrollo, y lo comercializa o pone en servicio bajo su nombre o marca.
Responsable del despliegue: utiliza un sistema de IA bajo su autoridad en una actividad profesional, por ejemplo para atender clientes, analizar información, apoyar decisiones de personal o generar contenidos.

La diferencia es importante porque el proveedor soporta, por regla general, las obligaciones más intensas de diseño, documentación, evaluación y seguimiento. Pero utilizar una solución de terceros no traslada automáticamente toda la responsabilidad al fabricante.

Además, una empresa usuaria puede convertirse jurídicamente en proveedor si pone el sistema bajo su propia marca, realiza una modificación sustancial o cambia la finalidad prevista de manera que altere su clasificación. Integrar una herramienta en un producto propio sin analizar este punto es uno de los riesgos más habituales.

Los cuatro niveles de riesgo, explicados sin tecnicismos

El Reglamento organiza los sistemas y usos de IA alrededor de cuatro grandes niveles. Esta clasificación determina qué controles necesita cada caso.

1. Riesgo inaceptable: usos prohibidos

Son prácticas que la Unión Europea considera incompatibles con sus valores y derechos fundamentales. Entre ellas se encuentran determinadas formas de manipulación dañina, explotación de vulnerabilidades, puntuación social, algunas técnicas de categorización biométrica o el reconocimiento de emociones en el trabajo y en centros educativos, con las excepciones previstas en la norma.

La mayoría de estas prohibiciones se aplica desde el 2 de febrero de 2025. El AI Omnibus añadió una prohibición relativa a sistemas que generan material sexual íntimo no consentido o material de abuso sexual infantil, aplicable desde el 2 de diciembre de 2026.

2. Alto riesgo: decisiones sensibles

Aquí se incluyen sistemas que pueden afectar de forma significativa a la salud, la seguridad o los derechos de las personas. Algunos ejemplos son determinadas herramientas de selección y gestión de trabajadores, acceso a educación, evaluación crediticia, infraestructuras críticas, migración, justicia o componentes de seguridad integrados en productos regulados.

Los proveedores de estos sistemas tendrán que aplicar, entre otras medidas, gestión de riesgos, gobierno de datos, documentación técnica, registros de actividad, supervisión humana, precisión, robustez, ciberseguridad, evaluación de conformidad y vigilancia posterior a la comercialización. Los responsables del despliegue también asumirán deberes relevantes sobre uso conforme a instrucciones, supervisión, monitorización y, según el caso, evaluaciones de impacto.

Tras la reforma aprobada en 2026, las reglas para los casos de alto riesgo del Anexo III se aplicarán desde el 2 de diciembre de 2027. Para sistemas de IA integrados en determinados productos regulados del Anexo I, la fecha es el 2 de agosto de 2028. Que el plazo se haya ampliado no significa que convenga esperar: clasificar, contratar, documentar y rediseñar procesos requiere tiempo.

3. Riesgo de transparencia

Algunos sistemas no están prohibidos ni son necesariamente de alto riesgo, pero deben ser transparentes. Desde el 2 de agosto de 2026, determinadas obligaciones del artículo 50 exigen, por ejemplo, informar a una persona cuando interactúa directamente con una IA, identificar de forma legible por máquina determinados contenidos generados o manipulados y etiquetar deepfakes. También existen reglas para ciertos textos sobre asuntos de interés público generados o manipulados mediante IA, con excepciones y matices que deben revisarse caso por caso.

No todo contenido creado con ayuda de una IA tiene que llevar el mismo aviso. Importan el tipo de contenido, quién lo publica, el grado de intervención humana, su finalidad y si concurre alguna excepción. Aplicar una etiqueta automática a todo puede ser tan poco útil como no etiquetar nada.

4. Riesgo mínimo o inexistente

La mayoría de las aplicaciones de IA se encuentra en esta categoría y no queda sometida a un régimen específico de alto riesgo. Sin embargo, eso no equivale a “sin obligaciones”. Pueden seguir siendo aplicables la alfabetización en IA, la normativa de protección de datos, la propiedad intelectual, la confidencialidad, la legislación de consumo, las reglas laborales o los compromisos contractuales con clientes y proveedores.

¿Qué debería estar haciendo ya una empresa en agosto de 2026?

