La inteligencia artificial ya forma parte de la actividad diaria de las empresas españolas.

ChatGPT, Microsoft Copilot, Gemini, asistentes integrados, sistemas de selección, herramientas de análisis, chatbots y agentes de IA se utilizan para redactar documentos, responder a clientes, analizar información, generar código, seleccionar candidatos o automatizar procesos.

Sin embargo, muchas organizaciones todavía no pueden responder con claridad a preguntas básicas:

• ¿Qué herramientas de IA se utilizan?
• ¿Qué empleados y departamentos las utilizan?
• ¿Qué información se introduce en ellas?
• ¿Qué decisiones dependen de sus resultados?
• ¿Quién ha autorizado cada caso de uso?
• ¿Qué medidas de seguridad se han implantado?
• ¿Qué obligaciones establece el AI Act?

Esta falta de visibilidad ya no es únicamente un problema tecnológico.

El Reglamento Europeo de Inteligencia Artificial, conocido como AI Act, está en vigor desde el 1 de agosto de 2024 y su aplicación se está produciendo de forma progresiva. Algunas obligaciones ya son aplicables, otras comienzan a aplicarse el 2 de agosto de 2026 y determinadas obligaciones para sistemas de alto riesgo disponen de plazos posteriores.

Por tanto, la pregunta ya no es si una empresa debería prepararse.

La pregunta es si puede demostrar que conoce, controla y supervisa la inteligencia artificial que utiliza.

¿El AI Act ya está en vigor en España?

Sí. El AI Act es un reglamento europeo y, por tanto, resulta directamente aplicable en los Estados miembros de la Unión Europea, incluida España.

No obstante, es importante diferenciar dos conceptos:

Entrada en vigor

El Reglamento entró en vigor el 1 de agosto de 2024 y forma parte del marco jurídico europeo.

Aplicación de las obligaciones

Los distintos requisitos del AI Act se aplican de forma progresiva según el calendario establecido por el propio Reglamento.

Decir que el AI Act está en vigor no significa que todas sus obligaciones se aplicaran desde el primer día. Significa que el marco legal ya existe y que las empresas deben conocer qué disposiciones les afectan y desde qué fecha.

Calendario de aplicación del AI Act

📅 1 de agosto de 2024

Entrada en vigor del AI Act.

📅 2 de febrero de 2025

Aplicación de las prácticas prohibidas del artículo 5 y de las medidas de alfabetización en IA del artículo 4.

📅 2 de agosto de 2025

Aplicación de las obligaciones para proveedores de modelos de IA de propósito general.

📅 2 de agosto de 2026

Aplicación de las obligaciones de transparencia del artículo 50 y comienzo de la aplicación y supervisión de otros bloques del Reglamento.

📅 2 de diciembre de 2027

Aplicación de los requisitos para sistemas de alto riesgo incluidos en el anexo III.

📅 2 de agosto de 2028

Aplicación de los requisitos para determinados sistemas de alto riesgo integrados en productos regulados del anexo I.

Las fechas correspondientes a los sistemas de alto riesgo fueron modificadas por el Reglamento (UE) 2026/1744, conocido como AI Omnibus, que entró en vigor el 27 de julio de 2026.

Este aplazamiento no significa que las empresas deban esperar hasta 2027 o 2028.

Antes de poder clasificar un sistema como alto riesgo, limitado o mínimo, la organización necesita identificarlo, documentar su finalidad, determinar quién lo utiliza, analizar sus datos y establecer responsabilidades.

¿Qué obligaciones del AI Act afectan a las empresas?

Una vez conocidas las fechas de aplicación del AI Act, el siguiente paso es identificar qué obligaciones afectan realmente a cada organización.

Aunque el Reglamento Europeo de Inteligencia Artificial (AI Act) contiene más de cien artículos, no todos tienen el mismo impacto para las empresas. Existen varias obligaciones especialmente relevantes para las organizaciones que desarrollan, contratan o utilizan sistemas de inteligencia artificial. Conocerlas permite priorizar las acciones de cumplimiento y construir un modelo de Gobierno de la IA alineado con los requisitos del Reglamento.

