Estás en la sala de juntas. Los resultados trimestrales parecen buenos. Pero entonces habla el departamento jurídico:

"Tenemos que hablar de las herramientas de IA en las operaciones. La nueva normativa de la UE entrará en vigor el año que viene y, ahora mismo, ni siquiera sabemos qué estamos usando."

¿Te suena?

La Ley de Inteligencia Artificial de la UE no es un problema del futuro. Es el próximo GDPR, solo que esta vez no se trata de privacidad, sino de control.

Control sobre qué sistemas de IA construyes, compras o integras. Control sobre quién es responsable cuando algo va mal. Y control sobre cómo documentar, supervisar y demostrar que se cumplen las normas.

Al igual que el GDPR obligó a las empresas a replantearse los datos, esta ley le obligará a replantearse cómo se toman las decisiones sobre IA: en los departamentos de TI, jurídico, operativo, de productos y en la junta directiva.

Pero he aquí la buena noticia: si actúa a tiempo, no sólo evitará las multas. Ganará en claridad operativa, alineación de riesgos e incluso confianza del mercado.

A qué se aplica realmente la ley

Una empresa alemana de tecnología médica lanza una función de IA para diagnósticos. Es sólo una parte del producto, hasta que se marca como alto riesgo en virtud de la Ley de AI de la UE.

Ahora se espera que el fundador muestre controles de riesgo, registro, supervisión y documentación de cumplimiento... rápido.

Esa es la realidad. La Ley de IA no trata de software. Se trata de responsabilidad.qué hace su sistema y qué papel desempeña al utilizarlo o distribuirlo.

⚖️ Cuatro niveles de riesgo

Inaceptable
Totalmente prohibido. Abarca la puntuación social, el reconocimiento facial en público, la detección de emociones en el trabajo y mucho más.

Alto riesgo
Permitidos con controles estrictos. Piense en diagnósticos médicos, herramientas de contratación, puntuación financiera.

Riesgo de transparencia
Puedes utilizarla, pero hay que informar a los usuarios de que están interactuando con IA. Se aplica a chatbots, medios sintéticos, etc.

Riesgo mínimo
Sin obligaciones. Se aplica a sistemas de bajo impacto, como filtros de spam o correctores gramaticales con IA.

🧩 Cuatro funciones, cuatro deberes

Proveedor
Usted construye o vende el sistema. Eres responsable del cumplimiento, la documentación, los controles de riesgo y la supervisión posterior a la comercialización.

Ejemplo: Una empresa francesa que ofrece una herramienta de contratación basada en IA en toda Europa.

Desplegador
Usted utiliza el sistema en sus propias operaciones. Debe garantizar la supervisión, la transparencia y los controles internos.

Ejemplo: Un minorista que utiliza un chatbot de IA para automatizar la atención al cliente.

Importador
Usted introduce IA no comunitaria en la UE. Debe comprobar la conformidad del proveedor antes de su entrada en el mercado.

Ejemplo: Una empresa holandesa importa un modelo analítico estadounidense para hospitales locales.

Distribuidor
Usted ofrece herramientas de IA a los demás. Si descubre un problema de cumplimiento, debe actuar.

Ejemplo: Un proveedor de TI que vende soluciones de IA de terceros a sus clientes.

¿Tu primer movimiento?
Identifique todas las herramientas de IA que utiliza su empresa. Etiqueta el papel que desempeñas en cada una de ellas e identifica el nivel de riesgo.
Así es como empieza el cumplimiento.

Su cronología en términos sencillos

Piense en el calendario de la Ley de IA de la UE como en un calendario de proyecto, no sólo como en una cuenta atrás legal. Cuanto antes se mueva, más fácil será controlar el resultado. Si se retrasa demasiado, reaccionará bajo presión.

Esto es lo que importa y cuándo:

📅 Agosto de 2024

La ley está en vigor. Ya está en vigor, aunque algunas disposiciones aún no hayan entrado en vigor.

📅 Febrero de 2025

Las disposiciones generales iniciales empiezan a aplicarse. Este es el momento oportuno para evaluar hasta qué punto está usted expuesto al IPCA, sobre todo si confía en modelos externos de gran tamaño.

📅 Agosto de 2025

Las normas específicas del GPAI entran en vigor. Ello implica obligaciones de transparencia, salvaguardias de los derechos de autor e intercambio obligatorio de información con los usuarios intermedios.
Si utilizas herramientas como OpenAI, Claude o LLM de código abierto, esto es aplicable a ti.

📅 Agosto de 2026

La mayoría de los requisitos básicos pasan a ser de obligado cumplimiento, especialmente en el caso de los sistemas de alto riesgo. Necesitarás un sistema de gobernanza: clasificación de riesgos, documentación, supervisión humana, registro y seguimiento posterior a la comercialización.

📅 Agosto de 2027

Se espera la implantación completa, incluidas las nuevas normas para el GPAI de riesgo sistémico y cualquier norma atrasada. Llegados a este punto, los reguladores esperan que el modelo de gobernanza de la IA esté maduro: la preparación no será opcional.

