El Reglamento Europeo de IA (AI Act) incorpora desde el 2 de agosto de 2026 nuevas obligaciones de transparencia y supervisión. No prohíbe usar IA: exige que cada empresa sepa qué sistemas utiliza, con qué datos, qué decisiones condicionan y quién responde si algo falla.
Europa no ha prohibido la inteligencia artificial. Exige que las empresas sepan qué sistemas utilizan, con qué datos trabajan, qué decisiones pueden condicionar y quién responde cuando algo falla.
El Reglamento Europeo de Inteligencia Artificial, o AI Act, está en vigor desde 2024 y se aplica por fases. Desde el 2 de agosto de 2026 incorpora nuevas obligaciones de transparencia, supervisión y control. En Recoletos Consultores ayudamos a empresas y despachos profesionales a poner orden en este proceso.
Qué cambia realmente en 2026
Los sistemas prohibidos y la obligación de alfabetización en IA son aplicables desde febrero de 2025. Desde agosto de 2026 se aplica buena parte del Reglamento, incluidas las obligaciones de transparencia del artículo 50.
Las obligaciones específicas para muchos sistemas de alto riesgo del Anexo III se aplicarán desde el 2 de diciembre de 2027. Para determinados sistemas integrados en productos regulados del Anexo I, la fecha será el 2 de agosto de 2028.
Esto no significa que las empresas puedan esperar. Todavía tienen margen para ordenar una realidad que muchas ya gestionan sin control.
Qué debe revisar una empresa
El primer paso no es comprar una herramienta de cumplimiento. Es saber qué IA utiliza realmente la organización.
Muchas empresas ya usan IA en marketing, atención al cliente, recursos humanos, seguros, scoring, gestión documental o informes. A menudo, ese uso ha crecido sin política interna, inventario ni control sobre los datos introducidos, el mismo punto ciego que vemos al revisar programas de gestión de riesgos empresariales mal dimensionados.
Desde febrero de 2025, proveedores y responsables del despliegue deben garantizar un nivel suficiente de alfabetización en IA. Los empleados no tienen que convertirse en técnicos, pero sí comprender qué puede hacer la herramienta, cuáles son sus límites, qué riesgos tiene y qué usos están permitidos. Para reforzar esta alfabetización con casos prácticos del día a día profesional, canales como el canal de Telegram de ThynkIA son un buen punto de partida.
Desde agosto de 2026 también cobran importancia las obligaciones de transparencia. Si una persona interactúa directamente con una IA, debe saberlo, salvo que resulte evidente. Hay además obligaciones específicas para determinados contenidos sintéticos, deepfakes, reconocimiento de emociones, categorización biométrica y textos generados por IA sobre asuntos de interés público.
Cinco casos prácticos
1. ChatGPT, Copilot o asistentes para redactar informes
Utilizar IA generativa para resumir documentos, redactar propuestas o preparar borradores no convierte automáticamente el proceso en alto riesgo.
La empresa debería definir qué datos pueden introducirse, qué información debe quedar fuera, quién revisa las respuestas y cuándo puede utilizarse el contenido generado.
El riesgo aparece cuando se aceptan resultados sin comprobarlos o se introducen datos personales en herramientas no evaluadas. Tampoco existe una obligación general de indicar que cada informe interno ha sido redactado con IA; depende del uso.
2. Chatbots de atención al cliente
Cuando una persona interactúa directamente con una IA, debe saberlo si no resulta evidente.
Esto afecta a chatbots de captación, asistentes de atención al cliente, agentes conversacionales y sistemas de respuesta automatizada. No basta con esconderlo en una política legal: el usuario debe saber desde la primera interacción si está hablando con una máquina y cuándo puede intervenir una persona.
3. Sistemas de selección y evaluación de empleados
Los sistemas de IA utilizados para contratar, filtrar candidaturas, evaluar candidatos, decidir promociones, asignar tareas o supervisar el rendimiento pueden clasificarse como sistemas de alto riesgo.
Si la IA influye de forma relevante en una decisión laboral, la empresa debe analizar qué datos utiliza, qué criterios pondera, qué sesgos puede introducir y quién puede revisar o corregir el resultado.
4. Sistemas biométricos y cámaras de fichaje
No toda cámara de fichaje es automáticamente un sistema de IA de alto riesgo.
El Reglamento distingue entre identificación biométrica remota y verificación biométrica. La verificación uno a uno, destinada a confirmar que una persona es quien dice ser, queda fuera de la categoría de identificación biométrica remota de alto riesgo.
La situación cambia si identifica a una persona entre muchas, realiza categorización biométrica, reconocimiento de emociones o supervisa trabajadores. Aunque no sea de alto riesgo, puede tener implicaciones en protección de datos y relaciones laborales.
La pregunta no es si hay una cámara, sino qué hace el sistema con los datos y para qué utiliza el resultado.
5. IA aplicada a seguros, vida y salud
El sector asegurador debe prestar especial atención a los sistemas de IA utilizados para evaluar riesgos o fijar precios en seguros de vida y salud, porque aparecen expresamente en el Anexo III. Ya lo señalábamos al analizar cómo se usa realmente la IA en los seguros de empresa: la clave está en la revisión humana antes de cada decisión relevante.
No es lo mismo ordenar documentación interna que clasificar personas, calcular riesgos o influir en condiciones que afectan al cliente. El análisis debe centrarse en la finalidad, los datos, el impacto sobre la persona y el grado de intervención humana.
¿Tu programa de seguros cubre ya el riesgo regulatorio de la IA?
