El Reglamento de IA y la legislación sobre inteligencia artificial

1. Introducción: del salvaje oeste de la IA a la era de las reglas

La IA ha avanzado más deprisa de lo que muchas organizaciones han sido capaces de fijar reglas para su uso. Primero llegó el entusiasmo. Chatbots, generadores de imágenes, resúmenes automáticos, herramientas de selección de personal, bots de atención al cliente y asistentes para la toma de decisiones aparecieron en los escritorios a toda velocidad.

Después llegó la siguiente pregunta: ¿quién responde si la IA se equivoca?

Si un sistema de IA discrimina en un proceso de selección, toma una decisión de crédito equivocada, identifica erróneamente a una persona en una imagen de cámara o genera contenido engañoso, ya no se trata solo de tecnología. Se trata de personas, derechos, dinero, seguridad y confianza.

Para responder a esa necesidad nació el Reglamento de Inteligencia Artificial de la Unión Europea, es decir, el AI Act. Es el primer marco legislativo amplio y horizontal sobre inteligencia artificial del mundo. Su objetivo es sencillo pero ambicioso: la IA se puede desarrollar y usar, pero de forma segura, transparente y respetando los derechos fundamentales de las personas.

La página de la Comisión Europea sobre la Ley de IA kertoo, että AI Act tuli voimaan 1.8.2024 ja sitä sovelletaan vaiheittain: kiellettyjä käytäntöjä koskevat säännöt ja AI-lukutaito alkoivat 2.2.2025, yleiskäyttöisiä tekoälymalleja koskevat velvoitteet 2.8.2025 ja läpinäkyvyysvelvoitteet sekä viranomaisvalvonta 2.8.2026. Korkean riskin järjestelmiä koskevat velvoitteet siirtyivät myöhemmäksi asetuksella (EU) 2026/1744: liitteen III käyttötapaukset 2.12.2027 ja liitteen I tuotteet 2.8.2028.^[1]^[12]

Así que el Reglamento de IA ya no es un asunto de futuro lejano. Ya está en marcha.

2. ¿Qué es el Reglamento de IA?

El Reglamento de IA (AI Act) es el reglamento de la Unión Europea que regula el desarrollo, la introducción en el mercado y el uso de los sistemas de IA en el territorio de la UE.

El Reglamento no afecta solo a un sector. Abarca el uso de la inteligencia artificial en ámbitos muy diversos: el mundo laboral, la educación, las finanzas, los servicios públicos, la sanidad, la seguridad, las infraestructuras y los servicios al consumidor.

Es importante entender que el AI Act no prohíbe la inteligencia artificial. Tampoco dice que toda la IA sea peligrosa. Su lógica se basa en el riesgo:

riesgo bajo → pocas obligaciones específicas o ninguna
riesgo de transparencia → hay que informar al usuario del uso de IA
alto riesgo → requisitos estrictos
riesgo inadmisible → el uso está prohibido

Esto es lo que hace interesante al AI Act. No intenta regular la IA como un bloque único, sino que pregunta: ¿para qué se usa la IA y qué consecuencias puede tener ese uso?

La misma tecnología puede ser inofensiva en una situación y muy arriesgada en otra. Una IA que propone titulares de blog no es lo mismo que una IA que evalúa la idoneidad de una persona candidata o su solvencia.

3. ¿Por qué la UE quiso su propio reglamento de IA?

La regulación de la IA persigue dos grandes objetivos que pueden parecer contradictorios, aunque no tienen por qué serlo.

El primero es la innovación. Europa quiere que la IA se desarrolle y se utilice. Las empresas necesitan herramientas nuevas, el sector público mejores servicios y la ciudadanía aplicaciones útiles.

El segundo es la confianza. Si la gente no confía en la IA, no querrá usarla. Y si las empresas no conocen las reglas, pueden asumir riesgos excesivos o renunciar a soluciones útiles.

