EU AI Act (Reglamento (UE) 2024/1689): qué cambia y cómo afecta a empresas con operaciones España–UE–EE. UU.
La Unión Europea ya tiene un marco jurídico específico para sistemas de IA. Si tu empresa desarrolla, integra o comercializa soluciones con IA (o las usa en procesos sensibles), este Reglamento puede impactar en producto, compliance, contratación y tiempos de despliegue.
¿Qué es el EU AI Act y por qué importa?
El Reglamento (UE) 2024/1689 (conocido como Artificial Intelligence Act o “EU AI Act”) establece normas armonizadas sobre sistemas de inteligencia artificial en la UE. En la práctica, introduce obligaciones por nivel de riesgo, exigencias de documentación y control, y un marco de supervisión.
Para un grupo con operaciones transfronterizas, el punto crítico no es “tener IA”, sino cómo se usa: selección de personal, scoring, verificación de identidad, sistemas que afectan derechos, seguridad, salud, acceso a servicios, y determinados usos en producto/servicio.
¿A quién aplica - aunque tu empresa sea “no tech” ?
Este marco no se limita a compañías “de software”. En escenarios reales, impacta en empresas que:
- Integran IA en procesos internos (RR. HH., compliance, atención al cliente, antifraude, scoring, etc.).
- Distribuyen o comercializan soluciones con IA en la UE, aunque el desarrollo sea externo.
- Usan proveedores (SaaS) con componentes de IA y deben exigir evidencias y responsabilidades.
Riesgos típicos en operaciones internacionales.
Riesgo regulatorio y reputacional
Falta de inventario de usos de IA, ausencia de controles, o despliegue sin evidencias. El riesgo no es solo sanción: es bloqueo comercial (cliente corporativo), incidentes y pérdida de confianza.
Riesgo contractual
Contratos SaaS/outsourcing sin anexos de cumplimiento, sin obligaciones de documentación, auditoría, “incident handling” o compromisos de actualización.
Riesgo de datos
Si el sistema usa datos personales o toma decisiones que afectan a personas, habrá fricción con compliance de datos y con exigencias de transparencia/supervisión.
Riesgo de gobernanza
No asignar “owner” interno, no definir responsables, no tener evidencias mínimas, o depender de conocimiento informal. En un grupo, esto genera incoherencia entre filiales.
Cláusulas y evidencias que conviene “blindar”.
Si tu empresa compra o integra IA (o si la comercializa), el paquete contractual mínimo recomendable suele incluir:
5) Plan de acción (30–60 días) para reducir riesgo sin frenar negocio
Para empresas con operaciones internacionales, un plan pragmático suele seguir este orden:
Mapa de usos y roles
Inventario de sistemas/funciones, proveedor, datos, finalidad, país, y responsable interno.
Gap analysis y evidencias
Qué falta: documentación, controles, logs, políticas internas, formación, procedimientos.
Contratos y governance
Anexos contractuales, auditoría, incidentes, “owner” interno y reglas mínimas por filial.
Implementación controlada
Despliegue por fases con verificación, reportes ejecutivos y trazabilidad defendible.
Fuentes oficiales.
Recomendación: guárdalas como anexo interno del proyecto y enlázalas en due diligence/compliance.
