RIA: Reglamento Europeo de Inteligencia Artificial (AI Act)

Guía completa para empresas y trabajadores: obligaciones, riesgos legales y sanciones.

El Reglamento Europeo de Inteligencia Artificial (AI Act) ya está en vigor y trae consigo obligaciones directas tanto para empresas como para trabajadores.

Uno de los puntos clave es que ningún empleado puede usar herramientas de inteligencia artificial en el entorno laboral, ni siquiera algo tan simple como abrir ChatGPT o Gemini (o cualquier otra IA) para hacer una consulta, sin haber recibido formación previa por parte de la empresa.

Esto no es una opinión, ni una interpretación personal: lo establece el propio reglamento de regulación de IA.

IA en el trabajo: lo que parece inofensivo… no lo es

En muchas empresas ya se está usando IA de manera informal:

• Subir currículums a ChatGPT para que devuelva un ranking de los mejores candidatos.
• Pedir a un modelo generativo que redacte descripciones de puestos de trabajo.
• Usar un copiloto de IA para traducir o escribir correos.

Aunque técnicamente es posible hacerlo, legalmente implica entrar en una categoría de “alto riesgo” según el reglamento, lo que conlleva:

• Garantizar la calidad y legitimidad de los datos que se suben.
• Documentar y registrar el proceso.
• Cumplir requisitos de ciberseguridad, transparencia y evaluación de impacto.
• Notificar incidentes y disponer de certificaciones.

Una de las situaciones que el AI Act pone en el foco de las empresas es el uso no autorizado de herramientas de IA por parte de empleados — lo que se conoce como Shadow AI. Cuando un empleado introduce datos de clientes en una herramienta externa sin DPA, la empresa es responsable ante la AEPD aunque no lo haya autorizado. La solución estructural no es la prohibición sino ofrecer una alternativa oficial controlada.

Además, en el caso de datos personales (como ocurre en los currículums), entra en juego también el RGPD.

El Reglamento de Inteligencia Artificial (RIA): qué es y por qué importa

El AI Act es una normativa de la Unión Europea que busca:

• Garantizar un uso fiable y seguro de la IA.
• Proteger la salud, seguridad y derechos fundamentales de los ciudadanos.
• Unificar la regulación en todos los países de la UE para evitar un “caos legal”.

Al ser un reglamento europeo, su aplicación es directa y obligatoria en todos los Estados miembros, incluida España.

Clasificación de riesgos en la IA según el reglamento

1. Riesgo inaceptable – sistemas prohibidos por manipular de forma subliminal o poner en riesgo extremo a las personas.
   Ejemplo: una IA que manipule conductas sin que el usuario sea consciente.
2. Alto riesgo – permitidos, pero con obligaciones estrictas.
   Ejemplo: usar IA en procesos de selección de personal.
3. Riesgo limitado – requieren medidas de transparencia.
   Ejemplo: chatbots o generadores de imágenes.
4. Riesgo mínimo – sin requisitos específicos.
   Ejemplo: recomendador de películas en streaming.

Obligaciones clave para las empresas

Desde el 2 de febrero de 2025, las empresas que usen IA tienen la obligación legal de formar a sus empleados en su uso responsable. Esto incluye como mínimo:

• Conocer los riesgos asociados a la IA.
• Usar la herramienta de forma adecuada y segura.
• Aplicar medidas de protección de datos.

Entre los requisitos de transparencia del AI Act para sistemas que interactúan con usuarios está la obligación de que estos sepan que están hablando con un sistema automatizado. Definir correctamente la AI Persona del agente — incluyendo su identificación como IA y los límites de su actuación — es parte del cumplimiento normativo, no solo una decisión de diseño.

¿Quién controla y sanciona en España?

• AESIA (Agencia Española de Supervisión de la IA).
• AEPD, en casos de biometría o tratamiento de datos personales.
• Banco de España o CNMV, para usos financieros.
• A nivel europeo, la Comisión Europea supervisará modelos de propósito general (ChatGPT, Gemini, etc.).

Reflexión final

La regulación no busca frenar la innovación, sino dar seguridad jurídica a empresas y ciudadanos. Igual que ocurrió con el RGPD, la idea es crear confianza en el uso de estas tecnologías.

Si tu empresa está usando IA sin un plan de formación y sin un marco legal claro, es momento de actuar.