Durante dos años, la Ley de IA de la UE fue algo que las empresas podían permitirse observar desde lejos. Ese periodo ha terminado. La prohibición de las prácticas vetadas está en vigor desde principios de 2025, las obligaciones para los modelos de IA de propósito general llegaron en agosto de 2025 y agosto de 2026 marca el gran hito: la mayor parte de los requisitos para sistemas de alto riesgo pasa a ser exigible. Las multas alcanzan decenas de millones de euros o un porcentaje de la facturación global, la cifra que sea mayor.
Y algo fundamental: la Ley se aplica a cualquier empresa cuyos sistemas de IA lleguen al mercado o a usuarios de la UE, con independencia de dónde tenga su sede. Si vendes en Europa, esta normativa también es tuya.
La primera pregunta: ¿cómo se clasifica tu IA?
Todo en la Ley de IA parte de la clasificación de riesgo. Hay cuatro niveles, y la mayor parte de la carga de cumplimiento recae en uno de ellos.
Las prácticas prohibidas —puntuación social, técnicas manipulativas que causan daño, extracción indiscriminada de imágenes faciales, reconocimiento de emociones en el trabajo y en centros educativos— están sencillamente vetadas. Si algo en tu stack se parece a esto, hay que detenerlo, no documentarlo.
Los sistemas de alto riesgo son donde está el trabajo de verdad. La categoría cubre la IA usada en contratación y gestión de personal, scoring crediticio y tarificación de seguros, educación, infraestructuras críticas, contextos policiales y la IA que es un componente de seguridad de productos regulados. Si tu plataforma de RR. HH. criba currículums con IA, o tu producto de préstamos usa IA en las decisiones de solvencia, es muy probable que estés dentro del ámbito.
Los sistemas de riesgo limitado —chatbots, contenido generado por IA, deepfakes— conllevan obligaciones de transparencia: los usuarios deben saber que interactúan con una IA y el contenido sintético debe declararse.
Los sistemas de riesgo mínimo —filtros de spam, motores de recomendación, la mayoría de las herramientas internas de productividad— no afrontan nuevas obligaciones.
Qué exige realmente el alto riesgo
Si un sistema es de alto riesgo, la Ley espera una disciplina de gestión de la calidad que funcione a su alrededor, no una carpeta de papeles. En la práctica eso significa: un sistema de gestión de riesgos que opere a lo largo de todo el ciclo de vida, no una sola vez en el lanzamiento; gobernanza de datos que demuestre que los datos de entrenamiento son pertinentes, representativos y revisados frente a sesgos; documentación técnica y registro de eventos suficientes para que un auditor pueda reconstruir qué hizo el sistema y por qué; supervisión humana real, es decir, una persona con la autoridad y la información para intervenir, no un sello de goma; y pruebas demostradas de precisión y robustez antes y después del despliegue.
Las empresas que gestionan bien esto tratan la Ley de IA como tratan el RGPD: no como un proyecto jurídico añadido al final, sino como una disciplina de ingeniería incorporada a la forma en que se entregan los sistemas de IA.
Las trampas que vemos más a menudo
«Solo usamos la IA de un proveedor, así que es problema suyo.» Falso. Quienes despliegan tienen sus propias obligaciones: supervisión, monitorización, uso adecuado. Y si modificas sustancialmente un sistema o le pones tu marca, puedes heredar por completo las obligaciones del proveedor.
IA en la sombra. Que los equipos adopten herramientas de IA sin visibilidad central significa que ni siquiera puedes elaborar un inventario preciso, que es lo primero que pedirá cualquier regulador o cliente corporativo.
Tratar la clasificación como algo que se hace una vez. Los sistemas evolucionan. Una herramienta interna de riesgo mínimo que empieza a influir en decisiones de contratación pasa a ser de alto riesgo el día en que su salida importa.
Un plan pragmático de 90 días
Semanas 1-4: inventario. Cataloga todos los sistemas de IA en uso o en desarrollo, incluidas las herramientas de proveedores y esa macro de hoja de cálculo que alguien conectó a un LLM. Clasifica cada uno según los niveles de riesgo.
Semanas 5-8: análisis de carencias en el conjunto de alto riesgo. Para cada sistema dentro del ámbito, compara la práctica actual con los requisitos. La mayoría de las empresas descubre que el registro de eventos y el diseño de la supervisión humana son las mayores carencias.
Semanas 9-12: cierra las carencias críticas y asigna responsables. El cumplimiento que no tiene dueño se degrada. Nombra un responsable por sistema e integra las comprobaciones en tu proceso de entrega.
Otra cosa que conviene saber: la regulación está convergiendo a nivel global. El marco europeo se está convirtiendo en la plantilla de facto, y demostrar que estás preparado para la Ley de IA es cada vez más un activo comercial en las compras corporativas, no solo un escudo legal.
¿Necesitas una evaluación de preparación para la Ley de IA?
Ayudamos a las empresas a inventariar sus sistemas de IA, clasificar el riesgo y cerrar carencias de cumplimiento sin frenar la entrega. Consigue una imagen clara de tu situación.
Reservar una consulta