«Nuestras tecnologías son espejos de nuestras sociedades.»
La inteligencia artificial dejó hace tiempo de ser una promesa de futuro, para formar parte de nuestro día a día. Lo que todavía no está tan extendido es saber qué implica jurídicamente utilizarla.
Durante los últimos años hemos hablado del Reglamento Europeo de Inteligencia Artificial como una norma que «venía». Ya no viene. El RIA ya está aquí, y es aplicable con carácter general desde el 2 de agosto de este año 2026, aunque mantiene algunos periodos transitorios.
El RIA no pretende prohibir la IA. No es así, sino que Europa ha optado por la fórmula sencilla de, a mayor riesgo, mayores obligaciones.
La cuestión ya no es solamente si nuestra organización utiliza IA (100 por 100 lo hace), sino lo que debemos preguntarnos es qué sistema utilizamos, para qué y sobre qué personas puede producir efectos.
No toda la inteligencia artificial es igual
No tiene el mismo riesgo utilizar IA para corregir un texto que emplearla para seleccionar candidatos, decidir el acceso a determinados servicios o evaluar circunstancias que pueden afectar de forma relevante a una persona.
Por eso el RIA distingue entre distintos niveles de riesgo. Existen prácticas prohibidas, sistemas de alto riesgo, obligaciones específicas de transparencia y usos de riesgo limitado o mínimo.
Una entidad pequeña puede utilizar una herramienta sencilla en un contexto sensible (menores, personas vulnerables…). Lo que determina el riesgo no es el tamaño de la organización, sino lo que hacemos con la herramienta.
Utilizar IA también genera responsabilidades
Otro error habitual es pensar que todas las obligaciones corresponden al fabricante.
“Nosotros utilizamos ChatGPT, por lo que la responsabilidad es de OpenAI”.
Craso error. La responsabilidad es de la organización. Por eso, el primer paso debería ser saber qué sistemas se usan realmente dentro de la organización. Una cosa son las herramientas autorizadas y otra las que ya emplean los trabajadores por su cuenta.
Además, el RIA incorpora obligaciones de alfabetización en IA, por lo que no sólo hay que saber qué herramientas se usan, sino que tenemos los conocimientos adecuados para utilizarla. Lógicamente la formación debe ser proporcional al uso. Esto es, no necesita la misma preparación quien utiliza IA para preparar un borrador que quien la emplea para valorar candidaturas.
La formación nos permitirá conocer los límites de la IA, sus alucinaciones, sesgos, respuestas desactualizadas o el riesgo de introducir datos personales o confidenciales en herramientas no evaluadas.
Nos centramos en saber escribir un buen prompt, que es importante, pero lo es más saber cuándo no debemos utilizar la herramienta, o mejor dicho, cómo no debemos utilizarla.
¿Qué debería hacer una organización ahora?
Las obligaciones relativas a determinados sistemas de alto riesgo todavía tienen periodos transitorios. Pero eso no significa que hasta entonces exista barra libre. El RGPD, la normativa laboral, la protección de consumidores o la protección de menores siguen vigentes.
El primer paso es inventariar las herramientas de IA realmente utilizadas. Después habrá que identificar para qué se usan, qué información reciben, si tratan datos personales, qué proveedores intervienen y qué consecuencias pueden producir sus resultados.
A partir de ahí será posible clasificar riesgos, establecer usos permitidos y prohibidos, revisar proveedores, definir controles humanos, formar al personal y documentar las decisiones.
Todas las organizaciones deberían poder responder a estas cinco preguntas:
1. ¿qué IA utilizamos?
2. ¿para qué?
3. ¿con qué datos?
4. ¿quién puede utilizarla?
5. ¿quién comprueba el resultado?
Si no podemos responderlas, probablemente tengamos un problema anterior al propio RIA.
Regular no significa dejar de innovar
Innovar no consiste en utilizar cualquier tecnología porque esté disponible. Consiste en utilizarla para hacer mejor las cosas. Y hacerlas mejor implica saber qué ocurre cuando el sistema se equivoca, reproduce un sesgo o utiliza información que no debería haber recibido.
La regulación no va a detener la IA. Tampoco tendría sentido intentarlo.
Lo que sí pretende es recordarnos algo elemental: detrás de cada sistema siguen existiendo personas que lo diseñan, organizaciones que deciden utilizarlo y otras personas que pueden sufrir sus consecuencias.
La inteligencia artificial puede automatizar muchas cosas, pero la responsabilidad sigue siendo humana.
Compartir