Reglamento europeo de IA: lo que de verdad se retrasa y lo que ya obliga a tu empresa

«La ley de IA se retrasa.» Lo has leído en prensa y puede que alguien lo haya usado en tu comité para aparcar el tema. Es verdad a medias, y esa mitad es peligrosa: la Unión Europea acaba de aplazar las obligaciones de alto riesgo del reglamento, sí, pero las prohibiciones y el deber de alfabetización llevan en vigor desde febrero de 2025, y las reglas de transparencia entran el 2 de agosto de 2026. A dos semanas vista.

Este no es un artículo de despacho de abogados. Es lo que un directivo necesita para decidir: qué le aplica ya, qué viene con fecha y qué tres cosas conviene tener listas. Haga IA tu empresa o, sobre todo, si crees que no la hace.

¿Qué es el reglamento europeo de IA y en qué punto está?

Es la primera ley integral de inteligencia artificial del mundo: el Reglamento (UE) 2024/1689, en vigor desde agosto de 2024 y de aplicación escalonada según el riesgo de cada uso. Las multas alcanzan los 35 millones de euros o el 7 % de la facturación mundial para las prácticas prohibidas, y los 15 millones o el 3 % para el resto de obligaciones, con topes atenuados para pymes.

El reglamento no te pregunta si «haces IA»: te pregunta si sabes qué IA se usa en tu casa, para qué y quién responde por ella.

En mayo de 2026, Parlamento y Consejo acordaron el llamado «ómnibus digital», que retoca el calendario y recibió el visto bueno definitivo de ambas instituciones en junio. Con ese cambio, el mapa queda así:

1. Ya en vigor: prácticas prohibidas y alfabetización en IA de la plantilla (desde febrero de 2025); reglas para los grandes modelos de proveedores como OpenAI o Google (desde agosto de 2025).
2. 2 de agosto de 2026: transparencia del artículo 50: chatbots que se identifican como tales, contenido sintético señalado, avisos al usuario. Solo el marcado técnico que deben incorporar los proveedores se corre a diciembre de 2026; el aviso al usuario es cosa tuya desde agosto.
3. 2 de diciembre de 2027: sistemas de alto riesgo «independientes» (selección de personal, solvencia, educación…), antes previstos para agosto de 2026.
4. 2 de agosto de 2028: alto riesgo integrado en productos regulados, como maquinaria o dispositivos sanitarios.

¿Afecta el reglamento a mi empresa si solo usamos ChatGPT o Copilot?

Sí. El reglamento no regula solo a quien fabrica la IA; regula también a quien la usa en su actividad, lo que llama «responsable del despliegue». Y ahí entra casi cualquier empresa, porque la IA no suele llegar por un proyecto aprobado en comité: llega por la puerta de atrás, en el navegador del comercial y en el móvil del analista, a veces con datos de clientes de los que nadie lleva cuenta.

Dos deberes te tocan aunque tu único contacto con la IA sea una suscripción. El primero, la alfabetización del artículo 4, en vigor desde febrero de 2025: medidas para que quien usa IA en tu empresa sepa lo que hace. El ómnibus la ha suavizado (ahora pide «apoyar el desarrollo» de ese criterio, sin garantizar un nivel concreto), pero no la ha borrado. El segundo, la transparencia de agosto de 2026, si pones un chatbot delante de clientes o publicas contenido sintético que pueda confundirse con real.

El primer entregable es más humilde que un dictamen jurídico: un censo de IA de una página. Qué herramientas se usan de verdad, las contratadas y las que no, quién las usa, para qué y con qué datos. Sin ese censo, cualquier política de IA es un brindis al sol.

Empieza por: pide a cada responsable de área la lista de herramientas de IA que su equipo usó la semana pasada. La diferencia entre esa lista y la oficial es tu primer hallazgo.

¿Qué usos de IA están prohibidos y cuáles son de alto riesgo?

Prohibidos desde febrero de 2025: la puntuación social, la manipulación subliminal, la captura indiscriminada de imágenes faciales y, atención, recursos humanos, el reconocimiento de emociones en el trabajo, salvo por motivos médicos o de seguridad. Si alguna herramienta de tu empresa presume de «leer el estado de ánimo» de empleados o candidatos, ahí el calendario no te protege: eso está vetado desde hace más de un año.

