¿Qué es el AI Act y qué implica para las empresas?

La inteligencia artificial ya forma parte del día a día de muchas organizaciones. Asistentes virtuales, herramientas de IA generativa, sistemas de recomendación, automatización de procesos, análisis predictivo o soluciones de apoyo a la toma de decisiones son solo algunos ejemplos de una adopción que continúa acelerándose.

Pero a medida que aumenta el uso de estas tecnologías, también surge una nueva necesidad: garantizar que la inteligencia artificial se utiliza de forma segura, transparente y responsable.

Con este objetivo, la Unión Europea aprobó el Reglamento de Inteligencia Artificial, conocido como AI Act, un nuevo marco regulatorio que introduce obligaciones para el desarrollo, comercialización y utilización de sistemas de inteligencia artificial.

Para las empresas, la cuestión ya no es únicamente cómo aprovechar las posibilidades de la IA, sino también qué sistemas están utilizando, qué riesgos presentan y qué responsabilidades implica su uso.

¿Qué es el AI Act?

El AI Act, publicado como Reglamento (UE) 2024/1689, establece un marco común para regular la inteligencia artificial dentro de la Unión Europea.

Su alcance es transversal: puede afectar tanto a organizaciones que desarrollan sistemas de IA como a aquellas que los comercializan, distribuyen, implantan o utilizan en sus procesos.

Además, su alcance no se limita necesariamente a empresas establecidas dentro de la Unión Europea. En determinadas circunstancias, también puede aplicarse a organizaciones de terceros países cuando los resultados producidos por sus sistemas de IA se utilizan dentro del mercado europeo.

El objetivo del reglamento es encontrar un equilibrio entre dos prioridades: favorecer la innovación y competitividad en inteligencia artificial y proteger la seguridad, la salud y los derechos fundamentales de las personas.

Para conseguirlo, el AI Act adopta un principio fundamental: no toda la inteligencia artificial implica el mismo nivel de riesgo.

Un enfoque basado en el riesgo

Una de las claves para entender el AI Act es su modelo de clasificación. En lugar de imponer las mismas obligaciones a cualquier sistema de inteligencia artificial, establece distintos niveles en función del riesgo asociado a su utilización.

Riesgo inaceptable

Son aplicaciones de IA consideradas incompatibles con los valores y derechos fundamentales de la Unión Europea y, salvo las excepciones previstas por la normativa, están prohibidas.

Entre ellas se encuentran determinadas prácticas de manipulación del comportamiento, explotación de vulnerabilidades, puntuación social o determinados usos de identificación biométrica remota.

Alto riesgo

Son sistemas que pueden tener un impacto significativo sobre las personas o determinadas actividades críticas.

Pueden encontrarse, entre otros, en ámbitos como:

• Infraestructuras críticas
• Sanidad
• Educación
• Empleo y recursos humanos
• Servicios financieros
• Administración pública
• Justicia
• Migración y control de fronteras.

Estos sistemas no están prohibidos, pero están sujetos a requisitos especialmente exigentes relacionados con aspectos como la gestión de riesgos, calidad de los datos, documentación, trazabilidad, supervisión humana o ciberseguridad.

Riesgo limitado

Determinados sistemas pueden utilizarse, pero están sujetos a obligaciones específicas de transparencia.

Por ejemplo, dependiendo de la aplicación y de las condiciones establecidas por el reglamento, puede ser necesario informar a las personas de que están interactuando con un sistema de IA o de que determinado contenido ha sido generado o manipulado mediante inteligencia artificial.

Riesgo mínimo o nulo

Una gran parte de las aplicaciones de inteligencia artificial se encuentra en esta categoría y no está sujeta a obligaciones específicas derivadas del AI Act, aunque puede seguir estando afectada por otras normativas.

La consecuencia de este enfoque es especialmente importante para las empresas: antes de determinar qué medidas deben adoptar, necesitan saber qué sistemas de IA utilizan y cómo se clasifican.

¿Cuándo empieza a aplicarse el AI Act?

El AI Act entró en vigor el 1 de agosto de 2024, pero sus obligaciones se están aplicando progresivamente.

Entre los principales hitos del calendario se encuentran:

• 2 de febrero de 2025: comienzan a aplicarse las prohibiciones sobre determinados usos de riesgo inaceptable y las disposiciones relativas a la alfabetización en IA.
• 2 de agosto de 2025: entran en aplicación obligaciones para proveedores de modelos de IA de propósito general (GPAI).
• 2 de agosto de 2026: comienza una nueva fase relevante del reglamento, incluyendo obligaciones de transparencia para determinados sistemas de IA y otras disposiciones que afectan a proveedores y organizaciones usuarias.
• 2 de diciembre de 2027: está prevista la aplicación de la mayor parte de las obligaciones para los sistemas de alto riesgo incluidos en el Anexo III.
• 2 de agosto de 2028: culmina el calendario previsto con disposiciones pendientes relacionadas con sistemas integrados en determinados productos regulados.

Este calendario progresivo no significa que las organizaciones deban esperar hasta la siguiente fecha regulatoria para actuar. Al contrario, identificar ahora los sistemas utilizados y evaluar su situación permite anticiparse a las obligaciones aplicables y evitar una adaptación precipitada.

