Cumplimiento de la Ley de IA de la UE: lo que toda empresa necesita antes de agosto de 2026

Qué deben preparar las empresas antes de agosto de 2026

La Ley de IA de la UE está pasando del debate normativo a la realidad operativa. Para las empresas que desarrollan, compran, implementan o integran sistemas de IA relacionados con la Unión Europea, la cuestión ya no es si la gobernanza de la IA será importante. La cuestión es si la organización puede demostrar que sus sistemas de IA están clasificados, documentados, supervisados y gestionados de una forma acorde con el riesgo que generan.

La Ley de IA entró en vigor el 1 de agosto de 2024. Sus normas se aplican por etapas. Las prácticas de IA prohibidas y las obligaciones de alfabetización en IA comenzaron a aplicarse el 2 de febrero de 2025. Las obligaciones relativas a los modelos de IA de uso general comenzaron a aplicarse el 2 de agosto de 2025. La Ley será generalmente aplicable el 2 de agosto de 2026, aunque algunos sistemas de alto riesgo, especialmente los integrados en productos regulados, cuentan con periodos transitorios más largos conforme al calendario de aplicación y a las recientes iniciativas de simplificación.

Ese calendario es importante porque muchas organizaciones todavía no disponen de un inventario fiable de los lugares donde se utiliza la IA. Algunos sistemas son evidentes: chatbots orientados al cliente, herramientas automatizadas de toma de decisiones, plataformas de selección de personal asistida por IA, sistemas de detección del fraude o flujos de trabajo médicos, financieros o laborales habilitados mediante IA. Otros son menos visibles: funciones de IA integradas en plataformas SaaS, asistentes para desarrolladores, herramientas de revisión de documentos, flujos de trabajo analíticos, modelos de puntuación de clientes y automatización interna.

Una organización no puede gestionar su preparación para la Ley de IA si no sabe qué sistemas de IA utiliza, qué hacen esos sistemas, qué datos manejan y si afectan a las personas de formas que la normativa considera de mayor riesgo.

El enfoque basado en el riesgo

La Ley de IA de la UE utiliza un marco basado en el riesgo. Esto resulta útil porque reconoce que no todos los sistemas de IA merecen el mismo nivel de escrutinio. Un filtro de spam no es lo mismo que un sistema de IA utilizado en la contratación, la educación, las fuerzas del orden, las infraestructuras críticas, la sanidad o el acceso a servicios esenciales.

En términos generales, el marco separa los sistemas de IA en varias categorías:

• Riesgo inaceptable: Ciertas prácticas están prohibidas, incluidas algunas formas de puntuación social, manipulación perjudicial, explotación de grupos vulnerables y otros usos que la Ley considera incompatibles con los derechos fundamentales y la seguridad pública.
• Alto riesgo: Los sistemas utilizados en contextos sensibles pueden estar sujetos a amplias obligaciones en materia de gestión de riesgos, gobernanza de datos, documentación técnica, registro de actividad, transparencia, supervisión humana, precisión, solidez y ciberseguridad.
• Riesgo limitado: Los sistemas como los chatbots y determinadas herramientas de contenido sintético pueden activar obligaciones de transparencia, entre ellas informar a los usuarios cuando interactúan con una IA o cuando el contenido se ha generado o manipulado artificialmente.
• Riesgo mínimo: Muchos sistemas de IA cotidianos no están sujetos a obligaciones específicas de la Ley de IA, aparte de otras leyes aplicables y de las expectativas habituales de uso responsable.

La conclusión práctica es que la clasificación es lo primero. Antes de que una empresa pueda decidir qué controles debe establecer, necesita comprender en qué categoría encaja cada sistema de IA y qué función desempeña la empresa. ¿Es el proveedor? ¿El responsable del despliegue? ¿Un importador, distribuidor, fabricante del producto o integrador posterior? Estas distinciones afectan a las obligaciones.

La IA de alto riesgo es el ámbito en el que el trabajo operativo se vuelve serio

Los sistemas de IA de alto riesgo son el área en la que muchas empresas deben centrarse. Estos sistemas pueden incluir IA utilizada en decisiones laborales, acceso a la educación, infraestructuras críticas, identificación biométrica, fuerzas del orden, migración y control fronterizo, administración de justicia y acceso a servicios privados o públicos esenciales, dependiendo del caso de uso específico y de las normas de clasificación.

Para los sistemas de alto riesgo, la Ley de IA no pide a las organizaciones que se limiten a publicar una política. Espera un modelo de cumplimiento y gobernanza operativo. Esto puede incluir gestión de riesgos, gobernanza de datos, documentación técnica, registro de actividad, transparencia, supervisión humana, precisión, solidez, ciberseguridad y supervisión posterior a la comercialización.

Este trabajo no consiste únicamente en papeleo jurídico. Tiene consecuencias técnicas. Puede ser necesario mejorar los registros de auditoría de los sistemas. Las canalizaciones de datos pueden necesitar controles de procedencia más sólidos. Es posible que haya que rediseñar los flujos de trabajo de revisión humana. Puede ser necesario supervisar el rendimiento de los modelos. Los contratos con proveedores pueden requerir más detalles. La documentación puede tener que explicar las capacidades, limitaciones, uso previsto y riesgos conocidos del sistema.

