Cumplir la Ley de IA en la dirección de la empresa implica inventariar la IA que usa el propio equipo directivo y garantizar supervisión humana en las decisiones sobre personas que la IA prepara, como exige el Reglamento (UE) 2024/1689, actualizado en 2026 por el Reglamento Digital Omnibus (UE) 2026/1744. Esta guía detalla qué decidir, cuándo y cómo.

Qué herramientas de IA se usan en la dirección de una empresa

La inteligencia artificial entra en la dirección por dos vías: las herramientas que la empresa contrata y las que cada profesional adopta por su cuenta. Esta segunda vía no es marginal: el 78% de quienes usan IA en el trabajo lleva sus propias herramientas, según el Work Trend Index 2024 de Microsoft y LinkedIn. Estas son las cinco áreas de uso habituales.

Análisis estratégico y toma de decisiones

Es el uso directivo que más crece: la Encuesta Global de McKinsey sobre IA constata que los niveles más altos de antigüedad muestran los mayores saltos en el uso de herramientas generales de IA para el trabajo. Opera casi siempre sobre asistentes generales tipo ChatGPT, Claude o Perplexity:

  • Análisis de escenarios: el asistente simula alternativas y compara el plan de la empresa con el de la competencia.
  • Análisis anticipado (pre-mortem): se pide a la IA que imagine que un proyecto ha fracasado y descomponga los errores antes de ejecutarlo, una técnica que directivos tecnológicos describen como parte de su rutina de decisión.
  • Contraste de sesgos: el asistente cuestiona las hipótesis del plan estratégico y señala puntos ciegos.
  • Borradores ejecutivos: informes, discursos y documentos de posición en minutos.

La herramienta en sí no es el problema. El riesgo depende de dos cosas: para qué se usa (no es lo mismo preparar un informe de mercado que preparar una decisión sobre un empleado) y qué datos se le entregan. El mismo asistente que analiza un mercado con datos públicos es de riesgo mínimo; alimentado con el plan estratégico, la pregunta ya no es de la Ley de IA, sino de confidencialidad: dónde se procesa esa información y bajo qué contrato.

Reuniones, agenda y órganos de gobierno

Otra área de uso habitual combina tres tipos de herramienta:

  • Transcripción y actas: asistentes de reunión tipo Fireflies o los integrados en Teams y Meet transcriben, resumen y extraen tareas pendientes.
  • Gestión de agenda: planificadores tipo Motion reorganizan el calendario ejecutivo según prioridad.
  • Copilots ofimáticos: redactan correos, preparan sesiones y resumen documentación de consejo.

Este conjunto se presenta en el mercado como el “segundo cerebro” del directivo: un sistema que centraliza conocimiento, actas y decisiones. Lo que ese framing no dice es que ese cerebro puede vivir en servidores de un tercero. Un transcriptor conectado a un consejo de administración procesa deliberaciones, datos societarios y, con frecuencia, información privilegiada o secreto empresarial. Antes de activarlo, la pregunta no es si funciona: es qué contrato ampara ese tratamiento y quién accede a las grabaciones.

Datos, informes y presentaciones

Aquí la IA trabaja sobre información corporativa agregada:

  • Analítica asistida: los módulos de IA de plataformas BI tipo Power BI o Tableau convierten bases de datos en paneles, detectan anomalías en datos financieros y anticipan patrones de rendimiento.
  • Interpretación de resultados: el asistente explica desviaciones del cuadro de mando y propone hipótesis accionables.
  • Presentaciones: generadores tipo Gamma producen el material del comité o del consejo a partir de directrices en texto.

Mientras esta analítica se limite a agregados de negocio (ventas, costes, producción), es el área de menor exposición regulatoria de la dirección. El nivel cambia cuando el mismo panel baja al individuo: un indicador de rendimiento por empleado ya no es analítica de negocio, es evaluación de trabajadores, y se trata en el bloque siguiente.

Decisiones sobre personas

Es el bloque que el mercado no cuenta. Las guías de gestión empresarial presentan estos usos como mejoras de eficiencia:

  • Selección: sistemas que criban currículums, hacen entrevistas preliminares o evalúan el encaje del candidato.
  • Promoción y evaluación: IA que puntúa desempeño o propone quién asciende.
  • Predicción de rotación: modelos que estiman qué empleados se irán, si alimentan decisiones individuales.
  • Desvinculación: sistemas que apoyan decisiones de extinción o reasignación de tareas.
  • Scoring de solvencia: evaluación crediticia de clientes o socios cuando afecta a personas físicas.

Todos ellos figuran en el Anexo III del Reglamento: son las categorías con más obligaciones de toda la Ley de IA, y la dirección responde de su uso.

