El AI Act: qué cambia para las empresas y cómo prepararte desde ya

La inteligencia artificial se ha colado en los procesos clave de los negocios: selección de personal, atención al cliente, marketing, análisis de riesgos, formación, control de calidad, etc. El problema es que no toda IA implica el mismo nivel de impacto. Por eso la Unión Europea ha creado el AI Act (Ley de IA): un marco legal que regula el uso y la comercialización de sistemas de IA con un enfoque basado en riesgos.

Si trabajas con IA (o compras herramientas que la usan), esto te afecta. Y no solo al “equipo de informática”: también a RR. HH., legal, compliance, calidad, marketing, atención al cliente y dirección.

¿Qué es el AI Act y cuál es su lógica?

El AI Act clasifica los usos de IA según el riesgo que pueden generar sobre las personas (derechos, seguridad, salud, oportunidades). La idea es sencilla:

• A más riesgo, más obligaciones.
• Algunas prácticas se prohíben directamente.
• Para usos de “riesgo limitado”, se exigen sobre todo medidas de transparencia.
• Para usos de “alto riesgo”, se piden controles técnicos y organizativos más exigentes (documentación, supervisión humana, calidad, registros, etc.).

Calendario: fechas clave que conviene tener en el radar

Aunque el reglamento ya está en vigor, su aplicación es progresiva. Estas son las fechas más relevantes:

• 1 de agosto de 2024: el AI Act entra en vigor.
• 2 de febrero de 2025: se aplican las prohibiciones y la obligación de alfabetización en IA (AI literacy).
• ❗ 2 de agosto de 2025: se empiezan a aplicar reglas de gobernanza y obligaciones para modelos de IA de propósito general (GPAI).
• ❗ 2 de agosto de 2026: entra en vigor “la mayor parte” del régimen, incluidas obligaciones clave para alto riesgo (Anexo III) y transparencia.
• ❗ 2 de agosto de 2027: transición más larga para sistemas de alto riesgo integrados en productos regulados (por ejemplo, ciertos dispositivos).

Lo que ya está “en juego”: prácticas prohibidas y AI literacy

Desde el 2 de febrero de 2025 hay dos elementos especialmente importantes:

1) Prácticas prohibidas (ejemplos claros)

El AI Act prohíbe usos de IA que se consideran inaceptables, especialmente cuando afectan a la dignidad, la libertad o generan discriminación. Por ejemplo:

• Reconocimiento de emociones en entornos educativos y laborales (con excepciones muy concretas por motivos médicos o de seguridad).
• Categorización biométrica para inferir datos sensibles (como orientación sexual, creencias, etc.), salvo supuestos muy limitados.
• Restricciones fuertes al reconocimiento biométrico remoto en tiempo real en espacios públicos para fines policiales, con condiciones y excepciones tasadas.

Si tu empresa usa cámaras “inteligentes”, analítica avanzada de personas, herramientas de evaluación emocional o biometría, aquí hay que revisar con lupa.

2) Alfabetización en IA (AI literacy)

No es solo “dar una charla”. Implica asegurar que las personas que usan o supervisan IA tengan formación y criterio suficiente para:

• entender límites, sesgos y errores típicos
• usarla con seguridad
• saber cuándo escalar incidencias
• interpretar resultados sin “obedecer a ciegas”

Y esto conecta directamente con planes de formación interna.

¿Qué se considera “alto riesgo” y por qué importa?

El “alto riesgo” no significa que la IA sea “mala”. Significa que se usa en ámbitos donde un fallo o un sesgo puede dañar seriamente a alguien.

Piensa en casos típicos:

• Selección y evaluación de candidatos
• Decisiones que afectan al acceso a educación o servicios
• Evaluaciones de crédito o riesgo (según el caso)
• Sistemas que influyen en seguridad y salud
• Determinados usos biométricos

Aquí el AI Act exige medidas fuertes.

Roles: no solo afecta al fabricante

El AI Act distingue responsabilidades según el papel:

• Proveedor: quien desarrolla o pone el sistema en el mercado con su nombre.
• Deployer (usuario/implantador): la empresa que lo usa en su operativa.
• También existen figuras como importadores/distribuidores, según el caso.

Esto es clave porque muchas empresas no “crean IA”, pero la compran y la usan. Y eso también conlleva obligaciones, sobre todo en alto riesgo (uso conforme a instrucciones, supervisión humana, medidas organizativas, etc.).

¿Y la IA generativa tipo “chatbots” y modelos de propósito general?

Desde 2025 ya aplican obligaciones específicas para modelos de propósito general (GPAI), y la Comisión ha trabajado en guías y un Código de Buenas Prácticas para ayudar a cumplir, con capítulos sobre transparencia, copyright y seguridad.

Para una empresa usuaria, lo práctico es esto:

• pide a tu proveedor evidencias de cumplimiento (documentación, límites de uso, medidas de seguridad)
• revisa cláusulas sobre propiedad intelectual y uso de datos
• define reglas internas: qué se puede subir a un chatbot, qué no, y con qué controles

AI Act y protección de datos: se complementan, no se sustituyen

Un error frecuente es pensar: “si cumplo el AI Act, ya está”. No, con esto no sirve… Si tu IA trata datos personales, sigues teniendo que cumplir RGPD (bases legales, minimización, transparencia, contratos con encargados, medidas de seguridad, etc.). El AI Act añade una capa más centrada en riesgos, seguridad y gobernanza de la IA.

Cómo puede ayudarte una empresa de formación

Prepararse para el AI Act no va de “meter miedo”. Va de usar IA con control, reducir riesgos, y ganar confianza (clientes, plantilla, partners).

En un plan formativo bien montado suelen encajar tres líneas:

• IA aplicada al trabajo (uso responsable, límites, sesgos, prompting, control de calidad)
• Cumplimiento y gobernanza (roles, documentación, procedimientos internos)
• Protección de datos y seguridad (RGPD, buenas prácticas, ciberhigiene, gestión de información)

Te ayudamos a preparar tu plan de formación, 100% bonificable a través de FUNDAE. Solicita más información aquí.