Por: FELIPE SÁNCHEZ ROMERA, CEO de DAXIA.
Foto: Bart van de Voort (Zaragoza · Stuttgart · Amsterdam)
Hay fechas que llegan sin avisar y fechas que llevan año y medio anunciándose. El 2 de agosto de 2026 es de las segundas, y aun así son muchas las empresas que la verán llegar sin haber movido un papel.
Ese día entran en aplicación plena las obligaciones del Reglamento Europeo de Inteligencia Artificial para los sistemas considerados de alto riesgo, y con ellas, el régimen sancionador que las acompaña: multas de hasta 35 millones de euros o el 7% de la facturación mundial, lo que resulte mayor. ¡¡¡Increible pero cierto!!!
Y aquí viene la parte que casi nadie cuenta bien: ese mismo día no nace una autoridad nueva que vigila la IA en solitario. Nace una segunda autoridad que vigila, además, sobre el terreno que ya custodiaba la Agencia Española de Protección de Datos. Cuando una empresa usa IA para tratar datos personales -y casi todo uso de IA los trata-, AESIA y AEPD pueden cruzar investigaciones. Dos organismos, una misma operación, doble frente de exposición.
Alto riesgo no es lo que tú crees
El término “alto riesgo” suena a laboratorio de big tech, a coches autónomos o a reconocimiento facial en aeropuertos ¿a que si?. La realidad es mucho más cercana y mucho más incómoda: el Reglamento clasifica como alto riesgo el uso de IA en selección de personal, evaluación del rendimiento de empleados, scoring crediticio, seguros, sanidad, educación y atención a colectivos vulnerables, entre otras áreas. Si tu empresa usa una herramienta de IA para preseleccionar currículums, para puntuar el riesgo de un cliente o para decidir condiciones de un servicio, no necesitas haber programado esa IA para tener obligaciones: basta con usarla. El Reglamento llama a esto ser “desplegador” (deployer), y le exige supervisión humana competente, formación de quienes la manejan, registro de su uso y, en determinados casos, una evaluación de impacto sobre los derechos de las personas afectadas. Una evaluación de Imapcto es obliagción por RGPD, esta es una de las conexiones…
¿La trampa habitual? pensar que esto es asunto de departamentos de tecnología. No lo es. Es un asunto de quien toma la decisión de incorporar una herramienta de IA en el día a día del negocio, muchas veces sin saber que esa herramienta ya está sujeta a una norma con nombre, apellidos y sanción asociada.
El problema no es la norma. Es no saber por dónde empezar
En las decenas de conversaciones que hemos tenido este año con empresarios sobre IA, el patrón se repite: todos han oído hablar del Reglamento, o de que habrá algo, pocos saben qué les exige a ellos en concreto. No es un problema de voluntad, es un problema de traducción: pasar de un texto legal de cientos de artículos a una lista de tres o cuatro cosas que hay que hacer esta semana en una empresa de quince empleados que usa un chatbot de atención al cliente y un software de selección de personal.
Por eso, antes de hablar de documentos o de cláusulas, lo primero que recomendamos siempre es invertir un día en dos preguntas: qué usos de IA tiene realmente la empresa -no los que cree tener, los que tiene- y cuáles de ellos caen dentro del perímetro de riesgo del Reglamento. Sin ese mapa, cualquier medida que se tome después es, en el mejor de los casos, una corazonada bien intencionada.
«Ya no hay una sola autoridad mirando cómo usas la IA en tu empresa: ahora son dos, y pueden mirar a la vez.»
Formación primero, papeles después
Hay un dato que se repite menos de lo que debería: la obligación de formar en IA a quienes la usan -la llamada alfabetización en IA del artículo 4- no es una novedad de agosto de 2026. Lleva siendo exigible desde febrero de 2025. Es, junto con la prohibición de ciertas prácticas, la parte del Reglamento que más empresas tienen todavía sin cubrir, precisamente porque ha pasado desapercibida frente al ruido mediático de la fecha grande.
Desde DAXIA llevamos meses trabajando esta combinación -análisis de riesgo, documentación a medida y formación de plantilla- para que las empresas sepan de esta “nueva” normativa y las implicaciones en RGPD, de la mano de Leticia Rivera, consultora y especialista en formación sobre IA en el entorno corporativo. Es un enfoque que nos parece el único razonable: de poco sirve redactar el documento perfecto si la persona que usa la herramienta cada día no entiende qué puede y qué no puede hacer con ella. Y de poco sirve formar a la plantilla si no se sabe, primero, qué uso real de IA hay que auditar.
Lo que toca hacer, sin más
Identificar, con honestidad, todos los usos de IA que existen hoy en la empresa, incluidos los que ha introducido cada departamento por su cuenta.
Determinar cuáles de esos usos entran en las categorías de alto riesgo o de transparencia del Reglamento.
Formar a quienes usan esas herramientas en lo que exige la norma, no en IA en general.
Dejar constancia documental de todo lo anterior, de forma proporcionada al tamaño real del negocio.
Sabiendo lo que hay que hacer, no esperes: ¡ACTÚA!
daxia.es/IAact/
El calendario europeo ha tenido idas y venidas -hay propuestas en marcha para retrasar parte del régimen de alto riesgo hasta 2027-, y es tentador usar esa incertidumbre como excusa para esperar. No lo recomendamos.
Mientras no haya un acuerdo publicado en el Diario Oficial de la Unión Europea, la fecha vigente sigue siendo el 2 de agosto de 2026, y la obligación de formación del artículo 4 no está, en ningún escenario, sobre la mesa de un posible retraso. Las empresas que lleguen a esa fecha con el mapa de riesgo hecho y a la plantilla formada no solo evitan una sanción: llegan con una ventaja real frente a quienes sigan improvisando.
«Un documento sin formación es papel. Una formación sin análisis previo es una clase sin programa.»
Antes del 2 de agosto, tu empresa debería saber responder a estas preguntas:
¿Usamos IA en selección de personal, evaluación de empleados, atención al cliente o scoring de clientes?
¿Sabemos si alguno de esos usos cae en las áreas de alto riesgo del Reglamento?
¿Hemos formado a quienes usan esas herramientas, tal y como exige el artículo 4 desde 2025?
¿Tenemos algún documento que acredite que hemos evaluado este riesgo, o lo decidimos sobre la marcha?
Si quieres saber por dónde empezar a ordenar el uso de IA en tu empresa antes de agosto, puedes acceder a la página que hemos preparado con Leticia Rivera, especialista en formación y consultoría en IA en el entorno corporativo:
