El Reglamento europeo de Inteligencia Artificial ya obliga a empresas que no se creen afectadas

La confusión más extendida sobre el Reglamento europeo de Inteligencia Artificial es creer que solo afecta a quien desarrolla sistemas. No es así: la norma distingue entre proveedor —quien desarrolla o encarga desarrollar— y responsable del despliegue, que es quien utiliza el sistema bajo su propia autoridad. La segunda categoría alcanza a un número enorme de empresas ordinarias.

Si su compañía usa una herramienta que criba currículums, que puntúa la solvencia de un cliente, que asigna turnos o que evalúa el desempeño de la plantilla, es responsable del despliegue de un sistema de inteligencia artificial, aunque lo haya contratado a un tercero y no sepa cómo funciona por dentro.

Cómo clasifica la norma

El Reglamento organiza las obligaciones por niveles de riesgo, y la categoría determina qué hay que hacer.

Riesgo inadmisible. Prácticas prohibidas: manipulación subliminal, puntuación social por parte de autoridades públicas, y —esto interesa especialmente a las empresas— el reconocimiento de emociones en el ámbito laboral y educativo, salvo excepciones tasadas por seguridad o razones médicas.

Alto riesgo. Es la categoría que más empresas ignoran que les aplica. Incluye los sistemas empleados en selección de personal, promoción y extinción de relaciones laborales, en la asignación de tareas, en la evaluación de solvencia crediticia de personas físicas y en el acceso a servicios esenciales.

Riesgo limitado. Obligaciones de transparencia: informar de que se está interactuando con una máquina y etiquetar los contenidos generados artificialmente.

Qué obliga a hacer un sistema de alto riesgo

Al responsable del despliegue le corresponden deberes propios, distintos de los del proveedor:

• Utilizarlo conforme a las instrucciones de uso facilitadas.
• Supervisión humana efectiva, encomendada a personas con competencia, formación y autoridad suficientes. No basta con que alguien figure como revisor si en la práctica se limita a validar lo que propone el sistema.
• Vigilancia del funcionamiento y comunicación de incidentes graves.
• Conservación de los registros que genere automáticamente el sistema.
• Información a los trabajadores afectados y a sus representantes antes de poner el sistema en servicio en el lugar de trabajo.

Esa última obligación conecta con una que ya existía en España desde 2021: el artículo 64.4.d) del Estatuto de los Trabajadores reconoce al comité de empresa el derecho a ser informado de los parámetros y la lógica de los algoritmos que afecten a las condiciones de trabajo. Muchas empresas siguen sin cumplirla.

Y con el RGPD, que sigue vigente

El Reglamento de IA no sustituye a la normativa de protección de datos: se suma a ella. Un sistema de selección automatizada implica tratamiento de datos personales y, con frecuencia, decisiones individuales automatizadas del artículo 22 del RGPD, que exigen base jurídica adecuada, información al interesado y derecho a obtener intervención humana.

También suele ser necesaria una evaluación de impacto previa. Realizarla después de haber implantado la herramienta no cumple la finalidad de la norma, que es precisamente decidir con la evaluación delante.

Aplicación escalonada y supervisión

Las obligaciones del Reglamento entran en aplicación por fases desde su entrada en vigor en 2024, empezando por las prácticas prohibidas y siguiendo por los modelos de uso general y los sistemas de alto riesgo. Las fechas concretas dependen de la categoría, y conviene verificarlas para cada caso.

En España, la supervisión corresponde a la Agencia Española de Supervisión de la Inteligencia Artificial, con sede en A Coruña, primera autoridad de este tipo creada en la Unión Europea.

Por dónde empezar

Antes que cualquier otra cosa, un inventario: qué sistemas de IA se utilizan realmente en la organización, incluidos los que llegaron dentro de una herramienta contratada para otra cosa. Es habitual descubrir que un módulo del software de recursos humanos puntúa candidaturas sin que nadie lo hubiera considerado inteligencia artificial.

Con el inventario hecho, clasificar cada sistema, revisar el contrato con el proveedor —que debe facilitar la información necesaria para cumplir— y documentar la supervisión humana. Es trabajo de semanas, no de meses, y su ausencia es lo que convierte una inspección en un expediente.

Las cuatro preguntas que decide todo lo demás

Antes de hablar de obligaciones hay que situarse, y casi ninguna empresa lo hace en el orden correcto:

1. ¿Qué papel tiene la empresa? No es lo mismo desarrollar un sistema (proveedor) que limitarse a utilizarlo bajo la propia autoridad (responsable del despliegue). Las obligaciones del proveedor son mucho más intensas. Ojo: quien pone su marca en un sistema de un tercero, o lo modifica sustancialmente, pasa a ser proveedor aunque no haya escrito una línea de código.
2. ¿En qué nivel de riesgo encaja el uso? Y es el uso, no la herramienta. El mismo modelo de lenguaje es riesgo mínimo redactando borradores y alto riesgo cribando currículums.
3. ¿Qué obligaciones están ya en vigor? La aplicación es escalonada. Las prácticas prohibidas y el deber de alfabetización en IA llegaron primero; las obligaciones de los sistemas de alto riesgo, después.
4. ¿Quién responde dentro de la empresa? Si la respuesta es «nadie en concreto», ese es el primer problema a resolver.

Los usos de alto riesgo que aparecen sin buscarlos

Muchas empresas se creen fuera del reglamento y están dentro por la puerta de atrás, casi siempre por recursos humanos:

• Selección de personal: cribado de candidaturas, ordenación por puntuación, análisis de vídeoentrevistas.
• Decisiones sobre la relación laboral: promoción, asignación de tareas, evaluación del desempeño y extinción.
• Evaluación de solvencia de personas físicas para conceder crédito.
• Precios y riesgo en seguros de vida y salud.
• Acceso a servicios públicos esenciales.

Y hay que sumar el frente laboral: el artículo 64.4.d) del Estatuto de los Trabajadores obliga a informar al comité de empresa de los parámetros y lógica de los algoritmos que puedan incidir en las condiciones de trabajo. Es una obligación autónoma, que existe con independencia de lo que diga el reglamento europeo.

La alfabetización en IA, en concreto

Es la obligación que más se ignora porque suena vaga, y no lo es tanto: exige que quienes se ocupan del funcionamiento y uso de los sistemas tengan un nivel suficiente de competencia, atendiendo a sus conocimientos, al contexto de uso y a las personas afectadas.

En la práctica se traduce en tres cosas documentables: formación adaptada al puesto, con registro de quién la recibió y cuándo; instrucciones de uso escritas para cada herramienta admitida; y una política interna que diga qué está permitido, qué no, y qué información no puede introducirse nunca en una herramienta externa. Sin ese registro, la obligación se considera incumplida aunque la plantilla sepa perfectamente lo que hace.

Lo que conviene tener hecho ya

• Inventario de sistemas de IA en uso, incluidos los que entraron sin pasar por el departamento de tecnología, que son la mayoría.
• Clasificación de cada uso por nivel de riesgo, por escrito.
• Revisión de los contratos con proveedores: reparto de responsabilidades, información técnica que deben facilitar y garantías de conformidad.
• Encaje con protección de datos: base de licitud, evaluación de impacto cuando proceda y el derecho a no ser objeto de decisiones automatizadas.
• Registro de incidentes y procedimiento de supervisión humana efectiva, que no puede consistir en firmar lo que propone la máquina.

> Este artículo describe obligaciones generales. La calificación de un sistema > concreto y el calendario que le resulta aplicable exigen análisis > individualizado.

Red Legal · 11 de agosto de 2026