CATEGORÍA
Tu departamento de RRHH usa IA para filtrar CVs. Tu equipo financiero tiene algoritmos de scoring crediticio. Tu CMO compró una herramienta de "análisis de sentimiento" para evaluar equipos remotos.
Pregunta simple: ¿Cuál de esos sistemas te puede costar 700 millones de euros en multas antes de que acabe 2026?
Si no sabes la respuesta exacta, no estás solo. Pero estar acompañado en la ignorancia no reduce la sanción.
El 2 de agosto de 2026 —dentro de 8 meses— la mayoría de las obligaciones de la Ley de IA de la UE se vuelven plenamente ejecutables. Las autoridades nacionales ya tienen mandato para sancionar. Los sistemas de IA de "Alto Riesgo" sin marcado CE y sin conformidad documentada se vuelven ilegales. Punto.
Y aquí está el primer error estratégico que veo en el 80% de las Juntas Directivas: creen que esto es un ticket para el departamento de Compliance.
No lo es.
La EU AI Act regula decisiones de negocio automatizadas, no tecnología per se. Regula si puedes despedir algorítmicamente, si tu banco puede denegar créditos sin explicación, si tu herramienta de productividad está infiriendo las emociones de tus empleados. Esto no vive en el servidor; vive en tu P&L, en tu gestión del talento, en tu capacidad para operar infraestructuras críticas.
El CFO debería estar en pánico controlado. El CHRO más aún.
He revisado decenas de "planes de cumplimiento de IA" en multinacionales. El patrón es idéntico y está roto:
Error 1: Confundir "Inventario de IA" con "Auditoría de Riesgo"
Tener una Excel con 47 herramientas de IA no sirve de nada si no has clasificado cada una según el marco de riesgo de la UE. La ley no pregunta "¿usas IA?". Pregunta: "¿Estás usando IA para tomar decisiones que afectan derechos fundamentales, seguridad o acceso a servicios esenciales?"
Ese software de reclutamiento que compró RRHH hace 18 meses y "funciona bastante bien" puede ser un sistema de Alto Riesgo bajo Anexo III. Necesita una arquitectura técnica preparada para la evaluación de conformidad, logs auditables y documentación para el marcado CE. ¿Tu infraestructura actual soporta esto? Probablemente no.
Error 2: Asumir que los proveedores se encargan de todo
Falso. Si tu empresa despliega un sistema de Alto Riesgo —aunque lo hayas comprado llave en mano— tú eres el "Deployer" bajo la ley. Tienes obligaciones legales propias: garantizar supervisión humana, monitorizar el uso, asegurar que se usa según instrucciones. El contrato de tu proveedor SaaS no te exonera de la multa. La responsabilidad es no transferible.
Error 3: No distinguir entre "Prohibido" y "Alto Riesgo"
Esta es la línea que separa una multa molesta de una multa existencial.
Si tu herramienta de "análisis de engagement" promete detectar "moral del equipo" mediante análisis facial o tono de voz, apágala hoy. No mañana. Hoy.
La buena noticia: el cumplimiento de la EU AI Act no requiere detener la innovación. Requiere orquestación estratégica de tres vectores simultáneos.
No delegues la clasificación de riesgo únicamente a legal. Utiliza la metodología Zyros-GOS™ para realizar un mapeo operativo-estratégico preliminar, que luego tu equipo legal pueda validar rápidamente. El CEO debe entender el mapa de riesgos antes de firmar nada.
Framework rápido:
Si usas modelos de IA de propósito general (GPT, Claude, Llama, cualquier LLM), tu proveedor debe estar cumpliendo obligaciones de transparencia desde agosto de 2025. Esto no es futuro; es presente.
Exige a tu proveedor:
Si tu proveedor no puede darte esto, tienes un riesgo de cadena de suministro activo. Si el proveedor es sancionado y tu sistema se considera no conforme por asociación, la orden de cese de uso te golpea igual.
La ley exige "human oversight" en sistemas de Alto Riesgo. Pero atención: un botón de "Aprobar" que el operador pulsa sin revisar no cuenta como supervisión.
La supervisión humana debe ser:
Si tu sistema de RRHH "sugiere" candidatos pero en la práctica nadie revisa los 200 CVs descartados, no tienes supervisión. Tienes teatro regulatorio.
1. Convoca una sesión de clasificación de 2 horas (CEO + CFO + CHRO + CIO + Legal)
Objetivo: Crear una matriz de sistemas de IA en uso, clasificados por nivel de riesgo según Anexo III. Identifica los "Alto Riesgo" y los "potencialmente prohibidos". No necesitas certeza legal perfecta; necesitas saber dónde mirar primero.
2. Audita la herramienta de IA de RRHH más usada
Si filtras candidatos, evalúas empleados o gestionas turnos con IA, ese es tu riesgo crítico. Pregunta al proveedor:
Si la respuesta es "estamos trabajando en ello" y estamos en diciembre de 2025, tienes un problema de continuidad operativa.
3. Revisa contratos con proveedores de modelos fundacionales
Si usas APIs de LLMs (OpenAI, Anthropic, Google, etc.) para chatbots de atención al cliente, generación de contenido o análisis de datos, confirma:
Si el contrato no menciona la EU AI Act, ese contrato está obsoleto.
La realidad brutal: Las primeras inspecciones "ejemplarizantes" ocurrirán en sectores visibles (banca, empleo) durante el segundo semestre de 2026. Las autoridades buscarán casos mediáticos para establecer precedente.
Tu empresa puede ser el ejemplo.
O puedes ser el CEO que en agosto de 2026 tiene todos los sistemas auditados, clasificados y conformes, mientras tu competencia está recibiendo requerimientos de documentación técnica que no puede producir.
La IA no regulada murió. Bienvenido a la era de la IA industrial, donde la gobernanza es ventaja competitiva.
El reloj corre. ¿Tu auditoría ya empezó?