El AI Act marca un nuevo escenario para las empresas que desarrollan, comercializan o utilizan sistemas de inteligencia artificial. Más allá del cumplimiento normativo, la gobernanza de la IA se convierte en una cuestión estratégica para pymes, startups y organizaciones que ya incorporan estas tecnologías en sus procesos.

Sofía Ruiz de la Viuda es consultora Senior especializada en Propiedad Intelectual, Inteligencia Artificial y Software en el área de Consultoría de Innovación Tecnológica de PONS IP, institución miembro del consorcio que conforma el proyecto europeo EDIH Madrid Region 2.0. Desde su posición, asesora a empresas, startups y otras organizaciones en la protección de activos tecnológicos, el cumplimiento normativo y la implantación de modelos de gobernanza de la inteligencia artificial.

En esta entrevista analiza las principales implicaciones del Reglamento Europeo de Inteligencia Artificial (AI Act), sus desafíos para el tejido empresarial y las oportunidades que abre para quienes apuesten por una innovación responsable. 

Desde EDIH Madrid Región ayudan a las organizaciones a transformar retos como este en ventajas competitivas y ponen a disposición del ecosistema madrileño diferentes servicios gratuitos especializados en digitalización e innovación.

¿Qué es exactamente el AI Act y por qué es relevante para una pyme o startup?

El Reglamento de Inteligencia Artificial es un Reglamento europeo que busca regular de forma integral el impacto que el uso de la IA puede tener en los derechos y libertades de los ciudadanos de la UE. 

Se trata de una norma integral porque incluye directrices y obligaciones no solo para aquellas empresas que desarrollen los sistemas de IA, sino también para quienes los comercialicen o los implementen dentro de sus organizaciones.

De acuerdo con esto, pymes, start-ups y empresas medianas tendrán que revisar no solo si se utiliza o no inteligencia artificial dentro de su organización, sino cómo se usa, de qué forma, y bajo qué estructuras se autoriza su uso.

Por lo tanto, y aunque parece que hay una creencia popular de que el Reglamento afecta principalmente a gigantes como OpenAI, Google o Meta, esto no es así, sino que todas las organizaciones deberán estar preparados para su aplicación y cumplimiento.

Si una startup desarrolla un sistema de IA, por supuesto tendrá que adecuarse a lo que contiene el Reglamento, pero también tendrá que cumplirlo si utiliza estos sistemas para tomar decisiones sobre la organización del trabajo dentro de la compañía, publicar deepfakes generados o manipulados con IA, seleccionar candidatos, analizar clientes o prestar determinados servicios.  

¿En qué se diferencia esta regulación de otras normativas tecnológicas previas en la UE, como el RGPD?

La UE está trabajando en ampliar el acervo de normas comunes que regulan los servicios digitales dentro de la Unión, y cada uno tiene un objetivo y un campo de acción diferente.

Así las cosas, el RGPD protege  los datos personales, aquellos que están asociados a una persona especifica, pero no protege, por ejemplo, datos procedentes de mediciones de temperatura que se quieran utilizar en un modelo predictivo o el contenido de artículos periodísticos.

Por otra parte, el Reglamento de Inteligencia Artificial tiene un objetivo mucho más amplio: alcanzar un equilibrio óptimo entre la innovación tecnológica y el impacto que una tecnología como la inteligencia artificial puede tener en los derechos y libertades de los ciudadanos de la Unión Europea.

Son normas que se complementan, pero persiguen objetivos distintos. Puedes cumplir perfectamente el RGPD y, aun así, incumplir el AI Act si tu sistema de IA no es transparente, no está bien documentado o genera riesgos que no has evaluado.

La privacidad sigue siendo importante, pero ahora también importan cuestiones como la seguridad, la supervisión humana, los sesgos o la forma en que se ha desarrollado el sistema. 

¿Cómo se compara el AI Act europeo con regulaciones en EE.UU., Reino Unido o China?

La Unión Europea ha apostado por una regulación única y vinculante para todos los Estados miembros. 

Por su parte, Estados Unidos, con una organización gubernamental federal diferente a la nuestra, ha ido desarrollando normas de una manera más fragmentada, con normas estatales y sectoriales, pero sin una ley nacional equivalente, o con normas específicas para desarrolladores pero no los usuarios, por ejemplo.

Reino Unido también ha preferido regular su uso en sectores específicos, como el financiero, sin ambicionar una regulación de todas las aristas de la tecnología y de las consecuencias de su uso en una sola norma.