La página de la Comisión Europea sobre política de inteligencia artificial resume el enfoque de la UE en dos palabras: excellence and trust — excelencia y confianza. La UE quiere reforzar la competitividad y la autonomía tecnológica y, al mismo tiempo, asegurar que la inteligencia artificial sea fiable y esté centrada en las personas.^↗^[2]

Este es el núcleo político del AI Act. Europa intenta construir un mercado en el que se pueda confiar en la inteligencia artificial. No es solo un objetivo jurídico. Es también un objetivo de negocio. La confianza puede ser una ventaja competitiva.

4. El enfoque basado en el riesgo: el núcleo del Reglamento de IA

La idea central del Reglamento de IA es el enfoque basado en el riesgo. No todos los sistemas de IA reciben el mismo trato. Las obligaciones dependen del riesgo que el sistema puede suponer para las personas, la sociedad o los derechos fundamentales.

De forma simplificada, el Reglamento de IA divide el uso de la inteligencia artificial en cuatro categorías:

4.1 Riesgo inadmisible

Ciertas prácticas de IA están totalmente prohibidas porque se consideran incompatibles con los valores y los derechos fundamentales de la UE.

4.2 Alto riesgo

La IA se puede usar, pero solo cumpliendo requisitos estrictos. Esto afecta, por ejemplo, a muchos sistemas que se utilizan en situaciones que influyen en las oportunidades, los derechos o la seguridad de las personas.

4.3 Riesgo de transparencia o riesgo limitado

En determinadas situaciones hay que informar a la persona de que está interactuando con una IA o de que el contenido lo ha generado una IA.

4.4 Riesgo mínimo

La mayor parte del uso cotidiano de la IA queda bajo una regulación más ligera. Redactar borradores, generar ideas o usarla internamente para ganar productividad no son automáticamente actividades de alto riesgo.

Este modelo de riesgo es práctico, pero exige a las organizaciones una forma nueva de pensar. Ya no basta con preguntar: “¿usamos IA?”

Hay que preguntarse: “¿Para qué usamos la IA, a quién afecta y qué daño podría causar un error?”

5. Prácticas de IA prohibidas: ¿qué no se puede hacer?

La parte más estricta del Reglamento de IA son las prácticas de IA prohibidas: usos que la UE considera tan arriesgados que no se permiten.

El artículo 5 del Reglamento de IA recoge las prácticas de IA prohibidas y se aplica desde el 2 de febrero de 2025.^↗^[3]

Entre las prácticas prohibidas está, por ejemplo, el uso de la inteligencia artificial para manipular o explotar a las personas de un modo que pueda causar un daño significativo. Además, la normativa se dirige, entre otras cosas, a determinadas formas de puntuación social y a otros usos especialmente problemáticos desde el punto de vista de los derechos fundamentales.

En la práctica, esto significa que la organización debe ser capaz de detectar si una solución de IA entra en un terreno donde el comportamiento de las personas se dirige, se evalúa o se limita de una manera que puede resultar injusta, discriminatoria u opaca. No afecta solo a las grandes tecnológicas — también una empresa pequeña puede entrar en zona de riesgo si usa la IA, por ejemplo, para evaluar el comportamiento de empleados, clientes o usuarios de un modo que tiene consecuencias reales.

En este punto el AI Act obliga a hacerse una pregunta incómoda pero importante: ¿la IA ayuda a la persona, o empieza a dirigirla de una forma que esa persona no entiende ni puede resistir?

6. Sistemas de IA de alto riesgo: ¿dónde se endurecen las obligaciones?

Los sistemas de IA de alto riesgo son, en la práctica, quizá la parte más importante del Reglamento de IA. No están prohibidos, pero se les imponen requisitos estrictos. Puede tratarse de un sistema de alto riesgo, por ejemplo, cuando la IA se usa:

en la selección de personal
en la evaluación de los empleados
en el acceso a la educación o en la evaluación del alumnado
en la evaluación de la solvencia
en infraestructuras críticas
en la aplicación de la ley
en situaciones de migración y control de fronteras
en la administración de justicia
en la identificación o la categorización biométrica
en determinados casos de uso sanitarios o de seguridad