El cumplimiento útil no consiste en acumular documentos. Consiste en crear controles proporcionados al uso real de la tecnología. Para la mayoría de las organizaciones, el punto de partida debería incluir estas acciones:

Crear un inventario de sistemas y usos de IA. Debe incluir herramientas contratadas, desarrollos propios, funcionalidades de IA incorporadas a software existente y usos informales de aplicaciones públicas por los empleados.
Definir el papel de la empresa y clasificar cada caso. Hay que saber si se actúa como proveedor, responsable del despliegue, importador o distribuidor, y comprobar el nivel de riesgo y las obligaciones asociadas.
Revisar prácticas prohibidas. No basta con preguntar qué herramientas se utilizan; es necesario analizar la finalidad, las personas afectadas y la manera en que se toman las decisiones.
Implantar alfabetización en IA. Desde febrero de 2025, proveedores y responsables del despliegue deben procurar un nivel suficiente de conocimientos y comprensión entre el personal y otras personas que operan sistemas por su cuenta. La formación debe adaptarse al contexto, la experiencia y los riesgos; una sesión idéntica para toda la plantilla rara vez será suficiente.
Cumplir las obligaciones de transparencia. Chatbots, contenidos sintéticos, deepfakes y otros supuestos del artículo 50 requieren soluciones técnicas y mensajes comprensibles desde el 2 de agosto de 2026.
Revisar proveedores y contratos. Conviene comprobar qué datos utiliza la herramienta, dónde se alojan, si se emplean para reentrenar modelos, qué documentación entrega el proveedor, cómo notifica incidentes y qué garantías ofrece.
Conservar evidencias. Políticas, decisiones de clasificación, evaluaciones, contratos, registros de formación, incidencias y medidas correctoras deben permitir demostrar que el control existe y se aplica.

IA responsable es más que cumplir el AI Act

Un proyecto puede cumplir una obligación concreta del AI Act y, aun así, generar otros riesgos jurídicos. La gobernanza de IA debe coordinar varias áreas que a menudo se gestionan por separado:

Protección de datos: base jurídica, información, minimización, decisiones automatizadas, evaluaciones de impacto y transferencias internacionales.
Propiedad intelectual: licencias, materiales de entrenamiento, derechos sobre entradas y resultados, uso de marcas y contenidos de terceros.
Confidencialidad y secreto empresarial: información que los equipos introducen en asistentes o modelos externos y condiciones de reutilización por el proveedor.
Consumo y publicidad: mensajes engañosos, recomendaciones, personalización, reseñas, identificación de contenido sintético y responsabilidad frente al cliente.
Ciberseguridad y resiliencia: accesos, filtraciones, ataques al modelo, dependencias de terceros, continuidad y respuesta ante incidentes.
Normativa sectorial y laboral: requisitos adicionales cuando la IA se utiliza en sectores regulados o influye en trabajadores y candidatos.

Por eso una política corporativa de IA no debería limitarse a decir qué aplicaciones están permitidas. Debe asignar responsabilidades, establecer un proceso de aprobación, definir usos prohibidos o condicionados, regular los datos que pueden introducirse, prever revisión humana y explicar cómo se notifican errores o incidentes.

Cinco errores que vemos con frecuencia

“Solo usamos ChatGPT”. Utilizar una herramienta generalista sigue siendo un uso empresarial de IA. El riesgo dependerá de la finalidad, los datos y la influencia que tenga en el proceso.
“El proveedor ya se encarga”. El contrato y la documentación del proveedor son esenciales, pero la empresa que despliega la solución conserva obligaciones sobre su uso concreto.
“Prohibimos la IA y listo”. Las prohibiciones generales suelen empujar el uso hacia canales invisibles. Es más eficaz ofrecer herramientas autorizadas, reglas claras y formación.
“Esperaremos a 2027”. La alfabetización, las prohibiciones y diversas obligaciones de transparencia ya están en aplicación. Además, los sistemas de alto riesgo necesitan preparación previa.
“Tenemos una política descargada de internet”. Un documento genérico no clasifica sistemas, no corrige contratos, no forma a los equipos y no demuestra que las medidas funcionen.

Cómo convertir el cumplimiento en una ventaja competitiva

Cuando la gobernanza está bien diseñada, legal no se convierte en el departamento que dice “no”, sino en la función que permite desplegar IA con criterios previsibles. Producto sabe qué controles incorporar; compras sabe qué exigir; marketing sabe cuándo informar; recursos humanos conoce los límites; y dirección puede decidir con una visión real del riesgo.

