Cómo adaptar tu empresa a la ley de inteligencia artificial (AI Act)

Si buscas "cómo adaptar mi empresa a la ley de inteligencia artificial" es probable que ya sepas que existe el AI Act, pero no por dónde empezar. Es una pregunta razonable: el Reglamento (UE) 2024/1689 no es una ley que se cumpla firmando un documento una vez, sino un proceso de clasificación y documentación que depende de qué sistemas de IA usa realmente tu empresa — y eso solo lo sabes tú.

Esta guía no depende de ninguna fecha concreta, a propósito. Las fechas exactas de cada obligación —qué entra en vigor cuándo— cambian según la actualidad regulatoria (la UE ya ha aplazado una vez el grueso del calendario, con el "Digital Omnibus" de julio de 2026) y las cubrimos, actualizadas, en otros dos artículos: AI Act: qué cambia el 2 de agosto y qué se ha aplazado y AI Act: qué deben hacer las empresas españolas. Aquí nos quedamos con lo que no cambia: el orden de los pasos que tiene que dar cualquier empresa, independientemente de cuándo los lea.

Paso 1: entender qué regula el AI Act (y qué no)

El AI Act no regula "la IA" como tecnología. Regula usos concretos, clasificados por el riesgo que suponen para las personas. Cuanto mayor el riesgo de un uso, más obligaciones conlleva — desde prácticas directamente prohibidas hasta sistemas de "alto riesgo" con exigencias fuertes de documentación, pasando por deberes de transparencia para el resto. La mayoría de las pymes no van a tener ningún sistema prohibido ni de alto riesgo. Pero eso no se sabe sin pasar por el paso 2.

Paso 2: hacer inventario de la IA que usa tu empresa de verdad

Este paso es el que más empresas se saltan, y es el único que no se puede delegar en un consultor sin tu ayuda: nadie fuera de la empresa sabe qué herramientas de IA usa cada departamento. Antes de clasificar nada, hay que responder:

• ¿Qué herramientas de IA usa cada departamento — no solo las que compró la empresa, también las que cada persona instala por su cuenta (el llamado "Shadow AI")?
• ¿Alguna decide o puntúa automáticamente sobre personas: candidatos a un puesto, empleados, clientes, solicitantes de crédito o de seguro?
• ¿Alguna procesa datos biométricos, de menores, o decisiones judiciales o administrativas?
• ¿Quién es responsable de mantener este inventario actualizado cuando se añada una herramienta nueva?

Paso 3: clasificar cada sistema por nivel de riesgo

Con el inventario hecho, cada sistema encaja en una de estas categorías:

• Prohibido (Art. 5): manipulación subliminal, explotación de vulnerabilidades, scoring social masivo. Muy poco frecuente en una pyme.
• Alto riesgo (Anexo III): principalmente sistemas que deciden o puntúan sobre empleo y RRHH (filtrado automático de candidaturas, evaluación de rendimiento) o sobre crédito y seguros (scoring de solvencia, precio de pólizas de vida y salud). También biometría, educación, infraestructura crítica y administración de justicia — categorías menos comunes fuera de sus sectores.
• Modelo de propósito general (GPAI): no es tu sistema, es el modelo detrás de la herramienta que usas — GPT, Claude, Gemini. Las obligaciones son del proveedor del modelo, no tuyas, salvo que construyas un producto propio sobre él.
• Riesgo limitado o mínimo: la mayoría de los usos habituales en una pyme — asistentes de escritura, chatbots de atención al cliente, herramientas de productividad. Llevan deberes de transparencia (que quede claro que se interactúa con IA), no las obligaciones fuertes del alto riesgo.

Un matiz que conviene tener claro desde ya: en 2026 la Comisión Europea aclaró que los agentes de IA no son una categoría legal aparte. Si un agente ejecuta una función que cae en el Anexo III —por ejemplo, filtra candidaturas de forma autónoma—, se le aplican las mismas obligaciones que a cualquier otro sistema de alto riesgo, tenga o no la etiqueta de "agente".

Paso 4: si tienes un sistema de alto riesgo, documentar antes de desplegarlo

Los sistemas de alto riesgo requieren, en esencia, cuatro cosas hechas antes de ponerse en marcha, no después: un proceso de gestión de riesgos continuo (no un análisis puntual), documentación técnica de qué hace el sistema y con qué datos se entrenó, registro automático de eventos que permita reconstruir sus decisiones, y un mecanismo real de supervisión humana — con capacidad efectiva de intervenir, no un botón simbólico. El detalle completo de las diez obligaciones técnicas está en nuestra guía del checklist de alto riesgo.

