El Gobierno acaba de poner a disposición de las pymes una colección de guías y listas de comprobación pensadas para facilitar su adaptación al Reglamento Europeo de Inteligencia Artificial (RIA). Se trata del primer marco normativo a nivel comunitario que clasifica los usos de la IA según el riesgo digital que entrañan para la seguridad, la salud o los derechos fundamentales.
En concreto, esta documentación se ha difundido a través de la Secretaría de Estado de Digitalización y de la Agencia Española para la Supervisión de la Inteligencia Artificial (AESIA), y procede del desarrollo del proyecto piloto español del llamado sandbox regulatorio de IA. Esto es, una iniciativa que busca traducir las obligaciones legales en aspectos concretos para los profesionales.
- ¿Qué es el Reglamento Europeo de Inteligencia Artificial y por qué importa a las pymes?
- Guías del Gobierno para el uso de la IA en las empresas
- ¿Cómo evaluar si el uso de la IA puede considerarse “de alto riesgo”?
- Recomendaciones de cumplimiento normativo
¿Qué es el Reglamento Europeo de Inteligencia Artificial y por qué importa a las pymes?
El RIA distingue en su texto entre usos prohibidos de la IA, usos sujetos a obligaciones reforzadas (denominados sistemas “de alto riesgo”, esto es cuando toman decisiones automáticas que pueden afectar de forma importante a las personas, a sus derechos o a su acceso a servicios) y otras aplicaciones con exigencias más ligeras.
El aspecto clave es que, para los sistemas “de alto riesgo”, impone unos requisitos específicos como la gestión de riesgos, la transparencia, la conservación de registros y, en ciertos casos, la realización de una evaluación de conformidad previa. Por otra parte, la normativa define una serie de criterios que ayudan a las empresas a identificar qué sistemas pueden encajar en estas categorías.
La relevancia de este marco normativo está directamente relacionada con la implantación creciente de la IA en el tejido empresarial de nuestro país. No en vano, según la Encuesta sobre el uso de TIC y el comercio electrónico del INE, más del 20% de las sociedades con 10 o más empleados ya utiliza herramientas basadas en IA en 2025.
Si bien el volumen de adopción varía considerablemente según el tamaño de la empresa (con niveles mucho más elevados en las grandes organizaciones frente a las microempresas), esta cifra pone de relieve la necesidad de establecer medidas proporcionadas y adaptadas a cada realidad. En especial, subraya la necesidad de que las pymes comiencen cuanto antes a ordenar y documentar sus sistemas para evitar problemas futuros.
Guías del Gobierno para el uso de la IA en las empresas
Las guías publicadas en la página web de la AESIA son manuales prácticos que abarcan desde la identificación de sistemas de alto riesgo hasta la gestión de incidentes y los requisitos técnicos de transparencia.
Estos documentos se han elaborado a partir del trabajo desarrollado en el mencionado sandbox regulatorio, un entorno controlado en el que pymes, reguladores y otros agentes han probado tecnologías con supervisión y condiciones reales de mercado. El objetivo no es otro que combinar la innovación con la seguridad jurídica y extraer lecciones aplicables al conjunto del tejido productivo.
En este sentido, el punto de partida imprescindible para cualquier negocio consiste en identificar y documentar sus sistemas de IA, de modo que resulte posible evaluar si una herramienta concreta puede encajar en esa categoría de “alto riesgo” y qué obligaciones le resultan aplicables.
Antes de analizar impactos o implantar controles, las pymes necesitan disponer de una visión clara y ordenada de qué soluciones utilizan realmente y cómo operan. En la práctica, este trabajo implica recopilar y estructurar información que a menudo se encuentra dispersa: qué herramientas con componentes de IA se utilizan en el negocio, qué función cumplen, qué datos procesan, cómo se integran con otros sistemas y si intervienen proveedores externos.
En otras palabras, supone describir para cada sistema su finalidad, los tipos de datos tratados, los resultados que genera, las configuraciones activas y quién asume la responsabilidad técnica y operativa. Por otra parte, implica dejar constancia de las interconexiones y de los posibles puntos de riesgo.
Este ejercicio de identificación y documentación no es meramente formal, sino que constituye la base sobre la que se apoyan la evaluación de riesgos, la trazabilidad exigida por el RIA y la capacidad de responder con agilidad ante incidencias o requerimientos de supervisión.
¿Cómo evaluar si el uso de la IA puede considerarse “de alto riesgo”?
La normativa y las guías ofrecen criterios y ejemplos que ayudan a determinar la calificación de una herramienta de IA concreta o del uso que se hace de ella. Por ejemplo, los sistemas que automatizan decisiones sobre empleo, adjudicación de prestaciones, concesión de crédito, evaluación sanitaria o que operan con datos biométricos suelen considerarse de alto riesgo.
Además, la AESIA pone a disposición una guía introductoria y herramientas de autodiagnóstico que permiten cruzar la función del sistema con las listas recogidas en el reglamento para determinar el nivel de exigencia aplicable.
Un caso ilustrativo sería el de un despacho de asesoría que utilice un modelo de IA para puntuar las solicitudes de financiación de sus clientes, un uso que afecta a decisiones económicas de terceros y que, por tanto, podría calificarse como de alto riesgo.
En este supuesto, convendría realizar una evaluación de riesgos detallada, documentar las fuentes de datos utilizadas, fijar unos umbrales que activen la revisión humana del proceso y comprobar las cláusulas contractuales con el proveedor para clarificar responsabilidades en caso de errores.
Por otra parte, la misma firma podría emplear otra herramienta de IA para automatizar la redacción de documentos. En ese caso, si el impacto potencial se considera menor, bastaría con establecer controles de calidad y medidas básicas de trazabilidad.
Recomendaciones de cumplimiento normativo
Como comprobación inicial (que no sustituye a un análisis técnico exhaustivo, pero sí constituye un primer paso relevante), las empresas deberían plantearse las siguientes tareas:
- Realizar un inventario completo de todas las soluciones que incorporan IA, detallando el proveedor, la función que desempeñan y los tipos de datos que procesan.
- Identificar y analizar los posibles impactos del sistema, especialmente cuando puedan afectar a derechos fundamentales, al acceso a servicios esenciales o a decisiones económicas relevantes.
- Elaborar un documento de evaluación de riesgos en el que se valore de forma razonada la probabilidad de fallos o daños y su impacto potencial.
- Mantener un registro actualizado de los tratamientos de datos, indicando las bases legales aplicables y las medidas de protección adoptadas.
- Designar a una persona responsable de la gobernanza de la IA, junto con un procedimiento claro para la gestión de incidencias, errores o reclamaciones.
- Conservar y revisar los contratos con proveedores, prestando especial atención a las cláusulas relativas a responsabilidades, seguridad y continuidad del servicio.
- Definir procedimientos de control y seguimiento que permitan monitorizar el rendimiento del modelo y detectar desviaciones o comportamientos anómalos.
