Gobernanza en IA
Qué es un harness de agentes y por qué tu empresa necesitará uno
Quien se pregunta cómo adaptar mi empresa a la ley de inteligencia artificial encuentra la respuesta en un primer paso: saber qué sistemas usa la organización y en qué nivel de riesgo caen. A partir de ahí, las obligaciones son concretas y se pueden planificar. Esta guía las explica sin jerga jurídica e incluye una lista de comprobación de doce puntos.
El reglamento europeo de inteligencia artificial (AI Act), el Reglamento (UE) 2024/1689, modificado en julio de 2026 por el llamado Ómnibus digital sobre IA, es la primera norma de la Unión Europea que regula el uso de la IA de forma general. Se aplica directamente en España, sin necesidad de una ley nacional que lo traslade. Afecta a cualquier empresa que desarrolle, venda o use sistemas de IA en la Unión, sea cual sea su tamaño.
Ese último punto suele sorprender. Muchas organizaciones entienden que la ley de inteligencia artificial concierne a los grandes proveedores de tecnología. Sin embargo, si el departamento de recursos humanos usa una herramienta que filtra currículos, la empresa tiene obligaciones, aunque no haya escrito una línea de código.
La lógica del reglamento es sencilla: cuanto más pueda afectar un sistema a los derechos o la seguridad de las personas, más exigencias tiene. Por eso lo primero es interpretar bien los cuatro niveles de riesgo.
El reglamento no regula “la IA” en abstracto. Regula usos concretos, y cada uso cae en uno de cuatro niveles.
Son usos incompatibles con los derechos fundamentales. Ejemplos: sistemas que manipulan el comportamiento de las personas de forma engañosa para causarles daño, puntuación social de las personas, o reconocimiento de emociones en el puesto de trabajo salvo por motivos médicos o de seguridad. Desde el 2 de diciembre de 2026 se suman dos prohibiciones introducidas por el Ómnibus: los deepfakes íntimos no consentidos y el material de abuso sexual infantil.
Para una empresa corriente esto rara vez es un problema, pero conviene comprobarlo. Un sistema que analice el estado de ánimo de los empleados por la cámara del portátil entra aquí, aunque el proveedor lo presente como “bienestar laboral”.
Los sistemas de IA de alto riesgo son los que pueden afectar de forma seria a la salud, la seguridad o los derechos de las personas. El reglamento los define por ámbitos, en dos grupos con calendarios distintos. El primero, el del anexo III, recoge usos como estos:
El segundo grupo, el del anexo I, son los componentes de seguridad de productos que ya tienen normativa propia, como maquinaria o dispositivos médicos.
Si tu empresa usa alguno de estos sistemas, el grueso de las obligaciones que se describen más abajo le corresponde.
Aquí entran los sistemas que interactúan con personas o generan contenido. Un chatbot de atención al cliente debe dejar claro que la persona habla con una máquina. Un vídeo o una imagen generados con IA deben estar marcados como tales. Estas obligaciones, las del artículo 50, se aplican desde el 2 de agosto de 2026; los sistemas generativos que ya estaban en el mercado tienen hasta el 2 de diciembre de 2026 para marcar el contenido que generan.
Son obligaciones ligeras, pero se incumplen con facilidad. Un asistente en la web que se presenta con nombre de persona y nunca dice que es un agente automático es un incumplimiento típico.
La mayoría de los usos de IA en una empresa caen aquí: filtros de correo no deseado, recomendaciones de productos, corrección de textos, previsión de demanda, clasificación de documentos. El reglamento no impone obligaciones específicas, aunque sigue aplicándose el resto de la normativa (protección de datos, laboral, consumo).
Eso no significa que no haya nada que hacer. La alfabetización en IA se exige a toda empresa que use sistemas de IA, sea cual sea su nivel: debe adoptar medidas para apoyar que su personal la desarrolle.
