AI Act: lo que se aplica realmente a su empresa

Los cuatro niveles de riesgo, en claro

• Riesgo inaceptable — prohibido, punto. Puntuación social generalizada, manipulación conductual dirigida, reconocimiento biométrico en tiempo real en el espacio público fuera de excepciones de seguridad. Afecta a muy pocas empresas francesas comunes.
• Riesgo alto — autorizado, pero con obligaciones pesadas: análisis de impacto, registro de eventos, supervisión humana, documentación técnica. Afecta a los sistemas IA usados en RRHH (cribado de CV), en educación (evaluación), en acceso al crédito, en infraestructuras críticas, en justicia, en migración.
• Riesgo limitado — obligaciones de transparencia. Sus usuarios deben saber que interactúan con una IA (chatbot, asistente), y que un contenido generado lo es (deepfake, imagen sintética).
• Riesgo mínimo — ninguna obligación específica. La gran mayoría de los usos internos en PyME cae aquí: búsqueda documental, ayuda a la redacción, síntesis de reuniones, clasificación automática.

A quién concierne, de verdad, en su organización

Para una PyME, el único caso que merece vigilancia inmediata es el cribado automatizado de candidaturas. En cuanto una IA filtra CV o puntúa candidatos, usted pasa a riesgo alto. Si lo utiliza sin saberlo a través de un ATS que ha integrado “la IA” en silencio, asume la responsabilidad como desplegador.

Para una asesoría contable, la ayuda a la redacción, a la búsqueda en doctrina o al análisis documental interno sigue siendo de riesgo mínimo. La frontera se mueve si propone a sus clientes una IA que toma decisiones por ellos (scoring de riesgo, calificación de solvencia).

Para una administración local, la atención se centra en el acceso a derechos y servicios públicos. Un asistente que responde a la ciudadanía sobre trámites sigue siendo de riesgo limitado (transparencia). Una IA que pre-clasifique solicitudes de ayuda social o acceso a la vivienda pasaría a riesgo alto.

Calendario 2026-2027 — qué entra en vigor cuándo

• Febrero 2025 — prohibiciones de riesgo inaceptable, ya aplicadas.
• Agosto 2025 — obligaciones sobre los modelos de propósito general (GPAI): transparencia sobre los datos de entrenamiento, gestión del riesgo sistémico. Afecta a los proveedores, no a los desplegadores.
• Agosto 2026 — aplicación general a todos los sistemas IA, incluidas las obligaciones de transparencia del lado del desplegador (riesgo limitado).
• Agosto 2027 — entrada en vigor de las obligaciones sobre los sistemas de riesgo alto ya en servicio antes de 2026.

Cartografiar sus sistemas IA en cinco pasos

• 1. Listar. Todas las herramientas donde haya “IA”, “asistente”, “generativo”, “modelo predictivo”, “scoring automático”. Internas y externas (SaaS). Incluya las que no eligió activamente — ATS, antispam, herramientas de marketing.
• 2. Calificar. Para cada herramienta, ¿para qué sirve, quién es su usuario final, qué decisión influye? Una búsqueda documental interna ≠ un cribado de candidatos.
• 3. Clasificar. Asignar un nivel de riesgo a cada herramienta, con justificación de una línea. Si la herramienta es dudosa, trátela como el nivel superior hasta resolver.
• 4. Documentar. Para las herramientas de riesgo limitado o superior, formalizar: quién es responsable, cómo se informa a los usuarios, cuáles son las modalidades de supervisión humana.
• 5. Revisar. Cada seis meses, o cada vez que se añada una herramienta. La lista envejece rápido.

Sobre la conformidad por el lado de los datos personales, vea RGPD y asistentes IA: las claves de la conformidad.

Las sanciones reales

El AI Act prevé multas administrativas proporcionales, con un tope de 35 millones de euros o el 7 % del volumen de negocio mundial para las prácticas prohibidas — que casi no afectarán a nadie en la práctica. Para los incumplimientos sobre los sistemas de riesgo alto, el tope baja a 15 M€ o 3 %. Para la información falsa transmitida a las autoridades, 7,5 M€ o 1 %.

Más probable que la multa en sí: la publicación de la decisión, y el efecto reputacional. Para administraciones y actores públicos, el riesgo político pesa tanto como el riesgo financiero.

Lo que apenas cambia para usted

Si utiliza una plataforma de asistentes IA encuadrada para la búsqueda documental, la ayuda a la redacción, la síntesis, el análisis documental — sin decisión automatizada con impacto — usted sigue en riesgo mínimo. Ninguna obligación específica que anticipar, más allá de la transparencia básica (“le responde una IA”), ya cubierta por las prácticas honestas.

El trabajo real se resume en: documentar lo que ya hace y saber sacarlo si se lo piden.