El alto riesgo es la categoría siguiente: usos con impacto serio en los derechos de las personas. Los que más rozan a una empresa normal son la selección y evaluación de personal (filtrar currículums, decidir ascensos), la solvencia crediticia y el acceso a servicios esenciales. Si una herramienta descarta candidatos antes de que un humano los lea, estás en esa casilla aunque la comprases como «un complemento de RRHH». Sus obligaciones plenas llegan en diciembre de 2027, pero traen deberes que no se improvisan: supervisión humana competente, uso conforme a las instrucciones del proveedor e información a los trabajadores afectados.

Pregunta para tu comité: ¿alguna de nuestras herramientas puntúa, filtra u ordena personas? Esa lista corta es vuestro mapa de riesgo.

¿Qué significa el retraso a 2027 (y por qué no conviene relajarse)?

Significa dieciséis meses más para lo más exigente del reglamento, no una amnistía. El argumento para esperar existe y conviene decirlo en voz alta: las normas técnicas que concretan cómo cumplir aún no están terminadas, y justo por eso se aplazó la fecha. Es un argumento razonable… para no redactar todavía la documentación técnica. No sirve para retrasar lo que no depende de ninguna norma: saber qué IA usas, decidir quién la autoriza y formar el criterio de tu gente. Ese trabajo cuesta lo mismo hoy que en 2027; la diferencia es hacerlo con calma o con el agua al cuello.

Hay otro reloj que no atiende a Bruselas: el mercado. Los clientes grandes ya meten cláusulas de IA en contratos y cuestionarios de compra, y España tramita su propia ley de gobernanza de la inteligencia artificial, que fija el régimen sancionador nacional, con la agencia supervisora (AESIA) ya en marcha.

Lo que cuesta esperar: llegar a la primera licitación con cláusula de IA sin censo ni responsable. La corrección: hacer el inventario este trimestre; es la pieza que todo lo demás necesita.

¿Cómo se cumple sin montar un departamento jurídico?

Con tres piezas de gestión, más que de derecho. Un censo de IA vivo, que se revisa cada trimestre. Un nombre propio que autoriza o veta cada herramienta nueva, para que la decisión no se tome sola en cada equipo. Y criterio en la plantilla, que es lo que el artículo 4 persigue en el fondo.

Sobre lo último, una advertencia: el criterio no se transmite en una charla anual. Se construye usando la IA sobre trabajo real, empezando por tareas de bajo riesgo o fáciles de verificar, hasta que cada persona distingue qué puede delegar, qué debe revisar y qué no debe pegar jamás en una herramienta pública. Un PDF de «política de IA» que nadie ha leído es el equivalente normativo del extintor caducado: figura en el papel y no apaga nada. De cómo encaja ese uso real en las formas de trabajo de los equipos hablamos en IA generativa y metodologías Agile.

Bien hecho si cualquier persona de tu equipo sabe decir, sin consultar el PDF, qué datos puede pegar en una IA pública y cuáles no.

¿En qué punto está tu empresa? Seis señales de alarma

Marca las que reconozcas; sé honesto, que nadie mira.

1. Nadie sabría decir hoy cuántas herramientas de IA se usan de verdad en la empresa.
2. Circulan datos de clientes o de empleados por cuentas personales de IA gratuita.
3. Usáis IA para filtrar candidatos o evaluar personas y el proveedor nunca os ha enseñado documentación.
4. La «formación en IA» fue una charla hace más de un año y nadie ha vuelto a tocar el tema.
5. No hay un nombre propio que autorice una herramienta nueva; cada equipo se apaña.
6. Vuestro mayor cliente coló una cláusula de IA en el último contrato y se firmó sin leerla a fondo.

Ninguna o una: vas por delante de la mayoría; formaliza el censo y mantenlo vivo. Dos o tres: tienes deberes concretos y con fecha; el censo y el responsable van primero. Cuatro o más: tu exposición no es teórica, y más vale que te ponga en marcha el reglamento antes que un disgusto.

La fecha es del regulador; el censo es tuyo

El reglamento europeo de IA pone fecha y multa a lo que ya era simple buena gestión: saber qué usas, quién decide y con qué criterio. El aplazamiento a 2027 da aire para la parte técnica, no para la organizativa. Y lo que entra el 2 de agosto de 2026, junto con lo que lleva vigente desde 2025, no espera a nadie.

Si mañana tu mayor cliente te pidiera el censo de IA y el plan de alfabetización, ¿qué le enseñarías?

Si la respuesta te incomoda, ese criterio es justo lo que trabajamos en nuestra capacitación y formación: sobre el trabajo real de tu gente, no sobre teoría. Escríbenos y empezamos por el censo.

from SmartWay https://ift.tt/RDl16yW