Durante meses, la Ley de Inteligencia Artificial de la Unión Europea se ha presentado como una norma futura. Esa forma de explicarla ya no sirve. En agosto de 2026 la aplicación del marco europeo ha entrado en una fase práctica: determinadas obligaciones y mecanismos de transparencia ya son exigibles, mientras que otras categorías —especialmente algunos sistemas de alto riesgo— mantienen calendarios posteriores.
La Comisión Europea ha señalado que desde el 2 de agosto de 2026 la Oficina de IA y las autoridades nacionales comienzan a hacer cumplir la norma y que ese mismo día empiezan a aplicarse nuevas exigencias de transparencia para determinados sistemas. Entre otras cosas, algunos sistemas interactivos deben informar de que el usuario está tratando con una IA y determinados contenidos sintéticos o manipulados deben poder identificarse.
Pero decir “la AI Act ya está aquí” no responde a la pregunta que importa a una empresa: ¿qué tengo que revisar hoy en mi web, en mi chatbot, en mis automatizaciones y en mis contenidos?
Este artículo intenta responder precisamente a eso. No es un asesoramiento jurídico individual, sino una guía práctica para detectar riesgos, organizar responsabilidades y preparar un producto digital que pueda explicar qué hace con IA, qué datos utiliza y qué controles existen.
Primero: no confundas la fecha de aplicación con que todo entre en vigor de golpe
Uno de los errores más comunes es hablar de la AI Act como si todas sus obligaciones comenzaran simultáneamente.
La Comisión explica que el reglamento entró en vigor el 1 de agosto de 2024 y que el marco general se despliega de forma gradual. Las prohibiciones y determinadas obligaciones de alfabetización en IA comenzaron antes. Las obligaciones sobre modelos de propósito general empezaron en 2025. Las obligaciones de alto riesgo tienen calendarios posteriores en determinadas situaciones, y el paquete de simplificación conocido como AI Omnibus ha movido algunos plazos y ha introducido ajustes.
Esto tiene una consecuencia práctica: una empresa no debería preguntar únicamente “¿cumplo la AI Act?”. Debería preguntar “¿qué tipo de sistema tengo y qué obligaciones le corresponden en esta fase?”.
El primer mapa: qué sistema tienes realmente
Antes de pensar en documentos, hay que describir el sistema.
¿Es un chatbot que responde preguntas de clientes?
¿Es un generador de textos para marketing?
¿Clasifica solicitudes?
¿Analiza CV?
¿Decide o recomienda decisiones sobre personas?
¿Genera imágenes que luego publicas?
¿Transcribe llamadas?
¿Hace scoring?
¿Se conecta con CRM, correo, pagos o expedientes?
Estas preguntas cambian por completo el análisis.
Una herramienta interna que resume reuniones no presenta el mismo perfil que un sistema que participa en una decisión sobre una persona. Del mismo modo, un generador de textos para un blog no debe analizarse igual que un sistema que interactúa con clientes en un proceso de alto impacto.
El error empresarial suele producirse al empezar por la herramienta —“usamos un modelo de OpenAI”, “usamos un chatbot”, “usamos una API de IA”— en lugar de empezar por el caso de uso.
La transparencia ya no es un detalle de diseño
Una de las novedades más visibles en 2026 es el protagonismo de la transparencia.
La Comisión Europea explica que, desde el 2 de agosto de 2026, determinados sistemas interactivos deben informar a la persona de que está interactuando con una IA y que los deepfakes y determinados contenidos generados o alterados por IA deben etiquetarse, además de incorporar marcas legibles por máquina en los casos correspondientes.
Para una web esto significa que la pregunta ya no es “¿queda bonito decir que esto es IA?”. La pregunta es si el usuario puede entender de manera clara cuándo está interactuando con un sistema automatizado.
Un chatbot debería ser reconocible
Imagina una ventana de asistencia en una tienda online.
Si el usuario cree que está hablando con una persona cuando realmente lo hace con un sistema automatizado, existe un problema de transparencia. Una solución de producto sencilla es comunicarlo de forma visible desde el principio y mantener esa información accesible durante la conversación.
No hace falta convertir la interfaz en una página legal de cincuenta párrafos. Hace falta claridad.
Por ejemplo:
“Estás hablando con el asistente virtual de FMCP. Puede generar respuestas automáticamente y, cuando sea necesario, derivará la conversación a una persona.”
El texto exacto dependerá del caso de uso, pero la filosofía es la misma: no ocultar la naturaleza del sistema.
