Tus dudas,
resueltas con rigor.

Puede ser una persona, un comité o un servicio externo: lo importante es que alguien responda de la IA que usáis y rinda cuentas a la dirección. En el método, los responsables se deciden en la adecuación; si no los tenéis dentro, el mantenimiento puede cubrir esos roles como servicio (CAIO, CISO y DPO).

No. Si usáis la IA de otra empresa, las obligaciones de quien la usa son vuestras: no se trasladan al proveedor. El proveedor responde de su sistema; vosotros, de cómo lo usáis. Y si ponéis vuestra marca a un sistema de alto riesgo, lo modificáis de forma sustancial o le cambiáis la finalidad para un uso de alto riesgo, pasáis a ser proveedores, con todas sus obligaciones (art. 25).

Es la IA que entra en la empresa sin pasar por nadie: herramientas que la plantilla usa por su cuenta, con datos de la empresa o de clientes, y funciones de IA que llegan activadas en el software que ya pagáis, sin que nadie las haya evaluado. Lo que no está identificado no se puede evaluar ni proteger: confidencialidad, datos personales y, en algunos casos, usos que la norma prohíbe. Por eso el diagnóstico empieza por el inventario.

No. El propio AI Act dice que la normativa de protección de datos se aplica a los datos personales que se tratan en relación con él (art. 2.7): cuando un sistema de IA trata datos personales, se aplican los dos. Y prevé que la evaluación de impacto en los derechos fundamentales, cuando se exige, pueda apoyarse en la de protección de datos (art. 27.4). Por eso, en el diagnóstico se revisan juntos.

Depende de la norma. La AEPD supervisa la protección de datos, también cuando un sistema de IA trata datos personales. Para el AI Act, cada Estado designa sus autoridades de vigilancia del mercado (art. 70), y el reglamento prevé que, en algunos usos de alto riesgo, sean las de protección de datos (art. 74.8). En España, la AESIA se creó para supervisar la IA (Real Decreto 729/2023).

Un agente no solo responde: accede a datos, usa herramientas y actúa en nombre de la empresa. El AI Act no tiene reglas propias para los agentes, así que lo que exige depende, como en cualquier sistema, de su uso y de vuestro rol. Lo que hace un agente en vuestro nombre lo hace la empresa, y cuánta autonomía le dais (qué hace solo, dónde interviene una persona y qué se puede deshacer) es una decisión de dirección. Para la protección de datos, la AEPD publicó en febrero de 2026 unas orientaciones sobre la IA agéntica.

Depende de cuántos sistemas de IA uséis y de lo que exija cada uno según su riesgo. Por eso se empieza por el diagnóstico: con el inventario y el análisis de cada sistema se concretan el alcance, las prioridades y el calendario de la adecuación.

Depende de lo que haya que adecuar, y eso no se sabe sin conocer vuestra IA. Primero se hace el diagnóstico y, al terminarlo, os presentamos una propuesta para el alcance determinado. No es un precio cerrado: durante la adecuación pueden aparecer derivadas que no se conocen de antemano.

Con un método en cinco etapas (diagnóstico, adecuación, implantación, formación y mantenimiento) y un solo equipo legal y técnico. Primero se ve qué IA usáis y qué exige cada sistema; después se adecua y se mantiene al día cuando algo cambia.

Un responsable de IA externo y continuado, no por proyecto: alguien experto que responde de la IA de la empresa ante la dirección, sin incorporar a un directivo a tiempo completo.

Sí. El AI Act también puede aplicarse a empresas de fuera de la UE, por ejemplo si ponen su IA en el mercado europeo o si lo que produce su sistema se usa en la UE (art. 2.1).

Depende de cómo se haga. Con la protección de datos y la ciberseguridad desde el diseño y con personas que supervisan lo que hace la IA, el riesgo se reduce y se puede demostrar.

Escribiendo al equipo: contadnos qué IA usáis o queréis usar y qué os preocupa, y os respondemos en 24 h. Si tiene sentido seguir, el primer paso es el diagnóstico: el inventario de vuestra IA, el rol y el riesgo de cada sistema y las prioridades. Al terminarlo, os presentamos una propuesta para el alcance determinado.