Si su empresa usa IA,
el Reglamento Europeo
ya le obliga

Inspecciones proactivas, no solo por denuncia

La AESIA ha publicado documentos de trabajo que perfilan su estrategia de supervisión. A diferencia de la AEPD, que actúa principalmente por denuncia, la AESIA combinará inspecciones proactivas por sectores con actuaciones reactivas ante incidentes o quejas formales. Sus primeros recursos se concentrarán en sectores de alto riesgo definidos por el propio Reglamento — lo que significa que no hay que haber cometido ningún error para recibir una visita.

Los sectores en el radar prioritario

• Recursos Humanos: sistemas de selección automatizada, scoring de candidatos y evaluación del rendimiento
• Servicios financieros: scoring crediticio, detección de fraude y decisiones de solvencia
• Sanidad: sistemas de diagnóstico asistido y gestión de listas de espera
• Administración pública: cualquier sistema que afecte al acceso a prestaciones o servicios esenciales

El primer documento que pedirán

La AESIA solicitará en primer lugar el inventario de sistemas de IA — el documento que demuestra que la empresa conoce qué tecnologías opera. Sin este punto de partida, cualquier argumento de adecuación parcial pierde credibilidad ante el inspector. A continuación pedirán la clasificación de riesgo de cada sistema y, para los de alto riesgo, la documentación técnica completa.

El perfil exacto de empresa que recibirá las primeras visitas

Las empresas con mayor probabilidad de ser inspeccionadas primero son las que operan IA en los sectores anteriores, tienen más de 250 empleados, han tenido algún incidente público relacionado con IA o han recibido quejas de empleados o clientes. Tener documentación ordenada —aunque sea incompleta— cambia radicalmente cómo se desarrolla una inspección.

Los tres tramos de sanción del Reglamento

El AI Act establece tres niveles máximos de multa: 35 millones o el 7% de la facturación global para prácticas de IA prohibidas; 15 millones o el 3% para incumplimientos de obligaciones sustantivas (documentación técnica, supervisión humana, etc.); y 7,5 millones o el 1,5% para información incorrecta o incompleta facilitada a las autoridades. Estos son topes, no sanciones automáticas.

Los criterios de graduación que recoge el Reglamento

• Gravedad y duración del incumplimiento
• Intencionalidad o negligencia — una empresa que desconocía su obligación es tratada de forma diferente a una que la ignoró conscientemente
• Antecedentes de incumplimientos previos ante la misma o cualquier otra autoridad de la UE
• Medidas correctoras adoptadas por iniciativa propia antes o durante la inspección
• Tamaño de la empresa — las pymes tienen un tratamiento más favorable
• Daño causado a personas afectadas por el sistema de IA

Qué puede reducir significativamente la sanción

Las empresas que cuentan con documentación parcial aunque incompleta, que han iniciado un programa de adecuación y que cooperan activamente con la inspección reciben sanciones sustancialmente menores. En los procedimientos de la AEPD (que sirven de referencia) la diferencia entre una empresa que colabora y una que no puede ser de un 40-60% en la sanción final. El momento en que se empieza a trabajar en la adecuación importa: hacerlo antes de una inspección es muy diferente a hacerlo durante ella.

Qué es el expediente técnico y para qué sirve

El AI Act exige que cada sistema de IA de alto riesgo tenga un expediente técnico completo —lo que el Reglamento llama documentación del Anexo IV— disponible para las autoridades supervisoras en cualquier momento. No es un formulario estándar: es un conjunto de documentos que describen el sistema tal como funciona realmente: su propósito, los datos con los que opera, sus métricas de rendimiento y cómo se garantiza la supervisión humana.

Los cuatro errores que más vemos al auditarlo

• Propósito descrito de forma genérica: el Reglamento exige propósito concreto, casos de uso específicos y grupos de personas afectadas por las decisiones del sistema
• Datos de entrenamiento sin trazabilidad: hay que documentar procedencia, criterios de selección y medidas adoptadas para detectar sesgos — no basta con indicar el proveedor
• Métricas de rendimiento sin umbral de aceptación: decir que el sistema "funciona bien" no es suficiente; el expediente debe definir qué es rendimiento aceptable y cómo se verifica
• Supervisión humana insuficientemente descrita: el Reglamento exige explicar concretamente cómo y cuándo puede un humano intervenir, corregir o detener el sistema

Cuánto tiempo lleva tenerlo en orden

En nuestra experiencia, preparar el expediente técnico completo de un sistema de alto riesgo requiere entre 3 y 8 semanas. El cuello de botella habitual es reconstruir la información sobre el proceso de desarrollo y los datos de entrenamiento, especialmente en sistemas adquiridos a terceros donde el proveedor no siempre facilita esta información voluntariamente. Cuanto antes se empieza, menos urgencia hay.

El punto de partida: qué es Copilot bajo el Reglamento

Microsoft 365 Copilot es un modelo de IA de propósito general (GPAI) en el sentido del Reglamento. Esto significa que Microsoft, como proveedor, tiene sus propias obligaciones, pero la empresa que lo despliega — la que contrata la licencia y lo pone en manos de sus empleados — adquiere el rol de "responsable del despliegue" con obligaciones adicionales dependiendo del uso concreto.

Cuándo el riesgo es limitado o mínimo

• Redacción de correos, resúmenes de reuniones y generación de borradores de documentos
• Búsqueda de información interna y asistencia en tareas de productividad general
• Análisis de datos sin que el resultado se use para tomar decisiones sobre personas

Cuándo el riesgo sube a alto

• RRHH: si Copilot analiza CVs, evalúa el rendimiento de empleados o ayuda a decidir ascensos o despidos, el sistema entra en la categoría de alto riesgo del Anexo III
• Atención al cliente con scoring: si Copilot prioriza o filtra reclamaciones según el perfil del cliente, puede estar afectando al acceso a servicios
• Procesos financieros: si se usa para evaluar solvencia o decidir condiciones de crédito, las obligaciones son las mismas que para cualquier sistema de scoring crediticio

Qué debe hacer una empresa que ya lo usa

El primer paso es documentar para qué se usa Copilot exactamente en cada departamento. No basta con saber que "tenemos Copilot" — hay que mapear los flujos concretos. En más del 60% de las empresas con las que trabajamos, encontramos al menos un uso de Copilot que requiere tratamiento de alto riesgo que no estaba en el inventario inicial.