EU AI Act: plazos y obligaciones técnicas para empresas españolas

El reloj ya está corriendo

El Reglamento (UE) 2024/1689 sobre inteligencia artificial (el EU AI Act) entró en vigor el 1 de agosto de 2024. No es una directiva que cada estado miembro transponga a su gusto. Es un reglamento de aplicación directa. Y sus plazos no son teóricos: las primeras prohibiciones ya aplican desde febrero de 2025.

Para la empresa española que desarrolla o despliega sistemas de IA, la pregunta ya no es “me afecta?” sino “qué tengo que hacer y para cuándo?”.

El calendario que importa

El EU AI Act tiene un despliegue escalonado. Estas son las fechas críticas:

2 de febrero de 2025 (ya pasado): Prohibición de prácticas de IA inaceptables. Sistemas de puntuación social, manipulación subliminal, explotación de vulnerabilidades y vigilancia biométrica masiva en tiempo real quedan prohibidos. Si tu empresa opera alguno de estos sistemas, ya estás en incumplimiento.

2 de agosto de 2025: Obligaciones para modelos de IA de propósito general (GPAI). Afecta directamente a quienes desarrollan o fine-tunean foundation models. Requiere documentación técnica, política de cumplimiento de derechos de autor y resumen del contenido de entrenamiento.

2 de agosto de 2026: Entrada en vigor de la mayoría de las obligaciones. Aquí es donde el grueso del reglamento se activa: clasificación de riesgo, requisitos para sistemas de alto riesgo, obligaciones de transparencia, sandboxes regulatorios.

2 de agosto de 2027: Obligaciones completas para sistemas de alto riesgo del Anexo I (juguetes, dispositivos médicos, aviación, vehículos, ascensores, equipos de presión, maquinaria).

Clasificación de riesgo: dónde encaja tu sistema

El EU AI Act clasifica los sistemas de IA en cuatro niveles. La clasificación determina las obligaciones:

Riesgo inaceptable (prohibido): Lo mencionado arriba. Si crees que tu sistema podría caer aquí, necesitas asesoramiento legal inmediato, no un artículo técnico.

Riesgo alto (regulación estricta): Sistemas de IA usados en infraestructura crítica, educación, empleo, servicios esenciales, migración, justicia y procesos democraticos. También los sistemas listados en el Anexo III: scoring crediticio, selección de personal, evaluación de riesgo en seguros, entre otros.

¿Tu empresa usa IA para filtrar CVs? Riesgo alto. ¿Para evaluar solvencia de clientes? Riesgo alto. ¿Para priorizar incidencias de soporte? Probablemente no, pero depende de la implementación.

Riesgo limitado (obligaciones de transparencia): Chatbots, deepfakes, sistemas de generación de contenido. La obligación principal es informar al usuario de que está interactuando con IA o de que el contenido fue generado artificialmente.

Riesgo mínimo (sin obligaciones específicas): La inmensa mayoría de aplicaciones de IA. Filtros de spam, recomendaciones de productos, optimización de rutas logísticas. Sin obligaciones regulatorias específicas, aunque las buenas prácticas siempre aplican.

Qué tienes que hacer (concretamente)

Si tu sistema es de riesgo alto

Las obligaciones son sustanciales. Resumiendo los artículos 8 a 15 del Reglamento:

Sistema de gestión de riesgos (Art. 9): Un proceso continuo (no un documento puntual) de identificación, evaluación y mitigación de riesgos del sistema de IA. Debe cubrir riesgos conocidos y razonablemente previsibles, con medidas de mitigación documentadas.

Gobernanza de datos (Art. 10): Los datasets de entrenamiento deben ser relevantes, representativos y, en la medida de lo posible, libres de errores. Hay que documentar las decisiones de diseño de datos, los sesgos conocidos y las medidas adoptadas para mitigarlos.

Documentación técnica (Art. 11): Antes de comercializar el sistema, hay que producir documentación técnica que demuestre cumplimiento. Incluye: descripción general del sistema, elementos del diseño, proceso de desarrollo, capacidades y limitaciones, métricas de rendimiento, y medidas de mitigación de riesgo.

