El 2 de agosto de 2026 marca un hito relevante en el calendario del Reglamento de IA de la Unión Europea: la Comisión Europea sitúa desde esta fecha la responsabilidad de aplicación, supervisión y ejecución en la Oficina de IA y las autoridades de los Estados miembros. Para una empresa que ya usa asistentes, automatizaciones o agentes, no es un motivo para paralizar proyectos, sino para convertir el uso informal de IA en decisiones, controles y evidencias verificables.
El Reglamento no impone la misma carga a cada herramienta ni a cada empresa. La prioridad práctica es saber qué sistemas se utilizan, con qué finalidad, qué personas se ven afectadas y quién toma la decisión final. Este artículo resume una revisión inicial orientada a equipos de dirección, IT, seguridad y negocio.
Qué cambia en la aplicación del Reglamento de IA
El Reglamento (UE) 2024/1689 entró en vigor el 1 de agosto de 2024. Según el calendario oficial de la Comisión, las prohibiciones y las obligaciones de alfabetización en IA son aplicables desde el 2 de febrero de 2025; las reglas de gobernanza y las obligaciones para determinados modelos de IA de uso general se aplican desde el 2 de agosto de 2025. Desde hoy, 2 de agosto de 2026, la Oficina de IA y las autoridades nacionales asumen funciones de aplicación, supervisión y ejecución.
Eso no significa que toda solución con IA tenga idénticas obligaciones ni que todos los requisitos para sistemas de alto riesgo ya sean exigibles. La propia Comisión indica calendarios específicos para ciertos sistemas de alto riesgo. Por tanto, conviene evitar dos errores opuestos: tratar cualquier asistente como si fuera un sistema de alto riesgo o asumir que un uso interno queda fuera de toda revisión.
Seis controles para empezar una revisión útil
1. Inventariar usos reales, no solo licencias contratadas
El inventario debe incluir herramientas corporativas, funciones de IA integradas en aplicaciones existentes y automatizaciones construidas por los equipos. Para cada caso, registre al menos: responsable de negocio, proveedor, finalidad, datos de entrada, salida generada, usuarios, integraciones, personas potencialmente afectadas y decisión que apoya o ejecuta.
Un ejemplo: un agente que resume correos de soporte y propone una respuesta no es equivalente a un flujo que clasifica candidaturas o prioriza a clientes para una decisión automática. La finalidad y el efecto práctico importan más que la etiqueta comercial de la herramienta.
2. Separar apoyo a una persona de decisión automatizada
Identifique si la salida de la IA sirve como borrador, recomendación, filtro, alerta o decisión. Cuando una salida pueda influir de forma material en una persona —por ejemplo, en empleo, crédito, acceso a un servicio o tratamiento de una incidencia— documente quién revisa el resultado, qué información puede corregirlo y cuándo se detiene el flujo.
Una revisión humana solo aporta control si la persona tiene tiempo, contexto y capacidad real para discrepar. Un botón de aprobación que se pulsa por rutina no sustituye una decisión supervisada.
3. Revisar las prácticas que no deben utilizarse
Las prohibiciones ya aplicables requieren una comprobación específica antes de poner un caso en producción. No basta con preguntar al proveedor si su producto es «compatible». Describa el propósito, los colectivos afectados, las señales que se procesan y las consecuencias del resultado; después contrástelos con el texto legal y, si hay duda razonable, solicite asesoramiento jurídico especializado antes de desplegarlo.
Esta revisión es especialmente importante cuando se usan datos biométricos, se infieren rasgos sensibles, se manipula el comportamiento de personas vulnerables o se realizan perfiles que pueden causar un perjuicio significativo.
4. Convertir la alfabetización en IA en una medida de trabajo
El artículo 4 del Reglamento exige que proveedores y responsables del despliegue adopten medidas para garantizar un nivel suficiente de alfabetización en IA de su personal y de otras personas que operan y usan sistemas de IA en su nombre. No establece un curso único ni una certificación universal. La medida debe ser proporcionada a los conocimientos técnicos, la experiencia, la formación y el contexto de uso.
Una medida razonable no consiste en enviar una presentación genérica. Para un equipo comercial puede ser aprender qué datos no introducir en un asistente y cuándo no usar una respuesta generada. Para quien gestiona una automatización, debe incluir límites de autorización, gestión de excepciones, verificación de salidas y cómo escalar un incidente. Conserve el temario, las personas destinatarias, la fecha y la evidencia de realización.
5. Asegurar datos, accesos y trazabilidad
Revise qué datos llegan a cada modelo, dónde se guardan, qué cuentas de servicio intervienen y qué acciones puede ejecutar la automatización. Aplique mínimo privilegio, separación entre entornos y aprobación previa para acciones irreversibles o externas. Registre las decisiones relevantes, las excepciones y los cambios de configuración para poder reconstruir qué ocurrió sin conservar información innecesaria.
Este control conecta el cumplimiento con la seguridad operativa. Si necesita estructurar accesos, revisiones y evidencia en flujos con IA, KMOOPS puede ayudarle desde sus servicios.
6. Establecer un dueño, una cadencia y un criterio de escalado
Un inventario sin responsable se queda obsoleto. Asigne un dueño a cada caso de uso y una revisión periódica. Defina por adelantado cuándo un cambio exige volver a evaluarlo: nueva fuente de datos, una integración con capacidad de actuar, uso con un colectivo distinto, cambio de proveedor o una incidencia relevante.
Escálelo a seguridad, protección de datos, cumplimiento o asesoramiento jurídico cuando la finalidad o el impacto no estén claros. El objetivo no es que IT resuelva por sí solo una calificación legal, sino que detecte pronto los casos que necesitan una decisión informada.
Cómo decidir por dónde empezar
Priorice primero los casos que combinen uno o varios de estos factores:
- afectan a personas fuera del equipo que lo usa;
- procesan datos personales, confidenciales o sensibles;
- pueden denegar, priorizar, recomendar o ejecutar una acción con efecto relevante;
- se conectan a CRM, ERP, correo, sistemas de identidad o dispositivos;
- carecen de responsable, registro de cambios o mecanismo de parada.
Los usos de bajo impacto también deben inventariarse, pero pueden empezar con controles más ligeros: política de uso, formación contextual, revisión de datos de entrada y una forma sencilla de reportar errores. Reserve la evaluación más profunda para los flujos donde una salida incorrecta, una fuga de datos o una decisión difícil de explicar tendría consecuencias reales.
Límites de esta revisión
Una lista de controles no determina por sí misma si un sistema entra en una categoría jurídica concreta ni sustituye el análisis de la normativa sectorial, laboral, de protección de datos o de consumo aplicable. Tampoco convierte automáticamente una herramienta en conforme. Sirve para producir el contexto técnico y operativo que necesitan quienes deben tomar esa decisión.
Si su empresa necesita transformar usos dispersos de IA en un inventario, controles de acceso, trazabilidad y un plan de implantación, puede contactar con KMOOPS para plantear una revisión técnica inicial.
Fuentes oficiales
- Reglamento (UE) 2024/1689 en EUR-Lex, incluido su artículo 4 sobre alfabetización en IA.
- Comisión Europea: marco regulador de la IA, calendario de aplicación y gobernanza.