El Reglamento de Inteligencia Artificial para empresas se ha convertido en una de las principales prioridades regulatorias de la Unión Europea. El Reglamento UE 2024/1689 establece un marco jurídico común para el desarrollo, la comercialización y el uso de sistemas de inteligencia artificial dentro del mercado europeo.
Su impacto no se limita a las compañías tecnológicas. También puede afectar a empresas que utilizan herramientas de IA en recursos humanos, marketing, atención al cliente, análisis de riesgos, logística, sanidad, educación o prestación de servicios profesionales.
La normativa de IA para empresas en 2026 obliga a revisar no solo la tecnología utilizada, sino también su finalidad, su nivel de riesgo y el papel jurídico que asume cada organización. Por este motivo, la adaptación exige una respuesta coordinada entre las áreas jurídica, tecnológica, de cumplimiento y de dirección.
A continuación, analizamos las principales obligaciones y las medidas que deberían considerar las empresas para anticiparse al nuevo marco europeo.
¿Qué establece el Reglamento UE 2024/1689?
El Reglamento UE 2024/1689 persigue la creación de un marco armonizado para el desarrollo y el uso de sistemas de inteligencia artificial en la Unión Europea.
La norma pretende favorecer una IA fiable y centrada en el ser humano. Al mismo tiempo, busca proteger la salud, la seguridad y los derechos fundamentales frente a usos que puedan generar riesgos relevantes.
Otro de sus objetivos consiste en reducir la fragmentación normativa entre los Estados miembros. La existencia de reglas comunes facilita la comercialización de sistemas de IA y proporciona mayor seguridad jurídica a las empresas.
El Reglamento fue publicado el 12 de julio de 2024 y entró en vigor el 1 de agosto de 2024. Su aplicación es escalonada y su aplicación general está prevista desde el 2 de agosto de 2026, sin perjuicio de los plazos específicos establecidos para determinadas disposiciones.
La versión oficial del texto puede consultarse en EUR-Lex, portal jurídico de la Unión Europea.
Un marco europeo basado en el nivel de riesgo
El Reglamento adopta un enfoque basado en el riesgo. Esto significa que las obligaciones aplicables dependen de la finalidad del sistema, del contexto en el que se utiliza y del impacto potencial que pueda producir.
De forma general, el marco distingue entre:
- Prácticas de inteligencia artificial prohibidas.
- Sistemas de IA de alto riesgo.
- Sistemas sujetos a obligaciones específicas de transparencia.
- Modelos de IA de uso general.
Las prácticas prohibidas comprenden determinados usos considerados incompatibles con los valores de la Unión Europea. Entre ellos se encuentran ciertos sistemas dirigidos a manipular de forma sustancial el comportamiento humano o a explotar vulnerabilidades asociadas a la edad, la discapacidad o la situación social o económica.
Los sistemas de alto riesgo quedan sometidos a controles más exigentes. La clasificación no depende exclusivamente de la tecnología utilizada, sino también de la finalidad concreta y del ámbito de aplicación.
Por tanto, una misma herramienta puede recibir un tratamiento jurídico diferente según el uso que realice la empresa.
¿Por qué afecta también a empresas no tecnológicas?
El Reglamento no regula únicamente a quienes desarrollan inteligencia artificial. También contempla obligaciones para quienes incorporan estos sistemas a sus procesos, productos o servicios.
Una empresa puede verse afectada cuando utiliza IA para seleccionar candidatos, evaluar empleados, analizar la solvencia de clientes, personalizar campañas publicitarias o automatizar la atención al público.
También pueden quedar comprendidos determinados usos en sanidad, seguros, educación, industria, logística y servicios profesionales.
Por ejemplo, una compañía que utiliza una herramienta externa para filtrar currículums no se convierte necesariamente en desarrolladora. Sin embargo, puede asumir responsabilidades como responsable del despliegue, dependiendo de las características y la finalidad del sistema.
Reglamento de Inteligencia Artificial: empresas afectadas
El ámbito de aplicación del Reglamento es amplio. La norma contempla diferentes categorías de operadores en función de la actividad que desarrollan en relación con un sistema de IA.
Entre los principales sujetos se encuentran los proveedores, los responsables del despliegue, los importadores, los distribuidores y determinados fabricantes.
La identificación correcta del rol empresarial constituye un paso esencial. Las obligaciones no son idénticas para todos los operadores y pueden variar de forma significativa.
Proveedores, responsables del despliegue y distribuidores
El proveedor es, de forma general, la persona física o jurídica que desarrolla un sistema de IA o un modelo de IA de uso general y lo introduce en el mercado o lo pone en servicio bajo su nombre o marca.