China, en cambio, sí ha regulado la IA, pero desde una perspectiva muy distinta, poniendo el foco en posibilitar un control estatal sobre los algoritmos y los contenidos, mientras que en Europa se busca equilibrar el poder de las empresas a través de un modelo basado en el “compliance” y la imposición de sanciones ante su incumplimiento. 

¿Qué obligaciones concretas introduce el AI Act para una pyme o startup que desarrolla IA?

Depende, sobre todo, del nivel de riesgo que genere el concreto sistema de inteligencia artificial de que se trate. 

Esa es precisamente la gran novedad del Reglamento de IA, que presenta un enfoque basado en el riesgo que el uso de un sistema de IA puede generar tanto a nivel individual, a cada una de nosotras como personas, como a nivel colectivo, siendo estos riesgos también para la sociedad y para la ciudadanía.

Por ese motivo, el RIA no regula todas las IA por igual, sino que impone obligaciones distintas en función del riesgo que cada sistema entrañe.

Si una pyme o startup desarrolla un sistema considerado de alto riesgo, por ejemplo, porque se utiliza en procesos de selección de personal, interviene en la gestión de infraestructura crítica, o se emplea en determinados ámbitos sanitarios, deberá cumplir requisitos muy exigentes.    

Entre ellos, realizar una evaluación de riesgos, mantener una documentación técnica completa, garantizar la calidad y trazabilidad de los datos utilizados para entrenar el sistema, implantar mecanismos de supervisión humana, monitorizar su funcionamiento una vez esté en el mercado y gestionar posibles incidencias. 

En cambio, si los usos son considerados de riesgo bajo, las obligaciones serán más limitadas, pero también relevantes: deberán cumplirse determinados deberes de transparencia, como informar cuando un contenido haya sido generado o manipulado mediante inteligencia artificial en los supuestos previstos por el Reglamento o realizar acciones de alfabetización en materia de IA. 

Independientemente de esto, e independientemente para pymes, el Reglamento prevé medidas de apoyo y proporcionalidad, como documentación técnica simplificada, el acceso prioritario a entornos de pruebas regulatorios y la adaptación de los sistemas de gestión de calidad. 

¿Qué documentación o procesos internos deberán implementar las empresas? ¿Cuál sería un checklist básico de cumplimiento para una pyme?

El Reglamento de Inteligencia Aritficial exige que las empresas sean capaces de controlar cómo utilizan la IA y demostrar que lo hacen de forma responsable. Para ello, es recomendable empezar identificando todas las herramientas de IA que se utilizan en la organización y crear un inventario actualizado de las mismas. 

A partir de ahí, conviene establecer un órgano o comité que supervise su uso, aprobar una política interna sobre inteligencia artificial, definir procedimientos para evaluar los riesgos antes de incorporar nuevas herramientas, revisar periódicamente su utilización y formar a los empleados.

Todo este sistema puede apoyarse, además, en estándares internacionales de gestión y gobernanza, como las normas ISO, que ayudan a estructurar estos procesos. 

En definitiva, el cumplimiento no consiste solo en rellenar documentos o seguir un checklist, sino en demostrar que la empresa ha implantado un verdadero modelo de gobernanza de la inteligencia artificial.

Esto pasa, entre otras cosas, por disponer de un inventario actualizado de las herramientas de IA utilizadas, establecer un sistema de gobernanza con responsables o un comité de supervisión, aprobar políticas internas de uso, evaluar los riesgos antes de implantar nuevos sistemas y formar a los empleados para garantizar un uso responsable y conforme a la normativa. 

¿Qué implica cumplir con requisitos como transparencia, trazabilidad o gobernanza de datos? 

En términos sencillos, significa poder explicar cómo funciona la IA que utilizas, donde la utilizas, cómo y por qué. 

En este sentido, transparencia es informar a las personas para que sepan cuándo están interactuando con una inteligencia artificial o cuándo un contenido ha sido generado por ella. 

La trazabilidad significa poder reconstruir qué ha hecho el sistema y por qué ha llegado a un determinado resultado, mientras que la gobernanza de datos implica asegurarse de que los datos con los que se ha entrenado el modelo y con los que luego funciona son adecuados, de calidad y no contienen o generan sesgos. 

¿Qué riesgos corren las empresas que no cumplan?

Aunque el primer riesgo que se nos puede venir a la cabeza es el de las sanciones económicas, no debemos quedarnos solo ahí.

