Cómo cumplir la Ley de IA en la dirección de la empresa

La Ley de IA en la dirección de la empresa alcanza dos cosas distintas: los sistemas que el comité aprueba para toda la organización y el asistente que cada directivo abre por su cuenta, donde a veces acaba pegado el plan estratégico. Lo que marca el nivel de exigencia es para qué se usa cada sistema, no qué herramienta sea, como recuerda la guía oficial de la Comisión Europea: pedirle a un asistente que prepare una presentación es riesgo mínimo; pedirle que prepare un despido, no. Aquí tienes diez pasos para cumplirla, de la política de uso al protocolo de incidentes, con las prácticas que prohíbe la ley europea de inteligencia artificial como filtro previo a cualquier clasificación.

Plan de acción para adaptar la dirección de la empresa a la Ley de IA

Los diez pasos recorren el gobierno de la IA de punta a punta, con una particularidad de esta área: arrancan aprobando la política de uso, porque sin ella el inventario nace incompleto. Después toca descartar lo prohibido, separar la IA que solo apoya la decisión de la que decide sobre personas, y dejar cada obligación con su responsable, su prueba y su protocolo de incidentes. El método general está en la guía sobre cómo cumplir el Reglamento de Inteligencia Artificial.

Paso 1. Aprueba la política de uso y localiza la IA en cuatro capas

Empieza por aprobar una política de uso de IA con un canal para declarar herramientas sin sanción: sin amnistía no hay inventario. Después busca en cuatro capas: la IA contratada por la empresa, la embebida en la suite ofimática, el CRM y las herramientas de inteligencia de negocio (BI, los cuadros de mando que agregan datos de la empresa), la que usan en tu nombre asesores, auditores y despachos externos, y la que cada directivo emplea por su cuenta desde cuentas personales. Y lo que siempre se escapa: si la función de IA llegó en una actualización del proveedor, también cuenta como sistema en uso.

Paso 2. Abre una ficha por cada sistema

Cada sistema localizado entra en una ficha de ocho campos; los tres últimos se completan en los pasos siguientes:

• Herramienta, proveedor, modelo y versión.
• Finalidad y descripción del caso de uso.
• Departamento, propietario y responsable de aprobación.
• Datos recibidos, consultados o generados.
• Usuarios y personas afectadas, y si influye en una decisión sobre alguna de ellas.
• Contratos, integraciones y accesos autorizados (se completa en el paso 6).
• Papel de la empresa, riesgo y obligaciones aplicables (se completa en los pasos 5 y 6).
• Controles, evidencias y fecha de revisión (se completa en los pasos 7 y 9).

Las dos casillas que deciden todo lo demás son a quién afecta el sistema y si su resultado influye en una decisión sobre esa persona.

Antes de bajar al detalle de cada área, comprueba en este vídeo cómo se rellenan esos ocho campos en un registro de sistemas de IA: cuanto más completa esté la ficha, menos casillas quedarán abiertas al clasificar en el paso 5.

Paso 3. Recorre las cinco áreas de la dirección

Con la ficha delante, baja al detalle área por área. Cada instrucción indica dónde mirar y qué anotar.

Análisis estratégico y toma de decisiones

• Pregunta uno a uno a los miembros del comité qué asistente usan y desde qué cuenta. Anota: herramienta, si la cuenta es corporativa o personal y para qué la usan (escenarios, contraste de hipótesis, borradores).
• Revisa qué se ha pegado en esos asistentes en el último trimestre. Anota: si ha entrado el plan estratégico, cifras sin publicar, datos de clientes o documentación de una operación.
• Comprueba el plan contratado de cada herramienta. Anota: si el proveedor usa las conversaciones para entrenar modelos, dónde se procesan y cuánto tiempo se conservan.

Reuniones, agenda y órganos de gobierno

• Lista los asistentes de reunión activos (transcriptores y copilots de la suite ofimática). Anota: en qué comités entran, quién los invitó y desde cuándo.
• Comprueba dónde acaban las transcripciones y los resúmenes. Anota: proveedor, ubicación del almacenamiento y quién puede consultarlos después.
• Revisa si el consejo de administración se graba o transcribe con IA. Si no hay consejo formal, el equivalente es la reunión de socios o el comité que aprueba inversiones. Anota: qué sesiones, con qué contrato de confidencialidad y si consta en acta.

