La inteligencia artificial ya no es solo una cuestión de innovación. En Europa, también es una cuestión de cumplimiento. Con la entrada en vigor del AI Act —el Reglamento (UE) 2024/1689— las empresas que desarrollan, integran o utilizan sistemas de IA deben empezar a ordenar procesos, responsabilidades y criterios de uso. El objetivo de la norma es impulsar una IA fiable, segura y respetuosa con los derechos fundamentales, sin frenar la innovación.

Para muchas organizaciones, el problema no es solo entender la ley, sino traducirla a decisiones prácticas: qué herramientas están afectadas, qué obligaciones aplican, qué fechas hay que vigilar y qué riesgos se pueden evitar desde el diseño de la arquitectura tecnológica. En este artículo resumimos el marco europeo de forma clara y útil para negocio.

¿Qué es exactamente la normativa europea de IA?

Cuando hablamos de normativa europea de IA nos referimos, sobre todo, al AI Act, el primer marco legal integral sobre inteligencia artificial aprobado por la Unión Europea. Este reglamento establece obligaciones diferentes según el nivel de riesgo del sistema de IA, y distingue entre prácticas prohibidas, sistemas de alto riesgo, obligaciones de transparencia y reglas específicas para modelos de propósito general.

La lógica del reglamento es sencilla: no toda la IA supone el mismo nivel de impacto. No es lo mismo un asistente conversacional para resolver dudas frecuentes que un sistema que influye en contratación, acceso a crédito o decisiones sanitarias. Por eso el AI Act adopta un enfoque basado en riesgo.

Las 4 grandes categorías del AI Act

1. Prácticas prohibidas

La norma prohíbe determinados usos de IA que se consideran incompatibles con los valores europeos y con la protección de derechos fundamentales. La Comisión Europea publicó guías específicas sobre estas prácticas en febrero de 2025 para ayudar a interpretarlas. Entre ellas están, por ejemplo, ciertos usos de manipulación dañina, explotación de vulnerabilidades, social scoring o determinados usos de identificación biométrica remota, con excepciones muy tasadas.

Para las empresas, esta categoría implica una primera revisión básica: antes de pensar en productividad o automatización, conviene comprobar que el caso de uso no entra en una zona directamente prohibida.

2. Sistemas de alto riesgo

Aquí se sitúan los casos más sensibles. El AI Act considera de alto riesgo ciertos sistemas usados en ámbitos como empleo, educación, acceso a servicios esenciales, sanidad, infraestructuras críticas o determinadas actividades de seguridad y control público. También pueden ser de alto riesgo algunos componentes de productos regulados, como dispositivos médicos o ciertos sistemas industriales.

Si una empresa desarrolla o pone en servicio un sistema de este tipo, las exigencias aumentan: gestión de riesgos, calidad de datos, documentación, trazabilidad, supervisión humana, robustez, ciberseguridad, evaluación de conformidad y, en algunos casos, registro en la base de datos pública de la UE.

3. Obligaciones de transparencia

Hay sistemas que no son necesariamente de alto riesgo, pero sí exigen transparencia. Por ejemplo, cuando una persona interactúa con un chatbot, debe poder saber que está interactuando con una máquina. Además, ciertos contenidos generados por IA deben poder identificarse como tales, y algunos deepfakes o contenidos sintéticos de interés público deben etiquetarse de forma clara.

Esta parte del reglamento es especialmente relevante para empresas que ya están desplegando asistentes conversacionales en web, WhatsApp, contact center o canales de autoservicio.

4. Modelos de propósito general (GPAI)

Los modelos de propósito general son aquellos que pueden utilizarse para múltiples tareas y servir de base para numerosos sistemas posteriores. En esta categoría entran muchas de las tecnologías generativas actuales. Sus proveedores deben cumplir obligaciones de documentación, transparencia y respeto a la normativa europea en materias como copyright; y, cuando existe riesgo sistémico, se añaden requisitos extra de evaluación, mitigación de riesgos e incident reporting.

Para las empresas usuarias esto no siempre significa que sean proveedoras del modelo, pero sí que deben entender bien la cadena de responsabilidad: una cosa es usar un modelo de terceros, y otra distinta integrarlo en un servicio propio que afecta a clientes, empleados o decisiones relevantes.

