Para dirección

El AI Act,
en tres decisiones.

Qué decide la dirección, para cuándo y qué cuesta no hacerlo. Marcad en qué punto estáis y llevadlo al comité.

  1. Primero · Decisión 1

    Quién es responsable de la IA

    La responsabilidad es de la empresa, aunque la IA sea de otro. Alguien tiene que responder ante la dirección.

  2. Después · Decisión 2

    Qué IA usáis y cuál importa

    El inventario, también de la IA que se usa sin que nadie lo sepa, y su diagnóstico: rol, riesgo y plazo.

  3. Por último · Decisión 3

    Qué nivel de adecuación, y para cuándo

    Lo que necesita cada sistema según su riesgo, y en qué orden según su plazo.

¿En qué punto estáis? Marca cada decisión

HABLAR CON EL EQUIPOEl resumen de una página→
Riesgo

El riesgo no se delega.
Se gobierna.

Responde la empresa, aunque la IA sea de otro, y también por la que nadie ha identificado.

Lo que no se delega

La responsabilidad es de la empresa.

Comprar la IA no es comprar el cumplimiento. El contrato puede repartir tareas con el proveedor, pero no trasladarle las obligaciones que la ley pone en quien la usa.

Aunque la IA sea de otro
Si usáis la IA de otra empresa, las obligaciones de quien la usa son vuestras: no se trasladan al proveedor.
El proveedor responde de su sistema; vosotros, de cómo lo usáis. Si es de alto riesgo, eso incluye la supervisión humana, usarlo según sus instrucciones e informar a las personas afectadas.
Si ponéis vuestra marca a un sistema de alto riesgo, lo modificáis de forma sustancial o le cambiáis la finalidad para un uso de alto riesgo, pasáis a ser proveedores, con todas sus obligaciones (art. 25).
Lo que hace un agente de IA en vuestro nombre lo hace la empresa. Cuánta autonomía le dais (qué hace solo, dónde interviene una persona y qué se puede deshacer) es una decisión de dirección.
Si usáis IA de otra empresa→

El riesgo que no se ve

La IA que no sabéis que usáis.

La IA en la sombra (shadow AI): la que entra en la empresa sin pasar por nadie. Es la primera que hay que encontrar, porque no se puede gobernar lo que no se conoce.

Dónde suele estar
Personas de la plantilla que usan herramientas de IA por su cuenta, con datos de la empresa o de clientes.
Funciones de IA que llegan activadas en el software que ya pagáis, sin que nadie las haya evaluado.
Agentes de IA que alguien monta y conecta al correo, a los documentos o a los sistemas de la empresa sin que nadie los haya revisado.
Lo que no está identificado no se puede evaluar ni proteger: confidencialidad, datos personales y, en algunos casos, usos que la norma prohíbe.
Cómo la encontramos: el diagnóstico→
Calendario

Cada mes sin decidir
es un mes menos.

Algunas fechas ya han llegado; la próxima es el 2/12/2026 y faltan 26 días.

Lo que cuesta no decidir

El plazo ya corre.

El aplazamiento del alto riesgo no detuvo el reglamento: solo movió una parte. Y lo que falta pide preparación, porque el inventario, la evaluación y la documentación no se hacen en un mes.

Lo que ya se exige
Desde el 2/2/2025 · Prácticas prohibidas: ningún sistema puede usarse para lo que prohíbe el art. 5.
Desde el 2/2/2025 · Alfabetización en IA: medidas para promoverla entre quien usa la IA en nombre de la empresa (art. 4, tras el Ómnibus).
Desde el 2/8/2025 · Modelos de uso general: obligaciones para quien los desarrolla (arts. 53 a 55).
Desde el 2/8/2025 · Sanciones: hasta 35 M€ o el 7 % de la facturación global por prácticas prohibidas, y hasta 15 M€ o el 3 % por incumplir obligaciones. Se aplica la cifra mayor; la menor, para pymes y, salvo en prácticas prohibidas, para pequeñas empresas de mediana capitalización (art. 99).
Desde el 2/8/2026 · Transparencia: avisar cuando se habla con una IA y marcar el contenido generado (art. 50).
Y fuera del reglamento, un cliente o una licitación puede pediros pruebas de cómo gobernáis la IA. Para las compras públicas ya hay cláusulas tipo, con el apoyo de la Comisión Europea, que trasladan al proveedor requisitos del AI Act.
Ver el calendario→

Con la dirección

Cómo lo trabajamos.

Empezamos por el diagnóstico, y la dirección recibe sus conclusiones en una página: qué IA usa la empresa, qué exige cada sistema, las prioridades y una propuesta para el alcance. Después, cada etapa termina con lo que la dirección tiene que decidir.

Un solo equipo
Dos abogadas expertas en IA, con el Máster en IA y Derecho del ICAB y la certificación CAIP.
Un abogado experto en protección de datos y propiedad intelectual.
Una abogada doctora, experta en salud y datos.
Ingenieros expertos en ética y ciberseguridad de la IA.
Un CTO experto en sistemas de IA.
Hablando el mismo idioma: lo legal, lo técnico y lo ético se deciden juntos.
El papel de la dirección→Ver el método→
Siguiente paso

¿Por dónde empiezas?

Dos caminos, dos resultados distintos.

Orientarte

Mide tu exposición

Dos minutos, anónimo y sin registro. Es una orientación sin comprobar: no determina el rol ni el riesgo de ningún sistema.

MIDE TU EXPOSICIÓN
Determinarlo

El diagnóstico, con el equipo

Rol, riesgo y plazo de cada sistema, revisados por personas. Es la primera etapa del método.

HABLAR CON EL EQUIPO
Respondemos en 24 h.