~/--help · Guías
AI Act: las 5 primeras acciones que debe tomar un director de operaciones en las próximas semanas
Sin consultora de por medio. Una guía concreta de qué hacer, en qué orden y con qué documentación mínima para no llegar tarde al AI Act.
$ por El Comando · redacción automática ·
img://--help AI Act: las 5 primeras acciones que debe tomar un director de operaciones en las próximas semanas
Después de leer esta guía sabrás exactamente qué hacer el lunes por la mañana para no seguir siendo parte del 31,7% de grandes empresas españolas que todavía no ha tomado ninguna medida frente al AI Act. Cinco acciones ordenadas por urgencia, sin presuponer que tienes un equipo legal detrás ni una consultora contratada.
El reglamento ya es vinculante. Los plazos no esperan. Lo que sigue es el mínimo viable para no llegar tarde.
1. Haz el inventario de sistemas de IA que ya usas (antes del viernes)
No puedes clasificar lo que no sabes que tienes. Y en la mayoría de empresas medianas, la IA ya está en producción sin que el COO lo sepa formalmente: herramientas de RRHH con scoring de candidatos, chatbots de atención al cliente, sistemas de forecasting, Copilot en Microsoft 365, filtros de correo con aprendizaje automático.
Cómo hacerlo sin un inventario previo:
- Envía un formulario interno (puede ser un Excel compartido) a los responsables de cada área: IT, RRHH, Ventas, Finanzas, Atención al cliente. Pregunta una sola cosa: ¿qué herramientas de software toman decisiones o generaciones automáticas sin intervención humana directa?
- Cruza las respuestas con el catálogo de licencias de software activas. Lo que no aparezca en ninguno de los dos sitios es riesgo oculto.
- Para cada herramienta identificada, anota: nombre del proveedor, qué datos procesa, qué decisión o output produce y quién es el responsable interno.
El resultado no tiene que ser perfecto. Tiene que existir.
2. Clasifica cada sistema por nivel de riesgo
El AI Act no trata igual un chatbot de FAQ que un sistema que filtra currículums o que evalúa el riesgo crediticio. Necesitas saber en qué categoría cae cada herramienta de tu inventario porque de eso depende todo lo demás.
El reglamento distingue cuatro niveles: riesgo inaceptable (prohibido), riesgo alto, riesgo limitado y riesgo mínimo. Para la mayoría de empresas no tecnológicas, la pregunta relevante es si algún sistema cae en la categoría de riesgo alto.
Señales de que un sistema puede ser de riesgo alto:
- Toma o apoya decisiones sobre personas: contratación, evaluación de rendimiento, concesión de crédito, acceso a servicios públicos.
- Opera en infraestructuras críticas.
- Se usa en educación o formación profesional.
- Interviene en procesos de aplicación de la ley o administración de justicia.
Para cada sistema de tu inventario que tenga alguna de esas características, consulta la guía de obligaciones para sistemas de riesgo alto antes de avanzar. Las exigencias son distintas y más pesadas.
Para los sistemas que generan contenido (texto, imágenes, audio), revisa también qué dice el artículo 50 sobre etiquetado y transparencia: hay obligaciones de identificación que ya son exigibles.
3. Designa un responsable interno (no tiene que ser un abogado)
El AI Act no exige un “AI Officer” con título oficial, pero sí requiere que haya alguien que pueda responder ante una auditoría sobre el cumplimiento de la empresa. Sin un nombre y unos apellidos asignados, ninguna de las acciones siguientes tendrá propietario y morirán en un cajón.
Cómo hacer esta designación sin drama:
- Elige a alguien que ya conozca tanto el negocio como la operativa de IT. No tiene que ser el director jurídico: puede ser el responsable de IT, el COO adjunto o un perfil de operaciones con acceso a los contratos de software.
- Asígnale formalmente (correo o acta de reunión) la responsabilidad de coordinar el cumplimiento del AI Act: mantener el inventario actualizado, revisar contratos con proveedores y documentar decisiones.
- Dale tiempo real en su agenda. No puede ser una tarea paralela invisible.
Este paso cuesta cero euros y elimina el riesgo de que nadie se mueva porque “le corresponde a otro departamento”.
4. Revisa los contratos con tus proveedores de IA
Este es el paso que más se pospone y el que más consecuencias tiene. Si usas un sistema de IA de terceros para algo que el reglamento considera de riesgo alto, eres corresponsable del cumplimiento junto al proveedor. Y muchos contratos firmados antes de 2024 no contemplan nada de esto.
Qué buscar en cada contrato:
- ¿El proveedor se declara “proveedor” según el AI Act o solo “desplegador”? La diferencia determina quién asume qué obligaciones.
- ¿Existe documentación técnica del sistema que puedas solicitar? El reglamento exige que los proveedores la pongan a disposición de los desplegadores.
- ¿Hay cláusulas de notificación ante cambios sustanciales en el modelo o en los datos de entrenamiento?
- ¿El contrato menciona el AI Act o el RGPD de forma explícita?
Identifica los contratos que necesitan addenda y prioriza los que afecten a sistemas de riesgo alto. No hace falta renegociar todo a la vez: empieza por los renovables en los próximos seis meses.
5. Genera la documentación mínima exigible
El AI Act no pide un sistema de gestión certificado desde el primer día, pero sí espera que puedas demostrar que has hecho algo. En caso de inspección o incidente, la diferencia entre “no hemos hecho nada” y “aquí está nuestro inventario, nuestra clasificación de riesgo y las acciones tomadas” es significativa.
Documentos que deberías poder mostrar:
- Inventario de sistemas de IA con fecha, propietario interno y clasificación de riesgo preliminar.
- Registro de decisiones: qué sistemas se han clasificado como riesgo alto y por qué; qué sistemas se han descartado de esa categoría y con qué criterio.
- Acta o correo de designación del responsable interno de cumplimiento AI Act.
- Checklist de contratos revisados: qué proveedores tienen cláusulas adecuadas y cuáles están pendientes de revisión.
- Para sistemas que generan contenido visible al público: evidencia de que se aplican las obligaciones de transparencia del artículo 50 (etiquetado, avisos de interacción con IA).
Guarda todo en un único lugar accesible para el responsable designado. No tiene que ser una plataforma de GRC: una carpeta compartida con control de versiones ya es suficiente para empezar.
Errores más comunes que evitar
- Esperar a tener un equipo legal propio. Las obligaciones ya existen. Puedes empezar con recursos internos.
- Confundir RGPD con AI Act. Son complementarios, no equivalentes. Cumplir uno no implica cumplir el otro. Para saber exactamente qué obligaciones son exigibles hoy en España y qué puede costar no cumplirlas, consulta el desglose por plazos.
- Delegar el inventario solo en IT. Los sistemas de IA más críticos desde el punto de vista regulatorio suelen estar en RRHH, Finanzas o Atención al cliente, no en infraestructura técnica.
- Asumir que el proveedor lo cubre todo. No lo cubre. Tú eres el desplegador y la responsabilidad es tuya.
- Clasificar todo como “riesgo mínimo” por defecto. Es la decisión más cómoda y la más arriesgada si un auditor o un incidente lo contradice.
Acción mínima viable · Inventario + clasificación + responsable designado + revisión de contratos + documentación básica
Plazo · El reglamento ya es vinculante; algunos artículos aplican desde agosto de 2024
Sin consultora · Estos cinco pasos se pueden ejecutar con recursos internos en 2-3 semanas
Estado · Guía de actuación basada en el texto del AI Act (Reglamento UE 2024/1689)