¿Qué implica el AI Act para las empresas?

Uno de los principales cambios introducidos por el AI Act es que la gestión de la inteligencia artificial deja de ser exclusivamente una cuestión tecnológica.

Las organizaciones necesitan incorporar una dimensión adicional de gobernanza, control y responsabilidad sobre los sistemas de IA que desarrollan, adquieren o utilizan.

En la práctica, esto implica trabajar sobre varios ámbitos.

1. Saber qué inteligencia artificial utiliza la organización

El primer reto puede parecer sencillo, pero no siempre lo es.

Una empresa puede utilizar IA a través de herramientas corporativas, aplicaciones contratadas a terceros, funcionalidades incorporadas en plataformas existentes o soluciones utilizadas directamente por empleados.

Por ello, uno de los primeros pasos consiste en construir un inventario de sistemas y casos de uso de IA que permita conocer qué herramientas existen, para qué se utilizan, qué datos emplean, quién es responsable de ellas y qué proveedores intervienen.

2. Evaluar el nivel de riesgo

Una vez identificados los sistemas, es necesario analizar cómo encajan dentro del enfoque de riesgo establecido por el AI Act.

Esta clasificación permite determinar qué obligaciones pueden resultar aplicables y, sobre todo, priorizar los sistemas que requieren mayor atención.

3. Establecer mecanismos de gobernanza

La incorporación de nuevas herramientas de IA no debería producirse sin mecanismos claros de control.

Las organizaciones necesitan definir responsabilidades, políticas internas y procedimientos para evaluar nuevos casos de uso, supervisar los sistemas existentes y gestionar posibles incidencias.

El objetivo es pasar de una adopción de IA dispersa a un modelo en el que la organización tenga visibilidad y control sobre cómo utiliza esta tecnología.

4. Garantizar transparencia y trazabilidad

Dependiendo del sistema y del papel que desempeñe la empresa, pueden existir obligaciones relacionadas con la transparencia, documentación, registros de actividad o evidencias de cumplimiento.

Esto hace necesario revisar no solo cómo funciona cada sistema, sino también qué información existe sobre él y si la organización puede demostrar cómo lo está gestionando.

5. Preparar a las personas

La gobernanza de la IA no depende únicamente de los equipos tecnológicos.

Directivos, áreas de negocio, Recursos Humanos, equipos técnicos y usuarios finales pueden interactuar con sistemas de inteligencia artificial y tomar decisiones relacionadas con su utilización.

Por ello, la alfabetización en IA (AI Literacy) constituye también una parte relevante de la preparación de las organizaciones.

¿Cómo empezar a prepararse?

Adaptarse al AI Act no significa necesariamente transformar de inmediato todos los procesos relacionados con inteligencia artificial.

El primer paso es más básico: conocer el punto de partida.

Una organización debería poder responder, al menos, a estas preguntas:

• ¿Sabemos qué sistemas y herramientas de IA estamos utilizando?
• ¿Conocemos los casos de uso y las áreas de negocio en las que se aplican?
• ¿Sabemos qué datos y modelos intervienen?
• ¿Hemos evaluado el nivel de riesgo de cada sistema?
• ¿Tenemos responsables y mecanismos de gobernanza definidos?
• ¿Disponemos de la documentación y trazabilidad necesarias
• ¿Nuestros equipos cuentan con un nivel adecuado de conocimiento sobre IA y sus responsabilidades?

Si alguna de estas preguntas no tiene una respuesta clara, existe un primer ámbito sobre el que trabajar.

Del cumplimiento a una gobernanza responsable de la IA

El AI Act no debería entenderse únicamente como una obligación regulatoria.

También representa una oportunidad para que las organizaciones conozcan mejor cómo están utilizando la inteligencia artificial y establezcan un modelo que permita adoptar nuevas soluciones de manera más controlada, segura y escalable.

Al igual que ha ocurrido con la protección de datos o la ciberseguridad, la gobernanza de la IA puede convertirse progresivamente en una capacidad permanente dentro de las organizaciones.

El reto, por tanto, no consiste únicamente en cumplir una normativa, sino en crear las condiciones necesarias para utilizar la inteligencia artificial de forma responsable mientras continúa evolucionando su adopción.

¿Está preparada tu organización para el AI Act?

Antes de definir una estrategia de adaptación, es necesario conocer la situación actual.

El AI Readiness Assessment de Structurit permite evaluar el punto de partida de una organización analizando:

• los sistemas y casos de uso de IA existentes
• las herramientas y modelos utilizados
• las fuentes de datos
• el nivel de riesgo asociado a cada sistema
• y las principales brechas respecto a los requisitos del AI Act.

Como resultado, la organización obtiene un inventario de sistemas de IA, una clasificación de riesgos, un análisis de brechas y una hoja de ruta priorizada para avanzar en su adaptación.

¿Está preparada tu organización?

Antes de adaptarse al AI Act, es necesario conocer qué sistemas de IA utiliza la organización, qué nivel de riesgo presentan y cuáles son las principales brechas respecto al reglamento.

Structurit puede ayudarte a evaluar tu punto de partida y definir una hoja de ruta de adaptación.