El uso de IA sin controles puede derivar en sanciones, reclamaciones y responsabilidad de administradores. Revisa si tu seguro de Responsabilidad Civil y Ciber está dimensionado para este nuevo escenario.
Ver coberturas de RC y Ciber →Proveedor y responsable del despliegue no son lo mismo
El proveedor desarrolla un sistema de IA o lo comercializa bajo su nombre o marca. El responsable del despliegue es la empresa que lo utiliza bajo su autoridad en una actividad profesional.
Esta será la posición habitual de una pyme que usa ChatGPT, un chatbot, un software de selección o una herramienta de scoring externa.
En los sistemas de alto riesgo, el proveedor asume buena parte de las obligaciones técnicas: gestión de riesgos, documentación, registros, evaluación de conformidad y seguimiento.
La empresa usuaria debe seguir las instrucciones, asignar supervisión humana, vigilar el funcionamiento y conservar los registros bajo su control. Puede pasar a ser considerada proveedor si modifica sustancialmente el sistema, cambia su finalidad o lo comercializa bajo su propia marca. Es el mismo desplazamiento de responsabilidad hacia el órgano de administración que ya vemos en la convergencia entre ciberseguridad e inteligencia artificial: no basta con delegar en el proveedor, hay que poder demostrar diligencia.
Este es precisamente el tipo de análisis que incorpora una buena consultoría en seguros: no basta con contratar una póliza, hay que revisar si el programa cubre los nuevos riesgos regulatorios antes de que se materialicen.
Checklist práctico para empresas
Una empresa debería poder responder a estas preguntas:
- ¿Qué herramientas de IA utiliza y para qué tareas?
- ¿Quién las utiliza y qué datos introduce?
- ¿Alguna herramienta afecta a clientes, empleados, candidatos o personas físicas?
- ¿Existe intervención humana antes de tomar decisiones relevantes?
- ¿Se informa al usuario cuando interactúa con una IA?
- ¿Se utiliza IA en selección, scoring, seguros, fichaje o atención al cliente?
- ¿Las personas que usan estas herramientas tienen formación suficiente?
Este inventario permite distinguir entre obligaciones mínimas, transparencia y alto riesgo.
Errores frecuentes
El Reglamento no afecta solo a grandes tecnológicas. También puede afectar a empresas que utilizan IA en sus procesos.
Usar ChatGPT no está prohibido. Lo que debe controlarse es el uso, los datos introducidos, la revisión humana y la transparencia cuando corresponda.
Tampoco debe etiquetarse todo como alto riesgo. La clasificación depende de la finalidad, el contexto, las personas afectadas y el tipo de decisión.
No conviene dejar la revisión para 2027. La alfabetización en IA, las prohibiciones y la transparencia ya están en marcha.
Y el proveedor no lo resuelve todo. La empresa usuaria también tiene responsabilidades cuando decide dónde se aplica el sistema, con qué datos y sobre qué personas.
Sanciones y riesgos empresariales
El Reglamento prevé sanciones de hasta 35 millones de euros o el 7 % del volumen de negocio mundial anual para los incumplimientos más graves, y hasta 15 millones de euros o el 3 % para otras infracciones relevantes.
En las pymes se tiene en cuenta la proporcionalidad y, con carácter general, se aplica el menor de los límites previstos.
Pero el riesgo no se limita a las multas. Utilizar IA sin controles puede provocar decisiones erróneas, discriminación, fugas de información, conflictos laborales, reclamaciones y daños reputacionales.
La multa puede llegar al final. El problema operativo suele aparecer mucho antes.
Qué debería hacer ahora una empresa
El camino razonable empieza por cinco pasos:
- Hacer un inventario de las herramientas de IA utilizadas.
- Clasificar cada uso según su finalidad, los datos y el impacto.
- Diferenciar proveedor, responsable del despliegue y usuarios internos.
- Definir reglas de uso, revisión humana y datos permitidos.
- Formar a las personas que trabajan con IA y documentar los controles básicos.
A partir de ahí, la empresa puede priorizar: primero los usos prohibidos o sensibles; después, los sistemas que interactúan con personas; luego, los que afectan a trabajadores, candidatos, clientes, seguros o decisiones económicas; y, por último, los usos internos de bajo riesgo.
Preguntas frecuentes sobre el Reglamento Europeo de IA
Sí. Entró en vigor en 2024 y se aplica por fases. Algunas obligaciones son aplicables desde febrero de 2025 y otras desde agosto de 2026.
No. El Reglamento no prohíbe usar ChatGPT, Copilot u otras herramientas de IA generativa.
No necesariamente. Hay que distinguir entre verificación biométrica uno a uno e identificación biométrica remota.
Por un inventario de sistemas de IA. Sin saber qué herramientas se utilizan, con qué datos y para qué decisiones, no se puede clasificar el riesgo ni definir controles.
Conclusión: gestionar la IA como un proceso, no como una herramienta más
La Ley Europea de IA no obliga a frenar la innovación. Obliga a poner orden.
La empresa que ya utiliza IA necesita saber qué herramientas tiene, quién las usa, qué datos procesan, qué decisiones condicionan y quién supervisa los resultados.
La IA ya no puede gestionarse como una herramienta más. Debe gestionarse como un proceso.
Si tu empresa utiliza IA en atención al cliente, selección, seguros, scoring, fichaje, informes o toma de decisiones, el primer paso es hacer una radiografía real de los sistemas utilizados y de las responsabilidades asociadas.
Haz la radiografía de IA de tu empresa antes de que te la pidan
Inventario de herramientas, clasificación de riesgo y cobertura de seguros ajustada a la nueva normativa. Sin compromiso.
Solicitar diagnóstico gratuito →