Fechas clave que las empresas deben tener en el radar

El AI Act entró en vigor el 1 de agosto de 2024, pero su aplicación es escalonada. Esta es la cronología más importante para negocio:

• Desde el 2 de febrero de 2025 ya aplican las reglas sobre prácticas prohibidas y la obligación de promover un nivel suficiente de alfabetización en IA dentro de las organizaciones.
• Desde el 2 de agosto de 2025 aplican las reglas de gobernanza y las obligaciones para proveedores de modelos GPAI.
• Desde el 2 de agosto de 2026 el reglamento será plenamente aplicable en la mayor parte de sus disposiciones, incluidas las reglas para muchos sistemas de alto riesgo del Anexo III y las obligaciones de transparencia. Además, desde esa fecha comienza la supervisión y enforcement de varias obligaciones relevantes, incluida la alfabetización en IA.
• Hasta el 2 de agosto de 2027 tienen margen adicional determinados sistemas de alto riesgo integrados en productos regulados y también los proveedores de algunos modelos GPAI comercializados antes del 2 de agosto de 2025.

¿Qué significa esto en la práctica para una empresa?

La primera idea importante es que adaptarse no empieza con un formulario legal, sino con un inventario realista del uso de IA en la organización. Muchas empresas ya emplean IA en atención al cliente, clasificación de tickets, asistentes internos, generación de contenidos, scoring operativo, analítica conversacional o automatización documental, pero no lo tienen mapeado ni gobernado. El AI Act obliga, en la práctica, a ordenar ese mapa.

La segunda idea es que no todas las obligaciones recaen sobre el mismo actor. El reglamento diferencia entre proveedores, deployers o usuarios profesionales, importadores y distribuidores. Una empresa puede limitarse a usar un sistema de terceros, o puede convertirse en proveedor si integra la IA en su propio servicio y la pone en el mercado bajo su responsabilidad. Esa diferencia cambia mucho el nivel de exigencia.

La tercera idea es que el cumplimiento ya no se reduce a «tener cuidado con los datos». El AI Act va más allá del RGPD y pone el foco también en la supervisión humana, la trazabilidad, la documentación técnica, la transparencia hacia usuarios y la evaluación de riesgos según el caso de uso.

Las 6 tareas que conviene activar ya

1. Identificar dónde se usa IA

Conviene elaborar un inventario de herramientas, modelos y automatizaciones: qué hacen, sobre qué datos operan, a quién afectan y si intervienen en decisiones relevantes para personas. Sin ese mapa, es imposible clasificar riesgos ni priorizar acciones. Esto encaja con el enfoque por roles y riesgos que la Comisión está trasladando en sus materiales de implementación.

2. Clasificar cada caso de uso

No toda IA es de alto riesgo, pero sí conviene determinar si estamos ante una práctica prohibida, un caso sujeto a transparencia, un sistema de alto riesgo o un uso de riesgo limitado. La clasificación depende del propósito y del contexto real de uso.

3. Definir responsables internos

El cumplimiento no puede recaer solo en IT o en legal. Negocio, tecnología, seguridad, operaciones y atención al cliente deben compartir criterios. El AI Act insiste en la supervisión humana y en la responsabilidad a lo largo del ciclo de vida del sistema.

4. Formar a los equipos

La alfabetización en IA no es opcional desde el 2 de febrero de 2025. La Comisión aclara que no existe un formato único, pero sí la obligación de adoptar medidas adecuadas al rol, conocimiento y nivel de riesgo. Leer unas instrucciones de uso no suele ser suficiente.

5. Reforzar transparencia y trazabilidad

Si la empresa usa asistentes conversacionales, automatizaciones de atención o contenidos generados, debe preparar mecanismos de información, etiquetado cuando corresponda y registro suficiente para poder explicar qué hace el sistema y bajo qué condiciones.