El responsable del despliegue es quien utiliza un sistema de IA bajo su autoridad, salvo determinados usos personales de carácter no profesional.
Por su parte, los importadores y distribuidores intervienen en la cadena de comercialización. También pueden asumir deberes específicos relacionados con la comprobación de la conformidad, la documentación y la cooperación con las autoridades.
Una misma empresa puede asumir funciones distintas. Esto dependerá de si utiliza el sistema internamente, lo comercializa, lo integra en un producto propio o realiza modificaciones relevantes.
Por ejemplo, una empresa que personaliza profundamente una solución externa y la ofrece bajo su propia marca podría dejar de actuar únicamente como usuaria. El análisis debe realizarse atendiendo a las circunstancias concretas.
Alcance extraterritorial del Reglamento
El Reglamento UE 2024/1689 también puede afectar a operadores establecidos fuera de la Unión Europea.
Esto puede ocurrir cuando los resultados generados por un sistema de IA se utilizan dentro de la Unión. La finalidad es evitar que la ubicación del proveedor permita eludir la protección prevista por la norma.
No obstante, la aplicación extraterritorial no debe afirmarse de manera automática. Es necesario revisar la estructura de la operación, la localización de los usuarios, la utilización de los resultados y el papel de cada parte.
Principales obligaciones de la normativa IA para empresas en 2026
Las obligaciones concretas dependen de la clasificación del sistema y del rol jurídico de la organización. No todas las empresas deberán cumplir los mismos requisitos.
| Área de cumplimiento | Posible exigencia | Impacto empresarial |
|---|---|---|
| Gestión de riesgos | Identificación y control continuado de riesgos | Creación de procedimientos internos y responsables |
| Gobernanza de datos | Revisión de calidad, procedencia y adecuación de datos | Mayor control sobre conjuntos de datos y sesgos |
| Documentación técnica | Conservación de información sobre el sistema | Necesidad de evidencias y trazabilidad |
| Conservación de registros | Registro de eventos y funcionamiento | Refuerzo del control y la supervisión |
| Supervisión humana | Intervención efectiva de personas autorizadas | Formación y asignación clara de responsabilidades |
| Transparencia | Información a usuarios y personas afectadas | Adaptación de comunicaciones y procesos |
| Precisión y solidez | Funcionamiento adecuado y resistente | Pruebas, validaciones y seguimiento |
| Ciberseguridad | Protección frente a ataques y manipulaciones | Coordinación con seguridad de la información |
| Formación interna | Capacitación de empleados y responsables | Desarrollo de competencias específicas |
| Gestión de proveedores | Revisión contractual y técnica | Mayor diligencia en compras tecnológicas |
Esta tabla ofrece una visión general. La existencia de una posible exigencia no implica que resulte aplicable automáticamente a todas las empresas.
Sistemas de IA de alto riesgo
Los sistemas de IA de alto riesgo están sujetos a requisitos reforzados. Entre ellos destacan la gestión continuada de riesgos, la gobernanza de datos, la documentación técnica y la conservación de registros.
También deben contemplarse mecanismos de supervisión humana. Esta supervisión debe ser real y efectiva, no una intervención meramente formal.
La precisión, la solidez y la ciberseguridad también ocupan una posición central. Las empresas deben valorar si el sistema mantiene un funcionamiento adecuado durante todo su ciclo de vida y si dispone de protección frente a errores, ataques o manipulaciones.
Estas exigencias generan consecuencias jurídicas y organizativas. No basta con que el departamento tecnológico valide la herramienta. También deben participar las áreas de cumplimiento, legal, seguridad y negocio.
Transparencia frente a usuarios y clientes
El Reglamento introduce obligaciones de transparencia para determinados sistemas que interactúan directamente con personas.
Esto puede afectar a chatbots, asistentes virtuales y herramientas utilizadas en atención al cliente. En determinadas circunstancias, la persona debe saber que está interactuando con un sistema de IA.
La transparencia también resulta relevante cuando se generan o manipulan textos, imágenes, audios o vídeos que puedan parecer auténticos.
Las empresas que utilizan IA en comunicaciones comerciales deben revisar sus procesos. Una identificación inadecuada del contenido puede provocar riesgos jurídicos, reputacionales y de confianza.
Modelos de IA de uso general y proveedores tecnológicos
La regulación de los modelos de IA de uso general constituye una de las principales novedades del Reglamento UE 2024/1689.
Estos modelos pueden utilizarse en múltiples aplicaciones y servicios. Su carácter reutilizable aumenta su impacto potencial y dificulta que todos los riesgos puedan evaluarse únicamente en la fase de desarrollo.
