La entrada en vigor de la mayor parte de las obligaciones del Reglamento Europeo de Inteligencia Artificial marcará un nuevo escenario para las organizaciones que utilizan esta tecnología en sus procesos de negocio. A partir del próximo 2 de agosto comenzará la aplicación general de la mayoría de las disposiciones del Reglamento (UE) 2024/1689, conocido como Ley de IA, una norma que establece un marco común para el desarrollo, comercialización y utilización de sistemas de inteligencia artificial dentro de la Unión Europea.
La regulación afecta tanto a las empresas que desarrollan IA como a cualquier organización que la utilice, integre, distribuya, importe o ponga en funcionamiento en sus procesos, productos o servicios.
El contexto de adopción es ya avanzado: según un informe reciente del Banco Central Europeo, el 38% de las empresas de la eurozona se encuentra en una fase avanzada de incorporación de IA. La nueva Ley de IA busca que este despliegue se realice de forma segura, transparente y respetuosa con los derechos fundamentales, sin frenar la innovación. Para ello, contempla sanciones que pueden alcanzar los 35 millones de euros o el 7% del volumen de negocio anual mundial, en función de la gravedad de la infracción.
Excelia, firma española de consultoría, tecnología y servicios profesionales, ha sintetizado en su informe 'Ley de IA: Guía práctica para preparar tu empresa' las diez obligaciones esenciales que deberán asumir las organizaciones:
Identificar dónde se está utilizando IA: inventariar todos los sistemas y herramientas de IA usados en la organización, indicando área, finalidad, datos tratados, proveedor y responsable de uso.
Clasificar los usos según su nivel de riesgo: evaluar el impacto de cada sistema y clasificarlo según el Reglamento para definir controles, documentación y supervisión.
Prevenir usos no autorizados por la normativa: revisar los casos de uso para detectar prácticas prohibidas y descartar desde el inicio aquellas no permitidas, especialmente en manipulación, vulnerabilidades, biometría o reconocimiento de emociones.
Formar a los equipos en el uso responsable de la IA: capacitar a las personas que trabajan con estos sistemas para que comprendan su funcionamiento, límites, riesgos y uso seguro según su rol.
Establecer políticas internas y responsabilidades: definir un modelo de gobierno que marque usos permitidos, datos, autorizaciones y responsabilidades entre áreas, evitando usos no controlados.
Controlar qué datos se usan con la IA: determinar qué datos pueden utilizarse, qué información debe excluirse y qué proveedores pueden acceder a ella, garantizando privacidad, seguridad y confidencialidad.
Informar cuando se utiliza IA: comunicar claramente cuando se interactúa con IA o cuando un contenido ha sido generado o manipulado con Inteligencia Artificial, especialmente si puede confundirse con contenido humano.
Asegurar supervisión humana: garantizar supervisión humana efectiva en procesos relevantes que incorporan IA, sobre todo cuando puedan afectar a personas, derechos, seguridad, salud o decisiones sensibles.
Documentar decisiones, controles, proveedores y evidencias: registrar sistemas, usos, riesgos, proveedores, controles y medidas de supervisión para demostrar un uso controlado y responder ante auditorías o requerimientos.
Mantener el control en el tiempo: revisar periódicamente los usos de IA, actualizar políticas y controles y mantener una visión clara de riesgos, cambios y responsabilidades.
“La Ley de IA llega en un momento en el que cada vez más empresas están incorporando la Inteligencia Artificial en sus procesos, muchas veces sin una visión completa de todos los usos, herramientas y proveedores implicados”, afirma Josep Bardallo, Cybersecurity & Cloud Director de Excelia. “Cumplir con el Reglamento exige hacer ese ejercicio de revisión, entender los riesgos y establecer controles claros. Es una cuestión de cumplimiento, pero también de confianza y de responsabilidad empresarial”, añade.
