Última actualización: 25 de agosto de 2026
La inteligencia artificial ya forma parte del día a día de muchas organizaciones. Se utiliza para redactar documentos, analizar información, automatizar tareas, atender clientes, apoyar decisiones, generar código, crear contenidos o mejorar procesos internos.
Sin embargo, esta adopción acelerada también ha traído un nuevo reto: muchas empresas usan IA sin saber exactamente qué herramientas tienen desplegadas, qué datos procesan, qué decisiones apoyan o qué riesgos legales, operativos y de ciberseguridad están asumiendo.
El Reglamento Europeo de Inteligencia Artificial, conocido como AI Act, marca un antes y un después.
No se trata simplemente de una nueva norma tecnológica. Es un marco regulatorio que obliga a las organizaciones a entender, clasificar, gobernar y controlar el uso de sistemas de IA.
En España, además, avanza el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, una norma llamada a ordenar la aplicación nacional del Reglamento europeo, definir autoridades de supervisión, concretar el régimen sancionador y reforzar la gobernanza pública y privada de la IA.
Qué es el Reglamento Europeo de la IA (AI Act)
La AI Act es el Reglamento Europeo de Inteligencia Artificial.
Su objetivo es establecer unas reglas comunes para el desarrollo, comercialización, puesta en servicio y uso de sistemas de IA en la Unión Europea.
La norma busca promover una inteligencia artificial fiable, segura y centrada en el ser humano, protegiendo al mismo tiempo la salud, la seguridad, los derechos fundamentales, la democracia, el Estado de Derecho y el medio ambiente.
Una de sus claves es que no regula toda la IA de la misma manera. El Reglamento se basa en un enfoque de riesgo: cuanto mayor sea el impacto potencial de un sistema de IA sobre las personas, más exigentes serán sus obligaciones.
Esto significa que no es lo mismo usar una herramienta de IA para resumir una reunión interna que utilizar un sistema de IA para filtrar candidatos en un proceso de selección, evaluar el riesgo crediticio de una persona, apoyar una decisión médica o priorizar el acceso a un servicio esencial.
No todas las empresas están afectadas igual
Uno de los errores más habituales es pensar que el Reglamento solo afecta a las empresas que desarrollan inteligencia artificial. No es así.
La norma afecta a cualquier organización que desarrolle, comercialice, integre, importe, distribuya o utilice sistemas de IA dentro de la Unión Europea. También puede alcanzar a operadores establecidos fuera de la UE cuando los resultados generados por sus sistemas de IA se utilicen dentro del mercado europeo.
En la práctica, una empresa puede verse afectada por actuar como:
- proveedor de un sistema de IA;
- responsable del despliegue de un sistema de IA;
- integrador de IA de terceros en un producto o servicio propio;
- distribuidor o importador de soluciones de IA;
- fabricante de productos que incorporan componentes de IA;
- usuario de sistemas de IA en procesos internos sensibles.
Por tanto, una empresa no necesita “fabricar IA” para tener obligaciones. Si tu empresa usa IA en procesos de recursos humanos, crédito, seguros, educación, sanidad, atención al cliente, marketing, ciberseguridad, operaciones o cumplimiento, el reglamento le afecta.
Modelo de usos y riesgos
El Reglamento distingue distintos niveles de usos categorizados por niveles de riesgo.
En primer lugar, están los usos de IA considerados de riesgo inaceptable, que quedan totalmente prohibidos. Según el artículo 5 del Reglamento son los siguientes:
- Manipulación subliminal o engañosa: Usar técnicas que escapan a la conciencia de la persona para alterar su comportamiento de forma que le cause un daño significativo.
- Explotación de colectivos vulnerables: Aprovechar las debilidades de personas por su edad, discapacidad o situación socioeconómica para cambiar su conducta con perjuicio probable.
- Evaluación o puntuación social (Social Scoring): Clasificar a los ciudadanos según su comportamiento o rasgos de personalidad, provocando un trato injusto o desfavorable en contextos ajenos a donde se recabaron los datos.
- Predicción de delitos individuales: Evaluar el riesgo de que una persona cometa un delito basándose exclusivamente en su perfil o rasgos de personalidad (salvo para análisis humanos apoyados en hechos concretos).
- Bases de datos de reconocimiento facial sin filtrar: Extraer imágenes faciales de internet o de grabaciones de cámaras de circuito cerrado (CCTV) para crear bases de datos de identificación biométrica.
