Cualquier empresa que use inteligencia artificial en procesos relevantes, selección de personal, concesión de crédito, biometría, decisiones que afectan a personas, tiene obligaciones legales bajo el Reglamento (UE) 2024/1689, el llamado EU AI Act. No es una guía de buenas prácticas. Es una norma con régimen sancionador, alcance extraterritorial (aplica a quien opere en el mercado europeo, esté donde esté) y un reloj en marcha.
La lógica del reglamento es sencilla: no regula la tecnología, regula el riesgo del uso. El mismo modelo puede caer en una categoría u otra según para qué se emplee. Hay cuatro niveles: riesgo inaceptable (prohibido), alto riesgo (permitido con obligaciones estrictas), riesgo limitado (obligaciones de transparencia) y riesgo mínimo (sin obligaciones nuevas).
El calendario, en fechas
El reglamento se aplica por fases. Las que ya están en vigor:
- 2 de febrero de 2025. Prácticas de IA prohibidas (riesgo inaceptable: manipulación, puntuación social, ciertos usos biométricos) y obligación de alfabetización en IA del personal.
- 2 de agosto de 2025. Obligaciones para los modelos de propósito general (los grandes modelos de base) y entrada en vigor del régimen de sanciones.
- 2 de agosto de 2026. Obligaciones de transparencia: los chatbots y los contenidos generados por IA deben identificarse como tales.
- 2 de diciembre de 2027. Obligaciones completas para sistemas de alto riesgo autónomos (Anexo III), tras el acuerdo Digital Omnibus de mayo 2026.
- 2 de agosto de 2028. Obligaciones para sistemas de alto riesgo integrados en productos regulados (Anexo I).
Qué es un sistema de alto riesgo (y por qué probablemente tienes uno)
La categoría de alto riesgo abarca usos cotidianos. Entran ahí los sistemas de IA usados en selección y gestión de personal ( por ejemplo, cribado automático de currículos ), en acceso a servicios esenciales como la concesión de crédito, en identificación biométrica, o como componente de seguridad de un producto. Una empresa que filtra candidatos con IA o que puntúa solicitudes de crédito con un modelo está, muy probablemente, operando un sistema de alto riesgo sin haberlo etiquetado como tal.
Para estos sistemas, el reglamento exige obligaciones concretas antes de poder ponerlos en uso:
- Gestión de riesgos. Un proceso continuo de identificación y mitigación, no un documento que se firma una vez.
- Gobernanza de los datos. Los conjuntos de datos de entrenamiento deben ser adecuados y minimizar sesgos discriminatorios.
- Registro de actividad. El sistema debe dejar trazas que permitan reconstruir qué decidió y por qué (trazabilidad).
- Documentación técnica y supervisión humana. Documentación detallada para que las autoridades evalúen el cumplimiento, y una persona con la capacidad real de entender el sistema, vigilarlo y detenerlo.
- Robustez, precisión y ciberseguridad, más el registro del sistema en la base de datos de la UE.
La supervisión humana que exige el reglamento no es una frase en un documento. Tiene que estar integrada en el sistema: alguien con la capacidad técnica de entenderlo, vigilarlo y pararlo de verdad.
Las multas
El régimen sancionador, en vigor desde agosto de 2025, tiene tres niveles pensados para que duelan a empresas grandes:
- Prácticas prohibidas: hasta 35 millones de euros o el 7% de la facturación anual mundial, lo que sea mayor.
- Incumplimiento de otras obligaciones (incluidas las de alto riesgo): hasta 15 millones o el 3%.
- Información incorrecta a las autoridades: hasta 7,5 millones o el 1%.
Para una empresa de cierto tamaño, el porcentaje sobre facturación mundial no es simbólico: es el tipo de cifra que justifica por sí sola tener el tema sobre la mesa del comité.
Qué hacer ahora, aunque las fechas se hayan movido
Que los plazos de alto riesgo se hayan retrasado a 2027-2028 no es una excusa para esperar, por una razón práctica: la preparación lleva más tiempo del que parece. El primer paso no es legal, es de inventario: saber qué sistemas de IA usa la empresa, para qué, y cuáles caen en alto riesgo. Muchas organizaciones descubren aquí que tienen mucha más IA de la que creían, repartida entre herramientas compradas y desarrollos internos, sin ningún registro central.
A partir de ahí, las obligaciones de alto riesgo ( gestión de riesgos, trazabilidad, documentación, supervisión humana ) no se improvisan en el último mes. Se diseñan dentro del sistema desde el principio; intentar añadirlas a posteriori a un sistema que no las contempló es caro y frágil. En regulación, como en deuda técnica, el coste de dejarlo para el final siempre es mayor que el de hacerlo a tiempo.