Implantar el AI Act: el papel de la dirección

El AI Act se lee como una norma técnica, pero se implanta como una decisión de empresa. Sin un mandato de la dirección, el cumplimiento se queda en documentos que nadie aplica.

Por qué es un asunto de dirección

La responsabilidad es de la empresa, aunque la IA sea de otro. Si usáis un sistema de IA de otra empresa, las obligaciones de quien lo usa serían vuestras: no pasan al proveedor ni se quedan en un departamento.

Si el sistema fuera de alto riesgo, incluirían las del art. 26: usarlo conforme a sus instrucciones, encomendar la supervisión humana a personas con la competencia, la formación y la autoridad necesarias, vigilar su funcionamiento, conservar sus registros al menos seis meses e informar a los trabajadores antes de usarlo en el lugar de trabajo. Se aplicarán desde el 2 de diciembre de 2027 (anexo III) o el 2 de agosto de 2028 (anexo I). Ninguna de esas medidas se toma sin la dirección.

Y las multas del art. 99 pueden imponerse a la empresa según el régimen que fije cada Estado miembro dentro de estos máximos: hasta 35 M€ o el 7 % de la facturación global por prácticas prohibidas, y hasta 15 M€ o el 3 % por incumplir obligaciones. Se aplica la cifra mayor; la menor, para pymes y, salvo en prácticas prohibidas, para pequeñas empresas de mediana capitalización.

Estrategia: qué IA y para qué

La dirección decide qué usos de la IA quiere la empresa y cuáles no, y el cumplimiento se diseña desde ahí: qué sistemas hay y para qué sirve cada uno, qué se compra y con qué contrato, y qué se diseña en casa. Sin esa decisión, cada área incorpora IA por su cuenta y el cumplimiento llega tarde.

Lo que se diseña en casa: Adecuación desde el diseño · La IA que nadie ha identificado: La IA en la sombra

Responsabilidad: quién responde

Alguien tiene que responder ante la dirección: una persona, un comité o un servicio externo, con un mandato claro, recursos y acceso a la información de cada sistema.

No sustituye a los roles que ya existen: se coordina con quien lleva la protección de datos y la seguridad de la información, porque muchos sistemas tocan las tres cosas a la vez. Si esos roles no están dentro de la empresa, se pueden cubrir como servicio.

Decisiones: las que no se pueden delegar

Son tres, y en este orden, porque cada una se apoya en la anterior: quién es responsable de la IA; qué IA usáis y cuál importa; y qué nivel de adecuación hace falta, y para cuándo.

Se priorizan por riesgo y por plazo: primero lo que podría estar prohibido o ya se aplica, después lo que tiene la fecha más próxima. Cómo se decide cada una, marcando en qué punto estáis: las tres decisiones de la dirección.

Cómo se organiza la implantación

La implantación sigue las cinco etapas del método. En cada una, la dirección recibe un resultado y toma una decisión:

Diagnóstico: una visión completa de la IA de la empresa y de lo que exige. Decide la continuidad, el alcance y el riesgo asumido en los casos discutibles.
Adecuación: cada sistema, con lo que necesita para cumplir. Decide las prioridades y los responsables.
Implantación: el cumplimiento, aplicado en el día a día y demostrable. Decide el responsable de cada sistema.
Formación: personas que saben qué hacer con la IA que usan; la general puede empezar desde el inicio, y la de cada sistema llega tras la adecuación. Decide los perfiles y el calendario.
Mantenimiento: el cumplimiento al día cuando algo cambia. Decide qué roles se cubren dentro y fuera de la empresa.

En todas, las decisiones quedan documentadas.

Cómo encaja con lo que ya existe

Pocas empresas parten de cero. Si ya trabajáis la protección de datos o la seguridad de la información, una parte de lo que pide el AI Act se puede apoyar en lo que ya tenéis, en lugar de montar un sistema paralelo:

Protección de datos: el registro de actividades de tratamiento y las evaluaciones de impacto del RGPD (arts. 30 y 35). Si un sistema de alto riesgo obligara a una evaluación de impacto, el art. 26.9 del AI Act prevé hacerla con la información que da el proveedor (art. 13).
Seguridad de la información: ISO/IEC 27001 o, en el sector público y en las empresas que le prestan servicios o soluciones, el Esquema Nacional de Seguridad (Real Decreto 311/2022). Ordenan accesos, proveedores e incidentes, también en los sistemas de IA.
Gestión de la IA: ISO/IEC 42001, la norma internacional del sistema de gestión de la IA, da un marco para el inventario, los riesgos y las revisiones. Certificarse en ella no sustituye el cumplimiento del AI Act, pero ordena buena parte del trabajo.
Entidades financieras: si sois una entidad sujeta a normas de gobernanza del sector financiero, la vigilancia de un sistema de alto riesgo se daría por cumplida respetando esas normas, y sus registros se conservarían con la documentación que ya exigen (art. 26.5 y 26.6).

Cuándo hay que volver a decidir

Las decisiones de la dirección no se toman una sola vez. Conviene volver a ellas cuando:

Entra un sistema nuevo, o se da un uso nuevo a uno que ya teníais.
Cambia un sistema: una modificación sustancial de un sistema de alto riesgo (art. 3.23), o un cambio de finalidad que lleve otro a un uso de alto riesgo, podría convertiros en proveedores (art. 25.1).
Cambia el proveedor o el modelo que hay detrás de un sistema.
Hay un incidente: si un sistema de alto riesgo presentara un riesgo, quien lo usa tendría que informar al proveedor y a la autoridad y suspender su uso; si fuera un incidente grave, informar de inmediato, primero al proveedor (art. 26.5).
Cambia la norma: el Ómnibus aplazó el alto riesgo y añadió prácticas prohibidas que se aplicarán desde el 2 de diciembre de 2026, y siguen llegando guías de la Comisión y de la AESIA.

Lo que se vigila: Mantenimiento · Las fechas: Calendario del AI Act

Errores habituales

En general, estos son los más frecuentes:

Delegarlo todo en TI o en el área legal, cuando lo técnico y lo jurídico se deciden juntos.
Tratarlo como un proyecto con fecha de fin, cuando es un proceso que sigue mientras se usa la IA.
Empezar por los documentos antes que por el inventario: sin saber qué IA hay, se documenta lo que no toca.
Olvidar la IA que se usa sin que nadie lo sepa.
Esperar a la última fecha: el inventario, la evaluación y la documentación llevan tiempo, y la IA sigue en uso mientras tanto.

Preguntas que la dirección debería poder responder

Una forma rápida de ver en qué punto estáis. Si alguna no tiene una respuesta clara, por ahí se empieza:

¿Qué IA se usa en la empresa, también la que nadie ha identificado?
¿Quién responde de ella ante la dirección, y con qué mandato?
¿En qué sistemas usáis IA de otra empresa y en cuáles la ofrecéis con vuestro nombre?
¿Hay algún uso que pudiera estar prohibido?
¿Qué dicen los contratos con los proveedores de IA?
¿Quién se ha formado, y en qué?
¿Cuándo se revisa lo hecho, y qué obligaría a revisarlo antes?

Las que dependen del rol, el riesgo y el plazo de cada sistema se responden sistema a sistema, con el equipo: el diagnóstico.

Fuentes: Reglamento (UE) 2024/1689, arts. 3.23, 13, 25.1, 26 y 99; Reglamento (UE) 2026/1744 (Ómnibus); Reglamento (UE) 2016/679 (RGPD), arts. 30 y 35; Real Decreto 311/2022 (ENS). Orientación general, no una determinación jurídica.