El contenido generado por IA plantea otra pregunta: ¿quién lo controla?
Muchísimas empresas ya utilizan IA para redactar artículos, crear imágenes, resumir documentos o producir piezas de marketing.
La cuestión no es únicamente etiquetar. También importa establecer un flujo de revisión.
Un contenido generado por IA puede contener errores, afirmaciones sin respaldo, datos desactualizados o material que necesite revisión editorial. La tecnología puede acelerar la producción y, precisamente por eso, multiplicar el volumen de errores si no existe una etapa de control.
Un proceso editorial sano puede ser:
Generación → verificación → revisión editorial → publicación → monitorización.
La peor práctica sería:
Generación → publicación automática sin control.
La AI Act no se reduce a una checklist de avisos. El contexto operativo sigue siendo importante.
¿Qué pasa con un chatbot conectado a datos de clientes?
Aquí aparece uno de los puntos que más fácilmente se pasan por alto.
Un sistema puede parecer simplemente “un chatbot”, pero su arquitectura puede convertirlo en algo mucho más sensible si está conectado a información privada.
Supongamos que una empresa permite que el bot consulte pedidos, facturas o incidencias. De repente, ya no estamos únicamente ante una herramienta de generación de texto. Tenemos autenticación, autorización, exposición de información y trazabilidad.
El sistema debería responder preguntas como:
- ¿Qué identidad está consultando los datos?
- ¿Qué puede consultar exactamente?
- ¿Puede el modelo ver información que no necesita?
- ¿Puede una instrucción del usuario provocar una consulta indebida?
- ¿Se almacenan las conversaciones?
- ¿Durante cuánto tiempo?
- ¿Quién puede revisar esas conversaciones?
- ¿Qué ocurre cuando el modelo se equivoca?
Aquí la seguridad de aplicaciones y la gobernanza de IA dejan de ser dos mundos separados.
Prompt injection no es un concepto puramente académico
Cuando un agente o chatbot tiene acceso a herramientas, documentos o datos, el texto que recibe deja de ser simplemente información.
Puede ser una instrucción potencial.
Un documento cargado por el usuario podría intentar modificar el comportamiento del agente. Una página web podría contener instrucciones diseñadas para manipular un sistema que utiliza extracción automática. Un mensaje puede tratar de provocar que el modelo revele información que no debería ver.
Por eso hay que distinguir entre:
datos que el modelo puede leer y acciones que el modelo puede ejecutar.
Un diseño seguro no debería permitir que una frase arbitraria convierta automáticamente a un usuario en administrador de una herramienta.
La regla de oro: el modelo no decide los permisos
Los permisos deben estar en el sistema que controla el acceso, no en la buena voluntad del modelo.
Si un usuario puede ver únicamente sus facturas, el backend debe comprobar que el identificador de usuario coincide con el recurso solicitado.
No debería bastar con que el modelo “entienda” que no debe mostrar otra factura.
Esta distinción es fundamental para equipos que incorporan agentes a sistemas existentes.
Ejemplo conceptual
Incorrecto:
usuario → modelo → consulta libre a base de datos
Mucho mejor:
usuario → autenticación → política de acceso → herramienta limitada → modelo interpreta el resultado
El modelo puede ayudar a decidir qué herramienta utilizar, pero el backend conserva la autoridad.
¿Qué debería revisar una empresa española esta semana?
Un inventario práctico puede dividirse en ocho bloques.
1. Inventario de sistemas de IA
Haz una lista de todas las herramientas, internas y externas. No solo las que el departamento de tecnología considera “IA”. Incluye automatizaciones, asistentes, OCR, generación de imágenes, clasificación y servicios SaaS que incorporen IA.
2. Caso de uso
Para cada sistema, describe qué hace realmente y con qué personas interactúa.
3. Datos
Identifica qué información procesa, de dónde procede y qué parte necesita realmente el sistema.
4. Proveedores
Registra qué tercero proporciona el modelo, qué API se utiliza y qué condiciones contractuales aplican.
5. Transparencia
Comprueba si el usuario sabe cuándo está interactuando con IA y qué información relevante necesita conocer.
6. Supervisión
Define cuándo una persona debe revisar una salida, aprobar una acción o hacerse cargo de una incidencia.
7. Registro y evidencia
Guarda la información necesaria para reconstruir qué sistema actuó, en qué contexto y con qué resultado, respetando la normativa aplicable sobre datos.