Por dónde empezar

No hace falta que lo hagas todo a la vez, pero sí que empieces. Concéntrate:

• Creación de un inventario de IA
• Identificación de sistemas de alto riesgo
• Asignación de funciones y propiedad del control

Cada trimestre que actúe pronto le hará ganar tiempo, control y credibilidad. Si espera demasiado, tendrá que ponerse al día cuando empiece a aplicarse la normativa.

Lo prohibido frente a lo difícil

Una startup española instala el reconocimiento facial en zonas públicas, sin darse cuenta de que ahora está prohibido en virtud de Artículo 5 de la Ley de IA de la UE. Cuando los reguladores intervienen, ya es demasiado tarde.

Las multas llegan rápido, al igual que los daños a la reputación.

Mientras tanto, una empresa de logística clasifica su IA de optimización de rutas como de alto riesgo. Es compleja, sí, pero con supervisión documentada, datos limpios y registro interno, pasa la preevaluación sin mayores problemas.

Esta es la línea que marca la Ley.

❌ Algunos casos de uso de la IA están prohibidos, sin excepciones.

• Sistemas de puntuación social de los gobiernos
• Reconocimiento facial extraído de Internet
• Detección de emociones en escuelas o lugares de trabajo
• Identificación biométrica en tiempo real en público, salvo en condiciones muy restringidas
• Vigilancia predictiva basada en la elaboración de perfiles

Estos sistemas no son arriesgados. Son ilegales. Y la aplicación de la ley empieza pronto.

Por el contrario, los sistemas de alto riesgo están permitidos, pero regulados. Herramientas como el software de selección de CV, las plataformas de pruebas educativas, los diagnósticos médicos y la IA de calificación crediticia entran en esta categoría.

Estos sistemas deben cumplir requisitos estrictos, entre ellos

• Gestión de riesgos documentada
• Supervisión humana
• Datos de formación de alta calidad
• Registro y trazabilidad
• Documentación técnica clara
• Seguimiento continuo tras la comercialización

Una categoría requiere una parada completa. La otra requiere madurez operativa.

No se necesita perfección para cumplir las normas de alto riesgo, sino implicación, estructura y proceso. Si se empieza pronto y se avanza con paso firme, el cumplimiento será más llevadero.

GPAI sin bombo ni platillo: Lo que debe hacer ahora

La IA de propósito general no es sólo un problema de Big Tech. Si tus equipos utilizan herramientas como ChatGPT, Claude o Gemini, estás en el punto de mira y ahora en el anzuelo.

En virtud de la Ley de AI de la UE, Proveedores del GPAI deben publicar resúmenes de los datos de formación, mantener la documentación técnica, respetar las normas sobre derechos de autor y transmitir los detalles clave a los niveles inferiores.

Si sus modelos plantean un "riesgo sistémico", se aplican salvaguardias adicionales.

Pero si eres utilizando estas herramientas en tu empresa, no estás libre de culpa. Se espera que lo hagas:

• Confirmar la conformidad del proveedor
• Solicitar documentación: fichas modelo, resúmenes de datos, uso previsto
• Registro de casos de uso interno
• Aplicar la supervisión humana cuando sea necesario

En Código de buenas prácticas de GPAI (julio de 2025) le ofrece una clara ventaja. Utilícelo para orientar sus peticiones a los proveedores y crear su cartera interna, incluso si no es una empresa de alto riesgo.

Empiece por lo más sencillo: haga una lista de las herramientas, los proveedores y los documentos recibidos. Esa es su línea de base.

Cuando la rapidez es importante, las empresas jefe interino de cumplimiento de la IA para construir estos cimientos y conseguir que todo el mundo se alinee rápidamente.

Cree su inventario de IA y clasifique los riesgos

Imagínate esto: estás en una sala de juntas y alguien te pregunta,
"¿Cuántos sistemas de inteligencia artificial tenemos y cuál es su nivel de riesgo? Si tu respuesta empieza con una pausa, no eres el único. Pero tampoco estás preparado.

He aquí cómo tomar el control de forma rápida y clara.

Empiece por crear una tabla sencilla con cinco columnas:
Sistema | Propietario | Nivel de riesgo | Función | Documentación

I. Empiece por lo que es obvio: chatbots, motores de fijación de precios, filtros de CV, modelos de puntuación.

II. Para cada uno, etiquete el nivel de riesgoProhibido, alto riesgo, sólo transparencia o mínimo.

III. Identifique su papel: ¿Lo construyó (proveedor)? ¿Lo ha utilizado (implantador)? ¿Lo ha obtenido externamente (importador/distribuidor)?

IV. Recopile lo que ya tiene: contratos, tarjetas modelo, documentos de proveedores, evaluaciones internas.

En pocas sesiones de trabajo, la niebla empieza a despejarse.

Antes de: Sin inventario, conjeturas vagas, equipos desconectados.
En: 15 herramientas cartografiadas, 3 sistemas de alto riesgo señalados, propietarios claros nombrados, lagunas de documentación visibles.