Las empresas que integran modelos desarrollados por terceros deben comprender cómo se utiliza la tecnología, qué limitaciones presenta y qué responsabilidades mantiene el proveedor.
Riesgos de integrar soluciones desarrolladas por terceros
La contratación de una solución externa no elimina automáticamente las obligaciones de la empresa usuaria.
Antes de incorporar un sistema, conviene revisar sus condiciones de uso, la documentación disponible y las restricciones impuestas por el proveedor.
También deben analizarse:
- El reparto contractual de responsabilidades.
- Las garantías sobre el funcionamiento.
- La seguridad de la información.
- El tratamiento y la ubicación de los datos.
- Las limitaciones de uso.
- Los mecanismos de comunicación de incidencias.
- Las condiciones de actualización o retirada del servicio.
La empresa debe comprobar si el sistema es adecuado para la finalidad prevista. Un producto válido para generar contenidos internos puede no ser apropiado para tomar decisiones que afecten a empleados o clientes.
Diligencia debida en la selección de proveedores
La diligencia debida permite reducir riesgos antes de formalizar la contratación.
Desde una perspectiva jurídica, conviene solicitar información sobre la clasificación del sistema, la documentación técnica, los controles de seguridad y las obligaciones asumidas por el proveedor.
Desde el punto de vista contractual, pueden incorporarse cláusulas sobre cooperación, auditoría, notificación de incidencias, actualización normativa y responsabilidad.
Algunas de estas medidas pueden responder a exigencias legales. Otras constituyen buenas prácticas de contratación y gobernanza. La empresa debe distinguir ambas categorías para diseñar un marco proporcionado.
Cómo preparar a las empresas para el Reglamento de Inteligencia Artificial
La adaptación al Reglamento exige una metodología ordenada. Las siguientes medidas permiten crear una base de cumplimiento sólida.
- Elaborar un inventario de sistemas y herramientas de IA.
La empresa debe identificar qué soluciones utiliza, en qué departamentos y con qué finalidad. También conviene registrar herramientas gratuitas o contratadas directamente por empleados. - Identificar la finalidad de cada sistema.
No basta con conocer el nombre del proveedor. Es necesario determinar qué decisiones apoya, qué datos procesa y qué personas pueden resultar afectadas. - Determinar el rol jurídico de la empresa.
La organización debe analizar si actúa como proveedor, responsable del despliegue, distribuidor, importador o fabricante. Este análisis condicionará las obligaciones aplicables. - Clasificar los sistemas según su riesgo.
Cada herramienta debe evaluarse atendiendo a su finalidad y contexto. La clasificación no debe basarse únicamente en la descripción comercial del proveedor. - Revisar los contratos con proveedores.
Los acuerdos deben regular responsabilidades, seguridad, documentación, restricciones de uso e incidencias. También conviene revisar qué ocurre cuando el proveedor modifica el sistema. - Implantar una política interna de gobernanza de la IA.
La política debe establecer usos permitidos, usos restringidos y procedimientos de aprobación. Asimismo, debe definir quién autoriza nuevas herramientas. - Establecer mecanismos de supervisión humana.
La intervención humana debe ser efectiva. Los responsables necesitan formación, autoridad y capacidad para detener o corregir el funcionamiento del sistema. - Documentar decisiones, controles e incidencias.
La trazabilidad permite acreditar las medidas adoptadas. También facilita detectar fallos y responder ante auditorías o reclamaciones. - Formar a empleados, directivos y responsables de cumplimiento.
La capacitación debe adaptarse a las funciones de cada perfil. Las organizaciones pueden apoyarse en un catálogo de programas de formación profesional, en recursos de formación y desarrollo de competencias profesionales y en contenidos sobre formación y gestión de personas. - Coordinar el AI Act con otras normas aplicables.
El cumplimiento debe conectarse con protección de datos, ciberseguridad, propiedad intelectual, consumo y normativa laboral. Un mismo uso de IA puede quedar sujeto a diferentes marcos jurídicos.
El inventario de sistemas de IA como punto de partida
Una empresa no puede gestionar un riesgo que desconoce. Por ello, el inventario constituye el primer paso de cualquier estrategia de adaptación.
Debe incluir herramientas contratadas oficialmente y soluciones utilizadas sin autorización formal. Este último fenómeno se conoce habitualmente como uso de IA en la sombra.
El uso no controlado puede implicar la introducción de información confidencial, datos personales o documentos internos en plataformas no autorizadas. Además, dificulta conocer qué decisiones se están apoyando en sistemas automatizados.
Gobernanza, formación y supervisión humana
La gobernanza de la inteligencia artificial requiere coordinación entre diferentes departamentos.
