Una parte lo es y ya resulta exigible. La formación del personal en materia de IA lo es desde febrero de 2025, conforme al artículo 4 del Reglamento de IA. Las obligaciones de transparencia sobre contenido generado con IA lo son desde agosto de 2026, conforme al artículo 50. Las obligaciones aplicables a sistemas de alto riesgo se incorporan en 2027 y 2028. El resto del trabajo no responde a una obligación directa, sino a la conveniencia de evitar costes que ya se están produciendo.
Las consultas más habituales
Sí. Las obligaciones se determinan por la finalidad del uso, no por el tamaño de la organización. Una empresa de ocho personas que utiliza IA para cribar candidaturas está más expuesta que una de doscientas que solo la emplea para redactar correspondencia interna.
El Reglamento lo determina por el uso concreto y no por la tecnología empleada. El Anexo III relaciona los ámbitos afectados, entre ellos el empleo y la gestión de trabajadores —contratación, selección, promoción, extinción, asignación de tareas y evaluación del desempeño—, la educación, el acceso a servicios esenciales y la evaluación crediticia. Si la herramienta interviene en alguno de esos ámbitos, procede analizar el caso concreto.
Depende de la posición que ocupe la organización. Si desarrolla sistemas de alto riesgo o los comercializa bajo su marca, actúa como proveedor y el Reglamento exige un sistema de gestión de la calidad documentado. Si utiliza sistemas de terceros, actúa como responsable del despliegue y sus obligaciones son otras: uso conforme a las instrucciones, supervisión humana, vigilancia del funcionamiento, conservación de registros e información a las personas afectadas. En ambos supuestos se requiere una estructura que sostenga el cumplimiento en el tiempo. ISO/IEC 42001 sí es un sistema de gestión de IA propiamente dicho, pero es una norma voluntaria y certificable, no una exigencia del Reglamento.
Trabajamos con ella y no la sustituimos. La especialización que aportamos combina propiedad intelectual, protección de datos, normativa de IA y trazabilidad técnica de contenidos. Un despacho generalista no tiene por qué cubrir esos cuatro ámbitos de forma simultánea.
En la mayoría de los casos es necesario mantenerlo. Un delegado de protección de datos responde del tratamiento de datos personales, y una parte relevante del riesgo asociado a la IA se sitúa fuera de ese ámbito: derechos de autor, decisiones automatizadas, condiciones contractuales de proveedores y acreditación del origen de los contenidos publicados. Trabajamos con el DPD, no en su lugar.
No, y conviene desconfiar de quien lo afirme. El gobierno de una organización no es delegable. Prestamos el servicio, preparamos las decisiones y documentamos su fundamento, pero la decisión y la responsabilidad corresponden al órgano de administración. Es el mismo esquema que rige para el delegado de protección de datos externo.
En la fase inicial, algunas reuniones y acceso a las personas que conocen qué herramientas se utilizan en cada área. A partir de ahí, la dedicación requerida es reducida. Si el gobierno de la IA absorbe tiempo significativo del equipo interno, el servicio no está bien planteado.
La experiencia indica lo contrario. La mayoría de las paralizaciones se producen por incertidumbre, no por prohibición normativa. Cuando existen criterios definidos y un plazo de respuesta conocido, los equipos consultan y avanzan.
En la mayoría de los casos no. Lo habitual es ajustar la configuración, modificar el plan contratado o delimitar el uso. La sustitución de una herramienta es la última alternativa, no la primera.
Depende del mercado en el que se opere. Si los clientes o los pliegos a los que se concurre ya lo requieren, sí. En caso contrario, es preferible ordenar primero el gobierno y decidir la certificación después. No es necesario certificar para cumplir.
No, y es una decisión deliberada. Somos auditores certificados en ISO/IEC 42001 y precisamente por ello mantenemos separadas la función de implantación y la de certificación. Cuando acompañamos una implantación, la certificación la emite una entidad independiente.
Se rige por un contrato de encargo de tratamiento, con las medidas aplicables y la ubicación de los datos establecidas por escrito. No entrenamos modelos con información de clientes.
La Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) es la autoridad nacional en la materia. En protección de datos, la Agencia Española de Protección de Datos (AEPD). En el ámbito europeo, la Oficina Europea de IA y, en materia de datos, el Comité Europeo de Protección de Datos.