8. Formación
La alfabetización en IA forma parte del calendario de aplicación europeo y no debería quedarse fuera del plan de implantación.
El error de pensar que “somos una pyme, así que no nos afecta”
Que una empresa sea pequeña no convierte automáticamente todos sus sistemas en irrelevantes.
La regulación distingue por tipo de sistema, actividad, riesgo y obligaciones concretas. Además, la simplificación regulatoria europea introducida mediante el AI Omnibus pretende facilitar el cumplimiento y ampliar oportunidades de experimentación para determinadas organizaciones, pero eso no equivale a una exención general para cualquier uso de IA.
La mentalidad correcta es más útil: “somos una empresa pequeña, por tanto necesitamos un sistema de cumplimiento proporcional y práctico”.
La documentación mínima que de verdad ayuda
No hace falta crear cincuenta PDFs para empezar.
Un registro sencillo puede tener estas columnas:
| Campo | Ejemplo |
|---|---|
| Sistema | Asistente web |
| Proveedor | Proveedor de modelo |
| Caso de uso | Atención al cliente |
| Usuarios afectados | Clientes web |
| Datos | Pedidos, consultas |
| Decisión automática | No |
| Supervisión humana | Sí |
| Transparencia | Aviso visible |
| Retención | Definida internamente |
| Responsable | Operaciones + tecnología |
| Última revisión | Fecha |
Con este inventario ya puedes empezar a tener una fotografía real del ecosistema de IA.
La IA en marketing necesita más gobierno del que parece
El área de marketing suele adoptar IA antes que otras partes de la empresa porque los beneficios son inmediatos: textos, anuncios, imágenes, vídeo, traducción y lluvia de ideas.
Precisamente por eso conviene implantar controles desde el principio.
Una política interna sencilla puede definir:
- qué contenido puede generarse directamente;
- qué contenido exige revisión humana;
- qué fuentes deben verificarse;
- qué datos nunca deben enviarse a una herramienta externa;
- cuándo debe etiquetarse material sintético;
- quién tiene la última palabra editorial.
La ventaja de formalizar esto no es solo legal. También mejora la calidad del contenido.
¿Y las imágenes y vídeos generados por IA?
Aquí la transparencia cobra especial importancia porque el usuario puede no saber qué es real y qué ha sido generado o alterado.
La Comisión menciona expresamente los deepfakes y determinados contenidos generados o manipulados por IA dentro de sus nuevas exigencias de transparencia.
Para una marca, esto implica pensar en una política de medios digitales:
¿Usamos personas reales o imágenes sintéticas?
¿Alteramos fotografías de productos?
¿Creamos avatares ficticios?
¿Generamos vídeos de demostración?
¿Se entiende claramente qué parte es una recreación?
No todas estas preguntas reciben necesariamente la misma respuesta regulatoria, pero todas merecen una respuesta operativa.
El proveedor externo no elimina tu responsabilidad de producto
Otro error muy habitual es pensar: “La IA la proporciona otra empresa, por tanto todo lo relacionado con cumplimiento es suyo”.
La realidad empresarial es más incómoda.
El proveedor puede tener obligaciones propias y ofrecer documentación, controles o mecanismos de transparencia. Pero la empresa que integra la tecnología sigue teniendo que entender cómo utiliza ese sistema dentro de su producto.
Una API de IA integrada en una web sigue siendo parte de la experiencia que tú diseñas.
Por eso conviene revisar:
- términos del proveedor;
- políticas de datos;
- localización y tratamiento de información;
- opciones de retención;
- configuraciones de privacidad;
- controles de acceso;
- logs;
- mecanismos de moderación;
- documentación de limitaciones.
La política de privacidad y la gobernanza de IA no son lo mismo
Pueden estar conectadas, pero no son documentos intercambiables.
Una política de privacidad debe explicar el tratamiento de datos personales que corresponda. Una política o registro interno de IA debe explicar qué sistemas se usan, con qué finalidad, qué controles existen y quién es responsable.
Intentar meter toda la gobernanza de un sistema complejo dentro de una política de privacidad suele producir documentos difíciles de leer y, al mismo tiempo, insuficientes para operar el sistema.
La solución es separar capas.
Privacidad para las personas.
Gobernanza para la organización.
Documentación técnica para el equipo.
Controles del producto para el usuario final.
Qué significa esto para una web pequeña
Imaginemos una empresa española con:
- un chatbot comercial;
- un generador de textos internos;
- un sistema que resume emails;
- generación de imágenes para redes sociales;
- un CRM con funciones de IA.