Las preguntas frecuentes del servicio de asistencia sobre la Ley de IA de la Comisión Europea huomauttaa, että jos AI-agentti luokitellaan korkean riskin AI-järjestelmäksi, siihen sovelletaan lisävaatimuksia, joiden tarkoitus on varmistaa järjestelmän turvallisuus ja luotettavuus sen käyttötarkoituksessa. Näiden vaatimusten soveltaminen alkaa liitteen III käyttötapauksissa 2.12.2027 ja liitteen I tuotteissa 2.8.2028; asetus (EU) 2026/1744 pidensi alkuperäistä 2.8.2026:n määräaikaa. Läpinäkyvyyssäännöt sen sijaan voivat tulla sovellettaviksi jo 2.8.2026 alkaen, jos agentti on tarkoitettu vuorovaikutukseen luonnollisten henkilöiden kanssa tai sisällön tuottamiseen.^[4]^[12]^[1]

Este es el mensaje esencial para las empresas: el riesgo alto no depende de si la tecnología es sofisticada o compleja. Depende del uso que se le dé y de sus consecuencias.

Incluso una herramienta de IA sencilla puede ser un sistema de alto riesgo si se usa en una situación que afecta a los derechos, las oportunidades o la seguridad de las personas.

7. ¿Qué se exige a los sistemas de alto riesgo?

7.1 Gestión de riesgos

La organización debe identificar, evaluar y gestionar los riesgos del sistema durante todo su ciclo de vida. No se trata solo de una lista de riesgos inicial, sino de un proceso continuo. ¿Qué puede salir mal? ¿A quién afecta? ¿Cómo se detecta el riesgo? ¿Qué se hace si el sistema funciona mal?

7.2 Gobernanza y calidad de los datos

Un sistema de IA vale lo que valen sus datos. En los sistemas de alto riesgo, los datos deben ser adecuados al fin previsto, de calidad y estar bien gestionados. Hay que prestar especial atención a los sesgos, a las lagunas y a si los datos pueden llevar a resultados discriminatorios.

7.3 Documentación técnica

El sistema debe contar con documentación suficiente: qué hace, para qué se usa, con qué datos se ha desarrollado, cuáles son sus límites y cómo se supervisa. La documentación no es solo para las autoridades — es también la red de seguridad de la propia organización.

7.4 Registro de eventos

Los sistemas de alto riesgo deben generar registros para que su uso y su funcionamiento puedan rastrearse. Esos registros son esenciales si más adelante hay que averiguar por qué el sistema dio una recomendación concreta o tomó una decisión determinada.

El texto de la Ley de IA publicado en EUR-Lex establece, entre otras cosas, que los proveedores de sistemas de IA de alto riesgo deben conservar los registros generados automáticamente durante un periodo adecuado, de al menos seis meses, salvo que otra normativa de la UE o nacional disponga otra cosa.^↗^[5]

7.5 Vigilancia humana

Un sistema de IA de alto riesgo no puede ser una caja negra que funcione sin un control humano comprensible.

El artículo 14 del Reglamento de IA establece que la vigilancia humana tiene por objeto prevenir o reducir al mínimo los riesgos para la salud, la seguridad o los derechos fundamentales que puede acarrear el uso de un sistema de IA de alto riesgo.^↗^[6]

«Una persona supervisa» no puede significar que alguien pulse el botón de aprobar sin entender qué ha hecho el sistema. Quien supervisa necesita competencia, autoridad y una posibilidad real de intervenir.

7.6 Precisión, solidez y ciberseguridad

El sistema tiene que funcionar de forma fiable también en condiciones reales. Debe resistir errores, situaciones anómalas e intentos de uso indebido mejor que una simple herramienta de pruebas.

Aquí el AI Act recuerda a las empresas una cosa básica: si la IA afecta a la vida de las personas, no se puede tratar como una versión beta.

8. Obligaciones de transparencia: ¿cuándo hay que avisar a las personas de que hay IA?

No todas las obligaciones de la Ley de IA tienen que ver con los sistemas de alto riesgo. En muchas situaciones, el requisito central es la transparencia. Una persona debe saber si está interactuando con una inteligencia artificial o si un contenido lo ha generado la IA en los casos que contempla la normativa.