6. Revisar arquitectura, proveedores y datos

Muchas obligaciones futuras dependerán de algo muy básico: saber dónde están los datos, quién entrena o sirve el modelo, qué garantías contractuales existen, qué capacidad de auditoría tiene la empresa y cuánto control real conserva sobre la solución. El cumplimiento no es solo una capa documental; empieza en la arquitectura.

¿Qué pasa con los asistentes conversacionales, voicebots y soluciones de atención al cliente?

Este punto es especialmente relevante para muchas empresas, porque ahí la IA ya está generando valor real. En general, un chatbot o voicebot no será automáticamente un sistema de alto riesgo, pero sí puede quedar sujeto a obligaciones de transparencia. La persona usuaria debe saber que interactúa con un sistema de IA cuando eso sea necesario para evitar engaño o confusión.

Además, si la IA participa en procesos sensibles —por ejemplo, filtrado de candidaturas, priorización de personas, evaluación de solvencia o decisiones con efectos legales— el análisis debe ser mucho más profundo. El riesgo no viene solo de que el sistema «use IA», sino del impacto que puede producir sobre derechos, acceso a servicios o trato diferencial.

¿Cuáles son los riesgos de no adaptarse?

Más allá del riesgo reputacional o de una mala experiencia de cliente, el AI Act prevé sanciones elevadas. La Comisión resume umbrales de hasta 35 millones de euros o el 7 % de la facturación global anual para determinadas infracciones graves, como prácticas prohibidas; hasta 15 millones o el 3 % para otros incumplimientos; y hasta 7,5 millones o el 1,5 % por información incorrecta o engañosa a autoridades, con un régimen distinto para pymes y ciertos supuestos.

Pero el verdadero coste suele aparecer antes de la sanción: dependencia tecnológica, falta de trazabilidad, imposibilidad de explicar decisiones, exposición innecesaria de datos o bloqueo de proyectos cuando llega el momento de escalar a entornos corporativos.

Cómo puede ayudar un enfoque tecnológico más controlado

La adaptación al AI Act no depende únicamente del departamento legal. Depende, sobre todo, de cómo se ha diseñado la solución. Cuanto más opaca sea la cadena tecnológica, más difícil será demostrar cumplimiento, controlar riesgos, auditar decisiones o gestionar correctamente los datos. Esta idea es especialmente importante en proyectos de IA conversacional, automatización de atención y análisis de interacciones, donde confluyen datos sensibles, procesos críticos y experiencia de cliente.

En este contexto, un enfoque como el de Faktoria aporta una ventaja clara: priorizar modelos locales, despliegues controlados y stack tecnológico propio reduce dependencia de terceros y facilita la gobernanza del sistema. Cuando la organización conserva mayor control sobre dónde corre el modelo, cómo se integra, qué datos procesa y qué trazabilidad deja, resulta mucho más sencillo alinear tecnología, seguridad y cumplimiento. Esta lógica encaja con soluciones de Faktoria orientadas a entornos corporativos y conversacionales, donde la soberanía del dato, la observabilidad y la capacidad de personalización forman parte del diseño de producto.

No se trata de afirmar que la tecnología, por sí sola, «garantiza» el cumplimiento. Se trata de algo más realista: una arquitectura bien gobernada pone a la empresa en mejor posición para cumplir. Y eso incluye poder desplegar IA en cloud privada o entornos propios, analizar conversaciones con control sobre la información, formar a los equipos, documentar decisiones y construir automatizaciones con criterios de transparencia y supervisión desde el inicio. En ese terreno, la propuesta de Faktoria encaja especialmente bien con las exigencias que Europa ya ha empezado a aplicar.

El momento de actuar es ahora

La normativa europea de IA no debe leerse como un freno, sino como una nueva capa de madurez. Las empresas que empiecen ahora a clasificar usos, formar equipos, revisar proveedores y reforzar su arquitectura llegarán mejor preparadas a los próximos hitos regulatorios. El AI Act no solo pregunta qué hace tu IA. También pregunta cómo la gobiernas, cómo explicas su uso y cuánto control tienes realmente sobre ella.

Y ahí es donde marcará la diferencia elegir soluciones pensadas para entornos corporativos exigentes: con control tecnológico, despliegue flexible, soberanía del dato y una visión práctica del cumplimiento.