Inaceptable
Qué significaUso prohibido
Ejemplo de empresaReconocimiento de emociones de empleados por cámara
Qué corresponde hacerRetirarlo
Alto
Qué significaPermitido con obligaciones fuertes
Ejemplo de empresaFiltro automático de candidatos en selección
Qué corresponde hacerUso según instrucciones, supervisión humana, registros conservados, control del proveedor
Limitado
Qué significaObligaciones de transparencia
Ejemplo de empresaChatbot de atención al cliente
Qué corresponde hacerInformar de que es una máquina, marcar contenido generado
Mínimo
Qué significaSin obligaciones específicas
Ejemplo de empresaPrevisión de demanda, clasificación de facturas
Qué corresponde hacerInventariar y formar a las personas que lo usan
La norma distingue entre quien desarrolla un sistema de IA y lo pone en el mercado (proveedor) y quien lo usa en su actividad (implementador o responsable del despliegue). La mayoría de las empresas son implementadoras: compran o contratan herramientas y las usan.
Las obligaciones del implementador para un sistema de alto riesgo son, en resumen, cinco. Usar el sistema siguiendo las instrucciones del proveedor. Encargar la supervisión humana a personas con la competencia necesaria y capacidad real de intervenir. Vigilar su funcionamiento y avisar al proveedor si detecta un incidente grave. Conservar los registros que genera el sistema durante al menos seis meses. E informar a los trabajadores a los que afecte. Para los sistemas del anexo III, todo esto se aplica desde el 2 de diciembre de 2027. A esas cinco conviene añadir una de sentido común: cuidar que los datos que se introducen sean adecuados al uso, porque un sistema alimentado con datos deficientes decide mal.
Algunos implementadores deben, además, hacer una evaluación de impacto en los derechos fundamentales: los organismos públicos, las entidades privadas que prestan servicios públicos y quienes usan sistemas para evaluar la solvencia crediticia de las personas o fijar los precios de seguros de vida y salud.
El proveedor carga con la parte pesada: gestión de riesgos, documentación técnica e instrucciones de uso para el implementador, supervisión humana prevista desde el diseño e inscripción del sistema en la base de datos de la UE. También le corresponde notificar los incidentes graves, con plazos cortos: 15 días como regla general, 10 si hay un fallecimiento y 2 si la infracción es generalizada o afecta a una infraestructura crítica.
Hay un caso que a las empresas se les escapa. Si se modifica de forma sustancial un sistema comprado, se le cambia la finalidad para convertirlo en uno de alto riesgo o se comercializa con marca propia, la empresa pasa a tener las obligaciones del proveedor. Una organización que adapta un modelo genérico para puntuar candidatos y lo ofrece a sus filiales ha cruzado esa línea.
La norma entró en vigor en 2024 y sus obligaciones se aplican de forma escalonada. En julio de 2026, el Reglamento (UE) 2026/1744, el Ómnibus digital sobre IA, aplazó las obligaciones de alto riesgo y cambió la redacción de la alfabetización. Este es el calendario vigente:
| Hito | Fecha | Qué se aplica |
|---|---|---|
| Entrada en vigor | 1 de agosto de 2024 | El reglamento existe, pero casi nada es exigible todavía |
| Prohibiciones y alfabetización | 2 de febrero de 2025 | Usos prohibidos retirados; medidas de alfabetización en IA en todas las empresas que usan IA |
| Modelos de uso general y sanciones | 2 de agosto de 2025 | Obligaciones de los proveedores de modelos de IA de uso general; régimen sancionador |
| Ómnibus digital | 27 de julio de 2026 | Entra en vigor la modificación que aplaza el alto riesgo |
| Transparencia | 2 de agosto de 2026 | Obligaciones del artículo 50; los sistemas generativos ya comercializados tienen hasta el 2 de diciembre de 2026 para marcar su contenido |
| Nuevas prohibiciones | 2 de diciembre de 2026 | Deepfakes íntimos no consentidos y material de abuso sexual infantil |
| Alto riesgo del anexo III | 2 de diciembre de 2027 | Empleo, crédito, educación, servicios esenciales y demás ámbitos del anexo III, incluidas las obligaciones del implementador |
| Alto riesgo en productos regulados (anexo I) | 2 de agosto de 2028 | Sistemas integrados en productos con normativa propia de seguridad |
La lectura práctica es que las prohibiciones, la alfabetización y la transparencia ya se aplican. El alto riesgo se ha aplazado, pero no ha desaparecido, y el trabajo previo (inventariar, clasificar, revisar contratos) lleva su tiempo. Prepararse con tiempo evita hacerlo a la carrera.