Así es como empieza la preparación: no con teoría, sino con una visión compartida de lo que es real y lo que hay que trabajar.

Claridad de funciones y controles mínimos que funcionan

Utilizar la IA en tu empresa sin funciones definidas es como gestionar una fábrica sin jefes de turno. Puede que funcione en los días buenos, pero se rompe cuando las cosas van mal.

Trátalo como tu grupo de trabajo de IA. Cada equipo tiene un papel claro que desempeñar, y aunque la configuración no tiene por qué ser pesada, sí tiene que ser intencionada.

En Junta define la propensión al riesgo y comprueba trimestralmente los avances. Su trabajo consiste en preguntar: "¿Es este nuestro momento GDPR - y estamos dotando de recursos en serio?"

En CIO o Director de Datos posee el inventario de IA, la supervisión de proveedores y los flujos de trabajo de cumplimiento. Saben qué modelos están en uso y quién es responsable de cada uno.

Productos y operaciones mantener las salvaguardias humanas, garantizando que los procesos alternativos y las pruebas en el mundo real formen parte del flujo de trabajo. Su pregunta: "¿Qué pasa cuando la IA se desvía a las 2 de la mañana?".

Equipos de ciencia de datos y ML gestionan la documentación técnica, la detección de desviaciones del modelo y el control de versiones. Se mantienen alerta ante una preocupación clave: "¿Seguimos con el modelo que aprobamos el mes pasado?".

Legal y cumplimiento impulsar la política, las evaluaciones y la preparación para las auditorías. Su papel es sencillo pero fundamental: "¿Podemos mostrar la documentación antes de que nos la pidan?".

¿Cuál es la pila de controles más pequeña que realmente funciona?

• Un inventario de IA compartido
• Supervisión humana definida para los sistemas de alto riesgo
• Registro activo
• Un expediente técnico en movimiento
• Una lista de comprobación estándar para proveedores

Que sea ligero. Mantenlo vivo. Eso es lo que sobrevive a una auditoría.

Cuándo recurrir a la dirección temporal

Cuando los plazos se aceleran o el alcance se dispara más allá de la capacidad del equipo, las empresas contratan a un experto. jefe temporal de cumplimiento de IA - alguien que elabore el inventario, alinee a los proveedores e impulse la documentación sin desviar a los equipos de producto.

CE Interino se especializa en colocar a estos operadores con mandatos de 30 a 90 días, centrados, integrados y listos para ejecutar.

Las multas no son lo importante: evítalas a propósito

Sí, las multas son elevadas: hasta 35 millones de euros o 7% de la facturación mundial para las peores infracciones. Pero no es eso lo que debe quitarle el sueño.

¿Cuál es el verdadero riesgo? Retrasos en los acuerdos por lagunas en el cumplimiento. Productos bloqueados en su lanzamiento. Llamadas de inversores desbaratadas por cuestiones de gobernanza.

Arreglar esos problemas más tarde cuesta más: en dinero, en tiempo y en reputación.

El camino más barato es diseñar el cumplimiento desde el principiono atornillarlo a posteriori.

Plan de preparación de 30 días

Ya has llegado hasta aquí. Ahora te explicamos cómo moverte de forma rápida e inteligente.

Semana 1: Mapa del paisaje

Construye tu inventario de IA. Asigne propietarios. Marque todo lo que toque datos confidenciales, clientes o áreas de cumplimiento.

Punto de control: 80% de herramientas mapeadas, banderas rojas emergieron.

Semana 2: Involucre a sus proveedores

Solicite documentación: tarjetas modelo, resúmenes de formación, declaraciones de conformidad. Utilice el Código de buenas prácticas de GPAI como guía.

Punto de control: Documentos recopilados, flujos de trabajo redactados.

Semana 3: Prueba de presión

Realice una simulación de un caso de uso de alto riesgo. Pruebe los procedimientos humanos en bucle y revise cómo se activan las fallbacks y los logs.

Punto de control: Lagunas identificadas, correcciones previstas.

Semana 4: Alinear el liderazgo

Informar a la junta de los riesgos, las carencias y las peticiones presupuestarias. Presentar una hoja de ruta clara de 90 días vinculada a los objetivos de producto y cumplimiento.

Punto de control: Plan aprobado, impulso asegurado.

Cuando los equipos no dan abasto, un jefe de programa interino puede ejecutar todo este sprint, entregar limpiamente, y salir - dejando la estructura detrás.

Conclusión - Del riesgo a la preparación

No se trata de una normativa más. Es un botón de reinicio para la forma en que las empresas gestionan la IA en los ámbitos de la tecnología, los productos, el cumplimiento y el liderazgo.

La Ley de AI no pide perfección. Pide propiedad. Visibilidad. Preparación.

Empiece por trazar un mapa de lo que ya utiliza. Defina quién es el responsable. Muestre cómo se controla el riesgo.

Empieza poco a poco. Sea realista. A partir de ahí, coge impulso.
Empiece esta semana y vaya por delante.