No todos los usos de la IA pesan lo mismo. Si le pides que resuma un texto tuyo y se equivoca, lo corriges en un minuto. Si le pides que ayude a descartar a un candidato y se equivoca, alguien pierde una oportunidad y puede que nadie llegue a enterarse. Tratar ambos casos igual es el origen de los dos errores más comunes en las empresas: prohibirlo todo por miedo, o permitirlo todo por comodidad.
Este artículo propone una clasificación práctica de los usos cotidianos según el daño que causaría un error o una fuga de información, para que decidas qué control aplicar a cada uno. Una precisión importante: es una clasificación práctica, no jurídica. El Reglamento europeo de IA tiene sus propias categorías de riesgo, y si sospechas que un uso concreto de tu empresa entra en ellas, conviene consultarlo con tu asesor.
Cómo clasificar un uso: tres preguntas
Para cada uso, responde por escrito:
- ¿Qué pasa si se equivoca? Un error que ves y corriges antes de que salga no es lo mismo que un error que llega a un cliente, a un candidato o a una autoridad. Y no es lo mismo que sea fácil de deshacer o que no lo sea.
- ¿Qué pasa si se filtra lo que le doy? Un texto propio y público no es comparable con datos de clientes, de empleados o información confidencial del negocio.
- ¿Quién se ve afectado y puede defenderse? Si el afectado es tu propio equipo y lo revisa a diario, el riesgo es otro que si es una persona externa que no sabe que se ha usado IA.
Cuantas más respuestas apunten a «llega a un tercero», «no se puede deshacer» o «hay datos de personas», más alto es el nivel.
Riesgo bajo: borradores y trabajo propio
Ejemplos: resumir un texto propio, redactar el borrador de un correo interno, proponer ideas para una reunión, traducir un texto que no es confidencial, preparar el orden del día.
Por qué es bajo: el resultado lo ve una persona antes de usarlo, el error se corrige sin consecuencias externas y no entran datos de terceros.
Controles mínimos:
- Leer siempre el resultado antes de usarlo.
- Usar solo herramientas que la empresa haya aprobado.
- No pegar datos personales ni información confidencial. La AEPD, en su decálogo «Cuidado con lo que le confIAs» del 27 de enero de 2026, recomienda en el ámbito laboral seguir las políticas de información y seguridad de cada organización y no incluir en las herramientas de IA información que revele datos confidenciales de la entidad, ni de su personal o clientes. Son recomendaciones, no obligaciones legales por sí mismas, pero son una buena regla de partida.
Riesgo medio: lo que llega a un tercero
Ejemplos: atender a un cliente en un primer contacto, contestar consultas frecuentes por mensajería, preparar presupuestos o propuestas, enviar informes con cifras fuera de la empresa, publicar textos en la web o en redes.
Por qué es medio: el error puede llegar a un cliente, y eso afecta a tu imagen o a tu dinero. En muchos casos se puede corregir, pero ya habrá tenido un efecto.
Controles recomendables:
- Límites claros de lo que puede decir y prometer el sistema: precios, plazos, condiciones.
- Revisión humana antes de enviar, al menos al principio. Cuando haya confianza, se puede pasar a revisar una muestra.
- Derivar a una persona cuando el asunto es delicado: reclamaciones graves, enfado, cuestiones legales.
- Avisar de que se trata de IA. La Comisión Europea comunicó el 31 de julio de 2026 que, desde el 2 de agosto de 2026, los chatbots deben avisar de que son IA, los deepfakes deben etiquetarse y el contenido generado o alterado con IA debe llevar marcas legibles por máquina. Hay matices y periodos de adaptación según el caso, así que confirma con tu asesor cómo te afecta.
- Registro de lo que se envía, con cuidado en el tratamiento de datos personales.
Riesgo alto: decisiones que afectan a personas
Ejemplos: valorar a un candidato, evaluar el desempeño de un empleado, proponer sanciones o despidos, conceder o denegar algo a una persona (un permiso, una condición, un crédito), analizar emociones o estado de ánimo, tratar datos de salud, dar asesoramiento legal o fiscal a terceros.
Por qué es alto: afecta a derechos y oportunidades de personas, el error es difícil de detectar, puede haber sesgos que nadie ve y la responsabilidad es de la empresa.
Controles imprescindibles:
- La persona decide siempre. La IA, como mucho, ordena información con criterios que tú has definido, y quien decide puede explicar por qué.
- Asesoramiento previo. Consulta a tu asesor laboral o jurídico antes de empezar. Hay normas que se aplican:
- Según la Comisión Europea (2026), con el «AI Omnibus» las reglas para los sistemas de IA de alto riesgo en áreas sensibles, entre ellas el empleo y la educación, se aplicarán desde el 2 de diciembre de 2027.