- Inferencia de emociones en el trabajo y la educación: Usar sistemas de IA para deducir las emociones de las personas en centros educativos o entornos laborales, excepto por razones médicas o de seguridad.
- Categorización biométrica sensible: Clasificar a individuos de manera remota para deducir su raza, opiniones políticas, afiliación sindical, creencias religiosas o orientación sexual.
- Identificación biométrica remota en espacios públicos en tiempo real: Emplear sistemas de vigilancia en directo en la calle (salvo excepciones judiciales muy estrictas y limitadas como la búsqueda de víctimas de secuestro o prevención de atentados terroristas).
En segundo lugar, están los sistemas de alto riesgo. Son sistemas permitidos, pero sometidos a obligaciones estrictas porque pueden afectar de forma relevante a la salud, la seguridad o los derechos fundamentales de las personas. Entre los ámbitos más sensibles se encuentran el empleo, la educación, el acceso a servicios esenciales, el crédito, los seguros, la sanidad, las infraestructuras críticas, la biometría, la justicia y determinados usos en el sector público.
En tercer lugar, están los sistemas sujetos a obligaciones de transparencia. Por ejemplo, chatbots, sistemas que generan contenido sintético, deepfakes o soluciones que interactúan directamente con personas. En estos casos, la obligación principal es informar de forma clara a los usuarios de que se está utilizando IA, o de que un contenido ha sido generado o manipulado artificialmente. Estas obligaciones son exigibles desde agosto de 2026.
Por último, existen usos de riesgo limitado o mínimo, que no están sometidos a las obligaciones más exigentes, pero que igualmente deberían gestionarse bajo buenas prácticas de gobierno, seguridad, privacidad y control interno.
¿Desde cuándo se aplica?
El Reglamento no entró en vigor de golpe, sino por fases, y el calendario cambió en julio de 2026.
Las prácticas prohibidas del artículo 5 y la alfabetización en IA del artículo 4 son exigibles desde febrero de 2025. Las obligaciones de transparencia del artículo 50 —informar de que se está interactuando con una IA y etiquetar el contenido generado artificialmente— desde el 2 de agosto de 2026.
Las obligaciones de los sistemas de alto riesgo, en cambio, se han aplazado. El Reglamento (UE) 2026/1744, conocido como Ómnibus Digital sobre IA y en vigor desde el 27 de julio de 2026, las retrasa al 2 de diciembre de 2027 para los sistemas del Anexo III y al 2 de agosto de 2028 para los del Anexo I.
Conviene no leer ese aplazamiento como una tregua general, porque solo afecta al alto riesgo. Si tu empresa usa IA en su día a día y no opera sistemas de alto riesgo, para ti no se ha aplazado nada.
Qué añade la futura Ley española de IA
El Reglamento Europeo de IA es directamente aplicable en los Estados miembros. Sin embargo, cada país debe organizar aspectos clave de su aplicación: autoridades competentes, supervisión, sanciones, coordinación institucional y medidas nacionales de apoyo.
En España, el Gobierno ha aprobado el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, actualmente en tramitación parlamentaria. Esta norma no sustituye a la AI Act, sino que la complementa desde el punto de vista nacional.
Entre sus elementos más relevantes se encuentran:
- la designación de autoridades de supervisión;
- el papel de organismos como AESIA, AEPD, CGPJ y autoridades sectoriales;
- el régimen sancionador nacional;
- la coordinación entre administraciones;
- medidas específicas para el sector público;
- el impulso de espacios controlados de pruebas o sandboxes;
- obligaciones de inventario, transparencia y supervisión en determinados contextos.
Para las empresas, esto implica que el cumplimiento de IA no se limitará al marco europeo. También habrá que atender al modelo español de supervisión y a los criterios que vayan desarrollando las autoridades competentes.
Sí, esto también es seguridad de la información
El Reglamento de uso de la IA no debe interpretarse solo como una norma legal. También tiene una dimensión clara y técnica de ciberseguridad.
Los sistemas de IA, especialmente los que realicen funciones de alto riesgo, deben incorporar medidas relacionadas con la gestión de riesgos, la calidad de los datos, la documentación técnica, la trazabilidad, la supervisión humana, la precisión, la solidez y la ciberseguridad.
Esto es especialmente importante porque la IA introduce una nueva superficie de ataque. Ya no basta con proteger servidores, redes, endpoints, usuarios y aplicaciones. Ahora también hay que proteger modelos, prompts, datos de entrenamiento, bases vectoriales, sistemas RAG, APIs, conectores, agentes autónomos, logs de interacción y proveedores externos.
