El punto de partida: qué tipo de IA generativa usa tu empresa
Hay una diferencia importante entre la IA generativa que usas directamente y la IA generativa que integras en tus propios productos o servicios. La primera (un empleado que usa ChatGPT para redactar correos o Copilot para escribir código) crea pocas obligaciones nuevas bajo el AI Act. La segunda (una empresa que construye un chatbot para sus clientes usando GPT-4 como motor) te convierte en proveedor o desplegador de un sistema de IA con sus propias obligaciones.
Esto no significa que el uso personal de herramientas de IA generativa sea un espacio libre de riesgo o de regulación. El RGPD sigue aplicando cuando esos usos implican datos personales, y hay contextos donde incluso el uso individual de IA generativa puede crear problemas de cumplimiento. Pero el AI Act está principalmente orientado a los sistemas, no a los usos puntuales.
Los modelos GPAI y qué significa eso para las empresas que los usan
ChatGPT, Copilot, Gemini, Claude y similares son modelos de IA de uso general (GPAI en la terminología del AI Act). El reglamento les impone obligaciones a sus proveedores (OpenAI, Microsoft, Google, Anthropic…), no directamente a las empresas que los usan como herramientas.
Las obligaciones del proveedor GPAI incluyen: mantener documentación técnica actualizada, publicar un resumen de los datos de entrenamiento, cumplir la legislación de derechos de autor, y tener una política de transparencia. Para los modelos GPAI con riesgo sistémico (los más potentes según criterios de computación de entrenamiento), hay obligaciones adicionales: evaluaciones adversariales, notificación de incidentes graves y medidas de ciberseguridad.
Para la empresa que los usa, la pregunta relevante no es qué obligaciones tiene el proveedor del modelo, sino qué hace la empresa con ese modelo. Si usa el modelo para construir un sistema que toma decisiones en un contexto de alto riesgo (evaluación de empleados, scoring crediticio, diagnóstico médico), ese sistema hereda las obligaciones de alto riesgo independientemente de que el modelo base sea un GPAI comercial.
Los cuatro escenarios más habituales en empresas
Uso interno de herramientas de productividad. Empleados que usan ChatGPT, Copilot o Gemini para redactar documentos, resumir información, generar código o hacer análisis. En este escenario, el AI Act tiene poco impacto directo, pero hay obligaciones que vienen de otras normativas: el RGPD si se introducen datos personales en el prompt, las políticas de uso aceptable de la plataforma, y las políticas internas de la empresa sobre uso de herramientas externas. El riesgo principal no es regulatorio sino operativo: dependencia de un proveedor externo, fuga de información confidencial a través de los prompts, y decisiones tomadas sobre la base de outputs no verificados.
Chatbots de atención al cliente o asistentes internos. La empresa integra un modelo GPAI en su propia plataforma para crear un asistente conversacional. Aquí la empresa pasa a ser desplegadora (si usa el modelo tal como viene) o proveedora (si le añade funcionalidades propias significativas). El AI Act exige en este caso cumplir con las obligaciones de transparencia para sistemas de riesgo limitado: informar al usuario de que está interactuando con un sistema de IA. Esta obligación aplica desde agosto de 2025.
Herramientas de análisis y decisión en procesos de negocio. Cuando la IA generativa se usa para apoyar decisiones sobre personas (contratación, evaluación de rendimiento, aprobación de préstamos, atención médica), el sistema puede caer en la categoría de alto riesgo del Anexo III. En ese caso, las obligaciones son sustancialmente mayores: documentación técnica, supervisión humana obligatoria, evaluaciones de conformidad, y registro.
Desarrollo de productos con IA generativa integrada. Empresas que construyen productos propios usando modelos GPAI de terceros como componente. Estas empresas son proveedoras bajo el AI Act y tienen las obligaciones más amplias: conformidad del sistema resultante, documentación técnica, evaluación de conformidad si el sistema es de alto riesgo, y registro.
Qué controles son obligatorios para la empresa que usa IA generativa
Independientemente del escenario, hay controles que cualquier empresa debería tener implementados cuando usa IA generativa de forma significativa en sus operaciones.
Política de uso de IA: un documento que establezca qué herramientas de IA están autorizadas, para qué usos, con qué restricciones y qué información no puede introducirse en herramientas externas. Esto no es solo cumplimiento del AI Act; es gestión del riesgo operativo y de reputación.
Formación a empleados: que los empleados que usan IA generativa sepan qué puede y qué no puede hacer la herramienta, cómo verificar los outputs antes de usarlos, y qué tipos de datos no deben introducirse en plataformas externas. El AI Act menciona explícitamente la necesidad de que los desplegadores aseguren que quienes interactúan con los sistemas tienen el nivel de competencia necesario.
Gestión de proveedores: revisar las condiciones de uso de los servicios de IA generativa que se usan, especialmente en relación con el tratamiento de datos introducidos en los prompts, los derechos sobre los outputs generados, y los mecanismos de supervisión humana disponibles. Esto también es relevante desde el RGPD si los prompts contienen datos personales.
Registro de usos significativos: para los sistemas de alto riesgo, el AI Act exige mantener registros de los resultados del sistema y de las decisiones tomadas con su apoyo. Aunque no sea obligatorio para todos los usos, mantener un registro de cómo y cuándo se usa la IA generativa en procesos de decisión importantes es una buena práctica que facilita la supervisión y la rendición de cuentas.
El problema de los datos personales en los prompts
Este es probablemente el punto donde más empresas tienen problemas en la práctica. Cuando un empleado introduce datos personales de clientes, candidatos o pacientes en un prompt de ChatGPT o similar, eso constituye una transferencia de datos a un tercero (el proveedor de la IA) que tiene que estar cubierta por el RGPD.
Las implicaciones prácticas son varias. Hay que revisar si el contrato con el proveedor de IA incluye las cláusulas necesarias para el tratamiento de datos personales (hay que saber si actúa como encargado del tratamiento y bajo qué condiciones). Hay que verificar que la transferencia internacional cumple los requisitos del RGPD si el proveedor está fuera de la UE. Y hay que informar a los interesados de este uso si no estaba contemplado en las bases legales y la información original.
Varios proveedores de IA generativa tienen versiones empresariales con contratos de tratamiento de datos más claros y con la garantía de que los datos introducidos no se usan para entrenar los modelos. Estas versiones son el punto de partida mínimo para cualquier uso que implique datos personales de clientes.
Cómo prepararse para el AI Act en 2026
El plazo para los sistemas de IA de alto riesgo del Anexo III es agosto de 2026. Para la mayoría de las empresas que usan IA generativa como herramienta interna o en chatbots, las obligaciones más inmediatas son las de transparencia (informar al usuario de que interactúa con IA), que aplican desde agosto de 2025.
Un programa de preparación razonable para 2026 incluye cuatro pasos: inventariar todos los sistemas de IA que usa o desarrolla la empresa, clasificarlos según las categorías del AI Act, determinar qué obligaciones aplican a cada uno según su categoría y el rol de la empresa, y establecer un plan de cumplimiento con responsables y plazos.
Para los usos de IA generativa que no llegan al umbral de alto riesgo, el esfuerzo de cumplimiento es manejable. Para los que sí llegan, la preparación lleva tiempo y es mejor empezarla ahora que esperar a que los plazos estén encima.
]]>
