La gran ofensiva normativa sobre la IA se torna en un laberinto para las empresas

Llega la hora de la verdad.

En dos semanas el Reglamento Europeo de Inteligencia Artificial será plenamente aplicable (con algunas excepciones) y el ecosistema empresarial entrará en una fase decisiva.

A partir del 2 de agosto toda compañía que desarrolle, importe, distribuya o utilice estos sistemas en la Unión Europea tendrá que cumplir con nuevas exigencias para asegurar la protección de los derechos fundamentales y la seguridad de los ciudadanos en un contexto de transformación sin precedentes.

Aunque existe un amplio consenso sobre la conveniencia de un marco regulatorio que genere confianza, la adaptación al mismo se perfila como un desafío mayúsculo porque persisten incógnitas sobre cómo llevar a la práctica determinadas normas, una incertidumbre que se acrecienta entre las pymes.Tras los hitos alcanzados en 2025, como las prohibiciones sobre ciertos usos considerados de riesgo inaceptable, el deber de formar a los empleados o las reglas relativas a los modelos de propósito general, ahora viene el siguiente bloque.

Una novedad, recogida en el artículo 50 , es la obligación de informar a los usuarios cuando interactúan con un sistema de IA desde el primer momento, no en letra pequeña.

Por otro lado, los contenidos sintéticos de audio, imagen, vídeo o texto tendrán que marcarse como generados o manipulados artificialmente si se comercializan a partir del 2 de agosto de 2026 (si es con anterioridad, la obligación se retrasa a diciembre de 2026).

El fin último es incrementar la transparencia y que los ciudadanos puedan distinguir lo real de lo que ha creado una máquina.El papel lo aguanta todo, pero la adopción real no siempre es sencilla, por lo que la Comisión ha impulsado el Digital Ómnibus para aplazar la entrada en vigor de algunas partes, como las obligaciones para los sistemas de alto riesgo autónomo (educación, empleo…), que regirán a partir de diciembre de 2027, o las que afectan a los sistemas de inteligencia artificial integrados en productos como ascensores o juguetes, que se aplicarán a partir de agosto de 2028.Justo Hidalgo, director sénior de tecnología y gobernanza de Adigital, asegura que el tejido empresarial continúa inmerso en una etapa de adaptación, «no tanto por una falta de compromiso con la regulación, sino porque todavía persisten incertidumbres sobre cómo se aplicarán algunas de las obligaciones previstas en el Reglamento».

Advierte de que «la ausencia de estándares armonizados y de guías técnicas definitivas hace que muchas empresas tengan que prepararse en un contexto en evolución, interpretando requisitos complejos y planificando sus inversiones con información aún incompleta».

Según expone, entre los aspectos que sus asociados vigilan con preocupación se encuentra que la implementación del Reglamento se produzca de forma proporcionada y coordinada, de modo que las nuevas obligaciones no supongan una carga innecesaria, sobre todo para las pymes y las empresas en crecimiento.«El principal reto no está en los objetivos del Reglamento, sino en su implementación», resume.

En este sentido, incide en que para que el Reglamento alcance su propósito será fundamental que las empresas dispongan cuanto antes de estándares armonizados, guías claras y criterios de supervisión consistentes en toda la UE.

Hidalgo pide también potenciar mecanismos que faciliten el cumplimiento desde una perspectiva práctica, como los 'sandboxes' regulatorios, entornos de prueba que permiten a las empresas desarrollar, probar y validar soluciones de IA bajo la supervisión de las autoridades competentes, favoreciendo una mejor comprensión de las obligaciones regulatorias y reduciendo la incertidumbre durante las primeras fases de desarrollo.Dado que una de las prioridades ahora es dotar a las empresas de mayor seguridad jurídica y previsibilidad, desde Adigital consideran que el Ómnibus de IA supone un avance positivo al introducir una implementación más gradual de determinadas obligaciones y ofrecer un marco más previsible para el tejido empresarial.Una idea que refuerza Guillermo Hidalgo, Counsel y responsable de la práctica de Ciberderecho en Maio Legal: «El Digital Ómnibus intenta evitar que las empresas tengan que cumplir obligaciones complejas sin estándares, guías o herramientas suficientemente maduras.

Lo que cambia es que Bruselas parece haber asumido que la implementación tiene que ser gradual y proporcionada».

A su juicio, algunas piezas técnicas y guías prácticas han ido llegando después o aún están madurando, lo que genera inseguridad, sobre todo para pymes y startups que no tienen grandes equipos legales y técnicos. «Aunque no es excusa para esperar.

Las empresas pueden avanzar ya en inventario, gobernanza, trazabilidad, revisión de proveedores y formación.

Los estándares ayudarán, pero no sustituyen a una estrategia interna seria», dice.IndefiniciónEl experto ve tres grandes zonas grises en el Reglamento: «Primero, la frontera entre sistemas de alto riesgo y sistemas que no encajan claramente en el catálogo, pero pueden tener impacto real sobre las personas.