Las preguntas frecuentes de la Comisión Europea sobre las obligaciones de transparencia explican que el artículo 50 de la Ley de IA impone obligaciones de transparencia a los proveedores y a los responsables del despliegue de determinados sistemas de IA, incluidos los sistemas de IA generativos e interactivos y los contenidos deepfake. El objetivo de estas obligaciones es reducir los riesgos de engaño, suplantación de identidad y desinformación, y reforzar la confianza en el entorno informativo.^↗^[7]

En la práctica, esto puede significar, por ejemplo:

un chatbot tiene que indicar que es una IA, si no resulta evidente
el contenido generado o editado con IA puede exigir un etiquetado
en los contenidos deepfake la transparencia es especialmente importante
el usuario tiene que entender cuándo está tratando con una máquina y no con una persona

Esto no es solo un detalle jurídico. Es una cuestión de confianza. Si un cliente descubre después que ha hablado con una IA cuando creía estar hablando con una persona, la confianza puede romperse muy rápido.

9. Modelos de IA de uso general (GPAI): ¿por qué los modelos tipo ChatGPT son un caso aparte?

El Reglamento de IA tiene una capa normativa propia para los modelos de IA de uso general. Se les suele llamar modelos GPAI, del inglés general-purpose AI models.

Se trata de modelos que pueden usarse para muchos fines distintos. No son sistemas creados para una sola aplicación. Un mismo modelo de propósito general puede acabar en atención al cliente, en programación, en creación de contenidos, en analítica, en enseñanza, como apoyo a la toma de decisiones o como parte de una aplicación de alto riesgo.

Según el calendario del Reglamento de IA, las obligaciones relativas a los modelos de IA de uso general se aplican desde el 2 de agosto de 2025.^[1]

Desde el punto de vista de la empresa, esto significa dos cosas. Primero, los proveedores del modelo tienen sus propias obligaciones. Segundo, la organización que usa el modelo no puede pensar que su responsabilidad desaparece porque «solo utilizamos una herramienta ya hecha».

Si un modelo de uso general se integra en un proceso de selección de personal, en decisiones de crédito, en la evaluación de empleados o en otro uso de alto riesgo, el conjunto debe evaluarse en función de su finalidad prevista. La tecnología puede ser la misma. El nivel de riesgo cambia según para qué se use.

10. Calendario del Reglamento de IA: ¿qué está ya en vigor y qué llega después?

1 de agosto de 2024 — el Reglamento de IA entró en vigor

El Reglamento entró en vigor el 1 de agosto de 2024. Ahí empezó el periodo transitorio.

2 de febrero de 2025 — prácticas prohibidas y alfabetización en IA

Empezaron a aplicarse las normas sobre prácticas de IA prohibidas y las obligaciones relativas a la alfabetización en materia de IA.^[1]

2 de agosto de 2025 — modelos de IA de uso general

Empezaron a aplicarse las obligaciones relativas a los modelos GPAI.

2 de agosto de 2026 — transparencia y supervisión

Läpinäkyvyysvelvoitteet tulevat sovellettavaksi. Tästä päivästä alkaen AI-toimisto ja jäsenvaltioiden viranomaiset vastaavat asetuksen täytäntöönpanosta, valvonnasta ja sen noudattamisen varmistamisesta.^[1]

Diciembre de 2026 — nueva práctica prohibida

Digital Omnibus -asetuksella lisätty yhdeksäs kielletty käytäntö tulee voimaan.^[1]

2 de diciembre de 2027 — casos de uso de alto riesgo (anexo III)

Herkkien alojen korkean riskin käyttötapaukset — muun muassa rekrytointi, koulutus, luottopäätökset ja biometriikka — tulevat sovellettavaksi. Alkuperäinen määräpäivä oli 2.8.2026, ja siirtymäaikaa pidennettiin asetuksella (EU) 2026/1744.^[1]^[12]

2 de agosto de 2028 — productos de alto riesgo (anexo I)

Säänneltyihin tuotteisiin sisältyvät korkean riskin AI-järjestelmät saivat pisimmän siirtymäajan. La página de normalización de la Comisión Europea kuvaa standardointiin ja soveltamisaikatauluihin liittyviä jatkovaiheita korkean riskin järjestelmien osalta.^[1]^[12]^[8]

