El uso de herramientas de inteligencia artificial ya forma parte del día a día de miles de empresas. ChatGPT, Microsoft Copilot, Gemini, Claude o los asistentes integrados en CRMs y ERPs han dejado de ser una innovación para convertirse en una herramienta habitual de trabajo.
Sin embargo, a medida que aumenta su utilización, también lo hacen las obligaciones legales. El próximo 2 de agosto marca una nueva fase en la aplicación del Reglamento Europeo de Inteligencia Artificial (AI Act), una norma que obligará a muchas organizaciones a demostrar que utilizan la IA de forma segura, transparente y conforme a la legislación europea.
Aunque parte de las obligaciones para los sistemas de alto riesgo se han aplazado recientemente, existen numerosas exigencias que ya son aplicables o que deberán estar preparadas en los próximos meses. La mejor forma de afrontar este cambio es contar con una documentación sólida que permita acreditar el cumplimiento normativo.
¿Por qué es tan importante la documentación?
El AI Act no solo regula el desarrollo de sistemas de inteligencia artificial, sino también su utilización dentro de las empresas.
Esto significa que, ante una inspección o una incidencia, no bastará con afirmar que se utiliza la IA de forma responsable. Será necesario demostrarlo documentalmente.
Del mismo modo que ocurre con el RGPD, el principio de responsabilidad proactiva obliga a las organizaciones a acreditar que han adoptado las medidas necesarias para minimizar riesgos y proteger los derechos de las personas.
En otras palabras: si no está documentado, será muy difícil demostrar que se cumple la normativa.
1. Inventario de herramientas de inteligencia artificial
El primer paso consiste en identificar todas las herramientas de IA utilizadas dentro de la organización.
Y no solo aquellas implantadas oficialmente por la empresa.
También conviene detectar aquellas aplicaciones que utilizan los empleados por iniciativa propia, como:
- ChatGPT
- Microsoft Copilot
- Google Gemini
- Claude
- Perplexity
- Midjourney
- DALL·E
- Notion AI
- Grammarly AI
- Herramientas de transcripción automática
- Plataformas de automatización con IA
Muchas empresas desconocen realmente cuántas aplicaciones de inteligencia artificial están utilizando sus equipos.
Sin este inventario resulta imposible evaluar los riesgos o implantar medidas de control.
2. Clasificación de los sistemas según su nivel de riesgo
No todas las herramientas tienen las mismas obligaciones.
El AI Act distingue diferentes categorías:
- Riesgo mínimo.
- Riesgo limitado.
- Alto riesgo.
- Riesgo inaceptable.
Esta clasificación determinará qué obligaciones debe cumplir cada organización.
Por ejemplo, un chatbot interno que ayuda a redactar documentos no tendrá las mismas exigencias que un sistema que evalúa candidatos en un proceso de selección o que participa en decisiones relacionadas con la salud o la concesión de créditos.
Por ello es recomendable elaborar una matriz donde cada herramienta quede correctamente clasificada.
3. Política interna de uso de la inteligencia artificial
Uno de los documentos más importantes es la política interna de uso de la IA.
Este documento establece las reglas que deben seguir los empleados cuando utilizan herramientas de inteligencia artificial durante su actividad profesional.
Entre otros aspectos debería regular:
- Qué herramientas están autorizadas.
- Qué información puede introducirse.
- Qué datos nunca deben compartirse.
- Cómo revisar las respuestas generadas por IA.
- Qué controles humanos deben mantenerse.
- Cómo actuar ante errores o incidencias.
- Qué responsabilidades tiene cada departamento.
Este tipo de políticas ayudan a reducir riesgos legales, organizativos y de ciberseguridad.
4. Formación y alfabetización en IA
Desde la entrada en vigor del artículo 4 del AI Act, las organizaciones deben garantizar que las personas que utilizan sistemas de inteligencia artificial dispongan de un nivel suficiente de conocimientos.
No basta con impartir una sesión puntual.
Es recomendable conservar evidencias documentales de la formación realizada:
- programas formativos;
- fechas;
- asistentes;
- materiales utilizados;
- evaluaciones realizadas.
En una eventual inspección, estas evidencias podrán acreditar que la empresa ha cumplido con su obligación de formar al personal.
5. Revisión de los contratos con los proveedores de IA
Muchas empresas utilizan plataformas desarrolladas por terceros.