Las multas máximas las fija el artículo 99: hasta 35 millones de euros o el 7 % del volumen de negocio mundial por prácticas prohibidas; hasta 15 millones o el 3 % por incumplir otras obligaciones; y hasta 7,5 millones o el 1 % por dar información incorrecta. En las pymes, y desde el Ómnibus también en las pequeñas empresas de mediana capitalización, se aplica la cantidad menor. En España, la agencia de supervisión de la IA es la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA).
Esta lista ordena el trabajo de construir la gobernanza de IA de una empresa. No hace falta completarla el primer mes, pero sí seguir este orden aproximado.
La idea
Sin inventario no hay cumplimiento posible. Con un inventario honesto y una clasificación de riesgo bien hecha, el trabajo se acota: las obligaciones exigentes se concentran en los pocos sistemas de alto riesgo.
El primer error es tratarlo como un asunto solo jurídico. Legal interpreta la norma, pero no sabe qué sistemas usa producción ni quién los supervisa. La adaptación al AI Act en empresas es un trabajo compartido entre dirección, IT, legal y los responsables de cada área.
El segundo es confiar en que el proveedor lo resuelve todo. El proveedor cumple sus obligaciones; las del implementador siguen siendo del implementador. Si el proveedor cambia el modelo sin avisar, la responsabilidad ante quien recibe la decisión no desaparece.
El tercero es olvidar la formación. Es la obligación más asequible de cumplir y, junto a las prohibiciones, la primera que se aplicó. Una empresa con contratos revisados pero con empleados que no saben cuándo desconfiar de una respuesta tiene un hueco visible.
Sí, aunque poco. Esos usos son de riesgo mínimo y no tienen obligaciones específicas. Pero la alfabetización en IA se aplica igualmente: la empresa debe adoptar medidas para que quienes usan esas herramientas sepan qué hacen, qué limitaciones tienen y qué datos no deben introducir. Además, conviene incluirlas en el inventario para tener control sobre el shadow AI, el uso de IA que la empresa no conoce ni ha autorizado. Sus riesgos y cómo encauzarlo, en shadow AI: qué es, qué riesgos tiene y cómo gobernarla.
Conviene comprobar si su finalidad encaja en los ámbitos que el reglamento define como de alto riesgo: selección y gestión de personal, acceso a crédito y seguros, educación, servicios esenciales, infraestructuras críticas, componentes de seguridad de productos regulados. La clasificación se hace por la finalidad del uso y, ante la duda, nunca a la baja. Recomendamos pedir al proveedor su clasificación por escrito y documentar la valoración propia. La duda razonada y documentada vale más que el silencio.
Recomendamos solicitarla por escrito, con plazo. Si es un sistema de alto riesgo, la primera obligación del implementador es usarlo según las instrucciones del proveedor: sin ellas, ni siquiera puede cumplirla. Si no responde, conviene dejar constancia y valorar alternativas. Usar un sistema de alto riesgo sin documentación del proveedor deja a la empresa sin defensa ante una inspección.
Depende del tamaño de la empresa y de cuántos sistemas de alto riesgo use. Muchas empresas medianas cubren el papel con un comité que reúne a IT, legal, recursos humanos y operaciones, con una persona que coordina. Lo que no funciona es no tener a nadie. Si el inventario supera la docena de sistemas o hay varios de alto riesgo, la dedicación parcial se queda corta.
La adaptación al reglamento no es un trámite de una semana, pero tampoco un proyecto de años. Con un inventario honesto y una clasificación de riesgo bien hecha, el trabajo se acota y se concentra en los pocos sistemas que de verdad lo exigen. Y conviene no separarla de la decisión sobre qué procesos llevar a la IA. Nuestro diagnóstico y estrategia de IA acompaña cada proceso candidato de una ficha de gobernanza inicial (riesgos, datos tratados y supervisión necesaria) para no dejar el cumplimiento para el final.
Este artículo es orientativo y no constituye asesoramiento legal. Para decisiones con consecuencias jurídicas, recomendamos consultar con un profesional del derecho especializado en tecnología y protección de datos.