El área jurídica debe interpretar las obligaciones. Cumplimiento debe diseñar controles. Tecnología y ciberseguridad deben evaluar el funcionamiento y la protección del sistema.
Recursos humanos debe revisar los usos relacionados con empleados y candidatos. Compras debe incorporar criterios de diligencia debida, mientras que la dirección debe asignar recursos y responsabilidades.
La Comisión Europea ofrece información institucional sobre el marco regulatorio y su aplicación a través de su portal sobre inteligencia artificial.
Conclusión
El Reglamento de Inteligencia Artificial y las empresas están estrechamente vinculados desde el momento en que una organización incorpora sistemas de IA a sus procesos, productos o servicios.
El Reglamento UE 2024/1689 obliga a evolucionar desde un uso meramente tecnológico hacia un modelo estructurado de gobernanza, control, trazabilidad, supervisión y cumplimiento.
La normativa de IA para empresas en 2026 exige identificar herramientas, revisar contratos, clasificar riesgos y asignar responsabilidades internas. También requiere formar a los equipos y coordinar el cumplimiento con otras áreas regulatorias.
Una preparación temprana permite reducir riesgos, mejorar la toma de decisiones y reforzar la seguridad jurídica. Las empresas que necesiten evaluar su exposición al Reglamento pueden apoyarse en asesoramiento especializado para revisar sus sistemas, contratos y políticas internas de gobernanza de la IA.
Preguntas frecuentes sobre el Reglamento UE 2024/1689
¿Cuándo será aplicable el Reglamento UE 2024/1689?
El Reglamento UE 2024/1689 entró en vigor el 1 de agosto de 2024. Sin embargo, su aplicación se ha diseñado de forma escalonada. Algunas disposiciones resultan aplicables antes que otras, mientras que la fecha de aplicación general es el 2 de agosto de 2026. Las empresas deben revisar el calendario concreto según el tipo de sistema, la obligación aplicable y su papel jurídico.
¿Cómo afecta el Reglamento de Inteligencia Artificial a las empresas?
El Reglamento de Inteligencia Artificial afecta a las empresas en función del sistema que desarrollen, comercialicen o utilicen. También influyen la finalidad, el nivel de riesgo y el rol jurídico asumido. Una empresa puede estar sujeta a obligaciones aunque no haya desarrollado la herramienta. Por ejemplo, puede actuar como responsable del despliegue cuando utiliza IA en procesos internos o en su relación con clientes.
¿Qué exige la normativa de IA a las empresas en 2026?
La normativa de IA para empresas en 2026 puede exigir medidas relacionadas con la gestión de riesgos, la transparencia, la supervisión humana, la gobernanza de datos, la documentación, la trazabilidad y la ciberseguridad. No todas las obligaciones se aplican a todas las organizaciones. El nivel de exigencia depende de la clasificación del sistema y del papel de la empresa como proveedor, responsable del despliegue, distribuidor, importador o fabricante.
¿Qué debería hacer primero una empresa para adaptarse al AI Act?
El primer paso consiste en elaborar un inventario de sistemas y herramientas de inteligencia artificial. La empresa debe saber qué soluciones utiliza, quién las emplea, qué datos procesan y con qué finalidad. Después, debe analizar el rol jurídico que asume y clasificar cada sistema según su nivel de riesgo. Este proceso permite priorizar controles y detectar usos que requieren una revisión más profunda.
¿Qué se considera un sistema de IA de alto riesgo?
La consideración de un sistema de IA como de alto riesgo depende del ámbito en el que se utiliza, de su finalidad y de los criterios establecidos por el Reglamento. No es correcto clasificar un sistema únicamente por su tecnología o por la denominación comercial del proveedor. La evaluación debe considerar el impacto potencial sobre la seguridad, la salud y los derechos fundamentales de las personas afectadas.
¿Qué debe revisar una empresa al contratar un proveedor de IA?
La empresa debe revisar el contrato, el reparto de responsabilidades, la documentación técnica, las medidas de seguridad y las condiciones de tratamiento de datos. También conviene analizar las restricciones de uso, los procedimientos de actualización y la gestión de incidencias. La contratación de un proveedor externo no elimina automáticamente las obligaciones de la empresa usuaria, por lo que resulta esencial realizar una diligencia debida previa.
Advertencia legal: El presente artículo tiene carácter exclusivamente informativo y no constituye asesoramiento jurídico. La aplicación del Reglamento UE 2024/1689 debe analizarse atendiendo a las circunstancias concretas de cada organización, al sistema utilizado, a su finalidad y al rol asumido por la empresa.
