El EU AI Act es la regulación de IA más completa del mundo. También tiene 458 páginas, está escrito en lenguaje jurídico y fue diseñado principalmente pensando en grandes empresas tecnológicas. Si eres una pequeña o mediana empresa intentando descifrar qué significa para ti, la relación señal/ruido es brutal.
Aquí está la versión práctica: lo que realmente necesitas hacer, lo que puedes deprioritizar con seguridad, y cómo evitar gastar dinero en problemas que no tienes.
Primero: entender los niveles de riesgo
El EU AI Act categoriza los sistemas de IA en cuatro niveles de riesgo:
Riesgo inaceptable — Prohibido completamente. Puntuación social, vigilancia biométrica en tiempo real, IA manipuladora. A menos que estés construyendo algo distópico, esto no te aplica.
Riesgo alto — Regulación estricta. IA usada en decisiones de contratación, puntuación crediticia, aplicación de la ley, infraestructura crítica, evaluación educativa. Aquí es donde están la mayoría de los requisitos de la ley.
Riesgo limitado — Obligaciones de transparencia. Chatbots, generadores de deepfake, reconocimiento de emociones. Necesitas informar a las personas que están interactuando con IA.
Riesgo mínimo — Prácticamente sin regular. Filtros de spam, escritura asistida por IA, automatización de flujos de trabajo, análisis de datos. La mayoría de la IA empresarial cae aquí.
La buena noticia para las pymes
Esto es lo que la mayoría de los artículos sobre el EU AI Act no te dicen: la gran mayoría de los casos de uso de IA de las pymes caen en las categorías de riesgo mínimo o limitado.
Si estás usando IA para redactar correos, resumir documentos, automatizar respuestas de soporte al cliente, generar informes o gestionar flujos de trabajo internos, casi con certeza estás en la categoría de riesgo mínimo. La ley casi no tiene nada que decir sobre estos casos de uso.
Incluso si parte de tu IA toca territorio de riesgo limitado — como un chatbot orientado al cliente — los requisitos son sencillos: dile a los usuarios que están hablando con IA. Eso es todo.
Lo que SÍ necesitas hacer
Independientemente de la categoría de riesgo, hay tres cosas que toda empresa que use IA debería tener implementadas:
1. Documentar tus sistemas de IA
Mantén un inventario simple de qué sistemas de IA usas, qué hacen y qué datos procesan. No necesita ser un informe de 200 páginas. Una hoja de cálculo funciona. Para cada sistema, anota:
- Qué hace
- A qué datos accede
- Quién lo usa
- Qué proveedor lo alimenta
El panel de JieGou proporciona esto automáticamente. Cada receta, flujo de trabajo e integración se registra con su configuración, servicios conectados e historial de uso.
2. Mantener la capacidad de supervisión humana
La ley enfatiza que los humanos deben poder entender, monitorizar y anular las decisiones de IA. En la práctica, esto significa:
- Alguien puede revisar lo que la IA está haciendo
- Alguien puede detenerla si es necesario
- Las decisiones importantes no están completamente automatizadas sin ninguna intervención humana
Las puertas de aprobación de JieGou manejan esto de forma nativa. Añade un punto de control humano antes de cualquier acción que consideres de alto riesgo. El registro de auditoría proporciona visibilidad completa de lo que hace cada flujo de trabajo.
3. Ser transparente
Si los clientes o empleados interactúan con IA, deberían saberlo. Etiqueta el contenido generado por IA. Divulga cuando un chatbot está alimentado por IA. No intentes hacer pasar las salidas de IA como trabajo creado por humanos.
Esta es una buena práctica independientemente de la regulación — y es una simple decisión de política, no una implementación técnica.
Lo que probablemente puedes ignorar
A menos que tu caso de uso específico caiga en la categoría de alto riesgo, puedes deprioritizar:
Evaluaciones de conformidad. Requeridas para sistemas de IA de alto riesgo, involucran auditorías de terceros, documentación técnica y certificación formal. Si usas IA para automatización de flujos de trabajo internos, esto no aplica.
Sistemas de gestión de riesgos. La ley requiere que los sistemas de alto riesgo tengan gestión de riesgos integral — monitorización continua, pruebas y planes formales de mitigación. Para casos de uso de riesgo mínimo, tus prácticas estándar de riesgo empresarial son suficientes.
Requisitos de gobernanza de datos. Los sistemas de IA de alto riesgo tienen requisitos específicos sobre calidad de datos de entrenamiento, pruebas de sesgo y representatividad de datos. Si usas modelos de terceros (como Claude, GPT o Gemini) en lugar de entrenar los propios, los proveedores de modelos cargan con la mayor parte de esta responsabilidad.
Registro en la base de datos de la UE. Los sistemas de IA de alto riesgo deben registrarse en una base de datos pública de la UE antes del despliegue. Los sistemas de riesgo mínimo y limitado no necesitan esto.
Cuándo prestar atención
Deberías escalar tus esfuerzos de cumplimiento si tu IA se usa para:
- Decisiones de contratación o RRHH — filtrado de currículums, evaluación de candidatos, recomendaciones de promoción
- Evaluaciones crediticias o financieras — aprobaciones de préstamos, fijación de precios de seguros, detección de fraude que afecta a individuos
- Análisis legal — predicción de resultados de casos, investigación legal que influye directamente en decisiones que afectan los derechos de las personas
- Educación — calificación, evaluación de estudiantes, decisiones de admisión
Si alguno de estos aplica, consulta con un profesional legal especializado en regulación de IA de la UE. Los requisitos de alto riesgo son reales y específicos.
Cómo ayuda JieGou
La pila de gobernanza de JieGou no fue construida específicamente para el EU AI Act, pero se alinea notablemente bien con los principios fundamentales de la ley:
- Transparencia: Registro de auditoría completo de cada acción, entrada y salida de IA
- Supervisión humana: Puertas de aprobación con autorización basada en roles
- Documentación: Inventario automático de todos los flujos de trabajo, integraciones y configuraciones de IA
- Control de acceso: RBAC de 5 roles asegurando permisos apropiados
- Responsabilidad: GovernanceScore midiendo tu madurez de gobernanza en 8 factores
La mayoría de las pymes que usan JieGou descubrirán que sus requisitos de cumplimiento del EU AI Act ya están satisfechos por las funciones de gobernanza integradas en la plataforma — sin configuración adicional necesaria.
En resumen
El EU AI Act es legislación importante, pero no es la crisis de cumplimiento existencial que algunos proveedores quieren hacerte creer. Para la mayoría de las pymes:
- Tus casos de uso de IA probablemente son de riesgo mínimo o limitado
- Documentación, supervisión humana y transparencia cubren el 90 % de tus obligaciones
- Los requisitos de alto riesgo solo aplican a casos de uso específicos y de alto impacto
- Una plataforma con gobernanza integrada maneja la implementación técnica
No entres en pánico. No contrates un consultor de 200.000 dólares para un problema que quizás no tienes. Empieza con lo básico y escala si tus casos de uso específicos lo requieren.