No necesita empezar construyendo un departamento regulatorio entero.
Puede empezar con un inventario, definir responsables, revisar transparencia, separar los sistemas con mayor riesgo, limitar el acceso a datos y establecer una revisión periódica.
La proporcionalidad es clave.
Una arquitectura de cumplimiento útil
En productos digitales funciona bien pensar en cinco capas:
Producto
El usuario ve avisos, controles y rutas de derivación a una persona.
Aplicación
La autenticación, autorización y lógica de negocio limitan lo que la IA puede hacer.
Datos
Se controla qué información llega al modelo, cuánto tiempo se conserva y quién puede verla.
Operaciones
Existen logs, monitorización, revisión de incidencias y responsables claros.
Gobierno
Hay inventario, políticas, formación y calendario de revisión.
Esta arquitectura es más útil que una simple carpeta llamada “AI Act”.
La oportunidad escondida: ordenar la empresa
Hay una razón por la que la regulación, bien planteada, puede mejorar un producto.
Cuando una empresa tiene que responder qué modelos utiliza, con qué datos, qué decisiones toman, quién supervisa y cómo se puede auditar una incidencia, descubre muy rápido dónde tiene procesos frágiles.
En otras palabras, gobernar IA puede revelar problemas que ya existían antes de utilizar IA.
Una empresa que no sabe quién puede acceder a una base de datos no necesita únicamente una política de IA. Necesita mejorar su arquitectura.
Una empresa que no sabe qué herramienta externa recibe los datos de sus clientes tiene un problema de inventario tecnológico.
Una empresa que no puede explicar cuándo interviene una persona tiene un problema de diseño de proceso.
La IA hace visibles esas carencias.
Qué hacer con un chatbot mañana por la mañana
Una auditoría de treinta minutos puede empezar con diez preguntas:
- ¿El usuario sabe que habla con una IA?
- ¿Puede pedir hablar con una persona cuando corresponda?
- ¿Qué datos recibe el modelo?
- ¿Necesita realmente todos esos datos?
- ¿Qué herramientas puede ejecutar?
- ¿Qué pasa si intenta acceder a un recurso sin permiso?
- ¿Se almacenan las conversaciones?
- ¿Quién revisa los errores?
- ¿Qué proveedor procesa la información?
- ¿Cuándo se revisó por última vez la configuración?
Las respuestas más importantes suelen aparecer antes de leer una sola página jurídica.
La gran transición: de “hemos instalado IA” a “gestionamos un sistema de IA”
La madurez digital llega cuando una empresa deja de pensar en la IA como una función decorativa.
No es simplemente un botón que dice “Generar con IA”.
Es un sistema con entradas, contexto, herramientas, datos, salidas, usuarios, permisos, riesgos y responsabilidades.
La Ley de IA europea está empujando precisamente hacia una visión más sistemática, mientras la Comisión desarrolla guías, mecanismos de apoyo y herramientas para implementación.
El resultado puede ser positivo si se aprovecha para diseñar productos más transparentes y controlables.
Conclusión
En 2026 la pregunta ya no debería ser si una empresa va a usar IA. Para muchísimas organizaciones esa decisión ya está tomada, aunque a veces sea de forma dispersa y sin un inventario formal.
La pregunta interesante es otra:
¿podemos explicar qué hace nuestra IA, qué datos recibe, qué puede hacer, cuándo interviene una persona y qué evidencia tenemos de que funciona como esperamos?
Si la respuesta es no, el primer trabajo no consiste en comprar otra herramienta.
Consiste en ordenar el sistema.
La aplicación progresiva de la AI Act y las nuevas obligaciones de transparencia hacen que este trabajo sea cada vez más visible en Europa.
Y hay una ventaja estratégica en hacerlo pronto: una arquitectura de IA con controles claros suele ser más segura, más fácil de mantener, más fácil de auditar y, en muchos casos, más fácil de escalar.
La regulación puede convertirse en una carga si se trata como papeleo. También puede convertirse en una excusa para construir mejor.
Checklist final de 30 minutos
Abre un documento y escribe cinco bloques: sistemas de IA, datos, usuarios afectados, controles y responsables. Añade cada herramienta que ya utilices, aunque parezca pequeña. Marca cuáles interactúan con clientes, cuáles generan contenido y cuáles tienen acceso a datos o herramientas internas. Después revisa si existe transparencia visible para los casos correspondientes y si los permisos se comprueban en backend.