En otras palabras, el cumplimiento de la Ley de IA afecta a la arquitectura, el diseño de productos, las compras, la gobernanza de datos, la seguridad, las operaciones y la experiencia de usuario.

Agosto de 2026 no es el momento de empezar

Resulta tentador considerar agosto de 2026 como una fecha límite lejana. Ese es el instinto equivocado. Incluso cuando determinadas obligaciones tienen calendarios escalonados, el trabajo necesario para prepararse no es pequeño.

Las empresas necesitan tiempo para identificar los sistemas de IA, clasificar los riesgos, evaluar las dependencias de los proveedores, documentar el uso previsto, revisar las fuentes de datos, evaluar la supervisión humana, actualizar los procesos de compras, crear órganos de gobernanza e implantar mecanismos de supervisión. Las organizaciones más grandes también deben coordinarse entre los equipos jurídico, de seguridad, producto, ingeniería, datos, cumplimiento, compras, recursos humanos y las distintas áreas de negocio.

Las empresas que esperen hasta que se acerque una fecha límite probablemente descubrirán que su verdadero problema no es la falta de una política, sino la falta de visibilidad operativa.

Puede que no sepan qué funciones de IA están integradas en las plataformas de sus proveedores. Puede que no sepan si un flujo de trabajo interno ha pasado de apoyar las decisiones humanas a influir en decisiones automatizadas. Puede que no sepan si un modelo se está utilizando en un contexto de alto riesgo. También puede que no dispongan de registros de auditoría, documentación o procedimientos de revisión humana adecuados para el papel que desempeña el sistema de IA.

Por eso, el primer paso normalmente no es la subsanación, sino el inventario.

Qué deben hacer ahora las empresas

Un esfuerzo práctico de preparación debería comenzar con una visión clara del entorno de IA. Esto no significa que todos los sistemas necesiten un programa de cumplimiento enorme. Significa que la organización debe saber qué existe antes de decidir qué nivel de gobernanza es adecuado.

• Crear un inventario de IA: Identificar las herramientas internas, los sistemas orientados al cliente, las funciones de IA integradas en soluciones SaaS, las capacidades de IA proporcionadas por proveedores, las herramientas para desarrolladores, los sistemas de análisis y los flujos de trabajo de toma de decisiones automatizadas.
• Clasificar los sistemas según el riesgo: Determinar qué sistemas pueden pertenecer a las categorías de riesgo inaceptable, alto, limitado o mínimo.
• Asignar las funciones organizativas: Determinar si la empresa actúa como proveedor, responsable del despliegue, importador, distribuidor o integrador posterior para cada sistema.
• Identificar posibles sistemas de alto riesgo:Presta especial atención a la IA utilizada en el empleo, la educación, los servicios esenciales, las infraestructuras críticas, los productos sensibles para la seguridad, la atención sanitaria, el acceso financiero u otros entornos regulados.
• Revisa la gobernanza de los datos:Comprende las fuentes de datos de entrenamiento, validación, pruebas, entrada y funcionamiento, incluida su calidad, procedencia, acceso y conservación.
• Evalúa la supervisión humana:Determina dónde las personas revisan los resultados, anulan decisiones, gestionan escalaciones y siguen siendo responsables de los resultados.
• Mejora la documentación:Registra el uso previsto, las limitaciones del sistema, los controles de riesgo, los procedimientos de supervisión, las dependencias de proveedores y los procesos de gestión de cambios.
• Integra la supervisión en las operaciones:Realiza un seguimiento del rendimiento, los errores, la deriva, el comportamiento de los usuarios, los incidentes y los cambios en la forma en que se utilizan los sistemas a lo largo del tiempo.

Nada de esto tiene que comenzar como un enorme proyecto de transformación empresarial. Pero sí tiene que comenzar. La gobernanza de la IA es mucho más difícil de incorporar a posteriori una vez que los sistemas ya se han extendido por toda la organización.

La IA de los proveedores crea un problema de cumplimiento oculto

Muchas empresas no desarrollan internamente todos sus sistemas de IA. Compran plataformas SaaS con funciones de IA, integran API de modelos fundacionales, utilizan asistentes de productividad, adoptan herramientas para desarrolladores y habilitan capacidades de IA dentro de sistemas que ya formaban parte del negocio.

Esto crea un problema de gobernanza que es fácil pasar por alto. Es posible que una empresa no se considere un proveedor de IA, pero aun así puede ser un implementador de sistemas de IA. Puede depender de la documentación del proveedor, pero seguir necesitando comprender cómo se utiliza el sistema en sus propios flujos de trabajo. Puede creer que el proveedor es responsable del comportamiento del modelo, pero seguir siendo responsable de cómo la herramienta afecta a empleados, clientes, candidatos o usuarios.