Quien se pregunta cómo adaptar mi empresa a la ley de inteligencia artificial encuentra la respuesta en un primer paso: saber qué sistemas usa la organización y en qué nivel de riesgo caen. A partir de ahí, las obligaciones son concretas y se pueden planificar. Esta guía las explica sin jerga jurídica e incluye una lista de comprobación de doce puntos.
El reglamento europeo de inteligencia artificial (AI Act), el Reglamento (UE) 2024/1689, modificado en julio de 2026 por el llamado Ómnibus digital sobre IA, es la primera norma de la Unión Europea que regula el uso de la IA de forma general. Se aplica directamente en España, sin necesidad de una ley nacional que lo traslade. Afecta a cualquier empresa que desarrolle, venda o use sistemas de IA en la Unión, sea cual sea su tamaño.
Ese último punto suele sorprender. Muchas organizaciones entienden que la ley de inteligencia artificial concierne a los grandes proveedores de tecnología. Sin embargo, si el departamento de recursos humanos usa una herramienta que filtra currículos, la empresa tiene obligaciones, aunque no haya escrito una línea de código.
La lógica del reglamento es sencilla: cuanto más pueda afectar un sistema a los derechos o la seguridad de las personas, más exigencias tiene. Por eso lo primero es interpretar bien los cuatro niveles de riesgo.
El reglamento no regula “la IA” en abstracto. Regula usos concretos, y cada uso cae en uno de cuatro niveles.
Son usos incompatibles con los derechos fundamentales. Ejemplos: sistemas que manipulan el comportamiento de las personas de forma engañosa para causarles daño, puntuación social de las personas, o reconocimiento de emociones en el puesto de trabajo salvo por motivos médicos o de seguridad. Desde el 2 de diciembre de 2026 se suman dos prohibiciones introducidas por el Ómnibus: los deepfakes íntimos no consentidos y el material de abuso sexual infantil.
Para una empresa corriente esto rara vez es un problema, pero conviene comprobarlo. Un sistema que analice el estado de ánimo de los empleados por la cámara del portátil entra aquí, aunque el proveedor lo presente como “bienestar laboral”.
Los sistemas de IA de alto riesgo son los que pueden afectar de forma seria a la salud, la seguridad o los derechos de las personas. El reglamento los define por ámbitos, en dos grupos con calendarios distintos. El primero, el del anexo III, recoge usos como estos:
El segundo grupo, el del anexo I, son los componentes de seguridad de productos que ya tienen normativa propia, como maquinaria o dispositivos médicos.
Si tu empresa usa alguno de estos sistemas, el grueso de las obligaciones que se describen más abajo le corresponde.
Aquí entran los sistemas que interactúan con personas o generan contenido. Un chatbot de atención al cliente debe dejar claro que la persona habla con una máquina. Un vídeo o una imagen generados con IA deben estar marcados como tales. Estas obligaciones, las del artículo 50, se aplican desde el 2 de agosto de 2026; los sistemas generativos que ya estaban en el mercado tienen hasta el 2 de diciembre de 2026 para marcar el contenido que generan.
Son obligaciones ligeras, pero se incumplen con facilidad. Un asistente en la web que se presenta con nombre de persona y nunca dice que es un agente automático es un incumplimiento típico.
La mayoría de los usos de IA en una empresa caen aquí: filtros de correo no deseado, recomendaciones de productos, corrección de textos, previsión de demanda, clasificación de documentos. El reglamento no impone obligaciones específicas, aunque sigue aplicándose el resto de la normativa (protección de datos, laboral, consumo).
Eso no significa que no haya nada que hacer. La alfabetización en IA se exige a toda empresa que use sistemas de IA, sea cual sea su nivel: debe adoptar medidas para apoyar que su personal la desarrolle.
