Ley de IA de la UE para empresas: qué cambia, qué plazos importan y cómo empezar

Qué cambia en la práctica

Para una empresa, la pregunta deja de ser simplemente: ¿podemos usar IA? La pregunta útil pasa a ser: ¿cómo se clasifica este caso concreto?

No es lo mismo usar una herramienta interna para resumir documentos que emplear un sistema que preselecciona candidaturas, evalúa el rendimiento de empleados o prepara decisiones sobre personas. Las fuentes describen la Ley de IA como una aplicación por fases: primero las prácticas prohibidas, después las obligaciones para modelos GPAI, luego la mayor parte de las obligaciones de alto riesgo y, más adelante, ciertos sistemas de IA integrados en productos ya regulados.

En la práctica, conviene trabajar con tres preguntas:

1. Caso de uso: ¿Qué hace exactamente la IA, con qué datos y con qué influencia sobre decisiones?
2. Rol de la empresa: ¿Actúa como responsable del despliegue o usuario profesional, como proveedor de un sistema de IA o como proveedor de un modelo GPAI?
3. Riesgo: ¿El uso puede ser una práctica prohibida, un caso GPAI, un sistema de alto riesgo o una aplicación de menor riesgo?

Plazos clave para empresas

Esta tabla no sustituye una revisión jurídica, pero ayuda a ordenar la planificación interna.

El test básico: uso, rol y riesgo

1. Empezar por la finalidad, no por el nombre de la herramienta

Que una aplicación lleve IA no dice por sí solo qué obligaciones genera. Lo importante es saber si la herramienta evalúa a personas, influye en el acceso a oportunidades o prestaciones, interviene en procesos de seguridad o solo ayuda en tareas internas de bajo impacto.

Las fuentes mencionan áreas como biometría, infraestructura crítica, educación, empleo y servicios públicos como ámbitos en los que pueden surgir cuestiones de alto riesgo.

2. Aclarar el papel de la empresa

Una misma empresa puede tener roles distintos según el proyecto. Si compra una herramienta de IA para uso interno, puede actuar principalmente como responsable del despliegue o usuario profesional. Si comercializa un producto con funciones de IA, pueden activarse obligaciones de proveedor. Si desarrolla o pone a disposición un modelo de IA de propósito general, entran en juego preguntas específicas sobre GPAI.

Esta clasificación importa porque las obligaciones dependen tanto del riesgo del sistema como del papel de la empresa: no es lo mismo desplegar una herramienta que ponerla en el mercado o proporcionar el modelo base.

3. Hacer una primera clasificación de riesgo

Una revisión inicial puede seguir este orden:

1. Descartar prácticas prohibidas: si el caso cae en una categoría prohibida, no es un asunto para dejar para más adelante.
2. Revisar si hay GPAI: hay que distinguir entre proporcionar un modelo GPAI y usar un modelo de terceros dentro de una aplicación concreta.
3. Detectar posible alto riesgo: el foco debe ponerse en usos sensibles o en sistemas que influyen en decisiones sobre personas.
4. Comprobar si hay producto regulado: si la IA está integrada en un producto ya regulado, pueden aplicar plazos de transición específicos.

Qué deberían preparar las empresas ahora

Crear un registro de IA

El primer paso útil es inventariar los usos de IA. No basta con listar grandes proyectos estratégicos: también conviene incluir asistentes internos, funciones de IA compradas como parte de software SaaS, automatizaciones, características de productos propios y modelos utilizados.

Un registro de IA debería incluir, como mínimo:

• nombre de la herramienta o sistema;
• finalidad y área de negocio;
• si el despliegue es interno o externo;
• tipos de datos utilizados;
• personas o grupos afectados;
• influencia sobre decisiones;
• proveedor, responsable interno y equipos implicados;
• primera valoración sobre práctica prohibida, GPAI, posible alto riesgo o riesgo menor.

Ese inventario es la base para analizar de forma trazable el rol de la empresa y la categoría de riesgo de cada caso.

Priorizar los casos sensibles

No todas las aplicaciones de IA merecen la misma urgencia. Deberían revisarse antes las que evalúan personas, influyen en el acceso a oportunidades o prestaciones, o se usan en ámbitos sensibles como biometría, infraestructura crítica, educación, empleo y servicios públicos.