Datos, informes y presentaciones

• Abre los cuadros de mando con funciones de IA. Si no tienes plataforma de BI, el equivalente son los informes automáticos de la hoja de cálculo y del CRM. Anota: qué detecta o predice cada uno (anomalías financieras, patrones de rendimiento) y con qué datos.
• Comprueba si algún panel baja al empleado individual. Anota: qué métrica muestra, quién puede verla y si alimenta alguna decisión.
• Revisa los generadores de presentaciones. Anota: qué información se carga para producir el material del comité o del consejo.

Decisiones sobre personas

• Pide a recursos humanos y a finanzas el listado de sistemas que puntúan a personas: cribado de candidatos, evaluación del desempeño, predicción de rotación y scoring de solvencia de clientes. Anota: qué decisión prepara cada uno.
• Comprueba quién firma la decisión final en cada uno. Anota: nombre, designación por escrito y si esa persona puede apartarse de la propuesta.
• Revisa las últimas decisiones tomadas con su apoyo. Anota: en cuántas se siguió la propuesta del sistema tal cual.

Comunicación corporativa

• Reúne las piezas con voz o imagen sintética de directivos publicadas hasta hoy. Anota: cuáles llevan aviso de contenido generado y quién aprobó su difusión.
• Comprueba qué material público hay de la voz y la cara de tu equipo directivo. Anota: vídeos, entrevistas y audios accesibles que servirían para clonarlos.
• Revisa el protocolo de órdenes urgentes. Anota: si existe un segundo canal para confirmar pagos o instrucciones recibidas por vídeo o audio.

La adopción crece con la altura del cargo: la Encuesta Global de McKinsey sitúa los mayores saltos de uso de asistentes en los niveles jerárquicos más altos, de modo que el comité suele ser el primer usuario y el último en inventariarse.

Paso 4. Descarta los usos prohibidos de IA en la gestión empresarial

Antes de clasificar nada, pasa cada ficha por el veto: las prohibiciones del artículo 5 se aplican desde el 2 de febrero de 2025 y llevan las multas más altas del Reglamento, hasta 35 millones de euros o el 7% de la facturación global, según el artículo 99. La Comisión publicó directrices sobre las prácticas prohibidas y la AESIA mantiene un resumen en español. Cuatro llegan a la mesa del comité:

• Inferir emociones en el trabajo. Deducir emociones o intenciones de un empleado a partir de datos biométricos, salvo por motivos médicos o de seguridad. Ejemplo: un panel que mide el “compromiso” del equipo analizando el vídeo de las reuniones. No es una encuesta de clima voluntaria y declarada. Control interno: si un proveedor ofrece análisis del estado emocional del equipo o detección de compromiso por vídeo, no es una funcionalidad avanzada, y compras debe rechazarla sin más trámite.
• Puntuar socialmente a personas y socios. Derivar un trato perjudicial de comportamientos evaluados fuera de su contexto original. Ejemplo: vetar a un socio o degradar a un cliente por lo que publica en sus redes personales. No es la due diligence sobre información financiera y mercantil. Control interno: legal aprueba las fuentes de datos de cualquier scoring.
• Manipular con técnicas subliminales. Alterar sustancialmente el comportamiento reduciendo la capacidad de decidir y causando un perjuicio. Ejemplo: aprobar un sistema de conversión que explota el cansancio del usuario para impedirle comparar. No es la personalización comercial transparente. Control interno: revisión legal previa de los sistemas que influyen en decisiones de compra.
• Categorizar por datos biométricos sensibles. Deducir origen, ideología, afiliación sindical u orientación a partir de datos biométricos. Ejemplo: analizar videollamadas de candidatos o socios para inferir esas categorías. No es la verificación puntual de identidad con base legal. Control interno: prohibición expresa en la política de uso de IA.

Si un sistema encaja en alguna de estas prácticas, no se clasifica: se desactiva y se documenta la retirada con fecha y responsable.

