La inteligencia artificial ya forma parte del trabajo cotidiano de muchas empresas. Se utiliza para redactar propuestas, resumir documentos, atender consultas, priorizar oportunidades, analizar datos o apoyar decisiones internas.
Sin embargo, la adopción ha avanzado con más rapidez que su gobierno. En numerosas organizaciones nadie puede responder con precisión qué herramientas se utilizan, qué información reciben, quién revisa sus resultados o qué proveedor conserva los datos.
Con la aplicación progresiva del Reglamento Europeo de Inteligencia Artificial, ordenar este escenario deja de ser una cuestión exclusivamente tecnológica. Se convierte en una responsabilidad empresarial.
01
La primera obligación práctica es saber qué IA utiliza la empresa
Antes de interpretar artículos legales o clasificar riesgos, la organización necesita un inventario real de sus sistemas de inteligencia artificial.
Ese inventario no debe limitarse a las aplicaciones contratadas oficialmente. También debe incluir funciones de IA incorporadas en el CRM, herramientas de productividad, plataformas de marketing, sistemas de selección, asistentes de reunión y servicios utilizados directamente por los equipos.
Para cada uso conviene documentar su finalidad, responsable, proveedor, datos utilizados, personas afectadas y nivel de intervención humana.
Sin este mapa, la empresa no puede evaluar riesgos, establecer controles ni demostrar que gobierna la tecnología que utiliza.
CETREX / PRINCIPIO 04No se puede gobernar una inteligencia artificial cuya existencia, finalidad o acceso a los datos no están documentados.
02
No todas las empresas ocupan el mismo papel
El AI Act distingue entre distintos participantes: proveedores que desarrollan o comercializan sistemas, responsables del despliegue que los utilizan en su actividad, importadores y distribuidores, entre otros.
La mayoría de las pymes serán responsables del despliegue. Esto no significa que queden al margen. Deben utilizar el sistema conforme a sus instrucciones, aplicar las medidas de supervisión necesarias y conservar la información que corresponda según el tipo de solución.
Una empresa también puede asumir mayores obligaciones si modifica sustancialmente un sistema, lo comercializa con su propia marca o lo integra en un servicio de forma que cambie su finalidad.
Por eso no basta con afirmar que la herramienta pertenece a un proveedor externo. Hay que definir qué hace la empresa con ella.
CETREX / IDEA CLAVEComprar tecnología no transfiere toda la responsabilidad. El uso concreto que hace la empresa determina una parte esencial de sus obligaciones.
03
El riesgo depende del uso, no de la popularidad de la herramienta
El Reglamento establece un enfoque basado en el riesgo. Algunas prácticas están prohibidas; ciertos sistemas se consideran de alto riesgo; otros están sujetos a obligaciones de transparencia y muchos usos presentan un riesgo limitado.
La clasificación no depende únicamente del modelo utilizado. Depende principalmente de la finalidad, del contexto y del efecto que puede tener sobre las personas.
Un asistente que propone un borrador interno no plantea el mismo escenario que un sistema que filtra candidaturas, evalúa trabajadores, condiciona el acceso a un servicio o toma decisiones sobre clientes.
La organización debe evaluar cada caso de uso y evitar clasificaciones genéricas del tipo «utilizamos una herramienta conocida, por tanto es segura».
04
La alfabetización en IA debe convertirse en una capacidad interna
Las obligaciones de alfabetización en inteligencia artificial se aplican desde febrero de 2025. No exigen que toda la plantilla se convierta en especialista técnica, pero sí que las personas comprendan los riesgos del uso que realizan.
Una formación útil debe adaptarse al puesto. Marketing necesita criterios sobre propiedad intelectual, verificación y datos introducidos en los prompts. Recursos humanos necesita entender los límites de la automatización en decisiones que afectan a personas. Tecnología debe controlar integraciones, permisos, registros y proveedores.
La formación aislada tampoco es suficiente. Debe traducirse en instrucciones operativas: qué herramientas están autorizadas, qué información no puede compartirse, cuándo es obligatoria una revisión humana y cómo comunicar un incidente.
La alfabetización se demuestra mejor mediante hábitos y procedimientos que mediante una presentación anual.
GOBIERNO DE LA IAUna política de inteligencia artificial solo funciona cuando las personas saben convertirla en decisiones concretas durante su trabajo diario.
05
Protección de datos y AI Act deben analizarse juntos
El AI Act no sustituye al Reglamento General de Protección de Datos. Cuando un sistema utiliza información personal, continúan siendo aplicables los principios de finalidad, minimización, exactitud, seguridad y responsabilidad proactiva.
Antes de introducir datos en una herramienta, la empresa debe conocer para qué los tratará el proveedor, durante cuánto tiempo los conservará, si los utilizará para entrenar modelos, dónde se alojan y qué terceros intervienen.
También debe diferenciar entre información pública, interna, confidencial y personal. Un prompt puede convertirse en una vía de salida de datos aunque parezca una simple instrucción escrita.
En los usos de mayor impacto puede ser necesaria una evaluación de impacto, además de controles de acceso, trazabilidad y mecanismos para atender los derechos de las personas.
06
La evidencia importa tanto como la intención
Una empresa puede afirmar que utiliza la IA de forma responsable, pero necesita demostrar cómo lo hace.
El inventario de sistemas, las evaluaciones de riesgo, los criterios de aprobación, los contratos con proveedores, los registros de formación, las revisiones humanas y la gestión de incidentes forman parte de esa evidencia.
No se trata de crear burocracia indiscriminada. Se trata de disponer de documentación proporcional al impacto del sistema y suficientemente clara para tomar decisiones, corregir problemas y responder ante una revisión.
El gobierno efectivo de la IA conecta dirección, operaciones, tecnología, seguridad, protección de datos y personas. Si queda aislado en un único departamento, siempre habrá una parte del riesgo fuera de su alcance.
CONCLUSIÓN
Del uso espontáneo a un sistema gobernado
La adaptación no empieza con un documento legal extenso. Empieza identificando los usos reales, asignando responsables y estableciendo controles proporcionales a cada riesgo.
Las empresas que conviertan estas obligaciones en un sistema operativo podrán adoptar inteligencia artificial con más velocidad, porque sabrán qué pueden hacer, con qué condiciones y quién debe responder.
El AI Act no obliga a frenar la inteligencia artificial. Obliga a dejar de utilizarla sin mapa, sin criterio y sin evidencia.
FUENTES
Fuentes y referencias
- Comisión Europea — Marco regulador europeo de inteligencia artificial
- EUR-Lex — Reglamento (UE) 2024/1689
- Agencia Española de Protección de Datos
- AEPD Laboratorio — Innovación, privacidad e inteligencia artificial
- Foro IA — Formación en gobierno, riesgo y uso responsable de la IA
Contenido informativo. La aplicación de la normativa debe analizarse según el sistema, el sector y el caso de uso concreto.
