Consultoría AI Act: adecuación al Reglamento Europeo de Inteligencia Artificial

El Reglamento (UE) 2024/1689 (AI Act) es la primera ley integral del mundo sobre inteligencia artificial. Clasifica los sistemas de IA por nivel de riesgo y exige obligaciones concretas a quien los desarrolla, distribuye o simplemente usa en su empresa — sí, también a pymes y autónomos.

¿Tu empresa usa o desarrolla sistemas de IA en la UE?

Si tu empresa utiliza IA para selección de personal, scoring de crédito, videovigilancia con reconocimiento facial, chatbots de atención al cliente o cualquier sistema que tome decisiones automatizadas sobre personas, el AI Act probablemente te afecta, independientemente de tu tamaño. La obligación no es solo para quien fabrica el sistema de IA: también aplica a quien lo despliega ("deployer") dentro de su organización. Muchas PYMEs y autónomos que usan herramientas de IA de terceros (RRHH, marketing, atención al cliente) asumen erróneamente que la responsabilidad es solo del proveedor.

En qué consiste nuestra consultoría AI Act

  • Clasificación de tus sistemas de IA por nivel de riesgo: prohibido, alto riesgo, riesgo limitado o mínimo
  • Identificación de tu rol: proveedor, deployer, importador o distribuidor — cada uno con obligaciones distintas
  • Gap analysis frente a los requisitos del Anexo III (sistemas de alto riesgo) y las obligaciones de transparencia
  • Registro de sistemas de alto riesgo en la base de datos de la UE cuando sea exigible
  • Política de gobernanza de IA y documentación técnica obligatoria
  • Plan de adecuación por fases según el calendario de aplicación del reglamento

Proceso de adecuación al AI Act

  1. Inventario de sistemas de IA: Identificamos todos los sistemas de IA que tu empresa desarrolla, integra o usa, incluidas herramientas de terceros.
  2. Clasificación de riesgo: Determinamos la categoría de riesgo de cada sistema según los criterios del Anexo III del reglamento.
  3. Identificación de obligaciones: Establecemos qué exige el AI Act según tu rol (proveedor o deployer) y la categoría de riesgo.
  4. Plan de adecuación: Priorizamos las medidas por plazo legal y por riesgo, con foco en las prohibiciones ya vigentes desde febrero de 2025.
  5. Acompañamiento continuo: Revisamos tu postura de cumplimiento a medida que se publican las normas técnicas armonizadas y evoluciona tu uso de IA.

Entregables

  • Inventario y clasificación de riesgo de tus sistemas de IA
  • Informe de gap analysis frente al AI Act
  • Plan de adecuación con plazos y responsables
  • Plantillas de documentación técnica y registro de sistemas de alto riesgo
  • Política de gobernanza de IA para tu organización

¿Quién nos lo solicita habitualmente?

  • Empresas que usan IA para selección de personal o evaluación de empleados
  • Fintechs y entidades financieras con scoring automatizado de crédito
  • Empresas con videovigilancia o sistemas biométricos
  • PYMEs y autónomos que integran chatbots o herramientas de IA de terceros en su operativa
  • Desarrolladores de modelos de IA de propósito general (GPAI)

Preguntas frecuentes sobre el AI Act

¿A quién aplica el AI Act?

Aplica a proveedores que desarrollan sistemas de IA, a "deployers" que los usan dentro de su organización, y a importadores y distribuidores, dentro y fuera de la UE si el sistema se usa en territorio europeo. Aplica independientemente del tamaño de la empresa.

Soy autónomo y uso herramientas de IA de terceros, ¿tengo obligaciones?

Sí, como "deployer" tienes obligaciones aunque no hayas desarrollado el sistema: informar a las personas afectadas cuando corresponda, supervisión humana en sistemas de alto riesgo, y no usar sistemas de IA prohibidos (como el scoring social).

¿Cuánto tiempo tengo para adaptarme?

El calendario es progresivo: las prácticas de IA prohibidas ya son ilegales desde febrero de 2025; las obligaciones de gobernanza y modelos de propósito general aplican desde agosto de 2025; las obligaciones de los sistemas de alto riesgo del Anexo III aplican desde agosto de 2026.

¿Qué sanciones impone el AI Act?

Hasta 35M€ o el 7% de la facturación global anual por usar prácticas de IA prohibidas; hasta 15M€ o el 3% por incumplir otras obligaciones del reglamento; hasta 7,5M€ o el 1% por proporcionar información incorrecta a las autoridades.

¿El AI Act sustituye al RGPD?

No, son complementarios. El AI Act regula específicamente los sistemas de inteligencia artificial y su nivel de riesgo; el RGPD sigue aplicando a cualquier tratamiento de datos personales que ese sistema realice.

¿Cómo sé en qué nivel de riesgo cae mi sistema de IA?

Por el uso, no por la tecnología. El AI Act clasifica según para qué se emplea el sistema: hay prácticas prohibidas, sistemas de alto riesgo listados en el anexo III —biometría, empleo, crédito, educación, servicios esenciales—, sistemas con obligaciones de transparencia como los chatbots y los generadores de contenido, y el resto con riesgo mínimo. El mismo modelo puede caer en dos niveles distintos según la finalidad, así que la clasificación se hace por caso de uso.

¿Qué relación tiene el AI Act con la seguridad de mis sistemas de IA?

Para los sistemas de alto riesgo, el artículo 15 exige un nivel adecuado de precisión, robustez y ciberseguridad, incluida resistencia frente a intentos de alterar su uso o su comportamiento mediante explotación de vulnerabilidades. Eso se traduce en pruebas concretas: inyección de prompts, envenenamiento de datos, evasión del modelo y extracción de información. Es exactamente el alcance de un pentesting de sistemas de IA, y la evidencia de haberlo hecho forma parte de la documentación técnica que la norma pide.

Recursos relacionados

Fuentes

Evaluar mi adecuación al AI Act