Segundo, cómo aterrizar en la práctica obligaciones como transparencia, supervisión humana, calidad de datos o gestión de riesgos.

Tercero, la interacción con otras normas, especialmente protección de datos, propiedad intelectual, ciberseguridad y responsabilidad civil».

Ahí es donde las compañías necesitan más seguridad jurídica.Josep Bardallo, Cybersecurity & Cloud Director de Excelia, indica que lo más difícil no es entender el Reglamento sino aterrizarlo.

Respecto al inventario, «muchas organizaciones no saben cuánta IA usan porque llega embebida en el CRM, en el ERP o en herramientas que los empleados adoptan por su cuenta».

Pone el foco también en la clasificación: «Decidir si un sistema es de alto riesgo exige criterios finos, y las directrices interpretativas todavía se están consolidando.

Por ello, en los casos que puedan generar dudas, las empresas deben decidir con prudencia y documentar bien su razonamiento».

Igual de trascendente es la dependencia del proveedor: «La mayoría de empresas españolas no desarrollan modelos, sino que los integran, lo que hace que el cumplimiento dependa de la documentación que les facilite un tercero».

El último desafío es cultural: convertir la supervisión humana en una práctica real y verificable.Diferencias nacionalesOtra de las dudas es si habrá una aplicación homogénea de la ley en la UE o si, por el contrario, existirán diferencias en la interpretación y en la actuación de las autoridades de cada país. «El Reglamento es común, pero la supervisión tendrá componentes nacionales , y cada autoridad puede tener ritmos, criterios y prioridades distintas.

Probablemente veremos diferencias entre Estados miembros en la intensidad inspectora, el enfoque sancionador y la interpretación de zonas grises.

Con el tiempo debería haber más convergencia, pero los primeros años serán de aprendizaje institucional y empresarial», reflexiona Guillermo Hidalgo, de Maio Legal.

Y es que se trata de una ley de gran calado que impactará de lleno en la actividad de las corporaciones.

Según un informe del Banco Central Europeo, el 38% de las compañías de la eurozona ya está en una fase avanzada de adopción, y España, el 85% prevé aumentar su inversión en el próximo año fiscal, de acuerdo a Deloitte, por lo que la Ley obliga a un elevado número de actores a adecuar su operativa a sus exigencias.Giovanni Alessandrello, managing director de BIP Iberia, señala que el error más frecuente es pensar que el Reglamento es un asunto solo del departamento jurídico o de cumplimiento normativo «cuando en realidad afecta a toda la organización : tecnología, negocio, recursos humanos, compras, riesgos, seguridad, protección de datos y dirección general».

Otra falsa creencia es pensar que basta con prohibir el uso de determinadas herramientas o redactar una política interna. «La gobernanza de la IA exige mucho más, desde identificar los sistemas utilizados hasta evaluar los riesgos, asignar responsabilidades, formar a las personas y revisar continuamente los procesos».

En esencia, requiere un importante trabajo sobre la cultura de la organización para que la aplicación del Reglamento sea realmente efectiva.Durante años, las empresas han incorporado soluciones de IA de forma relativamente descentralizada. «A partir de ahora tendrán que desarrollar capacidades de gobernanza similares a las que ya existen en ámbitos como la ciberseguridad o la protección de datos.

Eso implica definir responsabilidades, establecer criterios comunes para evaluar riesgos, supervisar a los proveedores, documentar las decisiones y formar a los empleados», subraya Alessandrello. «En otras palabras –agrega–, la inteligencia artificial deja de gestionarse como un software para empezar a gestionarse como una capacidad crítica de la empresa».Los sectores más afectados serán aquellos donde la IA interviene en decisiones con un impacto directo sobre las personas o la actividad económica, como banca, seguros, industria o administración pública, afirma Alesander Gómez, Country Manager de Timia en España.

Eso sí, cualquier empresa que actúe directamente con clientes y que pueda vulnerar sus derechos fundamentales se verá afectada. «Cada vez más organizaciones utilizan IA para atención al cliente, recursos humanos, operaciones, análisis financiero o generación automatizada de contenido –recuerda–.

En estos casos será necesario demostrar que existen mecanismos de supervisión humana, que los datos utilizados son fiables y que las decisiones pueden explicarse y auditarse cuando sea necesario.

En definitiva, el impacto dependerá menos del sector y más del nivel de integración de la IA en procesos críticos para el negocio».La lección pendiente de la formación puede salir caraCapacitar a la plantilla en inteligencia artificial es un imperativo legal para las empresas desde el año pasado, en virtud del artículo 4 del Reglamento, pero a partir del próximo 2 de agosto el incumplimiento de este deber pasará a ser sancionable en caso de inspección.