- El Reglamento de IA prohíbe el reconocimiento de emociones en lugares de trabajo y en centros educativos, con prohibición efectiva desde febrero de 2025 y con excepciones previstas, como las razones médicas o de seguridad.
- El artículo 64.4.d) del Estatuto de los Trabajadores da al comité de empresa el derecho a ser informado de los parámetros, reglas e instrucciones en los que se basan los algoritmos o sistemas de IA que afectan a decisiones que pueden incidir en las condiciones de trabajo, el acceso y mantenimiento del empleo, incluida la elaboración de perfiles.
- Documentación. Qué hace el sistema, con qué datos, quién decide y quién revisa.
- Información clara a las personas afectadas, en la medida en que corresponda.
Resumen en una tabla
| Nivel | Ejemplos | Qué puede fallar | Control mínimo |
|---|---|---|---|
| Bajo | Resumir un texto propio, borradores internos | Un error que se corrige antes de salir | Leer el resultado y no meter datos de terceros |
| Medio | Atender a un cliente, presupuestos, textos publicados | Un error que llega a un tercero | Límites, revisión humana, derivación a una persona y aviso de IA |
| Alto | Valorar a un candidato, evaluar el desempeño, sancionar | Un perjuicio a una persona, difícil de detectar | La persona decide, asesoramiento previo y documentación |
Qué dice el Reglamento sobre las multas
Conviene saber lo que está en juego, sin dramatizar. El artículo 99 del Reglamento de IA fija multas administrativas de hasta 35 millones de euros o, si el infractor es una empresa, hasta el 7 % de su volumen de negocios mundial anual del ejercicio anterior (la cuantía que sea mayor) por incumplir las prácticas prohibidas del artículo 5. Para incumplimientos de, entre otras, las obligaciones de los responsables del despliegue (art. 26) y de transparencia (art. 50), el límite es de hasta 15 millones de euros o el 3 %. Para las pymes, incluidas las empresas emergentes, se aplica la cuantía que sea menor.
Son importes máximos, no una previsión de lo que pagaría una pyme que use IA para resumir textos. Sirven para entender que los usos de riesgo alto, y las prácticas prohibidas, merecen más atención que el resto. Para saber qué te afecta, tu asesor es quien debe revisar tu caso concreto.
Cómo aplicarlo en tu pyme, en cuatro pasos
- Haz un inventario de usos. Una hoja con una fila por uso: qué se hace, quién lo hace, con qué herramienta y qué datos entran. Pregunta al equipo, porque muchos usos son espontáneos y la dirección no los conoce.
- Clasifica cada uso con las tres preguntas.
- Asigna controles mínimos por nivel y una persona responsable de cada uso medio o alto.
- Revisa cada trimestre, y siempre que cambie un uso. Un asistente que empieza resumiendo correos puede acabar contestando reclamaciones, y ahí cambia de nivel y de controles.
Una hoja sencilla para registrar cada uso está en ficha de riesgo por cada uso de IA: un formato sencillo para copiar. Si quieres profundizar en la parte legal de los usos más delicados, puedes mirar IA de alto riesgo en pymes: cómo auditar tus sistemas, y para clasificar también la información que manejas, clasificar la información en tres niveles: lo que hacen las grandes. Y para ver qué decisiones nunca se delegan, límites del equipo virtual: decisiones que siempre firma una persona.
Fuentes
- Comisión Europea (2026): AI Act | Shaping Europe's digital future
- Comisión Europea – Representación en Chipre (2026): Commission starts enforcing AI Act rules and new transparency requirements on 2 August
- Comisión Europea – AI Act Service Desk (2026): Article 99: Penalties
- AEPD (2026): La AEPD publica un decálogo con recomendaciones para proteger la privacidad al usar herramientas de IA
- BOE (2025): Real Decreto Legislativo 2/2015, texto refundido de la Ley del Estatuto de los Trabajadores
Conclusión
Clasificar los usos de la IA por el daño que causaría un error o una fuga te permite ser más ágil donde es seguro y más exigente donde importa. Lo bajo se revisa con un vistazo, lo medio con límites y revisión humana, y lo alto exige que decida una persona, con asesoramiento y documentación. Y la clasificación no es fija: se revisa cuando el uso cambia.
En MG Solutions formamos a equipos de empresa en IA, por puesto y con casos reales de tu negocio, y también implantamos agentes de IA a medida. Parte del trabajo es que cada persona sepa en qué nivel está lo que hace y qué control le corresponde.
Puedes ver el enfoque en formación en IA para empresas.
Si quieres ver cómo encajaría en tu caso, escríbenos y lo hablamos.