PIPELINEGuías
¿Cómo funciona el cumplimiento normativo en IA? Explicación sin jerga técnica
Lo que realmente sucede técnicamente cuando el cumplimiento normativo en IA está en funcionamiento — explicado para quien toma decisiones, no para desarrolladores. Incluidos los puntos donde las personas siguen siendo necesarias.
La protección de datos y cumplimiento normativo en IA funciona básicamente así: Llega una consulta, se verifica contra contenidos y reglas almacenadas y se responde directamente o se transfiere a una persona con el contexto completo. El trabajo real no está en la técnica, sino en definir exactamente dónde está ese límite.
01 — Funcionamiento
Cómo funciona técnicamente el cumplimiento normativo en IA
Un inventario documentado, una política de uso practicable y las pruebas que pueden ser solicitadas.
Visto desde fuera ocurre lo siguiente: llega una solicitud — a través de la web, el teléfono, un formulario o un sistema existente. Se registra, se verifica contra las reglas y contenidos almacenados y se responde directamente o se transfiere con contexto completo a una persona. La parte decisiva no es la técnica, sino definir dónde está ese límite.
Las herramientas de IA ya se están usando, generalmente sin reglas. Esto es un riesgo de protección de datos y desde el EU AI Act también un tema de cumplimiento normativo. Exactamente este punto determina cómo se configura el sistema, no una promesa de producto genérica.
02 — Componentes
De qué se compone el sistema
- Inventario: qué herramientas de IA se utilizan realmente en la empresa
- Clasificación según EU AI Act — clase de riesgo y obligaciones derivadas
- Comprobación de la situación de protección de datos por herramienta, incluido encargo de tratamiento
- Directriz de uso aplicable en el día a día en lugar de solo formalmente correcta
- Implementar obligaciones de etiquetado para chatbots y contenidos generados por IA
- Demostración de competencia en IA mediante formación documentada
03 — Proceso
Los pasos en detalle
Hacer inventario
Qué se utiliza, por quién, con qué datos. Normalmente más de lo que la dirección conoce.
Clasificar
Clase de riesgo por aplicación, de ahí las obligaciones concretas.
Escribir normas
Una directriz lo bastante breve como para que se lea.
Implementar y demostrar
Integrar etiquetados, documentar formación, archivar documentación.
04 — Preguntas
Preguntas frecuentes
¿Qué exige concretamente el EU AI Act?
Para la mayoría de las empresas se trata de dos cosas: transparencia y competencia. Transparencia significa que las personas deben reconocer cuándo hablan con un sistema de IA o ven contenidos generados por IA — esto rige desde agosto de 2026. Competencia significa que las personas que utilizan estos sistemas están suficientemente formadas para ello. Ambos aspectos son documentables y cumplibles con un esfuerzo razonable.
¿Podemos introducir datos de clientes en ChatGPT?
En la variante gratuita sin respaldo contractual: no. Con una cuenta empresarial, acuerdo de encargo de tratamiento y exclusión del entrenamiento puede ser lícito — dependiendo de qué datos se trate. Precisamente esta distinción debe estar en la directriz de uso, porque es constantemente relevante en el día a día.
¿Esto aplica también a empresas individuales?
Sí. El AI Act no distingue por tamaño de empresa, sino por propósito de uso y riesgo. Quien tiene un chatbot en el sitio web está afectado — independientemente de si trabajan una o cien personas en la empresa.
¿Basta con un acuerdo verbal en el equipo en lugar de una directriz escrita?
No, en caso de conflicto o inspección solo cuenta lo que está documentado. Una breve directriz escrita protege además a los nuevos empleados que nunca escucharon el acuerdo verbal.
¿Con qué frecuencia debe actualizarse el inventario?
Siempre que se introduzca una nueva herramienta o cambie el propósito de uso de una existente. Una revisión anual como intervalo mínimo tiene sentido, incluso sin motivo concreto.
¿Deben etiquetarse los textos generados por IA?
En contenidos que se publican y han sido generados sintéticamente o modificados sustancialmente, sí. El uso puramente interno — investigación, borradores, resúmenes — por lo general no activa esta obligación.
¿Necesitamos una evaluación de impacto de protección de datos?
No de forma general. Se vuelve necesaria si el tratamiento probablemente supone un alto riesgo para los afectados — por ejemplo, en caso de elaboración extensiva de perfiles. Para un chatbot de preguntas frecuentes en el sitio web normalmente no es necesaria. Lo comprobamos caso por caso y dejamos el resultado por escrito.
05 — Decisión
Cómo seguir adelante
El siguiente paso más económico es una conversación, no un presupuesto. Veinte minutos suelen bastar para aclarar si un proyecto tiene sentido, en qué marco se mueve y si somos los indicados para ello.
Si no es así, lo decimos. Un no honesto cuesta menos que un proyecto que se cancela después de tres meses — para ambas partes.
06 — Continuar
Páginas relacionadas
- Protección de datos y cumplimiento normativo de IA — Visión general
- Protección de datos y cumplimiento de IA — Identificación de IA
- Protección de datos y cumplimiento normativo de IA — Comparación de proveedores
- Protección de datos y cumplimiento normativo de IA — Duración
- Protección de datos y cumplimiento de IA — Errores típicos
- Protección de datos y cumplimiento normativo de IA — Alternativas
- Protección de datos y cumplimiento de IA — Requisitos previos
- Protección de datos y cumplimiento normativo de IA — Lista de verificación
- Consultoría en IA
- Formación en IA
- Chatbot con IA
- Todas las guías
Protección de datos y cumplimiento normativo de IA por región
Siguiente paso
Hablemos brevemente de si esto vale la pena para vosotros.
Una conversación de veinte minutos suele bastar para aclarar si un proyecto tiene sentido. Si no, lo decimos: es más barato para ambas partes que una oferta que nadie necesita.