Lo que las empresas no están debatiendo sobre el AI Act (y deberían)
Cómo evitar sustos a partir de 2 de agosto de 2026
El radio de exposición: a quién le aplica realmente esta ley
Da la sensación de que existe un mito circulando por los consejos de administración de muchas empresas, sobre todo pymes: “El Reglamento europeo de IA (AI Act) es un problema para los gigantes tecnológicos, no para nosotros”. Y me temo que es un error de cálculo que puede costar caro.
Y es que la normativa europea regula a los proveedores –las empresas que programan y entrenan los modelos, como OpenAI o Anthropic– y también, con obligaciones específicas, a los responsables del despliegue (los deployers, en la jerga del reglamento). En la práctica, esto significa que si tu pyme de logística contrata un software de optimización de rutas basado en IA, si tu departamento de marketing usa herramientas generativas para campañas, o si recursos humanos pone en marcha una plataforma inteligente para filtrar currículums, tu empresa está legalmente sujeta al Reglamento (UE) 2024/1689.
No importa que no hayas escrito una sola línea de código. Al introducir el algoritmo en tus procesos de negocio o en la toma de decisiones que afectan a terceros, asumes una cuota de responsabilidad y cumplimiento normativo.
La pirámide de riesgos: cómo cumplir sin asfixiar tu operativa
La buena noticia es que Europa ha optado por un enfoque basado en riesgos: clasificar la IA en cuatro niveles –inaceptable, alto, limitado y mínimo– en función del daño potencial que pueda causar. Entender en qué escalón se sitúa el uso que haces de la IA en tu pyme marca la diferencia entre operar con normalidad y enfrentarte a auditorías complejas.
Riesgo mínimo es la vía libre operativa. Si tu equipo comercial utiliza un modelo de lenguaje para resumir un informe de tendencias de mercado de 50 páginas, redactar un correo electrónico a un cliente o analizar métricas de ventas que son públicas o internas y no afectan a los derechos fundamentales de nadie, la regulación apenas te impone obligaciones más allá de la transparencia básica –informar de que se está usando IA cuando interactúa directamente con una persona, como un chatbot de atención al cliente–. Aquí la IA actúa simplemente como un potenciador del trabajo.
Riesgo alto es la zona de máximo cumplimiento. El escenario cambia si utilizas la IA para tomar decisiones sobre personas. Si tu pyme implementa un sistema para analizar el tono de voz de los candidatos en una entrevista, filtrar automáticamente los currículums para descartar perfiles, o evaluar el rendimiento de la plantilla para decidir ascensos, te encuentras en la categoría de alto riesgo que el Anexo III del reglamento recoge en su punto 4.
Cuando operas en alto riesgo, tu empresa tendrá que asegurarse de que la herramienta lleva el marcado CE que el proveedor está obligado a aplicar, garantizar una gobernanza de datos estricta para evitar sesgos discriminatorios y, sobre todo, mantener la supervisión humana. La IA puede proponer, pero la decisión final sobre los derechos de un trabajador queda en manos humanas.
Justificar las decisiones: el fin de la excusa de la “caja negra”
Uno de los cambios profundos del AI Act para las organizaciones es la obligación exigente de transparencia, especialmente en áreas críticas como la gestión de personas. Imagina que tu departamento de recursos humanos utiliza una herramienta de IA para evaluar el desempeño de la plantilla y, basándose en esas métricas, decide no renovar un contrato o denegar un ascenso. Si el empleado exige una explicación, la respuesta de “lo ha decidido el algoritmo” o “es lo que marca el software” carece de validez legal.
La normativa exige someter a estos sistemas a la prueba del algoritmo. Como responsable del despliegue, la organización debe ser capaz de explicar con claridad qué parámetros y qué lógicas utilizó la máquina para proponer esa conclusión. El deber se limita únicamente a la trazabilidad de la decisión.
España tiene, además, una capa propia. El artículo 64.4.d) del Estatuto de los Trabajadores, introducido por la Ley Rider (Ley 12/2021), obliga a la empresa a informar a la representación legal de la plantilla sobre los parámetros, reglas e instrucciones en los que se basan los algoritmos que inciden en las condiciones de trabajo. La Guía del Ministerio de Trabajo sobre información algorítmica precisa que esa información debe ser significativa, es decir, tiene que explicar la lógica del sistema, los datos que utiliza, las variables más relevantes y el impacto sobre las condiciones laborales. Y añade una exigencia particularmente relevante: la intervención humana solo cuenta como tal si la realiza una persona con competencia y autoridad efectiva sobre la decisión, valorando toda la información disponible. La firma que se limita a replicar lo que dice el algoritmo equivale a un proceso íntegramente automatizado con disfraz de supervisión humana.
En caso de inspección o de conflicto laboral, la Inspección de Trabajo puede requerir esa documentación algorítmica y levantar acta de infracción si la empresa no puede acreditarla. Si el trabajador impugna la decisión ante el Juzgado de lo Social, la falta de trazabilidad opera como indicio contrario a la empresa. La caja negra que no se puede abrir se convierte en prueba en contra.
El supervisor nacional y otra amenaza: el “apagón operativo”
España fue pionera en Europa al poner en marcha la AESIA, Agencia Española de Supervisión de Inteligencia Artificial, creada por Real Decreto 729/2023 con sede en A Coruña. Su cuerpo de inspección inició la supervisión de prácticas prohibidas en febrero de 2025 y asumió plena potestad sancionadora en agosto de ese mismo año. La lupa alcanza tanto a las grandes tecnológicas como al tejido empresarial español.
Antes de entrar en los peligros, conviene fijar el calendario. Las prohibiciones del artículo 5 del reglamento aplican desde el 2 de febrero de 2025 y las obligaciones para modelos de propósito general y de gobernanza desde el 2 de agosto de 2025. El bloque que afecta directamente a los usos empresariales cotidianos que discutimos aquí –empleo, RRHH, servicios esenciales, infraestructuras críticas– es el de los sistemas de alto riesgo del Anexo III, cuya aplicación plena entra en vigor el 2 de agosto de 2026. Existe una propuesta de simplificación de la Comisión Europea, el llamado Digital Omnibus on AI, con acuerdo político provisional de mayo de 2026 para retrasar la aplicación al 2 de diciembre de 2027. La adopción formal está pendiente, y planificar como si el plazo fuera agosto es una opción razonable.
En cuanto a las multas, los titulares suelen apuntar a los 35 millones de euros o el 7% de la facturación global. Ese techo aplica a las prácticas prohibidas del artículo 5. Para el uso de sistemas de alto riesgo sin los controles debidos –que es el escenario más frecuente para la empresa tradicional– el techo es de 15 millones de euros o el 3% de la facturación global. De cualquier manera, sigue siendo un número intimidatorio. Para una pyme, sin embargo, la “guillotina corporativa” más inmediata es otra: el bloqueo operativo.
Si AESIA detecta que tu empresa está utilizando un sistema de alto riesgo sin los controles de conformidad, sin la gobernanza de datos pertinente o delegando decisiones críticas sin supervisión humana, dispone de la potestad para ordenar medidas provisionales de paralización del sistema. Si tu departamento de selección de personal, la logística de tus almacenes o la atención al cliente dependen ahora de esa herramienta, una orden de cese significa cesar la operativa de tu negocio de un día para otro. El coste de tener los procesos paralizados supera con creces el esfuerzo inicial de hacer las cosas bien desde el diseño.
Hoja de ruta: tu plan de acción en cinco pasos (y su reflejo documental)
El cumplimiento normativo funciona en la práctica como una auditoría de calidad que blinda el negocio. Para las empresas que se sienten perdidas, el despliegue de la IA responsable se organiza en cinco pasos, asegurando siempre que cada acción genere la documentación necesaria ante una posible inspección. Por supuesto, es una visión general y se recomienda consultar cada caso con un especialista.
Paso 1: inventario algorítmico. Identifica qué herramientas de IA utiliza cada departamento y quién es el proveedor de cada una. Clasifícalas según el riesgo que imponen a la operativa del negocio. El documento clave es el registro de sistemas: un archivo vivo que liste todas las herramientas de IA en uso, qué departamento las emplea, para qué fin exacto y su clasificación de riesgo bajo el reglamento.
Paso 2: alfabetización en IA. Esta obligación, el artículo 4 del AI Act, aplica desde el 2 de febrero de 2025 a toda empresa que use sistemas de IA, sin umbral mínimo de facturación ni límite por nivel de riesgo. El comercio que usa ChatGPT para redactar campañas y la multinacional que usa scoring de personas están sujetos al mismo deber. El documento clave es un plan de formación básico que acredite que los empleados que operan las herramientas comprenden sus limitaciones, sus riesgos y sus casos de uso correctos. Sin registro de esa formación, la obligación queda incumplida.
Paso 3: evaluación de conformidad simplificada. Para las herramientas de alto riesgo, apóyate en tus proveedores. Exige la documentación técnica y las garantías de que sus sistemas cumplen los requisitos de gobernanza de datos y transparencia del reglamento. El documento clave es la Declaración UE de Conformidad, que el proveedor está obligado a entregarte junto con la referencia al marcado CE. Ese sello es el escudo que te protege.
Paso 4: protocolo de supervisión humana. Diseña un flujo de trabajo donde la IA entregue su resultado a una persona responsable con competencia y autoridad efectiva sobre la decisión. Establece por escrito que esa persona tiene la última palabra y la potestad de rechazar la sugerencia algorítmica cuando no sea coherente. Los documentos clave son dos:
El protocolo de supervisión humana, con logs o registros internos que demuestren que las sugerencias del algoritmo fueron revisadas por una persona antes de ejecutarse, con constancia de quién tomó la decisión final y bajo qué criterios objetivos. Este es el documento decisivo en un pleito laboral por decisión algorítmica.
Y unas instrucciones de uso y límites operativos, un manual interno breve que acredite que los empleados han sido formados sobre cómo usar esa IA en concreto y qué usos les están vetados.
Paso 5: cultura de transparencia. Informa a tus clientes y trabajadores cuando estén interactuando con un sistema de IA. La transparencia es una obligación legal y también un activo de confianza determinante en el mercado actual.
Una nota sobre el marco español. El proyecto de Ley Orgánica para el Buen Uso y la Gobernanza de la IA, que articulará el régimen sancionador nacional y el reparto de competencias entre AESIA, AEPD, CGPJ, Banco de España y CNMV, se aprobó en Consejo de Ministros el 26 de mayo de 2026 y está en tramitación parlamentaria. Todavía no es ley en vigor. El Reglamento europeo, sin embargo, es directamente aplicable sin necesidad de esa transposición. Prepararte ahora no depende de que las Cortes aprueben la ley española.
Y un apunte para cerrar. Detrás de estos cinco pasos hay una idea de fondo: la firma que autoriza el uso del sistema de IA es la que responde por sus consecuencias. Esa responsabilidad recae en quien decide, y los procesos maduros son la forma en que esa frontera se hace visible ante un inspector, un juez o un cliente. Prepararlos con el asesoramiento adecuado ahora es la única defensa que aguanta.