Consideraciones prácticas sobre la Ley de IA de la UE

Referencia oficial de la UE

«proveedores y responsables del despliegue de sistemas de IA que tengan su lugar de establecimiento o estén ubicados en un tercer país, cuando la información de salida generada por el sistema de IA se utilice en la Unión»

En resumen

La pregunta práctica de cumplimiento no es «¿a quién debería importarle algún día la Ley de IA de la UE?», sino «¿quién debería analizar ya su exposición?». La respuesta es más amplia de lo que suponen muchos directivos. Si su organización desarrolla, compra, despliega, integra, revende, importa, distribuye o depende de resultados de IA utilizados en la Unión, la ley puede ser relevante. Su alcance no se limita a las empresas tecnológicas con sede en la UE. También incluye a proveedores y responsables del despliegue de terceros países cuando el resultado del sistema de IA se utiliza en la Unión.

Esto significa que las empresas deben dejar de esperar a que exista un detonante jurídico perfecto antes de actuar. El primer paso es identificar si son proveedoras, responsables del despliegue, importadoras, distribuidoras, fabricantes de productos u otro operador de la cadena, y después centrarse en los casos de uso que probablemente recibirán mayor escrutinio.

Quién debe empezar a prepararse primero

El primer grupo prioritario está claro. Los proveedores y responsables del despliegue de sistemas que puedan entrar en categorías de alto riesgo ya deberían trabajar en el inventario, la asignación de funciones, la documentación, la supervisión y las evidencias. La orientación de la Comisión sobre la clasificación de alto riesgo pretende ayudarles a evaluar si un sistema lo es. Las autoridades públicas y las empresas que utilizan IA en decisiones sensibles deben prestar especial atención, al igual que las que incorporan IA a productos regulados.

El segundo grupo prioritario son las empresas que quizá ni siquiera se consideren «empresas de IA». Si utilizan sistemas de terceros para contratación, admisiones, puntuación, elegibilidad o flujos de trabajo críticos, pueden seguir en una zona de especial atención. La ley no solo considera quién creó el modelo, sino también cómo se comercializan, ponen en servicio y utilizan los sistemas.

Qué sectores y casos de uso están más expuestos

La contratación es uno de los ejemplos más claros. El anexo III incluye como área de alto riesgo los sistemas de IA destinados a la contratación o selección de personas, incluido el análisis, filtrado y evaluación de candidaturas. Por ello, las empresas de búsqueda de talento, las plataformas de contratación, los grandes empleadores y los intermediarios de personal son candidatos evidentes para una revisión temprana. No basta con afirmar que una persona interviene si las clasificaciones o puntuaciones siguen influyendo de forma sustancial en las decisiones.

La educación es otra área de especial atención. El anexo III incluye los sistemas destinados a determinar el acceso o la admisión en instituciones educativas y de formación profesional, así como los utilizados para evaluar resultados de aprendizaje. Esto sitúa en primera línea a escuelas, universidades, proveedores de tecnología educativa y organizaciones de evaluación.

Los bancos y otros prestamistas deben prestar atención porque el acceso a servicios privados esenciales es una categoría del anexo III. La ley incluye expresamente los sistemas destinados a evaluar la solvencia de personas o establecer su puntuación crediticia, con determinadas excepciones. En la práctica, la calificación crediticia minorista y las herramientas similares de decisión financiera personal no son casos periféricos, sino que se encuentran en el centro del régimen basado en riesgos.

Las aseguradoras de vida y salud también deben prestar atención porque el anexo III incluye los sistemas destinados a evaluar riesgos y fijar precios para personas en esos seguros. La idea general es sencilla: si un sistema influye en el acceso, la clasificación, la elegibilidad, la admisión, el empleo, los precios o decisiones importantes en la vida de las personas, la conversación sobre cumplimiento debe empezar antes, no después.

Conclusión práctica. Los sectores más afectados no suelen ser «empresas de IA» en sentido estricto, sino organizaciones que utilizan IA para tomar o influir en decisiones de gran impacto sobre las personas.

Cuál es la exposición financiera

El artículo 99 de la Ley de IA establece tres niveles principales de multas administrativas. El incumplimiento de las prácticas prohibidas del artículo 5 puede conllevar multas de hasta 35 millones de euros o el 7% del volumen de negocio anual mundial, la cifra que resulte mayor. Otros incumplimientos graves de operadores y organismos notificados pueden alcanzar 15 millones de euros o el 3%. Proporcionar información incorrecta, incompleta o engañosa puede dar lugar a multas de hasta 7,5 millones de euros o el 1%.

No son cifras abstractas. Importan porque cambian la forma en que los consejos de administración, los equipos de compras y las funciones de control interno tratarán la gobernanza de IA. El cambio no es solo regulatorio, sino también directivo. Cuando la exposición financiera se hace visible, la gobernanza de IA deja de parecer un tema secundario de innovación y pasa a considerarse un riesgo operativo.

Qué hacer a continuación

Si trabaja en contratación, educación, financiación al consumo, seguros de vida o salud, servicios públicos o cualquier caso de uso que determine acceso, clasificación, precios o elegibilidad, no espere a que el calendario final de cumplimiento le obligue a actuar. Empiece por clasificar los sistemas, asignar responsables y centralizar las evidencias. Las organizaciones que actúen pronto no solo estarán más seguras; también inspirarán más confianza.