Comunicación corporativa

La última área mezcla productividad y un riesgo nuevo:

  • Contenido generado: notas de prensa, comunicación interna y material institucional redactados con IA.
  • Voz e imagen sintética: avatares y clonación de voz de directivos para vídeos corporativos o comunicados multilingües.

La misma tecnología que permite clonar la voz del CEO para un vídeo institucional se usa contra la empresa: el fraude del CEO documentado por INCIBE ha incorporado deepfakes de audio y vídeo para suplantar a directivos en videollamadas y ordenar transferencias. Para la dirección, esto significa dos deberes: declarar el contenido sintético propio (artículo 50) y proteger la voz y la imagen de sus directivos como vector de ataque.

Mapa de IA en la dirección: qué decide sobre personas y qué datos salen
Área Herramientas típicas ¿Decide sobre personas? ¿Salen datos corporativos?
Análisis estratégico y decisiones Asistentes generales (ChatGPT, Claude, Perplexity) No Sí (lo que se pega en el prompt)
Reuniones y órganos de gobierno Transcriptores, gestores de agenda, copilots No Sí (deliberaciones y actas)
Datos, informes y presentaciones BI con IA, generadores de presentaciones Parcial (si baja al empleado individual) Sí (datos de negocio)
Decisiones sobre personas IA de selección, evaluación, rotación, scoring Sí Sí (datos personales de plantilla y candidatos)
Comunicación corporativa Generadores de contenido, voz e imagen sintética No Parcial (imagen y voz de directivos)

Nivel de riesgo de cada proceso según el AI Act

El Reglamento no clasifica herramientas por marca sino por uso. Estos son los niveles que corresponden a cada proceso directivo.

Cómo clasificar el riesgo: la misma herramienta cambia de nivel según el uso

Un mismo asistente cambia de nivel según el encargo. Si prepara un informe de mercado, es riesgo mínimo. Si criba los currículums de un proceso de selección, entra en el artículo 6 y el Anexo III como alto riesgo. La clasificación se hace proceso a proceso, no herramienta a herramienta: por eso el inventario del plan de acción se organiza por usos.

Clasificación de la IA de dirección según el AI Act
Proceso Nivel de riesgo Por qué Qué te obliga
Selección, promoción, evaluación y despido con IA Alto Anexo III, punto 4 (empleo y gestión de trabajadores) Art. 26 completo: supervisión humana, logs, información a la plantilla
Scoring de solvencia de personas físicas Alto Anexo III, punto 5 (evaluación crediticia) Art. 26 completo
Voz e imagen sintética de directivos, deep fakes Limitado Contenido generado o manipulado Art. 50: declarar que el contenido es sintético
Contenido corporativo generado Limitado Interacción y contenido sintético Art. 50 cuando se publique como información
Analítica de negocio, BI, presentaciones Mínimo No decide sobre personas Buenas prácticas; RGPD si trata datos personales
Asistentes de estrategia y reuniones Mínimo Soporte a la decisión sin efectos sobre personas Confidencialidad y secreto empresarial (fuera del AI Act)

Alto riesgo: la IA que decide sobre personas

El punto 4 del Anexo III cubre el ciclo completo del empleo: contratación y selección (anuncios dirigidos, filtrado de candidaturas, evaluación de candidatos) y las decisiones que afectan a promoción, extinción, asignación de tareas o evaluación del rendimiento. El punto 5 añade la evaluación de solvencia de personas físicas. Dos precisiones que la dirección debe conocer:

  • Ser una función comercial estándar no exime: que el módulo de cribado venga incluido en el ATS o el scoring en el CRM no cambia su clasificación.
  • La excepción del artículo 6.3 tiene veto: el proveedor puede alegar que su sistema no es de alto riesgo en ciertos supuestos, pero la excepción nunca aplica si el sistema elabora perfiles de personas. Un sistema que puntúa candidatos o empleados perfila. La justificación documentada de esa excepción corresponde al proveedor: exígela por escrito antes de contratar.

Riesgo limitado: contenido generado y voz sintética

La comunicación corporativa con IA no requiere el aparato del alto riesgo, pero sí transparencia. El artículo 50 obliga a declarar los deep fakes: si la empresa difunde un vídeo con la imagen o la voz sintética de un directivo, debe hacer constar que el contenido ha sido generado o manipulado artificialmente. La misma regla alcanza al texto generado que se publique para informar sobre asuntos de interés público, salvo revisión humana con responsabilidad editorial.