Registro automático (Art. 12): El sistema debe generar logs que permitan trazabilidad. Quién lo usó, cuándo, qué datos procesó, qué resultado produjo. Los logs deben conservarse durante un periodo apropiado al propósito del sistema.

Transparencia (Art. 13): Instrucciones de uso claras para el deployer. Capacidades y limitaciones del sistema, nivel de precisión y métricas de rendimiento, riesgos conocidos, especificaciones de los datos de entrada.

Supervisión humana (Art. 14): El sistema debe diseñarse para que pueda ser supervisado por personas. Esto no significa “un humano aprueba cada decisión” necesariamente, pero sí que debe haber mecanismos para que un operador pueda intervenir, corregir o detener el sistema.

Precisión, robustez y ciberseguridad (Art. 15): Niveles apropiados de precisión (documentados y comunicados), robustez frente a errores y adversarial attacks, y medidas de ciberseguridad proporcionales al riesgo.

Si usas modelos GPAI (foundation models)

Si desarrollas o haces fine-tuning de modelos de propósito general (cualquier cosa basada en GPT, Llama, Mistral, etc.), desde agosto de 2025 necesitas:

• Documentación técnica del modelo según el Anexo XI
• Política de cumplimiento con la Directiva de derechos de autor (2019/790)
• Resumen detallado del contenido de entrenamiento

Si el modelo tiene “riesgo sistémico” (más de 10^25 FLOPS de entrenamiento, o designado por la Comisión), las obligaciones son aún mayores: evaluación de riesgos sistemáticos, pruebas adversariales, reporte de incidentes graves y medidas de ciberseguridad.

Para la mayoría de las empresas españolas que usan APIs de OpenAI, Anthropic o Google, las obligaciones del proveedor del modelo GPAI recaen sobre el desarrollador del modelo, no sobre el usuario. Pero si haces fine-tuning o construyes sistemas de alto riesgo sobre esos modelos, si eres responsable de la documentación de tu sistema completo.

Si tu sistema es de riesgo limitado

Obligación principal: transparencia. Si tu chatbot conversa con clientes, debe informar de que es un sistema de IA. Si generas imágenes o video sintético, debe estar claramente marcado. Si usas sistemas de detección de emociones o categorización biométrica, debes informar a los sujetos.

Sanciones

Las multas son proporcionales al tamaño de la empresa, pero los máximos son significativos:

• Prácticas prohibidas: hasta 35 millones EUR o 7% de la facturación global anual
• Incumplimiento de obligaciones de alto riesgo: hasta 15 millones EUR o 3%
• Información incorrecta a autoridades: hasta 7.5 millones EUR o 1%

Para PYMEs, las multas se ajustan proporcionalmente. Pero incluso la multa más pequeña puede ser existencial para una empresa de 50 empleados.

Tres pasos para empezar hoy

Si tu empresa desarrolla o despliega sistemas de IA y aún no has empezado la evaluación de cumplimiento:

1. Inventaría tus sistemas de IA (esta semana). Todo lo que use machine learning, deep learning o sistemas basados en reglas complejas. Incluye las APIs de terceros. Clasifica cada uno según la pirámide de riesgo.

2. Prioriza por riesgo (este mes). Los sistemas de riesgo alto necesitan atención inmediata. La documentación técnica no se escribe en un fin de semana. El sistema de gestión de riesgos es un proceso continuo que necesita tiempo para madurar.

3. Establece gobernanza (este trimestre). Designa responsabilidades internas. El AI Act no requiere un “AI Officer” formal, pero alguien tiene que ser responsable del cumplimiento. En una PYME, puede ser el CTO. En una gran empresa, necesitas un equipo cross-functional.

El EU AI Act no es el fin de la IA en Europa. Es la formalización de prácticas que toda organización responsable ya debería seguir. Documentar los sistemas, gestionar riesgos, ser transparente con los usuarios. La regulación simplemente pone plazos y sanciones a lo que debería ser sentido común.

Si necesitas ayuda para evaluar el impacto del EU AI Act en tu organización, nuestro equipo de consultoría puede realizar una evaluación de cumplimiento y definir la hoja de ruta técnica. Para empresas que desarrollan soluciones de IA y machine learning, ofrecemos asesoría específica sobre documentación técnica y gestión de riesgos. Consulta nuestras soluciones tecnológicas para más detalle.