En estos casos conviene revisar:
- los contratos de prestación del servicio;
- el Data Processing Agreement (DPA);
- las condiciones de tratamiento de datos;
- las transferencias internacionales;
- las medidas de seguridad ofrecidas por el proveedor.
Es importante recordar que contratar una herramienta de IA no exime a la empresa de sus responsabilidades como responsable del tratamiento.
6. Actualización de la documentación del RGPD
La utilización de herramientas de inteligencia artificial suele implicar tratamientos adicionales de datos personales.
Por ello conviene revisar si es necesario actualizar:
- el Registro de Actividades de Tratamiento (RAT);
- las políticas de privacidad;
- los análisis de riesgos;
- las Evaluaciones de Impacto (EIPD), cuando procedan;
- las cláusulas informativas;
- los contratos con encargados del tratamiento.
El cumplimiento del AI Act y del RGPD debe abordarse de forma conjunta.
7. Evaluación de riesgos
Cada sistema de IA presenta riesgos diferentes.
Algunos afectan principalmente a la privacidad.
Otros pueden generar sesgos, discriminación, errores automatizados o falta de transparencia.
Resulta recomendable documentar:
- los riesgos identificados;
- su probabilidad;
- su impacto;
- las medidas de mitigación adoptadas;
- los responsables de supervisión.
Esta evaluación permitirá justificar las decisiones adoptadas por la organización.
8. Procedimiento interno de supervisión humana
Uno de los principios fundamentales del AI Act es que la inteligencia artificial no debe sustituir completamente la intervención humana en aquellos procesos donde puedan verse afectados derechos o intereses de las personas.
Por ello conviene documentar:
- quién supervisa cada herramienta;
- cuándo debe intervenir una persona;
- cómo corregir errores;
- cómo registrar incidencias.
La supervisión humana debe formar parte de la gobernanza de la IA.
9. Registro de incidencias y mejoras
Al igual que ocurre con la ciberseguridad, resulta recomendable disponer de un procedimiento para documentar:
- errores detectados;
- respuestas incorrectas;
- filtraciones de información;
- incidencias técnicas;
- acciones correctoras.
Este registro permitirá demostrar una mejora continua del sistema.
10. Plan de gobernanza de la inteligencia artificial
Más allá de documentos aislados, las empresas deberían disponer de un verdadero modelo de gobernanza.
Este plan debería integrar:
- inventario de herramientas;
- responsables internos;
- políticas de uso;
- formación;
- evaluación de riesgos;
- controles periódicos;
- revisión documental;
- mejora continua.
De esta manera la organización podrá demostrar que existe un control efectivo sobre el uso de la inteligencia artificial.
¿Qué ocurre si una empresa no dispone de esta documentación?
La ausencia de documentación no implica automáticamente una sanción.
Sin embargo, sí dificulta enormemente acreditar el cumplimiento del Reglamento.
En caso de inspección, reclamación o incidente, la empresa deberá demostrar que ha actuado con diligencia.
Si no puede hacerlo, aumentan considerablemente los riesgos de responsabilidad.
Además, cada vez es más frecuente que clientes, proveedores y grandes compañías exijan evidencias de cumplimiento antes de contratar determinados servicios.
Por tanto, disponer de esta documentación ya no solo supone una obligación legal, sino también una ventaja competitiva.
El momento de prepararse es ahora
Aunque algunas obligaciones del AI Act se han aplazado, la realidad es que la mayoría de las empresas ya utilizan inteligencia artificial de forma habitual.
Esperar a que llegue una inspección o a que se produzca un incidente no es la mejor estrategia.
Preparar desde ahora la documentación necesaria permitirá implantar la inteligencia artificial con seguridad, minimizar riesgos y adaptarse progresivamente al nuevo marco regulatorio europeo.
¿Tu empresa ya está preparada?
En PymeLegal ayudamos a empresas y organizaciones a implantar la inteligencia artificial de forma segura desde el punto de vista jurídico y organizativo.
A través de nuestro servicio de Compliance IA, revisamos la documentación existente, elaboramos políticas internas, actualizamos la documentación del RGPD, analizamos los riesgos y acompañamos a las empresas en la adaptación al AI Act, para que puedan aprovechar todas las ventajas de la inteligencia artificial con las máximas garantías legales.