En muchas organizaciones, esto apunta a herramientas de recursos humanos, preselección de candidatos, evaluación de desempeño, sistemas cercanos a seguridad y aplicaciones que preparan decisiones sobre personas. Aun así, que un caso sea realmente de alto riesgo depende del flujo de trabajo concreto y del rol de la empresa.

Preparar gobernanza y documentación

Para sistemas de alto riesgo, las fuentes mencionan requisitos como gestión de riesgos, documentación técnica y evaluación de conformidad. La distribución exacta de tareas depende del sistema y del papel que tenga la empresa. En los sistemas de alto riesgo del Anexo III, el marco completo de cumplimiento será relevante desde el 2 de agosto de 2026.

Medidas razonables para empezar:

• nombrar responsables en negocio, TI, privacidad, legal y compliance;
• crear un proceso de aprobación para nuevas herramientas de IA;
• pedir documentación técnica, información de riesgos y compromisos contractuales a proveedores;
• documentar finalidad, datos, riesgos, supervisión humana y cambios relevantes;
• elevar pronto a revisión jurídica los casos dudosos.

No dejar la alfabetización en IA para el final

La alfabetización en IA no es solo un requisito para sistemas de alto riesgo. Una fuente la describe como una obligación amplia para proveedores y responsables del despliegue, con independencia del nivel de riesgo; incluso las organizaciones con sistemas de riesgo mínimo deben atender estos requisitos y evitar prácticas prohibidas.

En términos prácticos, las personas que seleccionan, configuran o utilizan IA deberían conocer los límites del sistema, entender errores habituales y saber cuándo hace falta revisión humana.

Tres situaciones habituales

1. La empresa usa un asistente de IA solo para tareas internas

Lo importante es para qué se usa. No tiene la misma lectura un asistente para resumir textos o apoyar búsquedas que una herramienta aplicada a recursos humanos, evaluación, acceso a prestaciones u otros procesos sensibles. Aunque el riesgo parezca bajo, estos usos deben figurar en el registro de IA, y siguen siendo relevantes la alfabetización en IA y las reglas claras de uso.

2. La empresa desarrolla un producto SaaS con una función de IA

En ese caso, conviene revisar si la empresa actúa como proveedor de un sistema de IA y si la función puede encajar en un contexto de alto riesgo. Para sistemas de alto riesgo, a partir de 2026 cobran especial importancia requisitos como gestión de riesgos, documentación técnica y cuestiones de conformidad.

3. La empresa usa IA en selección de personal, scoring o atención al cliente

La selección de personal y otros contextos laborales deberían revisarse pronto, porque el empleo aparece en las fuentes como un ámbito donde pueden surgir cuestiones de alto riesgo. En scoring o atención al cliente, la clasificación depende mucho de si la IA solo ayuda o si prepara, influye o automatiza decisiones sobre personas. Sin describir el flujo exacto, no es serio cerrar la clasificación.

Checklist práctica para empezar

1. Inventariar todos los usos de IA: herramientas, modelos, funciones de producto y automatizaciones.
2. Triar los casos de uso: primero descartar prácticas prohibidas; después revisar GPAI y posibles escenarios de alto riesgo.
3. Definir el rol por aplicación: responsable del despliegue, proveedor de sistema o proveedor de modelo GPAI.
4. Priorizar ámbitos sensibles: recursos humanos, biometría, infraestructura crítica, educación, servicios públicos y procesos cercanos a decisiones sobre personas.
5. Revisar proveedores: pedir documentación, información sobre riesgos, actualizaciones y compromisos contractuales.
6. Montar gobernanza: responsables, aprobaciones, formación y documentación.
7. Planificar los casos de alto riesgo: si puede haber sistemas del Anexo III, tratar el 2 de agosto de 2026 como una fecha clave de preparación.

Conclusión

Para las empresas, la Ley de IA de la UE no se resume en si la IA está permitida o prohibida. La clave es identificar el caso de uso, determinar el rol de la organización y asignar el nivel de riesgo y el plazo aplicable.

Si la empresa solo utiliza unas pocas herramientas internas, el esfuerzo puede ser manejable. Aun así, un registro de IA, reglas de uso y alfabetización en IA son pasos sensatos y, en parte, expresamente relevantes. Si la IA se usa en ámbitos sensibles, se ofrece como parte de un producto o se proporcionan modelos GPAI, no conviene esperar a 2026 para empezar la revisión.