Qué sistemas de tu empresa están afectados por el Reglamento de IA

En una reunión de dirección alguien pregunta cuántos sistemas de la empresa usan inteligencia artificial. La respuesta llega rápido y es corta. La suscripción a una herramienta de generación de textos que se activó el año pasado, quizá alguna licencia más que alguien recuerda, poco más. Nadie miente. Simplemente se está contestando por la lista de lo que se pagó con esa etiqueta.

La lista completa es bastante más larga y casi ninguna empresa la tiene escrita. La IA no entró en tu empresa por un proyecto de IA, entró embebida en sistemas que ya estaban funcionando. Por eso hoy la mayoría de direcciones no puede responder qué sistemas quedan afectados por el Reglamento de IA. Y ese inventario, que es un trabajo técnico antes que jurídico, es la primera obligación que ya no admite espera.

La IA no entró en tu empresa por un proyecto de IA, entró embebida en sistemas que ya estaban funcionando.

Dónde está la IA que no compraste como IA

El error de partida es buscarla en el catálogo de licencias. Está en capas más profundas. En el módulo de previsión o de scoring que llegó con la última versión del ERP y se activó porque venía activado. En la clasificación automática de oportunidades del CRM, que lleva meses ordenando el trabajo del equipo comercial sin que nadie la contratara como IA. En la herramienta de selección de personal que el área de personas compró en formato SaaS, sin pasar por sistemas, y que filtra currículos. En el copiloto de la suite ofimática, en el chatbot heredado de una integración antigua, en el control de acceso biométrico de la planta.

Lo importante no es la lista de herramientas, sino cómo entraron. La directiva casi no decidió ninguna: o vinieron incluidas al actualizar un software, o se conectaron como un extra a una herramienta que ya usaban, o un departamento las compró por su cuenta sin consultar a dirección.

Lo que ya te obliga aunque tu caso no sea de alto riesgo

Conviene decirlo con claridad, porque el ruido regulatorio empuja en la dirección contraria. La mayoría de los usos de IA en una pyme no cae en la categoría de alto riesgo. Lo que arrastran es transparencia y alfabetización. Es menos de lo que se teme y más de lo que se tiene resuelto.

A partir del 2 de agosto de 2026, es obligatorio avisar al usuario cuando esté interactuando con una inteligencia artificial. Esto afecta directamente a los canales de atención de la empresa: desde el chat de soporte en la web o WhatsApp hasta las centralitas telefónicas con agentes de voz automáticos. Además, la norma exige etiquetar los contenidos creados con IA (como imágenes, artículos o vídeos), dando de plazo hasta el 2 de diciembre de 2026 para adaptar las herramientas que ya estuvieran en uso antes de agosto.

La obligación de alfabetización en IA es anterior, aplica desde febrero de 2025, y es la peor entendida. El Reglamento pide adoptar medidas para garantizar, en la mayor medida posible, que quienes operan y utilizan estos sistemas tengan un nivel suficiente de alfabetización, atendiendo a sus conocimientos, su experiencia, su formación y al contexto de uso. No hay temario, ni horas mínimas, ni formato obligatorio. Lo que hay es un nivel graduado, que no es el mismo para quien redacta con un asistente que para quien supervisa un modelo que puntúa clientes. Lo que cambia este agosto es quién mira: la AESIA, la Agencia Española de Supervisión de la Inteligencia Artificial, entra en fase inspectora plena como autoridad de vigilancia del mercado.

Ninguna de estas obligaciones exige una arquitectura nueva. Exige saber qué sistemas hay, quién los usa y qué producen.

Tu papel cambia según cómo entró el sistema

Comprar una herramienta con IA no genera las mismas obligaciones que construirla, pero tampoco genera cero. La diferencia entre desarrollar, integrar y usar un sistema de IA determina qué se te pide, y es una distinción técnica antes que legal.

Si tu empresa usa un sistema de un tercero tal y como viene, la carga principal recae sobre quien lo pone en el mercado. Tú respondes del uso, de la información a las personas afectadas y de la supervisión. El terreno se mueve en cuanto empiezas a personalizar, y ahí es donde muchas empresas están sin saberlo. Entrenar un modelo con datos propios hasta que decide algo distinto de lo que decidía, encadenar una API dentro de un flujo interno que produce una salida nueva o publicar bajo tu marca un sistema adaptado son movimientos que te acercan a la posición de quien lo provee.

En una pyme esto pasa más de lo que parece, y suele pasar en desarrollos internos que nadie documentó como tales. De ahí que el inventario de sistemas de IA no pueda quedarse en una lista de nombres: hace falta saber también cuánto se ha tocado cada sistema y con qué finalidad opera hoy.

Hay ámbitos donde lo que se pide no es documentación, es arquitectura

Hay terrenos donde el nivel de exigencia cambia de escala. Biometría, procesos de empleo y selección, evaluación crediticia, educación, infraestructuras críticas y servicios esenciales. Los requisitos de fondo para estos ámbitos se aplican desde el 2 de diciembre de 2027, y desde el 2 de agosto de 2028 para los sistemas ligados a productos con legislación sectorial propia.

Dos años parecen mucho tiempo, pero no lo son. Lo que se va a exigir ahí no se soluciona redactando documentos, sino cambiando el propio programa. Si el software no registra por qué tomó una decisión o no permite que una persona lo supervise fácilmente, no sirve de nada aprobar un procedimiento. Hay que modificar la herramienta por dentro, y eso no se resuelve en tres meses.

Por eso el inventario tiene una segunda mitad. La primera es saber qué hay. La segunda es decidir qué se hace con lo que aparece, y ahí entran preguntas que ya no son de sistemas, como qué se sigue usando, qué se sustituye y qué exige renegociar con el proveedor.

Mientras tanto, hay una comprobación que se puede hacer sin proyecto y sin presupuesto. Si mañana alguien pregunta cuántos sistemas de IA de la empresa toman o sugieren decisiones automáticamente, ¿hay alguien capaz de responder sin convocar una reunión?