Pau García-Milà, co-CEO y cofundador de Founderz, escuela de negocios especializada en esta tecnología, explica que, aunque técnicamente el deber de alfabetización está en vigor desde 2025, no será hasta dentro de dos semanas cuando la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) comience a operar como autoridad de vigilancia del mercado. «Hasta ahora existía una zona gris porque las compañías estaban obligadas, pero no había un organismo facultado para multarlas», comenta.El cumplimiento exige que las organizaciones que creen o usen IA pongan los medios para que su personal alcance un buen nivel de conocimiento.

Por ejemplo, que entiendan que un modelo como GPT no 'sabe' cosas, sino que predice la respuesta más probable a partir de sus datos de entrenamiento, que la IA puede replicar sesgos, comprometer la seguridad, vulnerar la privacidad si se le pasan datos sensibles o generar información falsa con aspecto de real. «La alfabetización también aplica a quienes no interactúan directamente con herramientas de IA, pero toman decisiones basadas en sus resultados.

Un directivo que no la usa, pero cuyo equipo sí lo haga, debe estar formado», subraya García-Milà.

La norma no distingue por tamaño: micropymes, autónomos y grandes corporaciones tienen las mismas responsabilidades.El experto considera que España no llega preparada a este momento decisivo.

Si bien el país ocupa posiciones destacadas en la adopción de IA, el nivel de capacitación real es insuficiente.

Y no basta con distribuir un documento por correo electrónico; es preciso un inventario de los sistemas utilizados y políticas internas de uso, así como acreditar la formación mediante temarios, registro de asistentes, fechas y evaluaciones.Quienes incumplan, se exponen a sanciones «efectivas, proporcionadas y disuasorias».

No obstante, el cofundador de Founderz alerta de dos escenarios críticos.

El primero es que la ausencia de formación en IA derive en una brecha de datos y un incumplimiento del RGPD.

El segundo es el efecto agravante. «La Comisión Europea ha advertido de que la sanción será más probable y severa cuando un incidente sea atribuible a la falta de cualificación del personal», señala.

Si la inspección detecta la ausencia de formación sin que se haya producido un daño, la multa será de cientos o miles de euros.

Sin embargo, si esta carencia provoca una infracción del RGPD o un perjuicio a terceros, la proporcionalidad desaparece y la cuantía de la multa escalará en función del daño causado.El valor de la confianzaUn debate abierto es si la normativa puede perjudicar la innovación o es una oportunidad competitiva.

Gómez lo tiene claro: «La regulación no es el freno, es el marco que separa a quien puede escalar su IA de quien no.

Sin gobierno de datos no hay explicabilidad posible, y sin explicabilidad no hay escalabilidad».A su juicio, una empresa que convierte el cumplimiento en ventaja «trata la trazabilidad como infraestructura, no como papeleo para el auditor» y diseña bajo un enfoque de 'compliance by design', de manera que cada proyecto nuevo hereda ya los controles en lugar de añadirlos al final, cuando corregir cuesta diez veces. «Esa disciplina –reflexiona– genera una moneda que no está en ningún balance, pero que va a pesar cada vez más en las decisiones de compra, de inversión y de alianza, la confianza».

Recuerda que ya ocurrió con el Reglamento General de Protección de Datos (RGPD), que en sus inicios se percibía como un obstáculo y terminó siendo el estándar que las organizaciones serias usaban para diferenciarse de las que improvisaban.Coincide en este extremo Giovanni Alessandrello, de BIP Iberia, para quien la verdadera innovación necesita confianza : «Ninguna empresa va a desplegar IA a gran escala si no puede explicar cómo funciona, quién responde por ella o cómo gestiona sus riesgos».

En su opinión, las organizaciones que integren la gobernanza desde el diseño probablemente innovarán más rápido en el futuro, porque podrán escalar sus soluciones con mayor confianza.La tecnología avanza a velocidad de vértigo y cabe preguntarse si el Reglamento puede quedar desfasado antes de desplegarse por completo.

Para Josep Bardallo, de Excelia, el contenido envejece bien porque es tecnológicamente neutro, al regular usos y riesgos, no tecnologías concretas, e incorporar mecanismos de actualización. «El verdadero desafío –dice– está en la maquinaria de aplicación (guías, estándares, capacidades de supervisión), que necesita acompasarse a una tecnología que evoluciona a ritmo exponencial».

Además, ya tenemos el siguiente examen encima: la IA agéntica, sistemas que actúan de forma autónoma encadenando decisiones. «Como CISO puedo asegurar que ahí se concentran las preguntas más interesantes de seguridad y responsabilidad», desliza.

Su consejo a las empresas es no esperar a la norma perfecta: «Gobernar la IA con marcos de gestión reconocidos (como ISO/IEC 42001) permite cumplir hoy y absorber la evolución regulatoria sin empezar de cero cada vez».En el momento decisivo de la regulación de la IA, la única certeza es que quedan dudas por despejar. ...