En este artículo nos centraremos en cuatro de los artículos con mayor impacto práctico para la mayoría de las empresas: el artículo 4, sobre alfabetización y formación en inteligencia artificial; el artículo 5, relativo a las prácticas prohibidas; el artículo 50, que establece obligaciones de transparencia; y el artículo 15, que define los requisitos de precisión, robustez y ciberseguridad para determinados sistemas de IA.

Artículo 4: alfabetización y formación en inteligencia artificial

El artículo 4 establece que los proveedores y usuarios profesionales de sistemas de IA deben adoptar medidas para apoyar un nivel adecuado de alfabetización en inteligencia artificial entre las personas que operan o utilizan estos sistemas en su nombre.

Tras la reforma de julio de 2026, la obligación se ha simplificado y se centra en adoptar medidas que favorezcan el desarrollo de estas competencias, teniendo en cuenta el conocimiento técnico, la experiencia, la formación y el contexto en el que se utiliza la IA.

Esto no debería interpretarse como la realización de un curso genérico para toda la plantilla. Una formación eficaz debe adaptarse a los riesgos y responsabilidades de cada perfil dentro de la organización.

Usuarios de ChatGPT, Copilot o herramientas similares

Deben conocer qué información pueden introducir y qué datos no deberían compartir con sistemas de inteligencia artificial.

Recursos Humanos

Deben conocer qué información pueden introducir y qué datos no deberían compartir con sistemas de inteligencia artificial.

Marketing

Debe saber cuándo es necesario identificar contenidos generados o manipulados mediante inteligencia artificial y aplicar los criterios de transparencia correspondientes.

Desarrolladores

Deben conocer riesgos como prompt injection, fugas de información, salidas inseguras y otras vulnerabilidades propias de aplicaciones basadas en IA.

Dirección

Debe comprender sus responsabilidades, los criterios de aprobación de nuevos casos de uso y el nivel de riesgo que la organización está dispuesta a asumir.

Para muchas organizaciones, cumplir esta obligación implica diseñar un programa de formación adaptado a los distintos perfiles, documentar las acciones realizadas y mantener evidencias de las medidas adoptadas.

¿Necesita implantar un programa de alfabetización en IA?

En BCNSoluciona ayudamos a diseñar planes de formación adaptados a los distintos perfiles de la organización e integrados dentro de un modelo de Gobierno de la IA.

Artículo 5: prácticas de IA prohibidas

El artículo 5 regula determinados usos de la inteligencia artificial considerados incompatibles con los derechos y valores de la Unión Europea.

Entre otros supuestos, afecta a prácticas de manipulación perjudicial, explotación de vulnerabilidades, determinados sistemas de puntuación social, algunas formas de categorización biométrica y ciertos usos de reconocimiento de emociones.

Estas prohibiciones comenzaron a aplicarse el 2 de febrero de 2025. La reforma de 2026 añadió además restricciones relacionadas con aplicaciones que generan contenido sexual íntimo no consentido.

Una empresa no debería asumir que una herramienta es legal simplemente porque está disponible comercialmente.

Debe analizar:

• Su finalidad real.
• El contexto en el que se utiliza.
• Las personas afectadas.
• Los datos tratados.
• Los resultados generados.
• Las decisiones que pueden tomarse a partir de esos resultados.

Artículo 15: precisión, robustez y ciberseguridad

• Ignorar sus instrucciones.
• Revelar información confidencial.
• Ejecutar acciones no autorizadas.
• Generar resultados deliberadamente incorrectos.
• Acceder a funciones reservadas.
• Utilizar documentación maliciosa como fuente de instrucciones.
• Propagar información falsa dentro de otros procesos.

Artículo 50: transparencia frente a usuarios y terceros

A partir del 2 de agosto de 2026 comienzan a aplicarse las obligaciones de transparencia del artículo 50.