Algunos de los riesgos más relevantes son:
- fuga de información confidencial a través de herramientas de IA;
- uso de datos personales sin base jurídica o sin garantías adecuadas;
- prompt injection;
- manipulación de salidas del modelo;
- envenenamiento de datos;
- extracción o robo de modelos;
- abuso de APIs;
- respuestas incorrectas o alucinadas;
- dependencia de proveedores no evaluados;
- uso no autorizado de herramientas de IA por empleados.
Este último fenómeno ya tiene nombre: Shadow AI. Igual que en su día hablamos de Shadow IT, hoy muchas empresas tienen herramientas de IA funcionando fuera del control de IT, seguridad, cumplimiento o protección de datos. Y hay una regla básica: no se puede proteger ni cumplir lo que no se conoce.
Qué deberían hacer las empresas
La preparación para la AI Act y para el futuro marco español de IA no debería abordarse como un proyecto puramente jurídico. Debe plantearse como un programa de gobierno, riesgo, cumplimiento y ciberseguridad.
Los primeros pasos que os recomendamos son:
1. Inventariar los sistemas que usen IA
Tu empresa debe identificar qué sistemas de IA utiliza, en qué áreas, con qué finalidad, qué datos procesan, qué proveedores intervienen y qué decisiones apoyan.
Este inventario debe incluir tanto soluciones corporativas aprobadas como posibles usos no autorizados o no documentados.
Una vez inventariados, tu departamento de seguridad deberá asegurar que sólo se acceden a estos sistemas, y aplicará las medidas de seguridad y protección oportunas.
2. Identificar su rol
Cada empresa debe determinar si actúa como proveedor, responsable del despliegue, integrador, importador, distribuidor o mero usuario de un sistema de IA. Este punto es esencial, porque el nivel de responsabilidad cambia en función del papel que tu empresa desempeñe en la cadena de valor.
3. Clasificar casos de uso por nivel de riesgo
Una vez identificado el inventario, hay que clasificar cada caso de uso: prohibido, alto riesgo, sujeto a transparencia o riesgo limitado.
Esta clasificación debe atender a la finalidad del sistema, el contexto de uso, las personas afectadas, los datos tratados y el impacto potencial sobre derechos, seguridad o salud.
4. Revisar datos personales y secretos
La IA suele procesar grandes volúmenes de información. Por tanto, debe analizarse si se tratan datos personales, datos sensibles, secretos empresariales, información contractual, propiedad intelectual o información estratégica. Aquí la conexión con RGPD, seguridad de la información y clasificación de datos es directa.
5. Evaluar proveedores y contratos
La mayoría de empresas no desarrollan IA, sino que utilizan soluciones de terceros a los que se entregan cantidades ingentes de información. Esto exige revisar contratos, condiciones de uso, localización de datos, subencargados, medidas de seguridad, trazabilidad, propiedad de los datos y garantías de cumplimiento. El riesgo de terceros será uno de los grandes temas del cumplimiento de IA.
6. Definir una política interna de uso de IA
Toda organización debería disponer de una política clara sobre qué herramientas de IA pueden utilizarse, con qué datos, para qué finalidades, qué usos están prohibidos y qué autorizaciones son necesarias. Esta política debe ser comprensible para empleados y áreas de negocio, no solo para perfiles técnicos o jurídicos.
7. Implantar controles de ciberseguridad específicos para IA
La IA requiere controles propios: gestión de accesos, cifrado, logging, monitorización, control de APIs, protección de prompts, prevención de fugas de datos, hardening de integraciones, revisión de conectores, pruebas adversariales y gestión de incidentes.
En sistemas críticos, también será necesario evaluar robustez, precisión, supervisión humana y capacidad de respuesta ante comportamientos inesperados.
8. Formar y concienciar
El reglamento incorpora la idea de alfabetización en IA. Las personas que desarrollan, despliegan o utilizan sistemas de IA deben entender sus capacidades, límites, riesgos y obligaciones.
La formación será especialmente relevante para empleados que usan IA generativa, equipos de IT, responsables de negocio, recursos humanos, marketing, atención al cliente, legal, cumplimiento y ciberseguridad.
9. Generar evidencias
El cumplimiento no consiste solo en tener políticas. Consiste en poder demostrar que existen controles, revisiones, responsables, registros, evaluaciones y medidas de seguimiento.