Paso 5. Clasifica el riesgo de cada sistema

Superado el veto, reparte las fichas en tres montones aplicando el artículo 6 del Reglamento, con tres preguntas:

• ¿Para qué está previsto el sistema? El mismo asistente que prepara un informe de mercado es riesgo mínimo y, si criba currículums, entra en el Anexo III, la lista de usos de alto riesgo del Reglamento.
• ¿Qué papel tiene en la decisión? Analizar, resumir o presentar datos de negocio no entra por sí solo. Preparar o apoyar una decisión sobre una persona, sí.
• ¿A quién afecta el resultado? A la empresa y a su información, o a un candidato, un trabajador o un cliente concreto. Solo el segundo caso sube el nivel.

Alto riesgo: la IA que decide sobre personas

El Anexo III cubre en su punto 4 el ciclo del empleo y en el punto 5 la evaluación de solvencia de personas físicas:

• Qué entra: contratación y selección, decisiones sobre promoción, extinción, asignación de tareas o evaluación del rendimiento, y el scoring de solvencia de clientes particulares. Se suma el cuadro de mando el día que baja al empleado individual y su indicador alimenta una decisión. Que el módulo de cribado venga incluido en el software de selección o el scoring en el CRM no cambia su clasificación.
• Dónde está el riesgo: estos sistemas preparan decisiones que cambian la vida laboral o financiera de alguien, y el comité responde de ellas aunque la herramienta sea de un tercero. No depende del tamaño de la empresa, sino de si existe la función: en una compañía de doce personas sin software de selección puede no haber nada que clasificar, y en cuanto el CRM puntúa la solvencia de un cliente aparece el mismo riesgo que en una gran corporación. Además, la misma plataforma tiene dos usos muy distintos: el panel de inteligencia de negocio es analítica mientras agrega ventas y costes, y pasa a evaluar trabajadores el día que muestra un indicador de rendimiento por persona.
• Qué verificar antes de confirmar: el proveedor puede alegar que su sistema no plantea un riesgo importante, pero esa excepción del artículo 6.3 nunca opera sobre sistemas que elaboran perfiles de personas, y puntuar candidatos, empleados o solicitantes de crédito lo hace. Exige por escrito su evaluación documentada antes de contratar.
• Cuándo es exigible: el 2 de diciembre de 2027, según el calendario publicado por la Comisión tras el Ómnibus de IA. El RGPD y la normativa laboral se aplican desde ya, así que la supervisión de esas decisiones no espera a esa fecha.

Riesgo limitado: contenido generado y voz sintética

Es el nivel del contenido que la empresa publica y que puede parecer real:

• Qué entra: los vídeos y audios con la imagen o la voz de un directivo, y el texto generado que se publica para informar sobre asuntos de interés público.
• Dónde está el riesgo: la misma tecnología que clona la voz del consejero delegado para un vídeo institucional se usa contra la empresa. El fraude del CEO documentado por INCIBE ya incorpora estas falsificaciones de audio y vídeo, y le ocurrió al mayor grupo publicitario del mundo: los estafadores clonaron la voz del CEO de WPP y usaron sus imágenes públicas para convocar a sus directivos a una reunión, y solo la vigilancia del propio equipo frustró el fraude. De ahí el doble deber: declarar el contenido sintético propio y proteger la voz y la imagen de los directivos como vector de ataque.
• Qué verificar antes de confirmar: que las piezas con voz o imagen sintética salen advertidas desde el inicio y que el texto publicado de interés público se declara como generado, salvo que una persona lo revise y firme. Etiquetar cada material interno o cada borrador no es obligatorio: la guía oficial de la Comisión sobre transparencia delimita los supuestos.
• Cuándo es exigible: desde el 2 de agosto de 2026, el artículo 50 exige que el proveedor marque técnicamente el contenido sintético y que la empresa advierta las piezas que parecen reales.