Aikataulu muuttui kesken soveltamisen. Euroopan parlamentti ja neuvosto antoivat 8.7.2026 asetuksen (EU) 2026/1744, joka muuttaa AI Actia ja siirtää korkean riskin velvoitteiden soveltamista. Jos olet lukenut AI Actin aikataulusta aiemmin, korkean riskin päivämäärät ovat todennäköisesti vanhentuneet. Muutos näkyy myös komission Navigating the AI Act -UKK:ssa.^[9]^[12]

Aun así, a la empresa no le conviene quedarse esperando. Si en la organización puede haber usos de IA de alto riesgo, conviene empezar a prepararse ya: el periodo transitorio ampliado es tiempo extra para prepararse, no un motivo para dejar el asunto de lado.

11. Alfabetización en IA: un artículo breve de la ley, un gran cambio

La alfabetización en IA es uno de los puntos más interesantes del Reglamento de IA, porque a primera vista parece una obligación blanda. En realidad, puede cambiar mucho el día a día de las organizaciones.

La alfabetización en IA significa que los proveedores y los responsables del despliegue de sistemas de IA deben asegurarse de que quienes los usan tienen la competencia suficiente para el contexto de uso. Eso no quiere decir que todo el mundo deba saber programar. Quiere decir que las personas deben entender, por ejemplo, para qué sirve la IA, dónde están sus límites, qué riesgos conlleva su uso, cómo se valoran las respuestas, cuándo tiene que intervenir una persona, qué datos se le pueden dar, cuándo hay que comprobar las fuentes y qué dicen las normas internas de la organización.

El artículo 4 del Reglamento de IA trata de la alfabetización en IA y se aplica desde el 2 de febrero de 2025. Obliga a proveedores y responsables del despliegue a adoptar medidas para garantizar un nivel suficiente de alfabetización, teniendo en cuenta, entre otras cosas, los conocimientos técnicos, la experiencia, la formación y el contexto de uso.^↗

Es un mensaje importante para la dirección. La formación en IA ya no es un “extra simpático”. Forma parte de una adopción responsable de la inteligencia artificial.

12. ¿Qué significa el Reglamento de IA para las empresas en la práctica?

Para una empresa, el Reglamento de IA no significa en primer lugar que el departamento jurídico se lea el reglamento y redacte una nota. Significa hacer un inventario del uso de la IA.

La primera tarea es averiguar: ¿dónde estamos usando ya la inteligencia artificial?

En muchas organizaciones la respuesta sorprende. Puede haber IA en herramientas de RR. HH., plataformas de marketing, atención al cliente, sistemas CRM, analítica, tratamiento de documentos, herramientas de seguridad, procesos de producción, sistemas de selección de personal, evaluación del desempeño, creación de contenidos y chatbots internos.

La segunda tarea es clasificar los casos de uso según su riesgo. La tercera es construir un modelo de gobernanza. En la práctica, esto puede incluir un registro de IA, una clasificación de riesgos, personas responsables, procesos de aprobación, evaluaciones de protección de datos y de seguridad, criterios de compra, formación del personal, directrices para el uso de IA generativa, documentación de los sistemas de alto riesgo, registro de actividad y una definición clara de la supervisión humana.

La página de la Comisión Europea sobre el Pacto sobre la IA anima a las organizaciones a prepararse con antelación para la aplicación de la Ley de IA. El Pacto sobre la IA es una iniciativa voluntaria cuyo objetivo es ayudar a las organizaciones a planificar la adopción de los requisitos de la Ley de IA.^↗^[10]

Un buen principio práctico es este: no empieces por los artículos de la ley. Empieza por los casos de uso. Cuando sabes dónde se usa la IA, puedes valorar qué reglas se aplican.

13. Startups y Reglamento de IA: ¿freno o ventaja competitiva?

En el mundo startup la regulación despierta sentimientos encontrados. Por un lado puede parecer un freno: un equipo pequeño no tiene juristas, especialistas en compliance ni recursos de documentación ilimitados. Por otro lado, el Reglamento de IA también puede ser una ventaja competitiva.

