CONTENIDO PATROCINADO
Auditoría de IA en la empresa española: qué pide el AI Act y por dónde empezar
Muchas pymes españolas usan inteligencia artificial sin haberlo decidido de forma expresa. Un programa que criba currículums, un módulo del CRM que puntúa a los clientes, un chatbot en la web, un asistente que redacta presupuestos... Cada una de esas herramientas puede caer dentro del Reglamento europeo de Inteligencia Artificial (UE 2024/1689), y casi ninguna aparece en un inventario interno.
Ahí es donde cobra importancia la auditoría de inteligencia artificial, y al contrario de lo que se suele pensar, no hace falta ser una gran empresa para necesitarla. Se trata de ordenar qué sistemas hay en la empresa, para qué se usan, con qué datos trabajan y qué riesgos plantean, antes de que lo pregunte un cliente, una aseguradora o un regulador.
Un calendario que se ha movido
El Reglamento entró en vigor en agosto de 2024 y se aplica por fases. Las prácticas prohibidas y la obligación de formar al personal que usa IA rigen desde febrero de 2025, y las normas para los modelos de uso general, desde agosto de 2025.
Las exigencias más importantes, las de los sistemas de alto riesgo, estaban previstas para agosto de 2026, pero el paquete Digital Omnibus, ya en vigor, las ha retrasado hasta el 2 de diciembre de 2027 para los sistemas del anexo III (selección de personal, evaluación de solvencia, educación) y hasta agosto de 2028 para los integrados en productos regulados.
Las empresas de menos de 750 empleados, además, tendrán requisitos de documentación técnica simplificados.
Eso sí, es importante no leer ese retraso como una moratoria general, puesto que lo que ya es aplicable sigue siéndolo, y las sanciones por incumplir las prohibiciones llegan a 35 millones de euros o al 7 % de la facturación mundial, según cuál sea mayor.
En el caso de las pymes se aplica la cifra más baja. La vigilancia en España corresponde a la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña.
Para muchas empresas, el tiempo ganado sirve sobre todo para hacer el trabajo previo con calma. Clasificar un sistema como de alto riesgo o no depende de su uso, no de la tecnología, y esa decisión exige criterio jurídico y técnico a la vez.
Algunas consultoras con perfil de ingeniería como Macaque Consulting, abordan precisamente esa combinación de revisar cómo está construido el sistema y qué dice la norma sobre él.
¿Qué revisa una auditoría?
Un buen trabajo de auditoría suele cubrir cuatro frentes.
- El primero es el inventario: qué herramientas de IA hay, quién las usa y si alguna se ha incorporado sin pasar por el departamento de tecnología.
- El segundo es la clasificación según el nivel de riesgo, que determina qué obligaciones se aplican.
- El tercero son los datos y la documentación: de dónde salen los datos de entrenamiento o de entrada, si hay sesgos conocidos y qué información técnica se conserva.
- El cuarto es la gobernanza, es decir, quién responde de cada sistema, cómo se supervisan sus decisiones y qué se registra para poder reconstruir lo ocurrido.
El caso de la pyme
La realidad es que una pequeña o mediana empresa rara vez desarrolla sus propios modelos. Lo habitual es contratar herramientas de terceros, y ahí surge una confusión frecuente, y es que quien usa un sistema de IA en su actividad, aunque no lo haya creado, tiene obligaciones como responsable del despliegue.
Y si la empresa adapta un sistema o lo comercializa con su marca, puede pasar a ser considerada proveedora, con una carga bastante mayor.
En este sentido, pedir documentación al proveedor es un primer paso razonable, aunque no sustituye a la revisión propia. Un contrato bien redactado ayuda, pero no libra a la empresa de lo que ocurre dentro de ella.
¿Por qué un acompañamiento completo?
Auditar no consiste en entregar un informe y despedirse. Los hallazgos hay que traducirlos en cambios, como ajustar un flujo de trabajo, documentar un modelo, formar a un equipo, renegociar una cláusula con un proveedor.
Por eso, suele funcionar mejor un acompañamiento integral, con una consultora que participe desde el inventario inicial hasta la implantación de las medidas y la revisión posterior, en lugar de piezas sueltas repartidas entre asesoría jurídica, informática y proveedores que no se hablan entre sí.
Al elegir con quién trabajar, hay que fijarse en que el equipo tenga experiencia técnica real con sistemas de IA, que entienda el marco normativo sin limitarse a citarlo, y que hable con claridad de lo que no se puede garantizar. Nadie puede prometer un cumplimiento perfecto en una norma que todavía se está concretando con estándares y guías.
¿Por dónde empezar?
Sin necesidad de contratar nada de inmediato, hay tres movimientos sencillos:
- Hacer una lista de todos los usos de IA en la empresa, incluidos los que llegan dentro de otro software.
- Nombrar a una persona responsable.
- Comprobar si el personal que usa estas herramientas ha recibido formación, algo que ya se exige.
La IA seguirá entrando en las empresas con o sin plan. Tener claro qué hay, qué riesgo supone y quién responde de ello cuesta mucho menos cuando se hace con margen que cuando llega una reclamación.