Riesgo mínimo: analítica y soporte a la decisión

Es el nivel de la mayor parte del uso directivo:

• Qué entra: asistentes de estrategia, transcriptores de reuniones, gestores de agenda, cuadros de mando en agregado y generadores de presentaciones. No tienen obligaciones específicas del Reglamento.
• Dónde está el riesgo: no está en la herramienta, sino en lo que se le entrega. El mismo asistente que analiza un mercado con datos públicos se convierte en un problema de confidencialidad cuando recibe el plan estratégico, y ese problema no lo resuelve la Ley de IA, sino tus contratos y el secreto empresarial. Con las reuniones ocurre lo mismo: el mercado vende este conjunto como el segundo cerebro del directivo, pero ese cerebro puede vivir en servidores de un tercero, y un transcriptor conectado a un consejo procesa deliberaciones, datos societarios y, con frecuencia, información privilegiada. El uso además va a más: hay directivos que ya describen el análisis anticipado con IA como parte de su rutina de decisión.
• Qué verificar antes de confirmar: los disparadores que obligarían a reclasificar, porque un panel que empieza a individualizar por empleado o un asistente al que se le encarga preparar una decisión sobre una persona cambian de nivel sin cambiar de herramienta.
• Cuándo es exigible: no hay fecha nueva que esperar: el RGPD, el secreto empresarial y los deberes de diligencia del órgano de administración ya se aplican, y la alfabetización en IA es exigible desde el 2 de febrero de 2025.

Paso 6. Exige la documentación a tus proveedores

Abre una carpeta por proveedor y reclama por escrito lo que falte, empezando por los sistemas que la ficha marcó como decisorios:

• Sistemas que deciden sobre personas. Pide: instrucciones de uso con las medidas de supervisión previstas, funcionamiento, limitaciones y precisión, la declaración de conformidad si es de alto riesgo y la evaluación documentada del artículo 6.3 cuando el proveedor la alegue.
• Transcriptores y asistentes con acceso a órganos de gobierno. Pide: dónde se procesan y guardan las grabaciones, quién accede a ellas, cuánto se conservan y bajo qué compromiso de confidencialidad.
• Asistentes generales del comité. Pide: condiciones del plan contratado sobre entrenamiento con tus conversaciones, ubicación del tratamiento y opciones de administración centralizada.
• Todos, incluidos asesores y despachos externos. Pide: el contrato de encargado del tratamiento, la lista de subencargados y modelos de terceros, el acceso a los registros de funcionamiento y el aviso previo de cambios sustanciales.

Si contratas en condiciones estándar, sin margen para negociar cláusulas, tu expediente son la documentación pública de cada proveedor y sus respuestas por escrito. Y si no te dan lo suficiente para entender los límites del sistema y supervisarlo, la empresa asume un riesgo que después no podrá acreditar.

Un aviso que afecta directamente al consejo: según el artículo 25, si la empresa comercializa con su marca un sistema de alto riesgo de un tercero, lo modifica sustancialmente o cambia su finalidad, pasa a asumir obligaciones de proveedor. Personalizarlo de forma ordinaria no produce ese efecto; documenta los cambios y consulta con legal antes de lanzar cualquier producto “con IA” a tu nombre.

Paso 7. Asigna una regla de supervisión por sistema

Escribe y aprueba en comité una regla por cada sistema, con nombre del responsable y prueba que queda archivada. La empresa que contrata y utiliza el sistema responde de su uso aunque la herramienta sea de terceros, y hay una obligación que no se delega: la supervisión humana de las decisiones sobre personas.

• Decisiones sobre personas: un responsable designado por escrito, con formación, acceso a la información que sustenta la propuesta y autoridad real para descartarla. Cada validación queda registrada. Asentir a todo lo que propone el sistema no es supervisión: es su ausencia documentada.
• Datos hacia asistentes externos: la política de uso define qué información nunca sale (plan estratégico, datos de operaciones, datos personales) y por qué canal se pide una excepción.
• Contenido sintético corporativo: todo vídeo o audio con voz o imagen de un directivo sale etiquetado desde el inicio de la pieza. Prueba: máster archivado con su etiqueta.
• Órdenes urgentes: ninguna instrucción de pago o de operación recibida por vídeo, audio o mensaje se ejecuta sin confirmación por un segundo canal conocido.
• Antes de activar un sistema que afecte a la plantilla: información previa a los trabajadores y a su representación legal, explicando qué se mide y para qué. Prueba: comunicación fechada con acuse.

En una empresa sin roles dedicados, el supervisor será un miembro del propio comité: lo que no puede faltar es que esté designado por escrito y que no sea la misma persona que impulsa la implantación del sistema.