Si una startup construye desde el principio un producto de IA transparente, documentado, seguro y consciente de los riesgos, puede estar en mejor posición, sobre todo en la venta a empresas. Los clientes B2B preguntarán cada vez más a menudo: ¿en qué datos se basa el sistema? ¿Cómo se gestionan los riesgos? ¿Puede discriminar? ¿Cómo funciona la supervisión humana? ¿Es un caso de uso de alto riesgo? ¿Cómo se han resuelto el registro de actividad y la documentación? ¿Cómo se ha tenido en cuenta la Ley de IA?

A una startup esto puede sonarle pesado. Pero también es lo que distingue a un actor serio de un proyecto experimental.

Sobre todo si la startup opera en recursos humanos, educación, finanzas, salud, seguridad o el sector público, la Ley de IA no se puede dejar para más adelante.

Una buena regla general para una startup: si tu producto influye en las oportunidades, los derechos o la seguridad de las personas, incorpora el cumplimiento normativo ya en las primeras fases del desarrollo. Sale más barato que corregirlo todo después.

14. Lista de comprobación práctica para la organización

14.1 Haz un inventario de IA

Haz una lista de todos los sistemas de IA y de las herramientas que usan IA. Pregunta: ¿Dónde se usa la IA? ¿Quién la usa? ¿Con qué finalidad? ¿Es un uso interno o externo? ¿Afecta a clientes, empleados o ciudadanos?

14.2 Clasifica los casos de uso según el riesgo

Valora si el uso entra en las prácticas prohibidas, en los sistemas de alto riesgo, en las obligaciones de transparencia o en los usos de riesgo mínimo.

14.3 Revisa con especial cuidado las áreas de alto riesgo

Si utilizas la IA en selección de personal, evaluación de empleados, decisiones sobre formación, evaluación de estudiantes, decisiones de crédito, decisiones de seguros o de financiación, identificación biométrica, infraestructuras críticas, seguridad, sanidad o como apoyo a decisiones de las autoridades, analiza el asunto con especial cuidado.

14.4 Define las responsabilidades

¿Quién es responsable de los riesgos de la IA? Hacen falta, como mínimo, un responsable de negocio, uno técnico, uno de protección de datos y uno de seguridad de la información, además de evaluación jurídica, formación de los usuarios y seguimiento por parte de la dirección.

14.5 Construye la documentación

En los sistemas de alto riesgo, la documentación no es un extra opcional. Documenta: la finalidad, las fuentes de datos, los riesgos, las pruebas, la supervisión humana, los registros, los proveedores, las actualizaciones, los incidentes y las instrucciones de uso.

14.6 Forma al personal

La alfabetización en IA debe ajustarse al puesto. El equipo de marketing necesita una formación distinta a la de recursos humanos, el área jurídica, TI o atención al cliente.

14.7 Actualiza los criterios de compra

Cuando compres una herramienta de IA, pregunta al proveedor: ¿el sistema entra en el ámbito del Reglamento de IA? ¿Cuál es su finalidad? ¿Se ha hecho una evaluación de riesgos? ¿Qué documentación hay disponible? ¿Cómo se tratan los datos? ¿Cómo funciona el registro de eventos? ¿Cómo está diseñada la supervisión humana? ¿Cómo puede auditarse el sistema?

14.8 Crea un proceso de aprobación para los usos de alto riesgo

Nadie debería poner en marcha por su cuenta un sistema de IA de alto riesgo a modo de prueba. Hace falta un punto de control claro antes de la puesta en servicio.

14.9 Sigue cómo se concreta la normativa

La aplicación práctica del Reglamento de IA se irá concretando mediante directrices, normas técnicas e interpretaciones de las autoridades. La página de normalización de la Comisión Europea indica que se están elaborando normas armonizadas, entre otras cosas, para los requisitos de los sistemas de IA de alto riesgo. Cuando estén listas y se publiquen en el Diario Oficial de la Unión Europea, podrán dar lugar a la presunción de conformidad.^↗^[11]

En la práctica esto significa: el AI Act no es una ley suelta. Es un ecosistema de regulación y estandarización en evolución.

15. Malentendidos habituales sobre el Reglamento de IA

Malentendido 1: “El AI Act solo afecta a las grandes tecnológicas”

No es así. También puede afectar a empresas corrientes si utilizan sistemas de IA para los fines contemplados en la normativa.

