Antes de preguntar si una empresa cumple el Reglamento de Inteligencia Artificial, conviene saber qué sistemas utiliza y para qué. Una herramienta para resumir un texto y otra que influye en la selección de personal no plantean el mismo tipo de decisión.
El marco de aplicación publicado por la Comisión Europea distingue usos, responsabilidades y plazos. Las obligaciones de alfabetización en IA y las primeras prohibiciones se aplican desde febrero de 2025; la aplicación general llegó en agosto de 2026, con excepciones y transiciones específicas. No existe una exención general por ser una organización pequeña.
Esta guía propone ordenar la gestión interna. No determina la clasificación jurídica de un sistema concreto ni sustituye una revisión especializada de los usos sensibles.
Primero, un inventario que describa usos reales
No se limiten a listar marcas. Una misma herramienta puede emplearse para redactar comunicaciones, analizar documentos o apoyar una decisión sobre personas. Registren cada uso relevante y su finalidad.
Incluyan quién lo utiliza, qué datos entran, qué resultado produce, quién lo revisa y qué sucede con ese resultado. También si la herramienta está integrada en otro servicio y puede pasar desapercibida para el equipo.
Pregunten por las prácticas reales sin convertir el inventario en una búsqueda de culpables. Si las personas temen reconocer que utilizan una herramienta, la organización seguirá decidiendo con información incompleta.
Una ficha de uso que cabe en una página
| Elemento | Pregunta que debe responder |
|---|---|
| Finalidad | ¿Qué tarea o decisión apoya? |
| Responsable | ¿Quién autoriza y revisa el uso? |
| Datos | ¿Qué información recibe y cuál queda excluida? |
| Proveedor y condiciones | ¿Qué servicio se contrata y con qué documentación? |
| Resultado | ¿Dónde se utiliza y a quién puede afectar? |
| Control humano | ¿Qué se comprueba antes de actuar? |
| Incidencias | ¿Cómo se detecta, comunica y detiene un problema? |
La ficha no es una plantilla oficial de cumplimiento. Permite reunir la información necesaria para decidir qué revisión corresponde y evitar que un uso cambie de alcance sin que nadie lo advierta.
Distinguir el papel de la organización
Utilizar un servicio ajeno, desarrollar un sistema o ponerlo en el mercado bajo determinadas condiciones puede implicar papeles y obligaciones diferentes. No deduzcan el papel únicamente de quién paga la licencia.
Revisen qué modificaciones realizan, cómo se presenta el sistema y para qué se ofrece. Si la organización integra una solución para terceros o cambia su finalidad, conviene estudiar específicamente las consecuencias.
La documentación del proveedor ayuda, pero una frase comercial como «cumple la normativa» no explica por sí sola las responsabilidades de quien utiliza la herramienta en una actividad concreta.
Identificar usos que merecen una revisión prioritaria
Presten especial atención a decisiones que pueden afectar a personas, acceso a oportunidades, educación, empleo o servicios sensibles. El marco europeo trata determinados usos de estos ámbitos de forma específica; la clasificación depende de las condiciones del caso.
No utilicen una lista informal como autorización. Cuando exista duda, delimiten el uso, eviten ampliar su aplicación y obtengan el asesoramiento necesario antes de basar decisiones importantes en el resultado.
También un uso cotidiano puede generar problemas si recibe datos inadecuados o produce información falsa que se publica sin revisión. La gestión no debe centrarse exclusivamente en las categorías jurídicas de mayor riesgo.
Formación ligada al trabajo, no solo a conceptos
El equipo necesita entender qué puede hacer, qué no debe introducir en una herramienta y cómo revisar las respuestas. Una sesión general sobre IA puede ser un inicio, pero no resuelve las situaciones propias de cada función.
Utilicen ejemplos de trabajo con datos ficticios: una respuesta inventada que parece creíble, un documento que contiene información identificable o una sugerencia que modifica una condición comercial. Practiquen cómo detectarlo y qué hacer después.
Registren la formación y revisen si permite actuar mejor. Un listado de asistencia no demuestra por sí solo que las personas sepan aplicar los controles en su actividad.
Ejemplo hipotético: del resumen al filtro de candidaturas
Una empresa autoriza una herramienta para resumir documentos internos no sensibles. Más adelante, alguien propone utilizarla para ordenar candidaturas de empleo porque parece ahorrar tiempo.
Ese cambio no es una simple ampliación de la misma tarea. Afecta a personas y puede introducir criterios o inferencias que deben revisarse. La empresa detiene el nuevo uso hasta comprender su funcionamiento, finalidad y condiciones aplicables.
El caso es ficticio. No determina la clasificación de una herramienta real; muestra por qué la autorización debe referirse al uso concreto y no solo a una marca de software.
Supervisión humana que pueda cambiar el resultado
Revisar no debería significar pulsar aceptar sobre una respuesta que no se comprende. La persona supervisora necesita información, tiempo y capacidad para detectar errores, pedir una comprobación o rechazar el resultado.
Definan qué se comprueba y con qué fuente. En una comunicación, pueden ser datos y promesas. En un análisis, supuestos y cálculos. En un uso sensible, la supervisión requerida debe estudiarse con mayor profundidad.
Si el volumen de trabajo impide revisar de verdad, ajusten el proceso. Mantener formalmente una persona en el circuito no resuelve una automatización que, en la práctica, nadie puede controlar.
Incidencias, cambios y revisión periódica
Acorden cómo comunicar un error sin difundir datos innecesarios, quién evalúa sus consecuencias y cuándo debe suspenderse el uso. Las comunicaciones o notificaciones legalmente exigibles deben analizarse según el incidente y las normas aplicables.
Revisen la ficha cuando cambien proveedor, condiciones, datos o finalidad. Una aprobación antigua no cubre automáticamente una nueva función incorporada a la herramienta.
Conserven las decisiones relevantes y sus motivos. No es necesario registrar cada interacción indiscriminadamente; el sistema de seguimiento debe ser proporcionado y respetar las obligaciones de protección de datos.
La primera mejora puede ser saber qué no saben
Un inventario completo, una lista de usos pendientes de revisión y unas reglas comprensibles aportan más control que una declaración genérica de uso responsable. A partir de ahí, prioricen las situaciones con mayor impacto potencial.
¿Qué uso de IA existe ya en su organización sin que esté claro quién lo revisa o qué datos puede recibir? Esa es una pregunta concreta para comenzar, sin esperar a que una incidencia obligue a reconstruir el proceso.