Así es el nuevo reglamento AI Act 2026: “La empresa es responsable y no vale decir ‘yo no lo sabía’”

La implantación de la Inteligencia Artificial en las empresas ha dejado de ser un fenómeno experimental para convertirse en una realidad cotidiana. Herramientas como ChatGPT, Copilot, Claude o Mistral ya forman parte de procesos relacionados con los recursos humanos, la atención al cliente, el asesoramiento legal, la generación de contenidos o el análisis de información.

Sin embargo, esta incorporación acelerada también abre nuevos interrogantes sobre la privacidad, la transparencia, la discriminación y la responsabilidad de las organizaciones.

Analizamos las implicaciones del Reglamento Europeo de Inteligencia Artificial (AI Act) en este Canal Expositivo del Club Cámara Zaragoza organizado por Golive.

La Inteligencia Artificial entra en la etapa del cumplimiento

“La IA ya no es un experimento, es una herramienta habitual”, señala Carlos Saad (Golive). Y es que el verdadero desafío ya no consiste únicamente en introducir estas soluciones, sino en integrarlas de forma controlada dentro de las organizaciones. Los primeros usos aislados están dando paso a proyectos conectados con sistemas de planificación empresarial, aplicaciones heredadas y plataformas de terceros. Una evolución que aumenta su capacidad para generar valor, pero también eleva la complejidad y los riesgos.

Saad estructura los proyectos empresariales de IA en torno a cuatro dimensiones: el objetivo y su impacto en los resultados; la integración tecnológica; el cambio cultural que transforma la manera de trabajar; y la gobernanza. Es precisamente esta última cuestión, tradicionalmente relegada frente a la innovación o la productividad, la que adquiere ahora un papel decisivo. “La gobernanza y el control son ámbitos que las empresas han dejado un poco de lado, pero que cobran mayor valor con la AI Act”, advierte.

Para comenzar a cumplir, las organizaciones deben conocer qué sistemas utilizan, con qué finalidad y bajo la responsabilidad de quién. La regulación europea establece un modelo basado en cuatro niveles de riesgo. En la categoría de prácticas prohibidas aparecen determinados usos de la identificación biométrica, la manipulación de personas o la predicción penal basada exclusivamente en perfiles. En el nivel de alto riesgo se sitúan aplicaciones como el filtrado automatizado de currículums o la evaluación de la solvencia crediticia. Los sistemas de riesgo limitado están sujetos principalmente a obligaciones de transparencia, mientras que los de riesgo mínimo, como determinados filtros de correo no deseado, apenas tienen requisitos específicos.

“El riesgo depende del uso y del rol que ocupa cada parte”, explica Javier Ferrando. Una misma tecnología puede encontrarse en categorías diferentes según la finalidad para la que se utilice. Una perspectiva que obliga a inventariar cada aplicación y cada caso de uso. No basta con indicar que una empresa utiliza ChatGPT. Si la herramienta se emplea para redactar textos, analizar contratos, revisar currículums y atender consultas, cada uso debe evaluarse por separado, porque sus implicaciones jurídicas no son iguales.

AI Act: nuevas reglas y consecuencias del incumplimiento

Uno de los principales retos es el denominado Shadow AI o inteligencia artificial en la sombra: herramientas utilizadas por los empleados sin autorización ni conocimiento de la organización. “La empresa es responsable y no vale decir ‘yo no lo sabía’”, subraya Ferrando. Pese a que ninguna organización puede garantizar completamente que estas prácticas no ocurran, sí debe informar, formar y conservar evidencias de las medidas adoptadas. Por ello, se recomienda nombrar a un responsable centralizado, definir herramientas oficiales y contar con perfiles facilitadores que orienten a los equipos sobre los usos permitidos.

La alfabetización en Inteligencia Artificial es otra de las obligaciones fundamentales. No obstante, no puede reducirse a una formación genérica, sino que debe adaptarse a las funciones y los riesgos de cada puesto, mantenerse actualizada y abordar cuestiones como la privacidad, la seguridad, las alucinaciones de los modelos y los sesgos algorítmicos.

La transparencia constituye otra pieza central del reglamento. Los usuarios deben saber cuándo interactúan con una máquina y cuándo reciben contenidos generados o manipulados mediante inteligencia artificial. Un chatbot, por ejemplo, debe identificarse como tal. Del mismo modo, las organizaciones deberán comunicar adecuadamente la generación artificial de determinados textos, imágenes, audios o vídeos, especialmente cuando puedan inducir a confusión.

Pero cumplir con lo que demanda el Reglamento no será suficiente: habrá que poder demostrarlo. Con este propósito, Golive ha desarrollado Veritias, una aplicación web que clasifica los sistemas según el riesgo y el rol de la organización, genera tareas de cumplimiento y permite conservar evidencias. Además, la plataforma incorpora una bóveda documental viva y versionada en la que pueden almacenarse formaciones, acuerdos, políticas internas, análisis y justificantes.