Las compras y la gestión de proveedores deben ponerse al día. Las empresas deberían preguntar a los proveedores sobre el uso de datos, la documentación del modelo, la clasificación de riesgos, el registro de actividad, la transparencia, la supervisión humana, la conservación, la seguridad, los subcontratistas y el apoyo al cumplimiento de las obligaciones del Reglamento de IA. Estas preguntas deben formar parte de las decisiones de compra, no solo de la revisión jurídica posterior a la adopción.

El cumplimiento no debe convertirse en un teatro de casillas marcadas

El Reglamento de IA generará trámites y documentación. Es inevitable. Pero las organizaciones deben tener cuidado de no reducir la gobernanza de la IA a un ejercicio de documentación.

Una política impecable no demuestra que un sistema de IA sea seguro, justo, explicable, supervisado o adecuado para su caso de uso. Un registro de riesgos no sirve de nada si nadie lo revisa. Un proceso con una persona en el circuito no significa mucho si la persona encargada de revisar carece de contexto, autoridad o tiempo. Una ficha del modelo no basta si el sistema se utiliza fuera de su finalidad prevista.

Una buena gobernanza de la IA conecta la política con las operaciones. Proporciona a los equipos una forma de clasificar el riesgo, tomar decisiones de diseño, supervisar el comportamiento, responder a incidentes y realizar ajustes cuando cambia un sistema. También proporciona a la dirección visibilidad sobre dónde la IA está creando valor empresarial y dónde está generando riesgos.

Cómo Ridiculous Engineering aborda la preparación para el Reglamento de IA

En Ridiculous Engineering, abordamos la gobernanza de la IA como un problema tanto de cumplimiento como de implementación. La interpretación jurídica es importante, y las organizaciones deberían trabajar con asesores cualificados en relación con las obligaciones normativas. Pero muchos de los problemas difíciles son operativos y técnicos: inventario, flujo de datos, documentación, diseño de sistemas, integración de proveedores, supervisión, auditabilidad y supervisión humana.

Ahí es donde deben encontrarse la ingeniería y la gobernanza. Si un sistema de IA trata datos sensibles, influye en decisiones o se integra en un flujo de trabajo crítico para el negocio, el modelo de cumplimiento debe reflejarse en la arquitectura del sistema. El registro de actividad, los controles de acceso, las vías de escalación, la documentación, la supervisión y los procesos de revisión no pueden dejarse para después.

Ayudamos a las organizaciones a analizar esa dimensión práctica. ¿Qué sistemas de IA están en uso? ¿Qué flujos de trabajo generan un mayor riesgo? ¿Por dónde circulan los datos? ¿Qué sistemas dependen de modelos de terceros o de funciones de IA de proveedores? ¿Qué documentación existe? ¿Qué sería difícil demostrar en una auditoría o revisión por parte de un cliente? ¿Qué mejoras deberían realizarse primero?

Para algunos equipos, el primer paso útil es realizar un inventario ligero de la IA y un ejercicio de clasificación de riesgos. Para otros, puede ser la diligencia debida de proveedores, el diseño de flujos de trabajo de gobernanza, la documentación técnica o la planificación de medidas correctivas para sistemas que probablemente se incluyan en una categoría de alto riesgo.

La confianza se está convirtiendo en parte del producto

El Reglamento de IA de la UE es una de las señales más claras de que los sistemas de IA están entrando en una fase de mayor madurez. La pregunta inicial era: «¿Podemos utilizar la IA?». La siguiente pregunta es: «¿Podemos utilizarla de forma responsable, demostrar cómo funciona y seguir gestionándola después del lanzamiento?»

Las empresas que traten el cumplimiento como una casilla que marcar a última hora tendrán dificultades. Puede que sean capaces de producir documentos, pero les resultará más difícil demostrar que la gobernanza llega realmente a los sistemas, flujos de trabajo, proveedores y decisiones en los que se utiliza la IA.

La mejor opción es integrar ahora la gobernanza en el modelo operativo. Haz un inventario de los sistemas. Clasifica el riesgo. Comprende los datos. Asigna las responsabilidades. Documenta el uso previsto. Diseña una supervisión humana allí donde sea importante. Supervisa el comportamiento después de la implementación.

Si tu organización necesita ayuda para prepararse para los requisitos de gobernanza de la IA, evaluar sistemas de IA o convertir las expectativas normativas en controles técnicos y operativos prácticos, Ridiculous Engineering puede ayudarte. Trabajamos con clientes para conectar los objetivos de cumplimiento con la arquitectura, los flujos de trabajo y la documentación necesarios para respaldarlos.

La confianza no es un eslogan en la IA. Se está convirtiendo en parte del producto. Las organizaciones que lo comprendan pronto estarán en mejor posición que aquellas que intenten incorporar la confianza a posteriori, cuando el sistema ya esté en funcionamiento.

Fuentes y lecturas adicionales: Comisión Europea: marco normativo y calendario de la Ley de IA, Ley de Inteligencia Artificial de la UE: normas de clasificación del artículo 6 para sistemas de IA de alto riesgo, Cloud Security Alliance: preparación para el plazo de cumplimiento de la Ley de IA de la UE aplicable a sistemas de alto riesgo, Baker McKenzie: Reglamento de la UE sobre IA, Bird & Bird: guía sobre la Ley de Inteligencia Artificial de la Unión Europea