Inaceptable
Qué significaUso prohibido
Ejemplo de empresaReconocimiento de emociones de empleados por cámara
Qué corresponde hacerRetirarlo
Alto
Qué significaPermitido con obligaciones fuertes
Ejemplo de empresaFiltro automático de candidatos en selección
Qué corresponde hacerUso según instrucciones, supervisión humana, registros conservados, control del proveedor
Limitado
Qué significaObligaciones de transparencia
Ejemplo de empresaChatbot de atención al cliente
Qué corresponde hacerInformar de que es una máquina, marcar contenido generado
Mínimo
Qué significaSin obligaciones específicas
Ejemplo de empresaPrevisión de demanda, clasificación de facturas
Qué corresponde hacerInventariar y formar a las personas que lo usan
La norma distingue entre quien desarrolla un sistema de IA y lo pone en el mercado (proveedor) y quien lo usa en su actividad (implementador o responsable del despliegue). La mayoría de las empresas son implementadoras: compran o contratan herramientas y las usan.
Las obligaciones del implementador para un sistema de alto riesgo son, en resumen, cinco. Usar el sistema siguiendo las instrucciones del proveedor. Encargar la supervisión humana a personas con la competencia necesaria y capacidad real de intervenir. Vigilar su funcionamiento y avisar al proveedor si detecta un incidente grave. Conservar los registros que genera el sistema durante al menos seis meses. E informar a los trabajadores a los que afecte. Para los sistemas del anexo III, todo esto se aplica desde el 2 de diciembre de 2027. A esas cinco conviene añadir una de sentido común: cuidar que los datos que se introducen sean adecuados al uso, porque un sistema alimentado con datos deficientes decide mal.
Algunos implementadores deben, además, hacer una evaluación de impacto en los derechos fundamentales: los organismos públicos, las entidades privadas que prestan servicios públicos y quienes usan sistemas para evaluar la solvencia crediticia de las personas o fijar los precios de seguros de vida y salud.
El proveedor carga con la parte pesada: gestión de riesgos, documentación técnica e instrucciones de uso para el implementador, supervisión humana prevista desde el diseño e inscripción del sistema en la base de datos de la UE. También le corresponde notificar los incidentes graves, con plazos cortos: 15 días como regla general, 10 si hay un fallecimiento y 2 si la infracción es generalizada o afecta a una infraestructura crítica.
Hay un caso que a las empresas se les escapa. Si se modifica de forma sustancial un sistema comprado, se le cambia la finalidad para convertirlo en uno de alto riesgo o se comercializa con marca propia, la empresa pasa a tener las obligaciones del proveedor. Una organización que adapta un modelo genérico para puntuar candidatos y lo ofrece a sus filiales ha cruzado esa línea.
La norma entró en vigor en 2024 y sus obligaciones se aplican de forma escalonada. En julio de 2026, el Reglamento (UE) 2026/1744, el Ómnibus digital sobre IA, aplazó las obligaciones de alto riesgo y cambió la redacción de la alfabetización. Este es el calendario vigente:
| Hito | Fecha | Qué se aplica |
|---|---|---|
| Entrada en vigor | 1 de agosto de 2024 | El reglamento existe, pero casi nada es exigible todavía |
| Prohibiciones y alfabetización | 2 de febrero de 2025 | Usos prohibidos retirados; medidas de alfabetización en IA en todas las empresas que usan IA |
| Modelos de uso general y sanciones | 2 de agosto de 2025 | Obligaciones de los proveedores de modelos de IA de uso general; régimen sancionador |
| Ómnibus digital | 27 de julio de 2026 | Entra en vigor la modificación que aplaza el alto riesgo |
| Transparencia | 2 de agosto de 2026 | Obligaciones del artículo 50; los sistemas generativos ya comercializados tienen hasta el 2 de diciembre de 2026 para marcar su contenido |
| Nuevas prohibiciones | 2 de diciembre de 2026 | Deepfakes íntimos no consentidos y material de abuso sexual infantil |
| Alto riesgo del anexo III | 2 de diciembre de 2027 | Empleo, crédito, educación, servicios esenciales y demás ámbitos del anexo III, incluidas las obligaciones del implementador |
| Alto riesgo en productos regulados (anexo I) | 2 de agosto de 2028 | Sistemas integrados en productos con normativa propia de seguridad |
La lectura práctica es que las prohibiciones, la alfabetización y la transparencia ya se aplican. El alto riesgo se ha aplazado, pero no ha desaparecido, y el trabajo previo (inventariar, clasificar, revisar contratos) lleva su tiempo. Prepararse con tiempo evita hacerlo a la carrera.