Estas obligaciones pueden afectar, entre otros, a:

• Chatbots y agentes que interactúan directamente con personas.
• Sistemas que generan o manipulan texto, imágenes, audio o vídeo.
• Contenidos que pueden constituir deepfakes.
• Sistemas de reconocimiento de emociones o categorización biométrica.
• Textos generados con IA que se publiquen para informar sobre asuntos de interés público sin suficiente revisión editorial.

En determinados casos, las personas deben ser informadas de que están interactuando con una inteligencia artificial. También pueden ser necesarias medidas para identificar contenido generado o manipulado artificialmente.

Esto afecta directamente a empresas que utilizan chatbots de atención al cliente, asistentes de recursos humanos, agentes comerciales, generación automática de contenidos o sistemas conversacionales integrados en páginas web.

El Gobierno de la IA es la forma de aplicar el AI Act

El AI Act establece obligaciones, pero no gestiona por sí solo la inteligencia artificial dentro de una empresa.

El Gobierno de la IA es el conjunto de políticas, responsabilidades, procesos y controles que permite aplicar esas obligaciones en la actividad diaria.

Un modelo efectivo de Gobierno de la IA para empresas debe permitir responder a seis cuestiones fundamentales:

• Qué IA existe: herramientas, modelos, asistentes, agentes y automatizaciones.
• Para qué se utiliza: procesos, decisiones, departamentos y personas afectadas.
• Qué datos trata: información personal, confidencial, financiera, sanitaria, contractual o estratégica.
• Qué riesgo presenta: prohibido, alto riesgo, transparencia específica o riesgo limitado.
• Quién responde: propietario del sistema, responsable del proceso, seguridad, privacidad y dirección.
• Cómo se controla: políticas, autorizaciones, supervisión humana, registros, formación, controles técnicos y revisiones periódicas.

El Gobierno de la IA proporciona el marco necesario para identificar, controlar y supervisar el uso de la inteligencia artificial dentro de una organización.

Sin embargo, para que este modelo sea efectivo, las empresas necesitan combinar dos elementos complementarios: un sistema que permita gestionar y mejorar continuamente sus procesos de inteligencia artificial, y controles técnicos que permitan comprobar que los sistemas utilizados funcionan de forma segura.

Por este motivo, estándares como ISO/IEC 42001 y evaluaciones técnicas como el pentesting de IA pueden ayudar a transformar los principios del AI Act en medidas concretas dentro de la empresa.

¿Cómo ayuda ISO/IEC 42001 al cumplimiento del AI Act?

La norma ISO/IEC 42001 proporciona un sistema de gestión para organizar el uso de la inteligencia artificial dentro de una empresa. Aunque no garantiza por sí sola el cumplimiento del AI Act, ayuda a definir responsabilidades, gestionar riesgos, mantener evidencias y establecer procesos de mejora continua.

Para las organizaciones que ya trabajan con otros sistemas de gestión, como ISO 27001, facilita además la integración del Gobierno de la IA dentro de sus procesos existentes.

¿Por qué el pentesting de IA forma parte del Gobierno de la IA?

El cumplimiento del AI Act no depende únicamente de políticas y procedimientos. También requiere comprobar que los sistemas de inteligencia artificial funcionan de forma segura.

El pentesting de IA permite evaluar si modelos, agentes y aplicaciones pueden ser manipulados, revelar información sensible o ejecutar acciones no autorizadas. Estas pruebas ayudan a identificar vulnerabilidades antes de que puedan convertirse en un riesgo para la organización.

Cuando la inteligencia artificial se integra en procesos críticos o accede a información corporativa, la validación técnica complementa las medidas organizativas y refuerza el modelo de Gobierno de la IA.

Plan de 90 días para empezar a cumplir el AI Act

No todas las empresas necesitan comenzar implantando un sistema de gestión completo o iniciando directamente una certificación ISO/IEC 42001.

La mayoría necesita primero obtener visibilidad sobre cómo se está utilizando la inteligencia artificial dentro de la organización para poder priorizar las acciones más importantes.