Las empresas deberán ser capaces de responder preguntas como:
- qué sistemas de IA utilizan
- quién los ha aprobado
- qué riesgos se han evaluado
- qué datos procesan
- qué proveedores intervienen
- qué controles de seguridad existen
- qué supervisión humana se aplica
- qué evidencias se conservan
¿Qué sanciones prevé la AI Act?
El incumplimiento del Reglamento Europeo de Inteligencia Artificial puede dar lugar a sanciones muy relevantes para las empresas que incumplan.
El aplazamiento de las obligaciones de alto riesgo no afecta al régimen sancionador de las prácticas prohibidas ni de las obligaciones de transparencia, que ya son exigibles.
Las infracciones más graves, como el uso de prácticas de IA prohibidas, pueden alcanzar los 35 millones de euros o el 7 % del volumen de negocio mundial anual de la empresa. Otros incumplimientos de obligaciones aplicables a proveedores, distribuidores, importadores o responsables del despliegue pueden alcanzar los 15 millones de euros o el 3 % del volumen de negocio mundial.
Además, facilitar información inexacta, incompleta o engañosa a las autoridades puede sancionarse con hasta 7,5 millones de euros o el 1 % del volumen de negocio mundial.
En España, el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial desarrolla el régimen nacional de supervisión y sanciones, con multas que, en los casos más graves, también pueden llegar a 35 millones de euros o el 7 % del volumen de negocio.
Por tanto, el cumplimiento de la AI Act no debe verse como una cuestión futura o meramente formal, sino como un riesgo regulatorio real que las empresas deben empezar a gestionar.
Cumplir el reglamento de IA no es frenar la innovación
Uno de los mensajes más importantes es que la regulación no debe verse como un obstáculo para la innovación. Al contrario: una IA bien gobernada genera más confianza, reduce riesgos y facilita su adopción en entornos empresariales.
Las organizaciones que empiecen ahora tendrán ventaja. El aplazamiento da margen, no exime. Podrán ordenar sus casos de uso, reducir el Shadow AI, mejorar la seguridad de sus datos, preparar evidencias y anticiparse a futuras exigencias regulatorias y contractuales.
Además, el cumplimiento de IA no parte de cero. Puede integrarse con marcos ya conocidos por muchas organizaciones: RGPD, ENS, ISO 27001, NIS2, gestión de riesgos, continuidad de negocio, gobierno de proveedores y auditoría interna.
La clave está en no crear un silo separado para la IA. La inteligencia artificial debe incorporarse al sistema de gobierno corporativo y de ciberseguridad de la organización.
Cómo puede ayudar GrayHats
En GrayHats ayudamos a las organizaciones a convertir la regulación de IA en un programa práctico de gobierno, cumplimiento y ciberseguridad. Combinamos visión normativa, protección de datos, análisis de riesgos, seguridad técnica y acompañamiento operativo.
Nuestro servicio de cumplimiento incluye las siguientes tareas:
- Diagnóstico inicial de cumplimiento del Reglamento
- Inventario de sistemas de IA
- Clasificación de casos de uso
- Identificación de obligaciones por rol
- Evaluación de riesgos técnicos y regulatorios
- Revisión de proveedores y contratos
- Diseño de políticas internas de uso de IA
- Análisis de Shadow AI
- Controles de ciberseguridad para sistemas de IA
- Integración con RGPD, ENS, NIS2 e ISO 27001
- Formación y concienciación
- Cumplimiento continuo y generación de evidencias
La pregunta ya no es si la empresa va a usar inteligencia artificial.
La pregunta es si va a poder usarla con control, seguridad y responsabilidad.
Javier Jiménez.
Director General y CISO en GrayHats.
© Grayhats | Blog
En GrayHats ayudamos a las organizaciones a convertir la regulación de IA en un programa práctico de gobierno, cumplimiento y ciberseguridad.
Respondemos tus dudas
Las obligaciones son mucho más ligeras que las de un proveedor, pero no son cero: la prohibición de los usos vetados y el deber de que quien maneja esas herramientas entienda sus límites aplican igual, con independencia del tamaño de la empresa.
La prohibición sin alternativa empuja a la gente a usar las herramientas desde su móvil, y ahí ya no ves nada. Funciona mejor autorizar un conjunto cerrado de herramientas, definir qué información no se pega nunca y formar.