Comprar una licencia empresarial no resuelve por sí sola los riesgos jurídicos de la inteligencia artificial. La organización necesita saber qué sistemas utiliza, para qué, con qué datos, bajo qué rol y quién responde de cada decisión.
Este contenido amplía la publicación de Álvaro Ruipérez Candón sobre control y responsabilidad empresarial en inteligencia artificial. Puede consultarse la publicación original en Notimérica. La página separa los hechos normativos de las recomendaciones de gestión y actualiza el análisis al calendario aplicable en septiembre de 2026.
Las organizaciones que necesiten ordenar contratos, casos de uso y responsabilidades pueden consultar el servicio de abogados de inteligencia artificial y AI Act para empresas.
¿Por qué una herramienta empresarial no garantiza el cumplimiento?
Las condiciones comerciales pueden ofrecer controles de acceso, opciones de privacidad o compromisos sobre entrenamiento. Son elementos relevantes, pero no responden todas las preguntas de la empresa usuaria. Todavía hay que determinar la finalidad, los datos introducidos, el rol de cada parte, los usos prohibidos, la supervisión, la conservación y la información que debe recibir una persona afectada.
También importa cómo se utiliza la herramienta en la práctica. Un asistente para resumir textos presenta un perfil distinto de un sistema que puntúa candidatos, detecta fraude, prioriza clientes o genera recomendaciones que influyen en decisiones. La clasificación debe atender al caso de uso real, no solo al nombre del producto.
Seis controles para una gobernanza de IA operativa
Inventario de sistemas
Registra herramientas contratadas, funciones integradas y usos creados por equipos. Incluye propietario, proveedor, finalidad y estado.
Clasificación jurídica
Identifica el rol de la empresa, el tipo de sistema, el nivel de riesgo y las normas que concurren: AI Act, RGPD, propiedad intelectual o regulación sectorial.
Aprobación por casos de uso
Una herramienta puede ser aceptable para una finalidad y no para otra. Las reglas internas deben distinguir datos, usuarios y consecuencias.
Control de proveedores
Revisa instrucciones, subcontratación, localización, seguridad, propiedad de entradas y salidas, cambios del servicio y mecanismos de salida.
Supervisión humana
Define cuándo una persona debe validar resultados, con qué información, autoridad y formación, y cómo puede apartarse de la recomendación.
Evidencia y seguimiento
Conserva decisiones, pruebas, incidencias, métricas y revisiones. La trazabilidad permite corregir y demostrar el control ejercido.
¿Qué obligaciones están ya en aplicación?
El Reglamento (UE) 2024/1689 se aplica de forma progresiva. Las prohibiciones y la alfabetización en IA comenzaron a aplicarse el 2 de febrero de 2025; las reglas de gobernanza y determinadas obligaciones sobre modelos de propósito general, desde el 2 de agosto de 2025; y desde el 2 de agosto de 2026 se aplican otras disposiciones y facultades de ejecución.
El calendario de sistemas de alto riesgo ha sido objeto de ajustes normativos. La Comisión Europea mantiene una cronología oficial del AI Act que debe revisarse para cada proyecto. No conviene copiar una fecha genérica sin identificar la categoría del sistema y el rol de proveedor, responsable del despliegue, importador o distribuidor.
Cómo encaja el RGPD con la gobernanza de IA
Cuando un sistema trata datos personales, el AI Act no sustituye al RGPD. La empresa debe evaluar base jurídica, información, minimización, conservación, seguridad y derechos. Si existe una decisión exclusivamente automatizada con efectos jurídicos o significativamente similares, debe analizarse además el artículo 22 del RGPD y sus excepciones.
La evaluación de impacto en protección de datos tampoco se exige por el simple uso de la etiqueta “IA”. Se realiza cuando es probable que el tratamiento entrañe alto riesgo para los derechos y libertades. Puede convivir con evaluaciones, documentación técnica o gestión de riesgos exigidas por el AI Act, pero cada instrumento responde a su propio marco.
Errores que conviene evitar
- Aprobar una marca o producto sin limitar sus casos de uso.
- Confiar en que la versión Enterprise traslada toda la responsabilidad al proveedor.
- Permitir que cada equipo contrate herramientas sin inventario central.
- Usar datos reales para pruebas cuando no son necesarios.
- Nombrar “supervisión humana” sin tiempo, información o autoridad efectiva.
- Redactar políticas que no se conectan con compras, seguridad y operaciones.
- Nombrar un responsable del programa y propietarios por caso de uso.
- Crear un canal de aprobación previo a la puesta en producción.
- Inventariar herramientas oficiales y usos no autorizados detectados.
- Clasificar riesgos, roles y normas aplicables.
- Revisar contratos, datos, seguridad y propiedad intelectual.
- Formar a usuarios y documentar revisiones periódicas.
Preguntas frecuentes
¿Toda empresa que usa ChatGPT es proveedora de IA?
No. El rol depende de la actividad concreta y de si desarrolla, comercializa, modifica o despliega un sistema. Una empresa usuaria suele actuar como responsable del despliegue, pero debe analizarse cada caso.
¿Una política interna de IA es suficiente?
No por sí sola. Debe apoyarse en inventario, controles de compra, clasificación, contratos, formación, supervisión y evidencia de que las reglas se aplican.
¿El AI Act sustituye al RGPD?
No. Ambos marcos pueden aplicarse al mismo sistema con objetos distintos. La gobernanza debe coordinar sus requisitos sin confundirlos.
Valora tu caso con Álvaro Ruipérez
Si necesitas revisar una sanción, una brecha, un DPO o el uso de IA en tu empresa, puedes explicar tu situación y elegir el siguiente paso.