El Reglamento (UE) 2024/1689, conocido como Reglamento de Inteligencia Artificial, distingue varios sujetos obligados. El más numeroso, y el que menos se ha dado por aludido, es el responsable del despliegue: la empresa que utiliza un sistema de IA bajo su propia autoridad. Es decir, casi cualquiera.
El enfoque: riesgo, no tecnología
La norma no regula algoritmos, regula usos, y los clasifica por niveles. Hay prácticas prohibidas: manipulación que cause perjuicio, puntuación social o ciertos usos de identificación biométrica; hay sistemas de alto riesgo, que soportan el grueso de las obligaciones; hay sistemas sujetos a deberes de transparencia, como los que interactúan con personas o generan contenido sintético; y hay un régimen propio para los modelos de uso general.
Dónde se equivoca la mayoría de las empresas
En dar por hecho que su uso es de bajo riesgo. El anexo III incluye ámbitos que están en cualquier empresa mediana: empleo (cribado de currículums, decisiones de promoción, asignación de tareas), acceso a servicios esenciales, evaluación de solvencia y determinadas decisiones en materia de seguros. Si su departamento de personal utiliza una herramienta que ordena o descarta candidaturas, es muy probable que esté desplegando un sistema de alto riesgo, con independencia de quién lo haya programado.
Qué obliga al que usa, no al que fabrica
El responsable del despliegue de un sistema de alto riesgo debe, en síntesis: utilizarlo conforme a las instrucciones del proveedor, garantizar una supervisión humana efectiva por personas con competencia y autoridad reales, asegurar la pertinencia de los datos de entrada que estén bajo su control, conservar los registros que genere el sistema, informar a los trabajadores afectados antes de ponerlo en marcha y suspender el uso y comunicar el incidente cuando detecte un riesgo. En el ámbito laboral, además, se cruza con la normativa de protección de datos y con los derechos de información de la representación de los trabajadores.
Hay una obligación transversal que además es la más barata de cumplir y la más olvidada: la alfabetización en materia de IA. La norma exige que el personal que utiliza estos sistemas tenga formación suficiente para entender qué hace la herramienta y qué no. Una sesión documentada y un procedimiento escrito cubren buena parte del expediente.
El calendario
El Reglamento entró en vigor el 1 de agosto de 2024 y aplica de forma escalonada: primero las prácticas prohibidas y los deberes de alfabetización; después las obligaciones de los modelos de uso general; y con posterioridad el grueso del régimen de alto riesgo, con plazos adicionales para los sistemas incorporados a productos ya regulados. Dado que el calendario europeo en esta materia ha sido objeto de propuestas de ajuste, conviene contrastar la fecha aplicable a su caso concreto antes de fijar un plan interno.
Un plan realista en cuatro pasos
- Inventario. Qué herramientas con IA se usan ya en la compañía, incluidas las que ha contratado un departamento sin pasar por dirección. Suele haber más de las que figuran en el presupuesto.
- Clasificación. Para cada una: qué decisión soporta y sobre quién. El criterio no es la potencia del modelo, es el efecto sobre las personas.
- Contratos. Revisar qué declara el proveedor, qué documentación entrega y cómo se reparte la responsabilidad. Es el punto con más margen de negociación y el que casi nadie negocia.
- Gobernanza. Un responsable con nombre, un procedimiento de supervisión humana y un registro de incidencias. Sin esto, lo demás no se sostiene ante una inspección.
Este artículo recoge información general con finalidad divulgativa y no constituye asesoramiento jurídico ni recomendación de inversión. La normativa citada puede haber sido modificada con posterioridad a su publicación; contraste siempre el texto vigente antes de tomar una decisión.