¿Qué es el Reglamento Europeo de IA y a qué empresas afecta?

El Reglamento (UE) 2024/1689, conocido popularmente como AI Act o Reglamento Europeo de Inteligencia Artificial, es la primera ley integral del mundo que regula el uso de la inteligencia artificial. Se publicó en el Diario Oficial de la Unión Europea el 12 de julio de 2024 y entró en vigor el 1 de agosto de 2024, aunque su aplicación es escalonada.

Si tu empresa usa un chatbot en la web, un sistema que ayuda a filtrar currículums, una herramienta que puntúa la solvencia de clientes o cualquier modelo de IA generativa para producir contenido, este reglamento te afecta. Y te afecta aunque no hayas programado nada: basta con que uses la herramienta en el ejercicio de tu actividad profesional.

Qué regula exactamente el AI Act

A diferencia de otras normativas que regulan sectores concretos, el AI Act regula la tecnología en función del riesgo que genera. No pregunta a qué se dedica tu empresa, pregunta qué puede pasar si tu sistema de IA falla o se usa mal.

El reglamento establece cuatro niveles:

• Riesgo inaceptable: prácticas directamente prohibidas en la Unión Europea. Por ejemplo, la puntuación social de personas, la manipulación subliminal del comportamiento, el reconocimiento de emociones en el puesto de trabajo o en centros educativos, y determinados usos de identificación biométrica en espacios públicos.
• Alto riesgo: sistemas permitidos pero sujetos a obligaciones estrictas de documentación, gestión de riesgos, calidad de datos, supervisión humana y registro. Aquí entran usos en selección de personal, evaluación crediticia, seguros de vida y salud, educación, infraestructuras críticas o dispositivos médicos.
• Riesgo limitado: sistemas que interactúan con personas o generan contenido. Su obligación principal es la transparencia: la persona debe saber que está hablando con una máquina o que un contenido ha sido generado artificialmente.
• Riesgo mínimo: el resto. Sin obligaciones específicas, aunque se recomiendan códigos de conducta voluntarios.

El calendario por fases: qué se aplica y cuándo

Este es el punto que más confusión genera entre empresarios. El reglamento no se aplicó de golpe:

• 2 de febrero de 2025: entran en vigor las prohibiciones de prácticas de riesgo inaceptable y la obligación de alfabetización en IA del personal (artículo 4). Esto último obliga a que quienes operan sistemas de IA en tu empresa tengan formación suficiente para entender qué hacen y qué límites tienen.
• 2 de agosto de 2025: se aplican las obligaciones para los modelos de IA de propósito general (los grandes modelos de lenguaje), la gobernanza y el régimen de sanciones.
• 2 de agosto de 2026: se aplica el grueso del reglamento, incluidas las obligaciones de transparencia y la mayor parte del régimen de alto riesgo.
• 2 de agosto de 2027: se completa la aplicación para sistemas de alto riesgo integrados en productos sujetos a otra normativa de seguridad de la UE.

Es decir: en el momento de leer esto, la mayoría de las obligaciones que afectan a una pyme española ya son exigibles.

Los roles: proveedor, responsable del despliegue, importador, distribuidor

El reglamento no habla de "empresas" en abstracto, sino de roles. Y una misma empresa puede tener varios a la vez.

Proveedor: quien desarrolla un sistema de IA y lo pone en el mercado bajo su nombre o marca. Si tu empresa ha encargado un agente de IA a medida y lo comercializa o lo ofrece a clientes como parte de su servicio, es muy probable que seas proveedor.

Responsable del despliegue (deployer): quien usa un sistema de IA bajo su propia autoridad en el ejercicio de su actividad profesional. Esta es la figura en la que encaja la inmensa mayoría de las pymes. Aquí es donde falla el razonamiento más habitual: "yo no he hecho la IA, la ha hecho el proveedor americano, así que no es mi problema". Falso. Como responsable del despliegue tienes obligaciones propias: usar el sistema conforme a sus instrucciones, garantizar supervisión humana, vigilar la calidad de los datos de entrada que tú controlas, conservar los registros y, en caso de sistemas de alto riesgo, informar a las personas afectadas.

Importador y distribuidor: quien introduce en el mercado europeo un sistema de un tercer país o lo distribuye en la cadena de suministro.

¿Y si mi empresa está en España y el proveedor está fuera de la UE?

El reglamento tiene alcance extraterritorial. Se aplica cuando el resultado del sistema se utiliza en la Unión Europea, con independencia de dónde esté establecido el proveedor. Usar una herramienta estadounidense o asiática no te saca del ámbito de aplicación: te convierte en el eslabón europeo de la cadena, y por tanto en el punto donde el supervisor va a mirar.

Casos reales de pymes que ya están dentro

Algunos ejemplos concretos, muy habituales en el tejido empresarial español:

• Una clínica que usa un chatbot para dar cita y responder preguntas de pacientes. Obligación mínima: transparencia. Si además el sistema orienta sobre síntomas, hay que analizar si entra en alto riesgo.
• Una asesoría que usa IA para clasificar documentación de clientes. Debe controlar la calidad de los datos y mantener supervisión humana sobre las decisiones.
• Una empresa de 30 empleados que usa una herramienta para preseleccionar candidatos. Esto es alto riesgo según el Anexo III. Obligaciones plenas.
• Un ecommerce que genera descripciones de producto con IA generativa. Obligación de transparencia sobre contenido generado artificialmente.
• Una empresa de transporte que optimiza rutas con IA. Riesgo mínimo en general, pero conviene documentarlo para poder demostrarlo.

El error de cálculo más frecuente

Muchos empresarios asumen que el AI Act es un asunto de grandes tecnológicas. El reglamento no establece umbrales de tamaño para eximir del cumplimiento. Sí prevé medidas de apoyo y simplificación documental para pymes y start-ups (entornos de pruebas controlados, canales de comunicación específicos, tasas proporcionales), pero eso reduce la carga, no la obligación.

La segunda idea equivocada es pensar que el cumplimiento es un documento. No lo es: es un sistema. Hay que poder demostrar, en cualquier momento y ante una autoridad, qué hace tu IA, con qué datos, quién la supervisa, qué riesgos identificaste y qué hiciste para mitigarlos. Sin trazabilidad técnica no hay cumplimiento posible, solo una declaración de intenciones.

Qué hacer ahora

El primer paso no es contratar a nadie: es hacer un inventario honesto. Enumera todos los sistemas de IA que usa tu empresa, incluidas las herramientas SaaS con IA integrada que quizá no consideras "IA". Para cada uno, anota quién es el proveedor, para qué lo usas, qué decisiones influye, qué datos consume y quién lo supervisa. Ese inventario es la base de todo lo demás y suele revelar dos o tres sistemas que nadie había registrado.

A partir de ahí toca clasificar el riesgo de cada sistema, identificar tu rol en cada uno y construir la documentación técnica y los registros que el reglamento exige.

En CIRCULO IA trabajamos precisamente en ese punto: hacemos el diagnóstico técnico de los sistemas de IA que ya usas, determinamos en qué categoría de riesgo cae cada uno y qué rol tiene tu empresa, y ejecutamos la adaptación al Reglamento (UE) 2024/1689 dejando la trazabilidad y la documentación listas para resistir una inspección. Si quieres saber en qué situación real está tu empresa, podemos revisarlo contigo.