La mayoría de las pymes españolas ya usan inteligencia artificial, aunque muchas no lo tengan registrado en ningún sitio. Un chatbot en la web, un filtro de currículums en el proceso de selección, un modelo de scoring para decidir a qué clientes se les da crédito comercial, una herramienta de previsión de demanda. Todo eso son sistemas de IA a efectos del Reglamento Europeo de Inteligencia Artificial, y algunos de ellos pueden caer en la categoría de alto riesgo.
El problema no es la norma. El problema es que casi ninguna empresa mediana tiene un inventario de qué IA está usando, quién la introdujo y con qué datos funciona. Sin ese inventario, cualquier conversación sobre cumplimiento es humo. Este artículo explica cómo hacer una auditoría de soluciones de IA realista para una pyme, sin montar un departamento de compliance nuevo.
¿A quién aplica el AI Act exactamente?
El AI Act no aplica solo a quien fabrica modelos de inteligencia artificial. Aplica a toda la cadena, y cada empresa ocupa un rol distinto con obligaciones distintas. Si tu empresa desarrolla o encarga un sistema de IA y lo pone en el mercado con su marca, eres proveedor y asumes el paquete completo de obligaciones. Si simplemente usas un sistema de IA de un tercero en tu actividad profesional, eres responsable del despliegue, con obligaciones mucho más ligeras pero reales: usar el sistema conforme a las instrucciones, garantizar supervisión humana competente, vigilar la calidad de los datos de entrada que tú controlas e informar a las personas afectadas cuando corresponda. También aplica a importadores y distribuidores, y alcanza a empresas de fuera de la Unión Europea cuando el resultado del sistema se usa dentro de ella. La mayoría de las pymes son responsables del despliegue, no proveedores, y esa distinción cambia por completo el esfuerzo que hay que dedicar.
Hay una excepción que conviene conocer: el uso puramente personal y no profesional queda fuera. Un empleado que consulta un asistente generativo por su cuenta no convierte a la empresa en sujeto obligado, pero sí abre un problema distinto, el de la IA en la sombra, que la auditoría debe detectar.
Qué usos de IA en una pyme pueden ser de alto riesgo
El reglamento clasifica los sistemas en cuatro niveles: prácticas prohibidas, alto riesgo, riesgo limitado y riesgo mínimo. En una pyme, la mayor parte de lo que se usa a diario cae en los dos niveles bajos. Los casos que suelen escalar a alto riesgo son estos:
- Selección de personal. Cribado automático de candidaturas, ordenación de currículums, entrevistas analizadas por algoritmo, herramientas que puntúan el ajuste de un candidato.
- Gestión de empleados. Sistemas que influyen en promociones, asignación de tareas, evaluación del desempeño o decisiones de despido.
- Acceso a crédito. Scoring de solvencia de clientes o particulares, salvo el uso para detectar fraude financiero.
- Seguros de vida y salud. Evaluación de riesgos y fijación de precios.
- Educación y formación. Sistemas que deciden admisiones o evalúan resultados de aprendizaje con efectos sobre la persona.
- Componentes de seguridad de un producto que ya está sujeto a certificación europea: maquinaria, ascensores, productos sanitarios, juguetes.
Lo que normalmente no es alto riesgo: un agente de atención al cliente que responde consultas, la extracción automática de datos de facturas, la previsión de demanda para reponer stock, la generación de borradores de contenido o la clasificación de correos entrantes. Estos casos suelen quedar en riesgo limitado, con una obligación central de transparencia: la persona debe saber que está hablando con una máquina y el contenido generado o manipulado debe estar identificado como tal.
Ojo con un matiz que se pasa por alto: un sistema del anexo III puede dejar de considerarse de alto riesgo si solo realiza una tarea muy acotada o mejora un resultado humano previo, pero esa excepción hay que documentarla antes de usarla. No basta con asumirla.
¿En qué se diferencian el RGPD y el AI Act?
Son normas complementarias, no alternativas, y una pyme que usa IA suele estar sujeta a las dos a la vez. El RGPD regula el tratamiento de datos personales: exige una base jurídica, limita la finalidad, obliga a informar y da derechos al interesado, incluido el de no ser objeto de decisiones exclusivamente automatizadas con efectos significativos. El AI Act regula el sistema en sí, aunque no trate datos personales: pone requisitos de gestión de riesgos, calidad de los datos de entrenamiento, documentación técnica, registro de eventos, precisión, robustez y supervisión humana. Un modelo de previsión de averías en maquinaria no toca datos personales y queda fuera del RGPD, pero sigue dentro del ámbito del AI Act si es componente de seguridad. Al revés, una hoja de cálculo con reglas fijas para valorar candidatos trata datos personales y no es un sistema de IA. El régimen sancionador también difiere: el RGPD llega hasta 20 millones de euros o el 4 % de la facturación global, mientras el AI Act contempla hasta 35 millones o el 7 % para prácticas prohibidas y cuantías inferiores para el resto de incumplimientos.
