Según el estudio 'Desbloqueando el potencial de la IA en España en 2026', publicado por Amazon Web Services, un 61% de las compañías españolas ya ha implementado soluciones de inteligencia artificial, 11 puntos más que el año anterior y siete por encima de la media europea. Pero esa adopción masiva tiene una contrapartida: cuantos más sistemas de IA operan dentro de una organización, mayor es su exposición al marco regulatorio europeo. Y ese marco acaba de entrar en su fase decisiva.

El Reglamento europeo de Inteligencia Artificial (RIA, Reglamento UE 2024/1689) se aplica de forma escalonada desde 2024. Las prohibiciones de prácticas de riesgo inaceptable y la obligación de alfabetización en IA llevan vigentes desde febrero de 2025, y las normas para modelos de propósito general, desde agosto de ese mismo año. El siguiente gran hito es el 2 de agosto de 2026, la fecha de aplicación general del Reglamento.

Sin embargo, el llamado Ómnibus Digital de IA, publicado justo antes de la fecha límite del 2 de agosto, ha aplazado la parte más exigente del Reglamento: las obligaciones para los sistemas de alto riesgo como los utilizados en educación o empleo no serán exigibles hasta el 2 de diciembre de 2027, y las de los sistemas integrados en productos regulados por legislación sectorial europea, hasta el 2 de agosto de 2028.

Ahora bien, el aplazamiento no equivale a una prórroga general. Las obligaciones que entran en vigor el 2 de agosto son: Transparencia (artículo 50). Toda empresa que ponga en el mercado o utilice sistemas de IA que interactúen con personas (un chatbot de atención al cliente, por ejemplo) debe informar de que el usuario está tratando con una máquina. Además, los sistemas que generen contenido sintético de audio, imagen, vídeo o texto deberán identificarlo y etiquetarlo como IA.

También Supervisión y sanciones. Se definen y designan las autoridades nacionales competentes (AESIA), el régimen sancionador y el poder de enforcement de la Oficina Europea de IA sobre los modelos de propósito general, con capacidad de abrir investigaciones, dictar órdenes de cumplimiento e imponer multas.

Alfabetización en IA (artículo 4). Las empresas deben poder acreditar que su personal cuenta con formación suficiente sobre las herramientas de IA que utiliza.

Sólo un 21% de las empresas ha alcanzado cierta madurez en la gobernanza de sus sistemas y herramientas de inteligencia artificial, tal y como recoge el informe 'State of AI in the Enterprise de Deloitte'. El dato retrata un desequilibrio evidente: la adopción corre mucho más rápido que el control. El mismo informe señala que el 73% de los directivos identifica la privacidad y la seguridad de los datos como su principal riesgo asociado a la IA, seguido del cumplimiento legal y regulatorio (50%) y de la propia capacidad de supervisión (46%).

Es decir, las empresas saben dónde está el problema, pero cuatro de cada cinco todavía no han construido las estructuras para gestionarlo. Esa inmadurez se traduce en carencias muy concretas de cara al RIA: organizaciones que no tienen un inventario de los sistemas de IA que utilizan, que desconocen qué herramientas emplean sus trabajadores por su cuenta (el llamado shadow AI), que carecen de políticas internas de uso o que no podrían acreditar ante un supervisor quién responde de cada sistema y con qué límites.

CONSULTORAS DE IA

Cerrar esa brecha entre adopción y gobernanza es el terreno de las consultoras y legaltech especializadas en IA. Su trabajo consiste en traducir el Reglamento a la realidad operativa de cada organización: inventariar los sistemas de IA en uso, clasificarlos por nivel de riesgo, redactar las políticas internas, formar a las plantillas, etc.

Un ejemplo es Atico34, que ha llevado su experiencia en protección de datos y compliance al terreno del cumplimiento de la Ley de IA con Atico34 AI Governance, un software de gobernanza pensado para cualquier tamaño de organización. La plataforma permite inventariar todos los sistemas de IA utilizados por la empresa y su nivel de riesgo, identificar qué empleados o departamentos los emplean y registrar la finalidad de cada herramienta. Además, cuenta con asesoramiento legal por parte de abogados expertos en inteligencia artificial.

Otra solución de una firma muy conocida (Indra) es Minsait, orientada a grandes corporaciones que necesitan integrar el cumplimiento del RIA dentro de una transformación tecnológica de gran alcance. Su propuesta combina consultoría de negocio con capacidades de IA y datos, ciberseguridad y modernización de infraestructuras, lo que la convierte en la opción natural para organizaciones multinacionales con estructuras de gobierno corporativo complejas.

Y para quienes entienden el cumplimiento desde el prisma de la seguridad está SafeBiz, con un enfoque marcadamente orientado a la ciberseguridad de los sistemas de IA: detección de shadow AI, respuesta a incidentes y auditorías de gobernanza alineadas con el RIA y con marcos como NIST AI RMF o ISO 42001. Su propuesta escala hasta servicios de CAIO o CISO fraccional, un formato que acerca a las empresas medianas figuras de gobierno de la IA similares a las que usan grandes empresas..

Hay una dimensión del cumplimiento que suele quedar fuera del debate regulatorio: su valor de mercado. Las grandes empresas y las administraciones públicas ya están trasladando sus obligaciones a toda su cadena de suministro, incorporando cláusulas sobre uso de IA en contratos y pliegos.

Para un proveedor, poder acreditar una gobernanza sólida, con un registro de sistemas documentado, políticas de uso auditables o una certificación como la ISO/IEC 42001, empieza a ser la diferencia entre entrar o no en determinados concursos y acuerdos comerciales.

A esto se suma la confianza del cliente final. En un mercado donde el contenido sintético y los agentes autónomos serán omnipresentes, las empresas capaces de demostrar que su IA es transparente, supervisada y segura convertirán una obligación legal en un activo reputacional.