¿Qué dice el Reglamento europeo de IA si tu empresa consulta sus datos con IA?

¿Qué es el Reglamento de IA?

Es el Reglamento (UE) 2024/1689, una norma europea que se aplica directamente en todos los países de la Unión, también en España, sin necesidad de una ley nacional que lo copie. Entró en vigor en agosto de 2024 y sus obligaciones se aplican por fases. Su texto completo está publicado en el BOE.

La idea de fondo es que, cuanto más puede afectar un uso de la IA a las personas, más obligaciones tiene. Por eso distingue entre prácticas prohibidas, usos de alto riesgo, usos con obligaciones de transparencia y el resto, que es donde cae la mayoría de usos corrientes en una empresa.

¿Qué papel tiene tu empresa?

El Reglamento llama «proveedor» a quien desarrolla un sistema o un modelo de IA y lo pone en el mercado, y «responsable del despliegue» a quien lo utiliza bajo su autoridad en su actividad profesional. Las empresas que ofrecen ChatGPT, Gemini o Claude tienen sus propias obligaciones como proveedores de esos modelos de uso general.

Una empresa que usa la IA para consultar su propia información suele encajar en el segundo papel. Pero el reparto exacto depende de cómo se monte y se use cada instalación, y es una de las primeras cosas que conviene confirmar con quien te asesora.

¿Consultar tus datos es un uso de alto riesgo?

El anexo III del Reglamento enumera los usos de alto riesgo. Entre ellos están, por ejemplo, usar IA para seleccionar personal o filtrar candidaturas, para tomar decisiones sobre ascensos, despidos o el reparto de tareas entre trabajadores, para evaluar la solvencia de particulares o para decidir el acceso a la educación o a ciertos servicios esenciales. Preguntar por ventas, stock, plazos de entrega o vencimientos de contratos no aparece en esa lista.

Lo que cuenta es para qué se usa la respuesta. La misma instalación puede pasar de un uso corriente a uno delicado según lo que se le pregunte y lo que se decida después.

¿Qué conviene revisar aunque no sea alto riesgo?

• Formación: el artículo 4 pide que quienes usan sistemas de IA en la empresa tengan conocimientos suficientes para hacerlo, según su puesto. Explicar al equipo qué hace el sistema, qué no hace y cómo comprobar una respuesta va en esa línea.
• Usos permitidos: dejar por escrito para qué se puede usar la pantalla de preguntas y para qué no, sobre todo si hay datos de empleados.
• Transparencia: si algún día la IA hablara directamente con clientes o con el público, habría que revisar las obligaciones de informar de que se está hablando con una IA.
• Prácticas prohibidas: el artículo 5 prohíbe, entre otras cosas, reconocer emociones de las personas en el trabajo salvo por motivos médicos o de seguridad. No tiene nada que ver con consultar pedidos, pero conviene saber que existe.
• Protección de datos: el Reglamento general de protección de datos (RGPD) se sigue aplicando aparte cuando hay datos personales.

El calendario de algunas obligaciones se ha revisado desde su publicación, así que conviene comprobar las fechas vigentes en el momento de aplicarlas.

¿En qué ayuda la forma de trabajar del sistema?

Hay medidas técnicas que facilitan revisar y documentar el uso de la IA: el sistema lee tus programas con permiso de solo lectura y la vía de consulta no cambia nada en ellos, los permisos los aplica el sistema y no una instrucción a la IA, cada respuesta dice de dónde sale y queda registrado quién preguntó, qué datos se usaron y qué se envió a la IA.

Eso ayuda, pero no equivale a cumplir. El registro permite saber qué pasó; no decide si un uso estaba permitido. Esa valoración depende de tu caso y no la puede hacer por ti ninguna medida técnica.

Preguntas para llevar a quien te asesora

• ¿Qué papel tiene mi empresa en este uso de la IA según el Reglamento?
• ¿Alguna de las preguntas previstas toca decisiones sobre personas, como empleados o clientes particulares?
• ¿Qué formación debería recibir el equipo que va a usarlo?
• ¿Qué conviene dejar escrito sobre los usos permitidos?
• ¿Cómo encaja con lo que ya hacemos por el RGPD?