Las multas máximas las fija el artículo 99: hasta 35 millones de euros o el 7 % del volumen de negocio mundial por prácticas prohibidas; hasta 15 millones o el 3 % por incumplir otras obligaciones; y hasta 7,5 millones o el 1 % por dar información incorrecta. En las pymes, y desde el Ómnibus también en las pequeñas empresas de mediana capitalización, se aplica la cantidad menor. En España, la agencia de supervisión de la IA es la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA).
Esta lista ordena el trabajo de construir la gobernanza de IA de una empresa. No hace falta completarla el primer mes, pero sí seguir este orden aproximado.
La idea
Sin inventario no hay cumplimiento posible. Con un inventario honesto y una clasificación de riesgo bien hecha, el trabajo se acota: las obligaciones exigentes se concentran en los pocos sistemas de alto riesgo.
El primer error es tratarlo como un asunto solo jurídico. Legal interpreta la norma, pero no sabe qué sistemas usa producción ni quién los supervisa. La adaptación al AI Act en empresas es un trabajo compartido entre dirección, IT, legal y los responsables de cada área.
El segundo es confiar en que el proveedor lo resuelve todo. El proveedor cumple sus obligaciones; las del implementador siguen siendo del implementador. Si el proveedor cambia el modelo sin avisar, la responsabilidad ante quien recibe la decisión no desaparece.
El tercero es olvidar la formación. Es la obligación más asequible de cumplir y, junto a las prohibiciones, la primera que se aplicó. Una empresa con contratos revisados pero con empleados que no saben cuándo desconfiar de una respuesta tiene un hueco visible.
Sí, aunque poco. Esos usos son de riesgo mínimo y no tienen obligaciones específicas. Pero la alfabetización en IA se aplica igualmente: la empresa debe adoptar medidas para que quienes usan esas herramientas sepan qué hacen, qué limitaciones tienen y qué datos no deben introducir. Además, conviene incluirlas en el inventario para tener control sobre el shadow AI, el uso de IA que la empresa no conoce ni ha autorizado. Sus riesgos y cómo encauzarlo, en shadow AI: qué es, qué riesgos tiene y cómo gobernarla.
Conviene comprobar si su finalidad encaja en los ámbitos que el reglamento define como de alto riesgo: selección y gestión de personal, acceso a crédito y seguros, educación, servicios esenciales, infraestructuras críticas, componentes de seguridad de productos regulados. La clasificación se hace por la finalidad del uso y, ante la duda, nunca a la baja. Recomendamos pedir al proveedor su clasificación por escrito y documentar la valoración propia. La duda razonada y documentada vale más que el silencio.
Recomendamos solicitarla por escrito, con plazo. Si es un sistema de alto riesgo, la primera obligación del implementador es usarlo según las instrucciones del proveedor: sin ellas, ni siquiera puede cumplirla. Si no responde, conviene dejar constancia y valorar alternativas. Usar un sistema de alto riesgo sin documentación del proveedor deja a la empresa sin defensa ante una inspección.
Depende del tamaño de la empresa y de cuántos sistemas de alto riesgo use. Muchas empresas medianas cubren el papel con un comité que reúne a IT, legal, recursos humanos y operaciones, con una persona que coordina. Lo que no funciona es no tener a nadie. Si el inventario supera la docena de sistemas o hay varios de alto riesgo, la dedicación parcial se queda corta.
La adaptación al reglamento no es un trámite de una semana, pero tampoco un proyecto de años. Con un inventario honesto y una clasificación de riesgo bien hecha, el trabajo se acota y se concentra en los pocos sistemas que de verdad lo exigen. Y conviene no separarla de la decisión sobre qué procesos llevar a la IA. Nuestro diagnóstico y estrategia de IA acompaña cada proceso candidato de una ficha de gobernanza inicial (riesgos, datos tratados y supervisión necesaria) para no dejar el cumplimiento para el final.
Este artículo es orientativo y no constituye asesoramiento legal. Para decisiones con consecuencias jurídicas, recomendamos consultar con un profesional del derecho especializado en tecnología y protección de datos.