Paso 8. Forma a tu equipo directivo: la alfabetización en IA del artículo 4

Monta sesiones cortas por perfil, no un curso único para toda la empresa: esta obligación ya está en vigor. El artículo 4 obliga a que quien opera estos sistemas sepa lo que hace, y el comité opera los suyos a diario. Qué cubrir en cada una:

• Comité de dirección: qué puede y qué no puede pedirse a un asistente externo, qué datos nunca salen y cómo leer una propuesta de la IA antes de firmarla.
• Secretaría del consejo: qué implica transcribir una sesión, dónde acaba esa transcripción y cuándo conviene apagar el asistente.
• Quien valida decisiones sobre personas: limitaciones del sistema, errores previsibles y cómo dejar constancia cuando se aparta de la propuesta.
• Comunicación y finanzas: reconocer un intento de suplantación con voz o vídeo y aplicar el protocolo de verificación.

En un comité de tres personas estos perfiles se solapan: una sesión conjunta que cubra los cuatro bloques cumple igual. Anota de cada sesión el contenido, la fecha, los asistentes y los sistemas cubiertos: no lo exige literalmente el artículo 4, pero es lo que permite demostrar que cumpliste. La formación de los trabajadores en IA puede financiarse además con el crédito de formación programada que gestiona FUNDAE: el crédito no usado se pierde al cierre del ejercicio, salvo que las empresas de menos de 50 trabajadores comuniquen su acumulación para los dos ejercicios siguientes.

Paso 9. Mantén el expediente vivo y revísalo

Reúne todo lo anterior en un único expediente y ponle fecha de revisión:

• Punto fijo de IA en el orden del día del comité: altas y bajas del inventario, incidentes, estado de la documentación de proveedores y formación impartida.
• Expediente vivo: política de uso aprobada, fichas con su clasificación fechada, dossier de cada proveedor, designaciones de supervisores, validaciones registradas y comunicaciones a la RLT. Si el comité no ha aprobado ningún sistema que decida sobre personas, el expediente se reduce a la política, las fichas, los dossieres y la formación.
• Registros del sistema: conserva al menos seis meses los que generan automáticamente los sistemas de alto riesgo bajo tu control, salvo que otra norma marque otro plazo (artículo 26.6).
• Evaluación de impacto: decide caso por caso si el uso exige una EIPD (evaluación de impacto en protección de datos) del artículo 35 del RGPD. Será lo habitual en selección, evaluación del desempeño y scoring de solvencia.
• Control de desviaciones: revisa qué se ha declarado por el canal de amnistía, qué herramientas nuevas han aparecido sin pasar por él y qué decisiones se han firmado siguiendo la propuesta del sistema sin matices.
• Cuándo revisar: por calendario y, además, ante una herramienta nueva en el comité, un cambio de versión o de finalidad, un incidente o un requerimiento.

Paso 10. Si algo sale mal: retirada, aviso y notificación

El orden del incidente importa tanto como el incidente:

• Contén: suspende el sistema, revisa las decisiones que produjo y documenta la actuación con fecha y responsable.
• Comunica al proveedor según lo pactado en el contrato, adjuntando el registro del incidente.
• Notifica a la autoridad solo cuando toca: ante riesgo o incidente grave en un sistema de alto riesgo, como prevé el artículo 26.5. Un error en un informe o una presentación generada no activa por sí solo esa comunicación. En España ese papel corresponderá a la AESIA, designada como organismo central en el proyecto de ley de gobernanza de la IA, aún en tramitación.

Conclusión

La Ley de IA en la dirección de la empresa es, antes que un asunto técnico, una decisión de gobierno. El riesgo alto no está en los informes ni en las presentaciones, sino en los sistemas que preparan decisiones sobre personas, y el riesgo silencioso está en lo que el propio comité pega en asistentes externos: si no hay ninguno de los primeros, el trabajo se concentra en la política de uso y en la confidencialidad. La prioridad es doble: aprobar esa política y designar por escrito quién supervisa cada decisión sobre personas, con autoridad para descartar lo que propone el sistema. El inventario, el filtro de prohibidos, la clasificación razonada y el dossier de cada proveedor son lo que convierte esa decisión en control demostrable ante un requerimiento, un conflicto laboral o un intento de fraude con la voz del propio consejero delegado.