El próximo 2 de agosto se ha marcado como fecha para la aplicación general de la mayoría de las obligaciones del Reglamento Europeo de Inteligencia Artificial, oficialmente Reglamento (UE) 2024/1689, con algunas excepciones y periodos transitorios relevantes.
Conocida como la nueva Ley de IA, este Reglamento ha sido aprobado por la Unión Europea para establecer un marco común sobre el desarrollo, la comercialización y el uso de sistemas de Inteligencia Artificial. Un marco normativo necesario, ya que cada vez son más las empresas que están incorporando procesos de IA en su día a día, ya sea de forma oficial u oficiosa.
La nueva Ley de IA tiene como objetivo crear unas reglas comunes para que la Inteligencia Artificial pueda desarrollarse y utilizarse de forma segura, transparente y respetuosa con los derechos fundamentales, sin frenar la innovación. Este Reglamento, que afecta tanto a empresas que desarrollan Inteligencia Artificial como a cualquier organización que la utilice, integre, distribuya, importe o ponga en funcionamiento dentro de sus procesos, productos o servicios, establece sanciones de hasta 35 millones de euros o el 7% del volumen de negocio anual mundial, en función de la gravedad de la infracción.
Bajo este marco, Excelia comparte cuáles son las 10 obligaciones que implica la nueva Ley de IA para las organizaciones:
Identificar dónde se está utilizando IA: El primer paso es identificar e inventariar todos los sistemas y herramientas de Inteligencia Artificial usados en la organización, indicando área, finalidad, datos tratados, proveedor y responsable de uso.
Clasificar los usos según su nivel de riesgo: Tras identificar los sistemas de IA, la organización debe evaluar su impacto y clasificarlos según el Reglamento Europeo de IA para definir los controles, la documentación y la supervisión necesarios.
Prevenir usos no autorizados por la normativa: Las organizaciones deben revisar sus usos de IA para detectar prácticas prohibidas por el Reglamento y descartar desde el inicio aquellas que no estén permitidas, especialmente en ámbitos sensibles como manipulación, vulnerabilidades, biometría o reconocimiento de emociones.
Formar a los equipos en el uso responsable de la IA: La Ley de IA exige formar a las personas que trabajan con estos sistemas para que comprendan su funcionamiento, límites, riesgos y uso seguro según su rol.
Establecer políticas internas y responsabilidades: La adopción de IA requiere un modelo de gobierno que defina usos permitidos, datos, autorizaciones y responsabilidades entre áreas para evitar usos no controlados y asegurar criterios comunes de aprobación y supervisión.
Controlar qué datos se usan con la IA: Las organizaciones deben establecer qué datos pueden usarse en herramientas de IA, qué información debe excluirse y qué proveedores pueden acceder a ella, garantizando privacidad, seguridad y confidencialidad.
Informar cuando se utiliza IA: Las empresas deben informar claramente cuando se interactúa con IA o cuando un contenido ha sido generado o manipulado con Inteligencia Artificial, especialmente si puede confundirse con contenido humano.
Asegurar supervisión humana: Los procesos relevantes que incorporan IA deben contar con supervisión humana efectiva, especialmente cuando puedan afectar a personas, derechos, seguridad, salud o decisiones sensibles.
Documentar decisiones, controles, proveedores y evidencias: Las organizaciones deben documentar sus sistemas de IA, usos, riesgos, proveedores, controles y medidas de supervisión para demostrar un uso controlado y responder ante auditorías o requerimientos.
Mantener el control en el tiempo: Es necesario revisar periódicamente los usos de IA, actualizar políticas y controles, y mantener una visión clara de los riesgos, cambios y responsabilidades asociados.
“La Ley de IA llega en un momento en el que cada vez más empresas están incorporando la Inteligencia Artificial en sus procesos, muchas veces sin una visión completa de todos los usos, herramientas y proveedores implicados. Cumplir con el Reglamento exige hacer ese ejercicio de revisión, entender los riesgos y establecer controles claros. Es una cuestión de cumplimiento, pero también de confianza y de responsabilidad empresarial”, afirma Josep Bardallo, Cybersecurity & Cloud Director de Excelia, que añade: “Muchas organizaciones saben que tienen que prepararse, pero no siempre tienen claro cómo llevar la norma a su realidad diaria. La IA afecta a tecnología, datos, procesos, proveedores, seguridad y decisiones de negocio, por lo que necesita un gobierno bien definido”.
¿Cómo impacta en el mercado mexicano?
Si bien esta nueva normativa se creó y ejerce en una primera mirada al mercado europeo, también impacta a las empresas en México a través de su principio de extraterritorialidad, lo que significa que cualquier compañía mexicana que desarrolle, comercialice o utilice sistemas de IA cuyos resultados o servicios se consuman dentro de la Unión Europea deberá cumplir estrictamente con esta normativa.
Debido al llamado "Efecto Bruselas", las organizaciones en México que operen en el mercado europeo —o formen parte de su cadena de suministro global— enfrentan la obligación de clasificar sus herramientas tecnológicas bajo un enfoque basado en riesgos; si implementan soluciones catalogadas como de "alto riesgo" (por ejemplo, en la gestión de recursos humanos, evaluación crediticia o infraestructura), deberán establecer auditorías, trazabilidad de datos y supervisión humana explícita.
El incumplimiento de estas normas no solo puede costar la exclusión de licitaciones internacionales, sino hacerse acreedores a las multas mencionadas, acelerando además el debate para la futura legislación local en el Congreso mexicano.