Malentendido 2: “Si usamos una herramienta ya hecha, la responsabilidad es del proveedor”

No necesariamente. El proveedor puede tener obligaciones, pero el responsable del despliegue también puede tener las suyas. Sobre todo, la finalidad prevista determina buena parte del asunto.

Malentendido 3: “La IA generativa siempre es IA de alto riesgo”

No lo es. Usar un chatbot para generar ideas no es automáticamente una actividad de alto riesgo. Pero esa misma tecnología puede pasar a formar parte de un sistema de alto riesgo si se emplea, por ejemplo, para evaluar candidaturas en un proceso de selección.

Malentendido 4: “La alfabetización en IA significa formación técnica”

No significa solo eso. La alfabetización en materia de IA incluye también saber valorar los riesgos, entender los límites, contrastar la información y usar la IA de forma responsable.

Malentendido 5: “La regulación mata la innovación”

Una mala regulación puede frenar. Pero unas reglas del juego claras también pueden aumentar la confianza y acelerar la adopción. Los clientes empresariales no quieren comprar una caja negra que pueda causarles problemas legales o de reputación.

Malentendido 6: “Esto se puede resolver más adelante”

Una idea peligrosa. Si la IA ya forma parte de la selección de personal, de la evaluación de empleados, de la clasificación de clientes o del apoyo a la toma de decisiones, conviene hacer el análisis de riesgos ya mismo.

16. Conclusiones: la IA responsable no es papeleo, sino construir confianza

El Reglamento de IA cambia la forma de adoptar la inteligencia artificial en Europa. Eso no significa que se acabe su desarrollo. Significa que, cuando el impacto sobre las personas es importante, la IA ya no se puede poner en marcha solo por entusiasmo.

Las lecciones más importantes son estas:

El Reglamento de IA ya está en vigor. El Reglamento entró en vigor el 1 de agosto de 2024. Una parte de las obligaciones, como las prácticas prohibidas y la alfabetización en materia de IA, se aplica desde el 2 de febrero de 2025. Las obligaciones relativas a los modelos GPAI empezaron el 2 de agosto de 2025, y las obligaciones de transparencia junto con la supervisión de las autoridades el 2 de agosto de 2026. Las obligaciones relativas a los sistemas de alto riesgo empiezan el 2 de diciembre de 2027 (anexo III) y el 2 de agosto de 2028 (anexo I).
No toda la IA tiene el mismo nivel de riesgo. El enfoque basado en el riesgo es el núcleo de todo el reglamento.
Los usos de alto riesgo hay que identificarlos a tiempo. La selección de personal, la formación, la evaluación de los empleados, las decisiones de crédito, la biometría y las infraestructuras críticas son ámbitos en los que la organización debe extremar el cuidado.
La documentación, la gestión de riesgos y la supervisión humana no son burocracia. Son la forma de asegurar que la IA funciona correctamente, que los errores se pueden rastrear y que las personas mantienen el control real.
La alfabetización en IA es una capacidad básica de la organización. Quienes usan la inteligencia artificial tienen que entender lo que hacen.
Para una startup, la responsabilidad puede ser una ventaja competitiva.
Ahora conviene hacer inventario. ¿Dónde usamos la IA? ¿A qué afecta? ¿Quién responde de ella? ¿Qué hay que revisar antes de agosto de 2026?

En resumen

Si tu organización usa inteligencia artificial en selección de personal, formación, evaluación de empleados, decisiones de crédito, identificación biométrica o infraestructuras críticas, averigua a tiempo si puede tratarse de un sistema de IA de alto riesgo.

A los sistemas de alto riesgo se les exige, entre otras cosas: gestión de riesgos, documentación, registro de eventos, una gobernanza de datos de calidad, supervisión humana, transparencia y seguimiento continuo.

El gran mensaje del Reglamento de IA es, en el fondo, este: la inteligencia artificial se puede usar con audacia, pero no con descuido.

La era europea de la inteligencia artificial no se construye solo sobre la eficiencia. Se construye sobre la confianza.