EU AI Act: cinco comprobaciones para el comité

El EU AI Act no se aplica a todas las empresas del mismo modo ni en una única fecha. Depende del papel de la organización, del sistema y del uso concreto. Por eso el comité no necesita empezar por una certificación, sino por cinco comprobaciones que le permitan decidir con hechos.

Estas comprobaciones son una recomendación de gobierno. No sustituyen el análisis jurídico de cada caso ni convierten toda herramienta de IA en un sistema de alto riesgo.

¿Qué partes del EU AI Act están ya en aplicación?

Las prácticas prohibidas comenzaron a aplicarse el 2 de febrero de 2025. Desde esa fecha, proveedores y responsables del despliegue también deben tomar medidas proporcionadas para apoyar la alfabetización en IA de las personas que operan o utilizan sistemas en su nombre.

Las obligaciones para proveedores de modelos de propósito general comenzaron el 2 de agosto de 2025. El 2 de agosto de 2026 entró en aplicación el bloque general previsto por el Reglamento, con excepciones y calendarios específicos. El AI Omnibus trasladó al 2 de diciembre de 2027 las reglas sobre sistemas de alto riesgo del Anexo III y al 2 de agosto de 2028 las vinculadas a determinados productos del Anexo I.

La consecuencia práctica es sencilla: antes de hablar de cumplimiento hay que identificar qué papel ocupa la organización y qué calendario corresponde a cada sistema.

1. ¿Qué sistemas de IA utiliza realmente la organización?

Un inventario no aparece como obligación universal y autónoma para toda empresa. Es, sin embargo, la forma más directa de descubrir usos, responsables y dependencias.

El registro inicial puede ser breve: nombre del sistema, finalidad, proveedor, área usuaria, datos tratados, personas afectadas y propietario interno. Debe incluir funciones de IA integradas en software ya contratado y usos no formalizados que hayan surgido en los equipos.

2. ¿Qué papel jurídico ocupa la empresa en cada caso?

No es lo mismo desarrollar un sistema, comercializarlo, importarlo, distribuirlo o utilizarlo bajo la propia autoridad. Una empresa que usa una herramienta suele actuar como responsable del despliegue, pero puede asumir obligaciones de proveedor si modifica sustancialmente el sistema, cambia su finalidad o lo comercializa bajo su nombre.

Esta comprobación evita copiar listas de obligaciones que pertenecen a otro operador.

3. ¿Qué riesgo tiene el uso concreto?

La clasificación se hace sobre el sistema y su finalidad prevista, no sobre la presencia genérica de IA. Conviene revisar primero prácticas prohibidas, después los supuestos de alto riesgo y, por último, las obligaciones de transparencia que puedan corresponder.

Una herramienta de productividad interna no tiene el mismo perfil que un sistema utilizado para selección de personal, evaluación crediticia o acceso a servicios esenciales. El contexto cambia la decisión.

4. ¿Quién decide, supervisa y puede detener el uso?

El Reglamento no obliga a toda empresa a crear un comité de IA ni a registrar un responsable en las actas. Sí exige, para los sistemas y obligaciones que correspondan, que existan medidas organizativas y personas con competencia, formación y autoridad suficientes.

Como buena práctica, el comité debería saber quién aprueba el uso, quién es propietario del proceso, quién realiza la supervisión y quién puede suspender el sistema ante un incidente.

5. ¿Qué evidencia merece la pena conservar?

El artículo 4 no prescribe un título, curso o registro único. Aun así, documentar las medidas de alfabetización, las decisiones de clasificación, las revisiones y los incidentes permite demostrar que la organización actuó de forma proporcionada.

Los contratos también deben revisarse según el papel de cada parte. No existe una cláusula universal para cualquier proveedor de IA. Lo importante es conocer la finalidad autorizada, la información disponible, las condiciones de uso, la gestión de cambios, la seguridad, los datos y la asistencia necesaria para cumplir las obligaciones aplicables.

¿Qué debe decidir el comité después de estas comprobaciones?

El resultado no debería ser una carpeta de documentos, sino una lista priorizada de decisiones: detener un uso, pedir información al proveedor, reforzar supervisión, formar a un colectivo o preparar con tiempo un posible sistema de alto riesgo.

Gobernar la IA no consiste en asumir que todo está prohibido ni en confiar en que el proveedor lo resuelve todo. Consiste en conocer la realidad, asignar autoridad y decidir con proporcionalidad.