El Reglamento europeo de IA: qué te obliga a ti y qué no

Lo que se está contando por ahí, y por qué no cuadra

Desde agosto circula por los grupos de empresarios una idea que no es cierta: que el Reglamento europeo de inteligencia artificial obliga a cualquier pyme que use ChatGPT a hacer auditorías, nombrar responsables y documentar sistemas. Detrás de esa idea suele haber alguien vendiendo un servicio de cumplimiento.

La realidad es bastante más aburrida, y bastante más manejable. Pero para entenderla hay que saber una sola cosa, que es la que casi nadie explica.

La distinción que lo explica todo

El Reglamento no clasifica empresas. Clasifica papeles. Y el peso de las obligaciones cae, con mucha diferencia, sobre uno de ellos.

• Proveedor es quien desarrolla un sistema de IA y lo pone en el mercado con su nombre. OpenAI es proveedor. Google es proveedor. Tu asesoría no.
• Responsable del despliegue es quien usa un sistema de IA bajo su autoridad para su actividad profesional. Ahí sí estás tú, si usas un asistente para redactar, resumir o clasificar.

Casi todo el articulado pesado del Reglamento —evaluaciones de conformidad, documentación técnica, sistemas de gestión de la calidad, marcado— recae sobre el proveedor. Al responsable del despliegue le corresponde un puñado de obligaciones mucho más ligeras, y solo se vuelven exigentes cuando el sistema es de alto riesgo.

Formar a tu equipo: la obligación que nadie menciona

Hay una obligación que sí te aplica desde el 2 de febrero de 2025, aunque solo uses un asistente para escribir correos, y es de las que casi nadie menciona porque no se le puede poner una factura grande delante: la alfabetización en materia de IA.

Dice, en esencia, que quien despliega sistemas de IA debe procurar que las personas que los manejan tengan un nivel suficiente de formación para entender qué hacen, qué no hacen y qué riesgos tienen. No exige un certificado, ni un curso homologado, ni un proveedor concreto.

En una pyme de seis personas, cumplir esto se parece mucho a lo siguiente:

• Una sesión corta en la que se explica qué herramienta se usa, para qué sirve y para qué no.
• Una norma escrita sobre qué información no se pega nunca en un chat: datos de clientes, historiales, documentación confidencial.
• La regla de que todo lo que genere la IA lo revisa una persona antes de salir. Esta es la que más se salta y la que más problemas evita.
• Un registro mínimo: qué herramientas usamos y quién las usa.

Eso es una tarde. Y no lo haces por el Reglamento: lo haces porque la alternativa es que alguien pegue el historial de un paciente en un chat público.

El calendario, y por qué no te doy una tabla cerrada

Y aquí viene la parte donde tengo que ser honesto con lo que sé y con lo que no.

Lo que sí puedo decirte sin riesgo de equivocarme: si tu uso de la IA es de los que he descrito arriba, ninguno de esos plazos te obliga a hacer nada distinto de lo del apartado anterior. Las fechas que se mueven afectan a supuestos de alto riesgo en los que tu asesoría no está.

Si pones un bot, hay que decirlo

Hay una obligación de transparencia que sí te afecta y que es fácil de cumplir: cuando una persona interactúa con un sistema de IA, tiene que saberlo, salvo que resulte evidente por el contexto.

En la práctica, si pones un asistente que atiende consultas en tu web o en tu WhatsApp, tiene que quedar claro que es un asistente automático y cómo se llega a una persona. No hace falta un aviso legal de tres párrafos: basta una frase en el primer mensaje y una salida visible hacia el equipo humano.

Y siendo prácticos: eso además te conviene. Un cliente que cree estar hablando con una persona y descubre a los cinco mensajes que no, se enfada. Uno que sabe desde el principio que es un bot y que puede pedir un humano, no.

Lo que te puedes llevar

El resumen de todo, para que te lo puedas llevar:

• Eres responsable del despliegue, no proveedor. La mayor parte del Reglamento no va contigo.
• Si usas IA para redactar, resumir o clasificar tu propia documentación, no estás en alto riesgo.
• Sí te aplica formar a tu gente y avisar cuando alguien habla con un bot. Las dos cosas se resuelven en una tarde.
• El calendario de los supuestos de alto riesgo se ha modificado; consúltalo en la fuente oficial y desconfía de cualquier tabla sin fecha de verificación.
• Si alguien te ofrece una auditoría de cumplimiento de IA sin haberte preguntado antes para qué usas la IA, no te está asesorando: te está vendiendo.

Y una nota que me obliga mi propio criterio: esto no es asesoramiento jurídico. Es la lectura de un consultor que implanta estas herramientas y necesita saber dónde están los límites. Si tu caso roza el alto riesgo, ahí hace falta un abogado, no un artículo.