Riesgo mínimo: analítica y soporte a la decisión

La mayor parte del uso directivo (escenarios, informes, BI, presentaciones, agenda) queda en riesgo mínimo: el Reglamento no le impone obligaciones específicas. Que el AI Act no obligue no significa que no haya nada que gobernar: la confidencialidad de lo que sale hacia asistentes externos se rige por el RGPD, los contratos y el secreto empresarial, y es la dirección quien fija esa política.

Qué obligaciones tiene tu empresa como responsable del despliegue

Si la contratas y la usas, tu empresa es responsable del despliegue

El Reglamento distingue dos roles. El proveedor desarrolla y comercializa el sistema. El responsable del despliegue (deployer) es quien lo usa bajo su autoridad: tu empresa, aunque la herramienta sea de terceros y esté en la nube. Las obligaciones del artículo 26 son plenamente exigibles en los sistemas de alto riesgo; en el resto funcionan como estándar razonable de gobierno. Y hay una que no admite delegación: la supervisión humana de las decisiones sobre personas no se puede externalizar en el proveedor.

Las obligaciones del artículo 26 en clave de gobierno

Artículo 26 traducido a directrices de dirección
Obligación Directriz concreta Quién la ejecuta Cuándo es exigible
Usar el sistema según instrucciones del proveedor Aprobar las instrucciones de uso y prohibir usos fuera de ellas Dirección aprueba; RRHH e IT aplican Antes de la puesta en servicio
Supervisión humana competente Designar por escrito quién revisa cada decisión sobre personas, con formación y autoridad para descartar la propuesta de la IA Dirección designa; RRHH ejecuta Siempre que el sistema opere
Datos de entrada pertinentes Validar que los datos que alimentan el sistema son representativos de la decisión (en la medida en que la empresa los controle) RRHH e IT Antes y durante el uso
Vigilar el funcionamiento y suspender ante riesgo Protocolo de incidentes: detener el sistema, informar al proveedor y a la autoridad de vigilancia (AESIA) IT y legal; dirección decide la suspensión Continuo
Conservar los registros (mínimo 6 meses) Exigir al proveedor acceso a los logs y custodiarlos IT Continuo
Informar a trabajadores y a sus representantes Comunicar a plantilla y RLT antes de usar IA de alto riesgo que les afecte Dirección y RRHH Antes de la puesta en servicio
Cooperar con las autoridades Centralizar inventario, mapa de riesgo y evidencias para responder requerimientos Legal Ante requerimiento
Declarar el contenido sintético (art. 50) Regla interna: todo deep fake corporativo sale etiquetado como generado por IA Comunicación, bajo política aprobada por dirección Al difundir el contenido

España tramita su ley de gobernanza de la IA, que designa a la AESIA como autoridad central de supervisión, según el Consejo de Ministros de mayo de 2026.

Qué corresponde al proveedor y qué debe exigirle tu empresa

No te corresponde elaborar la documentación técnica, el sistema de gestión de riesgos, el marcado CE ni el registro del sistema en la base de datos de la UE: son obligaciones del proveedor. Lo que sí corresponde a la dirección es exigirlas en la contratación:

  • Instrucciones de uso y documentación del sistema, incluidas las medidas de supervisión humana previstas.
  • Justificación documentada de la excepción del 6.3, si el proveedor sostiene que su sistema no es de alto riesgo.
  • Acceso a los registros de funcionamiento que el artículo 26 obliga a conservar.
  • Capa RGPD: contrato de encargado (DPA), dónde se procesan los datos y compromiso de no usarlos para entrenar modelos.

Usos prohibidos de IA en la gestión empresarial

El artículo 5 veta prácticas que ningún departamento puede activar, con las multas más altas del Reglamento (artículo 99: hasta 35 millones de euros o el 7% de la facturación global). Estas prohibiciones se aplican desde el 2 de febrero de 2025 y la AESIA las detalla en su recurso oficial sobre sistemas prohibidos. En el ámbito de la gestión empresarial:

  • Reconocimiento de emociones en el trabajo: prohibido inferir emociones de empleados, salvo por motivos médicos o de seguridad.
  • Puntuación social: clasificar a personas por su comportamiento social con efectos desproporcionados o descontextualizados.
  • Manipulación subliminal: técnicas que alteren el comportamiento causando perjuicio, también en marketing.
  • Categorización biométrica sensible: deducir origen, ideología, afiliación sindical u orientación a partir de biometría.

Plan de acción: cómo adaptar la dirección de la empresa

Seis pasos, cada uno con su entregable. El orden importa: sin política ni inventario no hay nada que clasificar.