La realidad es que el Reglamento de Inteligencia Artificial nace con un objetivo más amplio: garantizar que el desarrollo y uso de la inteligencia artificial respete los derechos fundamentales y las libertades que protege el ordenamiento jurídico europeo.

Un sistema de IA mal diseñado o insuficientemente supervisado puede incorporar sesgos, generar decisiones discriminatorias o producir resultados que perjudiquen a clientes, usuarios o a la sociedad en su conjunto. 

Por eso, el cumplimiento no debe verse únicamente como una obligación regulatoria, sino como una forma de generar confianza y de desarrollar una IA responsable. 

Dicho esto, el componente económico también es importante. El Reglamento prevé multas muy elevadas para los incumplimientos más graves y, además, las autoridades pueden llegar a prohibir o retirar del mercado determinados sistemas de IA que no cumplan los requisitos exigidos.

A ello se suma un riesgo reputacional cada vez más relevante: una empresa que utiliza inteligencia artificial de forma poco transparente o irresponsable puede perder la confianza de clientes, inversores y socios comerciales, comprometiendo su posición competitiva en el mercado. 

¿Cómo pueden las startups convertir el cumplimiento en una ventaja competitiva?

Muchas startups ven la regulación como un obstáculo, cuando en realidad puede ser un elemento diferenciador que genere confianza, que les beneficie y que les ayude tanto en ventas como en comunicación.

Poder demostrar que tu IA, o el uso que haces de la IA de terceros dentro de tu organización, es transparente, fiable y cumple la normativa puede convertirse en un argumento comercial muy potente, especialmente cuando vendes a grandes empresas o a la Administración Pública, donde estas cuestiones cada vez pesan más en los procesos de contratación. 

¿Qué tipo de sanciones contempla el AI Act?

Las multas son similares, e incluso en algunos casos superiores, a las del RGPD. Dependiendo de la infracción, pueden llegar hasta los 35 millones de euros o el 7 % del volumen de negocio mundial anual de la empresa.

Además, la norma prevé otras medidas, como ordenar la retirada del sistema del mercado. También existe el daño reputacional que comentamos antes.  

Si tuvieras que dar tres consejos clave a una startup sobre el AI Act, ¿cuáles serían?

El primero sería, como también se ha mencionado más arriba, el de hacer un inventario. Esto nos permite hacer una autoevaluación y poner un poco en orden nuestro funcionamiento interno.

Podemos descubrir cómo y para qué se unas la inteligencia artificial realmente dentro de la empresa, y a partir de ahí, ver qué usos nos están favoreciendo y cuáles deberíamos restringir. Para ello es clave implementar un proceso de gobernanza interna de inteligencia artificial dentro de la organización.   

El segundo sería que no nos confiemos y no esperemos al último momento. La aplicación del AI Act es progresiva y los próximos meses son especialmente relevantes.

A partir del 2 de agosto de 2026 comienzan a aplicarse las principales obligaciones de transparencia para determinados sistemas de IA, como los chatbots, los sistemas de reconocimiento de emociones o el etiquetado de determinados contenidos generados por IA, además de empezar a operar las autoridades de vigilancia del mercado.

El 2 de diciembre de 2026 entran en vigor otra serie de obligaciones, y así paulatinamente. 

En definitiva, adaptarse lleva tiempo, ya que es un proceso transversal en el que se ven implicados varias áreas y departamentos de la empresa, sobre todo si hay que modificar procesos internos, implantar una gobernanza adecuada o revisar productos. Por ello, anticiparse no solo reduce riesgos, sino que también puede convertirse en una importante ventaja competitiva.  

En relación con esto, y como tercer consejo, creo que tenemos que cambiar nuestra visión de estos procesos y no ver el cumplimiento solo como una obligación legal.

La confianza en la empresa -tanto por parte de los clientes, como por el ecosistema de proveedores y colaboradores- es uno de los activos más valiosos en el mercado, y las empresas que la generen desde el principio tendrán una ventaja importante frente a sus competidores. 

Sofia Ruiz de la Viuda

Consultora Propiedad Intelectual, IA y Software 

Consultoría Innovación Tecnológica – PONS IP 

En TIC Negocios, el portal tecnológico de la Cámara de Comercio de Madrid, seguimos acercando a las empresas cambios normativos, tendencias, soluciones y casos prácticos que les ayudan a entender cómo aplicar la tecnología al negocio con mayor criterio. A través de nuestro portal también puedes consultar tendencias, guías y recursos y un ecosistema de proveedores tecnológicos homologados especializados en acompañar procesos de digitalización, innovación y adopción de nuevas tecnologías.