Días 1 a 30: identificar y contener

Durante la primera fase, la organización debería:

• Identificar las herramientas de IA conocidas.
• Realizar una encuesta de uso por departamentos.
• Detectar IA integrada dentro de otras aplicaciones.
• Crear un inventario inicial de sistemas y casos de uso.
• Identificar responsables y proveedores.
• Establecer unas reglas provisionales de uso.
• Restringir la introducción de información sensible en herramientas no autorizadas.
• Identificar usos que puedan estar prohibidos o requieran transparencia.

El objetivo no es disponer de un inventario perfecto, sino reducir inmediatamente los principales puntos ciegos.

Días 31 a 60: clasificar y formar

La segunda fase debería centrarse en:

• Determinar el papel de la empresa: proveedor, usuario profesional, importador o distribuidor.
• Clasificar preliminarmente los sistemas por nivel de riesgo.
• Analizar los datos utilizados.
• Revisar los contratos y condiciones de los proveedores.
• Definir responsables de aprobación y supervisión.
• Aprobar una política corporativa de uso de IA.
• Impartir formación adaptada a los perfiles y casos de uso.
• Establecer un procedimiento para solicitar nuevos usos de IA.

La formación debería abordar situaciones reales de la organización, no limitarse a explicar conceptos generales sobre inteligencia artificial.

Días 61 a 90: implantar controles y validar la seguridad

Durante la tercera fase se deberían:

• Implantar controles sobre accesos, datos y permisos.
• Establecer registros y evidencias.
• Definir mecanismos de supervisión humana.
• Revisar las obligaciones de transparencia.
• Probar los procedimientos de respuesta ante incidentes.
• Realizar un pentest de los sistemas de IA más expuestos.
• Definir indicadores y revisiones periódicas.
• Preparar el roadmap de adecuación al AI Act.
• Valorar la implantación de ISO/IEC 42001.

El resultado debería ser un plan priorizado, con responsables, plazos y evidencias.

Cuatro ejemplos habituales en empresas españolas

Los siguientes ejemplos muestran cómo aplicar los principios del AI Act y del Gobierno de la IA en situaciones habituales dentro de una organización.

El cumplimiento del AI Act requiere un enfoque integral

Cumplir el AI Act no consiste únicamente en conocer las obligaciones del Reglamento. También requiere implantar un modelo que permita gestionar la inteligencia artificial de forma continua y demostrar ese cumplimiento en el tiempo.

Para ello, las organizaciones deberían combinar cuatro elementos complementarios:

• Gobierno de la IA, para definir responsabilidades y establecer controles.
• Formación, para que las personas utilicen la IA de forma segura y conforme al Reglamento.
• ISO/IEC 42001, para estructurar el sistema de gestión.
• Pentesting de IA, para validar técnicamente la seguridad de los sistemas más críticos.

La combinación de estas cuatro áreas permite pasar del cumplimiento puntual del AI Act a un modelo de gestión sostenible, adaptado a la realidad de cada organización.

El AI Act ya está en vigor. Es el momento de gobernar la IA

El AI Act ya no es una normativa futura. Algunas de sus obligaciones ya son aplicables y el resto se incorporará de forma progresiva durante los próximos años. Por ello, las empresas no deberían esperar al último momento para comenzar su adaptación.

Actuar ahora permite hacerlo de forma ordenada y priorizar las acciones que aportan más valor:

• Identificar las herramientas de IA que utiliza la organización.
• Clasificar los casos de uso y evaluar sus riesgos.
• Implantar un modelo de Gobierno de la IA.
• Formar a las personas que utilizan sistemas de inteligencia artificial.
• Validar la seguridad de los sistemas y conservar evidencias de cumplimiento.

Un enfoque progresivo facilita la adaptación al Reglamento y reduce los riesgos derivados de un uso no controlado de la inteligencia artificial.

En BCNSoluciona ayudamos a las empresas a implantar un modelo integral que combina Gobierno de la IA, adecuación al AI Act, formación, ISO/IEC 42001 y pentesting de IA.

¿Sabe qué inteligencia artificial utiliza realmente su empresa?

Preguntas frecuentes sobre el AI Act