Con eso ya tendrás una primera fotografía mucho más útil que una colección de documentos desconectados.
Fuentes oficiales y recursos
- Comisión Europea — La Comisión comienza a hacer cumplir las normas de la Ley de IA desde el 2 de agosto de 2026
- Comisión Europea — FAQ: Navegar por la Ley de IA
- Comisión Europea — Marco regulador de la IA
- Comisión Europea — AI Omnibus entra en vigor
- Vídeo explicativo: The EU's AI Act Explained
Una matriz de riesgo para no perderse
No todas las aplicaciones de IA merecen el mismo nivel de revisión. Una empresa puede clasificar cada sistema con cuatro preguntas: quién lo utiliza, qué decisiones afecta, qué datos procesa y qué capacidad de acción tiene. Un asistente de ideas interno y un sistema conectado a expedientes de clientes pueden utilizar tecnología parecida y, sin embargo, necesitar controles completamente diferentes.
Una clasificación interna sencilla puede dividir los sistemas en experimentales, operativos de bajo impacto, sensibles y críticos. No sustituye al análisis jurídico; sirve para ordenar prioridades y decidir cuánto control necesita cada caso.
Ejemplo de política interna
Experimental: permitido con datos no sensibles y sin acceso a sistemas críticos.
Bajo impacto: proveedor identificado, uso aprobado y revisión periódica.
Sensible: evaluación previa, controles de datos, registros y supervisión humana definida.
Crítico: responsable asignado, controles técnicos reforzados, pruebas específicas y revisión jurídica cuando corresponda.
Este enfoque permite experimentar sin convertir cada prueba en un proyecto burocrático.
La alfabetización en IA no debería reducirse a saber escribir prompts
La formación útil es contextual. Marketing necesita saber qué información no debe enviarse a una herramienta externa. Ventas necesita reconocer cuándo una respuesta generada debe revisarse. Desarrollo debe conocer los límites de un agente conectado a producción. Dirección necesita detectar cuándo un caso requiere escalado.
La alfabetización real consiste en comprender capacidades, limitaciones, riesgos y responsabilidades.
La revisión trimestral importa tanto como el documento
Para cada sistema pregunta si el proveedor ha cambiado condiciones, si la arquitectura ha cambiado, si aparecieron nuevos tipos de datos, si aumentó el alcance de las decisiones o si hubo incidentes relevantes.
La IA cambia deprisa. Una configuración razonable en enero puede necesitar otra revisión en septiembre si el proveedor añade nuevas funciones o el equipo conecta nuevas herramientas.
Por eso una fecha de revisión debería formar parte del inventario.
No conviertas la transparencia en un aviso que nadie lee
La transparencia útil aparece cuando importa, explica lo esencial y no esconde la información relevante entre párrafos interminables.
En un chatbot, el comienzo de la interacción es un lugar natural para indicar que se trata de una IA. En contenido sintético, la identificación debe acompañar al material de forma comprensible. En un flujo interno, la documentación puede bastar para el usuario técnico, pero no necesariamente para una persona afectada por una decisión.
Diseñar transparencia es diseñar información.
E-commerce: el salto de asistente a sistema de decisión
Una tienda online puede empezar con recomendaciones de productos o respuestas automáticas. El perfil cambia si la IA empieza a puntuar clientes, priorizar solicitudes, detectar fraude o influir en quién recibe determinadas condiciones.
La etiqueta comercial puede seguir diciendo “asistente”, pero la lógica real puede haberse convertido en un sistema con impacto mucho mayor. El análisis debería seguir la función real, no el nombre del producto.
Recursos humanos: el contexto puede cambiarlo todo
Una herramienta que redacta una oferta de empleo no merece la misma atención que un sistema que filtra candidatos, evalúa personas o participa en decisiones laborales. Los sistemas relacionados con empleo aparecen dentro del marco europeo de usos de alto riesgo con calendarios específicos.
Para una empresa española, la conclusión práctica es sencilla: no gobernaría una herramienta de selección como si fuera un generador de titulares.
Una checklist de producto para equipos web
Antes de poner IA en producción revisa propósito, usuarios, datos, permisos, proveedor, transparencia, supervisión humana, logs, pruebas y respuesta ante incidentes.
Después registra quién hizo la revisión y cuándo.
La documentación no tiene que ser perfecta. Tiene que poder mantenerse viva.
