Durante meses, los expertos en cumplimiento normativo repitieron que el reglamento de inteligencia artificial europeo era una amenaza teórica. Que las sanciones tardarían en llegar. Que habría periodo de gracia. Que Bruselas iría despacio. Esa narrativa acaba de recibir un golpe definitivo: la Agencia Española de Supervisión de la Inteligencia Artificial —AESIA— ha cursado sus primeras resoluciones sancionadoras, y los importes están muy por encima de lo que la mayoría de pymes españolas tenía calculado en sus análisis de riesgo.
Qué dice el reglamento de inteligencia artificial y qué está exigiendo ahora
El Reglamento Europeo de Inteligencia Artificial —también conocido como AI Act— clasifica los sistemas de IA en cuatro categorías de riesgo: inaceptable, alto, limitado y mínimo. Para los sistemas de alto riesgo —que incluyen IA usada en selección de personal, evaluación crediticia, decisiones médicas, seguridad crítica de infraestructuras y sistemas que interactúan con ciudadanos en servicios públicos— el reglamento exige desde agosto de 2026 el cumplimiento completo de sus requisitos técnicos y organizativos.
- Evaluación de conformidad documentada antes de poner en producción cualquier sistema de IA de alto riesgo.
- Registro en la base de datos de la UE de todos los sistemas de alto riesgo desplegados.
- Supervisión humana activa en las decisiones generadas por IA de alto riesgo, con trazabilidad documentada.
- Transparencia obligatoria hacia los usuarios afectados por decisiones automatizadas.
- Gestión de datos robótica: verificación de que los datos de entrenamiento no contienen sesgos prohibidos.
- Planes de gestión de riesgos actualizados y auditables en cualquier momento por las autoridades.
Las primeras sanciones: qué empresas y qué importe
La AESIA ha expedido en las últimas semanas sus primeras resoluciones sancionadoras bajo el marco del reglamento de inteligencia artificial. Los casos conocidos incluyen a tres empresas del sector financiero y dos del sector de recursos humanos que usaban sistemas de evaluación automatizada de candidatos sin las garantías de supervisión humana exigidas y sin haber completado su registro en el sistema europeo.
Los importes de las sanciones oscilan entre 1,2 millones y 8,5 millones de euros, aplicando el criterio de proporcionalidad respecto a la facturación de cada empresa. En todos los casos, las empresas afirmaban conocer el reglamento pero consideraban que sus sistemas no encajaban en la categoría de «alto riesgo». La interpretación de la AESIA fue diferente en todos los casos.
El error más común que estamos viendo es que las empresas asumen que si su uso de IA es interno o no afecta directamente al producto final, no les aplica el reglamento. Esa interpretación es incorrecta en la mayoría de casos que estamos investigando.
Portavoz de la AESIA
El calendario que muchas empresas desconocen
La confusión sobre el reglamento de inteligencia artificial es parcialmente comprensible: su aplicación es progresiva y tiene fechas distintas según la categoría de riesgo y el tipo de organización. Pero el error más costoso que puede cometer una empresa española hoy es asumir que todavía tiene tiempo:
- Agosto 2026 (ya activo): prohibición de sistemas de IA de riesgo inaceptable y obligaciones completas para sistemas de alto riesgo en sectores críticos.
- Agosto 2026 (ya activo): obligaciones de transparencia para sistemas de IA de uso general, incluyendo los grandes modelos de lenguaje como GPT o Claude cuando se usan en servicios al público.
- Febrero 2027: cumplimiento obligatorio extendido a todos los sistemas de IA de alto riesgo no incluidos en los ámbitos previos.
- Agosto 2027: entrada en vigor completa para todos los sistemas de IA, incluyendo los de riesgo bajo y mínimo con obligaciones de transparencia básicas.
Qué hacer si tu empresa no está en cumplimiento
El primer paso —y el más urgente— es determinar con precisión qué sistemas de IA usa tu empresa, en qué procesos y a qué categoría de riesgo pertenecen. Muchas organizaciones descubren en ese análisis que están usando sistemas de IA que califican como de alto riesgo sin saberlo: plataformas de selección de personal con filtros automáticos, sistemas de evaluación de crédito, herramientas de análisis de comportamiento de empleados o clientes.
El segundo paso es entender qué exige el reglamento en cada caso y diseñar los procesos de supervisión, documentación y registro que correspondan. Ese trabajo requiere formación específica de los equipos directivos, no solo de los departamentos técnicos o legales. El reglamento de inteligencia artificial es, en esencia, una responsabilidad del consejo de dirección, y las sanciones van dirigidas a la empresa como entidad, no a sus proveedores tecnológicos. La responsabilidad es de quien despliega, no de quien construye.
Garantiza el cumplimiento del AI Act en tu empresa antes de que llegue la inspección
En ENARTI ayudamos a los equipos directivos a entender qué exige el reglamento de inteligencia artificial, cómo aplica a su organización específica y qué pasos concretos hay que dar para estar en cumplimiento. El proceso es más ágil de lo que parece cuando se tiene el conocimiento correcto.