Paso 5: el riesgo que no espera a ninguna fecha del AI Act

Hay una obligación que ya está en vigor desde febrero de 2025 y no depende de ningún aplazamiento futuro: la alfabetización en IA (Art. 4). Tu equipo tiene que tener un nivel básico de competencia sobre qué puede y qué no puede hacer con estas herramientas. En la práctica, esto suele importar menos que un problema paralelo y más urgente: el RGPD. Meter datos de clientes, contratos o expedientes en una cuenta gratuita de un asistente de IA generalista puede significar cederlos a un tercero sin contrato de tratamiento de datos y sin saber si se usan para entrenar el modelo. Es el problema real, hoy, con independencia de en qué fase esté el AI Act.

Paso 6: nombrar un responsable, aunque sea a tiempo parcial

No hace falta un departamento nuevo. Sí hace falta que alguien concreto — no "el departamento de IT" en abstracto — sea responsable de mantener el inventario del paso 2 al día, de decidir si una herramienta nueva necesita revisión antes de aprobarse, y de ser el punto de contacto si la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) hace una consulta.

Cuándo tiene sentido pedir ayuda externa

Si el inventario del paso 2 revela cero sistemas de alto riesgo (el caso más común en pymes de servicios), probablemente puedas gestionar el resto con criterio interno y las guías gratuitas que publica AESIA. Si aparece uno o más sistemas de alto riesgo, o si la IA que usas maneja datos de categoría especial (salud, judiciales, biométricos), la documentación técnica y el sistema de gestión de riesgos sí requieren normalmente apoyo especializado — es trabajo de meses, no de una tarde.

Preguntas frecuentes

Mi empresa no desarrolla IA, solo la usa. ¿Me afecta igualmente el AI Act? Sí, aunque con menos obligaciones que a quien desarrolla el sistema. Como "usuario" (el Reglamento lo llama "responsable del despliegue"), tienes deberes de supervisión humana, de uso conforme a las instrucciones del proveedor y, si el sistema es de alto riesgo, de vigilancia continua — aunque no hayas construido tú el modelo.

¿Qué pasa si no hago nada? Las multas del Reglamento llegan hasta 35 millones de euros o el 7% de la facturación mundial (lo que sea mayor) para usos prohibidos, y hasta 15 millones o el 3% para incumplir las obligaciones de alto riesgo. Pero el riesgo más inmediato, antes de cualquier sanción, suele ser el RGPD por el uso no controlado de IA con datos de clientes.

¿Cuánto cuesta clasificar mis sistemas de IA? El inventario y la primera clasificación los puede hacer tu propio equipo con las guías gratuitas de AESIA y el tiempo de quien conoce las herramientas que usa cada departamento — no requiere presupuesto. El coste aparece después, si hace falta documentar un sistema de alto riesgo o revisar contratos con proveedores.

¿Esto es asesoramiento legal? No. Es una guía práctica de orden de trabajo, no una opinión jurídica sobre tu caso concreto. Para una interpretación vinculante de si un sistema propio encaja en el Anexo III, hace falta asesoramiento legal específico.

Si el inventario revela un sistema de alto riesgo, o si quieres una segunda opinión sobre si la IA que usa tu empresa hoy es conforme, puedes hablar con nosotros sobre tu caso concreto.

Fuentes

1. Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial: https://eur-lex.europa.eu/legal-content/ES/TXT/HTML/?uri=CELEX:32024R1689
2. Reglamento (UE) 2026/1744 ("Digital Omnibus"), Diario Oficial de la Unión Europea, 24 de julio de 2026: https://digital-strategy.ec.europa.eu/en/news/ai-omnibus-enters-force
3. Comisión Europea, AI Act Compliance Checker: https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
4. Tecnea, AI Act: qué cambia el 2 de agosto y qué se ha aplazado
5. Tecnea, AI Act: qué deben hacer las empresas españolas

Este artículo es informativo y no constituye asesoramiento legal. Tecnea ayuda a empresas a implantar IA privada y conforme, y tiene por tanto un interés comercial en este contenido — los pasos que describe aplican igual si la clasificación la hace tu propio equipo, un consultor externo o Tecnea.