Qué pasa cuando la IA falla
La gobernanza empieza antes del incidente, no después. Pregunta cómo se detectará un error, quién tendrá autoridad para retirar contenido, quién puede corregir una clasificación y cómo se recuperan cambios automáticos.
Si un agente publica algo incorrecto, debería ser fácil revertirlo. Si un automatismo modifica datos, debería existir una forma de reconstruir y restaurar lo ocurrido. Si una recomendación afecta a una decisión importante, debería quedar claro quién la aprueba.
Reversibilidad como principio de diseño
Cuanto más relevante sea la consecuencia, más útil es que la acción sea reversible. La reversibilidad reduce el coste de equivocarse y facilita la intervención humana.
La gobernanza también puede convertirse en ventaja competitiva
Una empresa que puede explicar qué IA utiliza, qué datos recibe, qué herramientas puede ejecutar y quién supervisa los resultados está mejor preparada para cambiar de proveedor, responder ante incidencias y escalar procesos.
Además, una buena gobernanza suele revelar problemas que ya existían: permisos demasiado amplios, datos sin dueño, procesos mal documentados o integraciones que nadie recuerda.
La regulación puede servir como incentivo para ordenar la arquitectura.
Cómo empezar sin paralizar el negocio
Primera semana: inventario.
Segunda semana: clasificación por riesgo.
Tercera semana: revisión de datos, transparencia y permisos.
Cuarta semana: responsables, documentación y pruebas.
Después: revisión periódica.
No hace falta esperar a una política perfecta para empezar a mejorar.
Conclusión ampliada
La aplicación progresiva del AI Act cambia el contexto europeo para los sistemas de inteligencia artificial, pero no significa que todos los negocios deban afrontar exactamente las mismas obligaciones el mismo día. El punto de partida útil es entender el sistema concreto, su función, sus usuarios y sus riesgos.
Para una web española, las preguntas más valiosas siguen siendo prácticas: ¿está claro cuándo interviene IA?, ¿qué datos recibe?, ¿qué puede hacer?, ¿qué permisos tiene?, ¿quién supervisa?, ¿cómo detectamos errores?, ¿qué proveedor interviene? y ¿qué evidencia queda?
La mejor estrategia no es reaccionar con miedo ni ignorar el cambio. Es inventariar, clasificar, limitar, informar y revisar.
Una buena gobernanza de IA se parece mucho a una buena ingeniería: objetivos claros, límites, observabilidad, pruebas, responsables y capacidad de recuperación.
Qué debe revisar una web española ante el AI Act en 2026
La cuestión práctica no es simplemente “¿usa IA la web?”. Hay que identificar qué sistema interviene, qué función cumple, qué tipo de proveedor existe y qué obligaciones le corresponden. El Reglamento (UE) 2024/1689 establece un marco basado en riesgos y comienza a aplicar, con distintas fechas según la obligación, desde 2025 y de forma general desde el 2 de agosto de 2026.
Inventario de IA
La primera medida es mantener un inventario: chatbots, clasificación automática, generación de contenido, sistemas de recomendación, herramientas internas, OCR, análisis de documentos y modelos de propósito general. Sin inventario no hay manera de asignar responsabilidades.
Proveedor frente a usuario
No todas las empresas que utilizan IA son proveedores del sistema. El análisis depende de cómo se desarrolla, comercializa, integra y modifica la tecnología. La documentación contractual con proveedores ayuda a determinar qué información debe conservarse y quién asume cada parte del cumplimiento.
Transparencia y experiencia de usuario
Cuando una interacción con una máquina pueda inducir a error sobre su naturaleza, deben revisarse las obligaciones de transparencia aplicables. El diseño de interfaz importa: informar de la presencia de IA no debe convertirse en un texto escondido en la política de privacidad.
Datos y trazabilidad
El inventario de IA debe conectarse con el de datos. Hay que saber qué información entra al sistema, dónde se procesa, cuánto tiempo se conserva y qué terceros intervienen. El uso de IA no elimina las obligaciones que ya existían sobre protección de datos y seguridad.
Revisión continua
La clasificación y obligaciones pueden cambiar cuando cambia el sistema. Un prototipo interno y una herramienta que toma decisiones sobre personas no deben recibir el mismo tratamiento. El proceso de revisión debe acompañar la evolución del producto.
La mejor preparación para 2026 no consiste en acumular documentos. Consiste en tener un mapa verificable de sistemas de IA, responsables, datos, riesgos y controles que pueda mantenerse cuando el producto cambie.
FMCP / MEDIA