Paso 1. Inventaría la IA de dirección, incluida la que usan los propios directivos

Aprueba primero una política de uso de IA con un canal para declarar herramientas sin sanción: sin ella, el inventario nace incompleto. Según el Workforce Index de Slack de otoño de 2024, casi la mitad de los trabajadores oculta a sus superiores que usa IA; el ejemplo de la dirección es lo que normaliza declararla. El inventario cubre tres capas: la IA contratada (ATS, BI, transcriptores), la embebida en el software corporativo y la que el propio comité usa por su cuenta. Pegar el plan estratégico o los datos financieros en un chatbot público es shadow AI con secreto empresarial en juego, y el comité de dirección no está exento. Entregable: inventario de sistemas y usos presentado al comité de dirección.

Paso 2. Clasifica el riesgo: empieza por la IA que decide sobre personas

Aplica la tabla de clasificación a cada uso del inventario. Prioridad absoluta: selección, promoción, evaluación, desvinculación y scoring de solvencia. Después, el contenido sintético (artículo 50). El resto queda en riesgo mínimo con su regla de confidencialidad. Entregable: mapa de riesgo aprobado y recogido en acta del comité.

Paso 3. Exige la documentación a tus proveedores

Incorpora el AI Act a la contratación y a las renovaciones: instrucciones de uso, medidas de supervisión humana, acceso a logs, justificación del 6.3 cuando se alegue, DPA y localización del procesamiento. Sin esa documentación, la empresa asume el riesgo de un sistema que no puede acreditar. Entregable: cláusulas tipo de IA en el modelo de contrato con proveedores.

Paso 4. Implanta supervisión humana en las decisiones asistidas

Cada decisión sobre personas preparada por IA necesita un responsable designado por escrito, con formación y autoridad real para descartar la propuesta del sistema. Una validación de trámite (aprobar en bloque lo que la IA sugiere) no es supervisión humana: es la ausencia documentada de ella. Entregable: designación formal de supervisores por proceso.

Paso 5. Forma al equipo directivo: el artículo 4 también les aplica

El artículo 4 exige garantizar la alfabetización en IA del personal que opera estos sistemas, y el comité de dirección opera los suyos a diario. La formación de los trabajadores en IA puede además financiarse con el crédito de formación programada que gestiona FUNDAE: el crédito no usado se pierde al cierre del ejercicio, salvo que las empresas de menos de 50 trabajadores comuniquen su acumulación para los dos ejercicios siguientes. La obligación del artículo 4 es bonificable con un recurso ya pagado. Entregable: plan formativo anual con el equipo directivo incluido.

Paso 6. Documenta, registra y revisa periódicamente

Fija un punto periódico de IA en el orden del día del comité: altas y bajas del inventario, incidentes, estado de la documentación de proveedores y formación. Añade un protocolo de incidentes con la secuencia suspensión, comunicación al proveedor y a la AESIA. Entregable: reporting periódico a dirección y protocolo de incidentes aprobado.

Checklist del comité: 10 verificaciones

  • ¿Existe una política de uso de IA aprobada por dirección y comunicada a la plantilla? Sí/No
  • ¿El inventario incluye la IA que usa el propio equipo directivo, no solo la contratada? Sí/No
  • ¿Se sabe qué datos corporativos salen hacia asistentes externos y bajo qué contrato? Sí/No
  • ¿Está clasificado el riesgo de cada uso y aprobado el mapa en acta? Sí/No
  • ¿Toda IA que participa en selección, promoción, evaluación o despido está tratada como alto riesgo? Sí/No
  • ¿Hay supervisores designados por escrito, con formación y autoridad para descartar la propuesta de la IA? Sí/No
  • ¿Los contratos con proveedores incluyen instrucciones, logs, justificación del 6.3 y DPA? Sí/No
  • ¿Se informó a la plantilla y a la RLT antes de usar IA de alto riesgo que les afecte? Sí/No
  • ¿La formación del artículo 4 está planificada y bonificada, con el comité de dirección incluido? Sí/No
  • ¿Existe un punto periódico de IA en el orden del día y un protocolo de incidentes con la AESIA? Sí/No

Conclusión

La adaptación a la Ley de IA es una decisión de gobierno. La dirección que aprueba la política, exige el inventario y designa la supervisión convierte una obligación en control: sabe qué IA usa su empresa, qué datos salen de ella y quién responde de cada decisión sobre personas. La que lo delega sin verlo descubre su exposición en el peor momento: ante un requerimiento, un conflicto laboral o un fraude con la voz de su propio CEO. El punto de partida está descrito en la guía general sobre cómo cumplir la Ley de IA; la diferencia la marca quién lo lidera.

Una herramienta de gobernanza como Atico34 AI Governance da a la dirección ese control en un único panel: el inventario de sistemas de IA, la clasificación de riesgo de cada uso y las evidencias de cumplimiento (documentación de proveedores, registros de formación y logs) listas para el comité y para inspección.