Cándido Povedano, director de Asfalion Asesores, delegación de Recoletos Consultores, recuerda que desde el 2 de agosto de 2026, el Reglamento Europeo de Inteligencia Artificial, conocido como AI Act, incorpora nuevas obligaciones de transparencia, supervisión y control para las empresas que utilizan sistemas de IA. «La norma no prohíbe el uso de herramientas como ChatGPT, Copilot, chatbots o sistemas automatizados, pero sí exige que las organizaciones sepan qué sistemas emplean, con qué datos trabajan, qué decisiones pueden condicionar y quién responde si algo falla», concreta. 

Según explica el directivo, el Reglamento está en vigor desde 2024 y se aplica por fases. Las prácticas prohibidas y la obligación de alfabetización en IA son aplicables desde febrero de 2025. Desde agosto de 2026 se refuerzan las obligaciones de transparencia, especialmente cuando una persona interactúa directamente con una IA o cuando se utilizan determinados contenidos sintéticos, sistemas biométricos o herramientas de categorización. Las obligaciones específicas para muchos sistemas de alto riesgo del Anexo III se aplicarán desde el 2 de diciembre de 2027, mientras que determinados sistemas integrados en productos regulados del Anexo I lo harán desde el 2 de agosto de 2028.

No obstante, Povedano advierte de que las empresas no deberían esperar a esas fechas para revisar su exposición. “El primer paso no es comprar una herramienta de cumplimiento. Es saber qué IA utiliza realmente la organización”, señala.

En su opinión, el análisis identifica varios ámbitos especialmente sensibles. En el uso de IA generativa para redactar informes, resumir documentos o preparar propuestas, la empresa debe definir qué datos pueden introducirse, qué información debe quedar fuera y quién valida los resultados. En los chatbots de atención al cliente, el usuario debe saber cuándo está interactuando con una IA si no resulta evidente.

Así mismo añade que también requieren especial atención los sistemas de selección y evaluación de empleados, que pueden influir en contrataciones, promociones, asignación de tareas o supervisión del rendimiento. «En estos casos, la empresa debe analizar los datos utilizados, los posibles sesgos, el peso de la recomendación automatizada y la intervención humana disponible».

Para Povedano, la biometría es otro de los puntos que genera más confusión. «No toda cámara de fichaje facial es automáticamente un sistema de IA de alto riesgo. El Reglamento distingue entre verificación biométrica uno a uno e identificación biométrica remota. La clave está en determinar qué hace realmente el sistema con los datos y para qué se utiliza el resultado», explica.

En el sector asegurador, el directivo concreta que los sistemas de IA empleados para evaluar riesgos o fijar precios en seguros de Vida y Salud aparecen expresamente en el Anexo III. Por ello, incide, «no debe tratarse igual una herramienta que ordena documentación interna que otra que clasifica personas, calcula riesgos o influye en condiciones aplicables a un cliente».

Povedano subraya además la importancia de diferenciar entre proveedor y responsable del despliegue. El proveedor desarrolla o comercializa el sistema; la empresa usuaria decide cómo lo aplica en su actividad. Aunque el proveedor asuma gran parte de las obligaciones técnicas, la organización que utiliza la herramienta debe seguir instrucciones, asignar supervisión humana, vigilar el funcionamiento y conservar los registros bajo su control.

Por último, desde Recoletos Consultores señalan que el AI Act prevé sanciones de hasta 35 millones de euros o el 7% del volumen de negocio mundial anual para los incumplimientos más graves, y de hasta 15 millones de euros o el 3% para otras infracciones relevantes. Sin embargo, los riesgos empresariales pueden aparecer antes de una sanción: decisiones erróneas, discriminación, fugas de información, conflictos laborales, reclamaciones o daños reputacionales. 

Por ello, para iniciar la adaptación, recomiendan a las empresas realizar un inventario de herramientas de IA, clasificar cada uso según su finalidad, datos e impacto, diferenciar responsabilidades, establecer reglas internas de uso y formar a las personas que trabajan con estos sistemas.

“La IA ya no puede gestionarse como una herramienta más. Debe gestionarse como un proceso”, concluye Cándido Povedano.