Además, cada vez más clientes, inversores y socios solicitan evidencias sobre el uso responsable de IA. Disponer de un inventario, criterios de clasificación, políticas, formación y documentación facilita procesos de venta, due diligence, licitaciones y expansión internacional. El cumplimiento deja de ser solo defensivo y pasa a generar confianza.

¿Cómo abordamos en Legal Army una adecuación al AI Act?

Nuestro enfoque parte de la operativa real de la empresa. No se trata de entregar un informe que termine archivado, sino de construir un sistema de cumplimiento que pueda utilizarse y mantenerse. El proceso suele organizarse en cinco fases:

Descubrimiento: identificamos herramientas, desarrollos, procesos, datos, proveedores y equipos implicados.
Clasificación y diagnóstico: determinamos el papel de la empresa, el nivel de riesgo y las brechas frente al AI Act y al resto de normativa aplicable.
Plan de adecuación: priorizamos medidas, responsables y plazos de forma proporcional al riesgo y a los recursos de la organización.
Implementación: preparamos políticas, protocolos, cláusulas, registros, documentación técnica o de uso y programas de formación adaptados.
Supervisión continua: revisamos nuevos sistemas, cambios de finalidad, proveedores, incidentes y actualizaciones regulatorias.

Según el perfil del cliente, el acompañamiento puede incluir auditoría de usos de IA, evaluación de riesgos, política corporativa, protocolo de uso responsable, revisión de herramientas, compliance documental, formación, registro de sistemas y soporte legal continuo. Para proveedores de IA, el trabajo puede abarcar también sistema de gestión de calidad, documentación técnica, evaluación de conformidad, declaración UE, marcado CE y vigilancia poscomercialización cuando resulten aplicables.

Preguntas frecuentes

¿El AI Act me afecta si solo utilizo ChatGPT, Copilot u otra herramienta de terceros?

Normalmente la empresa será responsable del despliegue de ese sistema en un contexto profesional. Las obligaciones concretas dependen del uso. No es lo mismo resumir un texto interno que filtrar candidatos, atender automáticamente a consumidores o publicar contenido de interés público.

¿Todas las empresas tienen que certificar sus herramientas o colocar marcado CE?

No. La evaluación de conformidad y el marcado CE se asocian principalmente a determinados sistemas de alto riesgo y recaen, por regla general, sobre el proveedor. La clasificación debe hacerse antes de asumir que una obligación aplica o no.

¿La formación en IA es obligatoria?

El artículo 4 exige a proveedores y responsables del despliegue adoptar medidas para garantizar un nivel suficiente de alfabetización en IA de las personas que operan los sistemas por su cuenta. La norma no impone un curso único ni una certificación universal: la formación debe ser proporcional al conocimiento, al contexto y a los riesgos de cada uso.

¿Hay que etiquetar todo lo que se genera con IA?

No de la misma manera. El artículo 50 contiene obligaciones distintas para proveedores y responsables del despliegue y contempla excepciones. Chatbots, deepfakes, marcas legibles por máquina y determinados textos de interés público requieren análisis específico. La solución correcta combina medidas técnicas y avisos claros para las personas afectadas.

¿Cuáles son las sanciones?

Las infracciones más graves relacionadas con prácticas prohibidas pueden alcanzar 35 millones de euros o el 7 % del volumen de negocio mundial anual, según el criterio aplicable. Otras vulneraciones pueden llegar a 15 millones de euros o el 3 %, y la entrega de información incorrecta o engañosa a las autoridades puede alcanzar 7,5 millones o el 1 %. La cuantía concreta debe atender a la gravedad, duración y circunstancias del caso, con reglas de proporcionalidad para empresas de menor tamaño.

El mejor momento para ordenar el uso de IA es antes del incidente

La inteligencia artificial ya está integrada en decisiones, contenidos y procesos empresariales. Ignorarla no reduce el riesgo; solo lo vuelve menos visible. Una adecuación bien planteada permite saber qué se está utilizando, decidir qué usos son aceptables y demostrar a clientes, empleados y autoridades que existe un control real.

En Legal Army ayudamos a empresas que desarrollan o utilizan IA a realizar una adecuación al AI Act basada en medidas claras, proporcionadas y aplicables. Sin frenar la innovación y sin generar miedo innecesario.

¿Tu empresa ya utiliza IA? Solicita un diagnóstico inicial. Revisaremos tus principales casos de uso y te indicaremos qué riesgos y obligaciones conviene priorizar.

AI Act para empresas: qué obligaciones tienes si utilizas inteligencia artificial