En la práctica, el punto de mayor solapamiento es recursos humanos. Un cribado automático de currículums exige a la vez evaluación de impacto en protección de datos, información al candidato, revisión humana efectiva y, si el sistema es de alto riesgo, las obligaciones del reglamento de IA. Auditar solo una de las dos normas deja la mitad del riesgo abierto.
Cómo es una auditoría de soluciones de IA para empresas
Una auditoría útil en una pyme no es un informe de doscientas páginas. Son cinco pasos ordenados.
1. Inventario de sistemas
Se listan todas las herramientas con componente de IA que la empresa usa o ha comprado, incluidas las funciones de IA embebidas en software que ya se tenía: el CRM que puntúa leads, el ERP que sugiere reposición, la plataforma de reclutamiento, el asistente que usa marketing. Para cada una se anota proveedor, finalidad, quién la usa, qué datos entran y qué decisiones salen. En una empresa de 50 personas es habitual encontrar entre 8 y 20 sistemas, y que un tercio no estuviera en el radar de dirección.
2. Clasificación por nivel de riesgo
Cada sistema se contrasta con el anexo III y con las prácticas prohibidas. La salida es una etiqueta y una justificación escrita. Esa justificación es la que te salva si alguien pregunta por qué consideraste que tu chatbot no era de alto riesgo.
3. Análisis de brechas
Para los sistemas de alto riesgo se comprueba qué falta: documentación técnica del proveedor, marcado CE, registro en la base de datos europea, procedimiento de supervisión humana, plan de conservación de registros, información a las personas afectadas. Para los de riesgo limitado, basta con verificar los avisos de transparencia y el etiquetado de contenido generado.
4. Plan de remediación priorizado
No todo se arregla a la vez. Se ordena por exposición legal y por coste de arreglo. Retirar un uso prohibido va primero; ajustar el texto de un aviso de chatbot puede esperar dos semanas.
5. Gobernanza continua
Un responsable identificado, una política interna de uso de IA, un canal para dar de alta nuevas herramientas y una revisión periódica. Sin esto, el inventario caduca en tres meses.
¿Cuánto cuesta y cuánto dura una auditoría de compliance de IA en una empresa mediana?
Para una pyme de entre 20 y 200 empleados, un trabajo de este tipo suele resolverse en un plazo de tres a seis semanas de calendario, con una dedicación interna moderada: entrevistas con los responsables de cada área, acceso a los contratos de los proveedores de software y una sesión de cierre con dirección. El grueso del esfuerzo se concentra en el inventario, porque exige hablar con gente y abrir facturas de software. Como orden de magnitud ilustrativo, un proyecto de este alcance se mueve en rangos de cuatro cifras bajas o medias, muy por debajo de lo que cuesta desmontar un sistema de selección automatizado que llevaba dos años funcionando sin base jurídica. La cifra concreta depende del número de sistemas, de si hay alguno de alto riesgo y de si la empresa es proveedor o solo usuario.
Errores que se repiten
- Confundir "no tratamos datos personales" con "no aplica nada". El AI Act no depende del dato personal.
- Fiarse del marketing del proveedor. Que un fabricante diga que su producto cumple no traslada las obligaciones del responsable del despliegue.
- Auditar una vez y archivar. El inventario es un documento vivo.
- Ignorar la IA en la sombra. Las herramientas que entran por la puerta de atrás son las que generan el incidente.
- Olvidar la alfabetización en IA. El reglamento exige que el personal que usa estos sistemas tenga formación suficiente para entender sus límites.
Qué hacer esta semana
Abre una hoja y apunta las herramientas con IA que usa cada departamento. Marca cuáles influyen en decisiones sobre personas, dinero o seguridad. Ese subconjunto es el que hay que mirar con lupa. Si son cero, tu exposición es baja y el trabajo se reduce a transparencia y formación. Si hay alguna, ya sabes por dónde empezar.
En MG Solutions auditamos y clasificamos los sistemas de IA de empresas medianas, cerramos las brechas y dejamos montada la gobernanza para que el inventario no se quede obsoleto. Si no sabes si alguna de tus herramientas es de alto riesgo, esa es exactamente la pregunta que resolvemos en la primera sesión.