Lo que ha cambiado — y lo que muchos aún no saben.
El Reglamento (UE) 2024/1689 sobre Inteligencia Artificial — conocido como AI Act — es la primera legislación integral sobre IA en el mundo. Europa se ha adelantado a Estados Unidos, a China y a cualquier otra jurisdicción. Y eso tiene consecuencias directas para cualquier empresa que opere en territorio europeo o que ofrezca servicios a ciudadanos europeos.
La norma no regula la IA como concepto abstracto. Regula sistemas concretos: herramientas de software que toman decisiones, generan contenido, clasifican personas o predicen comportamientos. Si tu empresa usa un chatbot para atender clientes, un sistema de scoring para evaluar riesgos, una herramienta de IA para filtrar currículos o un generador de textos para marketing — estás dentro del ámbito de aplicación.
Y aquí viene la sorpresa para muchos: no importa si has desarrollado tú la herramienta o si simplemente la usas. El Reglamento establece obligaciones tanto para proveedores como para implementadores de sistemas de IA.
Los cuatro niveles de riesgo: dónde está tu empresa.
El AI Act clasifica los sistemas de IA en cuatro categorías según su nivel de riesgo. Entender en cuál cae cada herramienta que usas es el primer paso para cumplir la normativa.
Riesgo inaceptable (prohibido). Son sistemas que la UE considera incompatibles con los derechos fundamentales. Quedan prohibidos: la manipulación subliminal del comportamiento, la explotación de vulnerabilidades de grupos específicos (ancianos, menores), el scoring social por parte de autoridades públicas y la identificación biométrica remota en tiempo real en espacios públicos (con excepciones muy limitadas para seguridad). Si tu empresa no opera en vigilancia masiva ni en manipulación conductual, probablemente no te afecta esta categoría. Pero conviene saberlo.
Riesgo alto. Esta es la categoría que más empresas va a afectar. Incluye sistemas de IA utilizados en: selección de personal y gestión de recursos humanos, evaluación crediticia y scoring financiero, acceso a servicios esenciales (seguros, prestaciones), educación y formación profesional, gestión de infraestructuras críticas, administración de justicia y procesos democráticos. Las obligaciones aquí son exhaustivas: evaluación de conformidad, documentación técnica detallada, supervisión humana obligatoria, sistemas de gestión de riesgos, registros de actividad y transparencia hacia los usuarios.
Riesgo limitado. Aquí entran los chatbots, los generadores de contenido, los deepfakes y cualquier sistema que interactúe directamente con personas. La obligación principal es de transparencia: el usuario debe saber que está interactuando con una IA o que el contenido ha sido generado por una IA. Si tu empresa usa un chatbot de atención al cliente, debe informar claramente de que es una máquina. Si generas imágenes o textos con IA para fines comerciales, debes etiquetarlos como contenido generado artificialmente.
Riesgo mínimo. La mayoría de aplicaciones de IA de uso cotidiano caen aquí: filtros de spam, sistemas de recomendación, herramientas de productividad. No tienen obligaciones específicas bajo el Reglamento, aunque las buenas prácticas y los códigos de conducta voluntarios siempre son recomendables.
Lo que significa esto en tu día a día.
Vamos a ser concretos. ¿Usas ChatGPT o Claude en tu empresa para redactar emails, crear propuestas o resumir documentos? Eso cae en riesgo limitado — deberías informar a tus clientes si el contenido que les envías ha sido generado con IA, especialmente en contextos contractuales o regulados.
¿Usas una herramienta de IA para filtrar candidatos en procesos de selección? Riesgo alto. Necesitas documentación técnica, evaluación de sesgos, supervisión humana en las decisiones finales y un sistema de reclamación para los candidatos descartados.
¿Tienes un sistema automatizado que evalúa la solvencia de clientes para concederles crédito o seguros? Riesgo alto. Las mismas obligaciones, más la trazabilidad completa de las decisiones del sistema.
¿Usas IA para generar imágenes publicitarias? Riesgo limitado. Debes etiquetar las imágenes como generadas por IA.
La mayoría de PYMEs que conozco usan herramientas de IA sin haberse planteado nunca en qué categoría de riesgo caen. No es negligencia — es desconocimiento. Y el desconocimiento de la ley, como dicen los juristas, no exime de su cumplimiento.
Los plazos: el reloj ya está en marcha.
El Reglamento entró en vigor el 1 de agosto de 2024, pero su aplicación es escalonada. Las prohibiciones de prácticas de riesgo inaceptable ya son aplicables desde febrero de 2025. Las obligaciones para sistemas de riesgo alto se aplicarán plenamente a partir de agosto de 2026. Las normas de transparencia para riesgo limitado tienen un plazo similar.
Esto significa que las empresas tienen un periodo de transición — pero ese periodo no es para esperar. Es para prepararse. Evaluar qué sistemas de IA se utilizan, clasificarlos por riesgo, identificar las obligaciones aplicables y empezar a documentar los procesos. Las que esperen al último momento se encontrarán con un problema de cumplimiento que podría haberse evitado con planificación.
Las sanciones: no son simbólicas.
El régimen sancionador del AI Act está diseñado para disuadir. Las multas pueden alcanzar: hasta 35 millones de euros o el 7% de la facturación global anual (lo que sea mayor) por prácticas prohibidas; hasta 15 millones o el 3% por incumplimiento de obligaciones de riesgo alto; hasta 7,5 millones o el 1,5% por proporcionar información incorrecta a las autoridades.
Para una PYME, incluso el tramo más bajo supone cantidades que pueden comprometer la viabilidad del negocio. Y más allá de las multas económicas, está el daño reputacional: ser la empresa que incumplió la normativa de IA no es el tipo de publicidad que nadie quiere.
La oportunidad detrás de la obligación.
Entiendo que todo esto pueda sonar abrumador. Pero quiero ser honesto: el Reglamento Europeo de IA no es solo un coste de cumplimiento. Es una oportunidad competitiva.
Las empresas que se adapten primero podrán certificar el uso responsable de la IA como un valor diferencial ante sus clientes. En un mundo donde la confianza digital es cada vez más escasa, demostrar que usas la IA de forma transparente, documentada y supervisada es un activo comercial real.
He visto a empresas que pasaron de ver la protección de datos como un fastidio a convertirla en argumento de venta. Con la regulación de la IA va a pasar exactamente lo mismo. La pregunta no es si te va a afectar — ya te afecta. La pregunta es si vas a esperar a que te pillen o vas a convertirlo en ventaja.
Mi formación como licenciado en Derecho y mi especialización en IA generativa me permiten ver ambos lados de esta ecuación. Y lo que veo es claro: las empresas que integren la regulación en su estrategia de IA desde el principio serán las que sobrevivan y lideren. Las demás irán siempre un paso por detrás.