El AI Act ya tiene sus primeros casos de sanción: lecciones para el que aún no ha empezado
Las primeras sanciones del Reglamento de IA no caen sobre quien entrena modelos, sino sobre quien los usa sin cumplir. Esto es lo que se vigila.
Los primeros expedientes sancionadores del Reglamento Europeo de Inteligencia Artificial ya están sobre la mesa. No son casos de laboratorio ni hipótesis de manual: son empresas y administraciones que han recibido requerimientos, apercibimientos o multas por usar sistemas de IA sin cumplir las obligaciones que les tocaban. Y el patrón que dibujan esos casos no es el que muchos esperaban.
No se multa por desarrollar, se multa por usar mal
La narrativa dominante durante los dos años de negociación del AI Act fue que la norma apretaba sobre todo a quienes construyen modelos. Se hablaba de desarrolladores, de proveedores, de entrenamiento con datos masivos. Pero los primeros casos cuentan otra historia: las sanciones iniciales apuntan a organizaciones que utilizan sistemas de IA en sus procesos diarios y no han hecho los deberes.
Una empresa de selección de personal que filtra currículums con un sistema automatizado sin informar a los candidatos. Un ayuntamiento que cruza datos de ayudas sociales con un algoritmo de puntuación sin evaluación de impacto. Una aseguradora que ajusta primas con un modelo de riesgo sin supervisión humana real. Son perfiles de sanción que ya se están viendo.
La lección es incómoda: el AI Act no es una norma para las tecnológicas. Es una norma para cualquiera que ponga una máquina a decidir sobre personas.
Qué se está vigilando de verdad
Los primeros expedientes muestran que las autoridades no están persiguiendo la innovación ni revisando líneas de código. Están comprobando cosas mucho más básicas:
- Transparencia: si las personas saben que interactúan con una IA o que sus datos pasan por un sistema automatizado.
- Documentación: si existe un registro de los sistemas en uso, con su finalidad, sus datos y sus responsables.
- Supervisión humana: si hay alguien con capacidad real de revisar, corregir o detener lo que el sistema propone.
- Evaluación de impacto: si los sistemas de alto riesgo han pasado por el análisis que exige el Reglamento antes de ponerse en marcha.
No se trata de requisitos técnicos sofisticados. Se trata de gobernanza básica. Y es precisamente lo que más se está descuidando.
El error típico: esperar a que toque
Muchas organizaciones siguen en modo espera. Creen que el AI Act se aplica en bloque en una fecha futura y que ya habrá tiempo de adaptarse. Ese planteamiento ignora dos cosas.
Primero, que las obligaciones no entran en vigor todas a la vez. Algunas ya están en vigor desde [VERIFICAR: fecha de aplicación de las obligaciones de transparencia]. Otras se activan de forma escalonada según el tipo de sistema y el papel de la organización. Quien espera a la fecha global llega tarde.
Segundo, que las autoridades no van a esperar a que todo el mundo esté listo. Los primeros expedientes demuestran que la vigilancia ya ha empezado. No hace falta que un sistema cause un daño grave: basta con que esté en uso sin la documentación o la transparencia exigida.
Por dónde empezar si aún no has hecho nada
El primer paso no es contratar una consultoría ni comprar una herramienta de cumplimiento. Es hacer un inventario honesto: qué sistemas de IA se están usando, quién los ha comprado o contratado, para qué sirven y sobre qué personas deciden.
Ese inventario suele revelar sorpresas. Sistemas que entraron por la puerta de atrás, como un filtro de currículums en Recursos Humanos o un software de puntuación crediticia en el departamento comercial. Herramientas que nadie registró porque se contrataron como un servicio más.
A partir de ahí, las prioridades se ordenan solas:
- Identificar los sistemas de alto riesgo que ya están en uso. Son los que exigen más obligaciones y los que más probablemente están incumpliendo.
- Revisar la transparencia: ¿se informa a las personas cuando una decisión la toma o la prepara una máquina?
- Asignar responsables: cada sistema debe tener una persona o un equipo que responda por su uso.
- Documentar lo que ya existe: aunque sea de forma básica, un registro de sistemas es mejor que nada.
- Planificar las evaluaciones de impacto para los sistemas que las requieren.
Lo que los primeros casos enseñan
La sanción no llega por tener un modelo demasiado potente ni por entrenar con datos cuestionables. Llega por usar un sistema sin saber qué obligaciones genera y sin haber hecho el trabajo previo de gobernanza.
Eso tiene una consecuencia práctica: el riesgo no está en el laboratorio de IA, está en los procesos de negocio. En el departamento que contrata una herramienta sin consultar a nadie. En el pliego de condiciones que no exige documentación al proveedor. En la administrativa que revisa 400 albaranes al mes con un sistema que nadie ha auditado.
Las organizaciones que ya han empezado a prepararse no lo han hecho porque tengan más recursos. Lo han hecho porque entendieron antes que el AI Act no se cumple con una declaración de intenciones, sino con registros, evaluaciones y responsables claros.
Los primeros expedientes sancionadores son una advertencia sin dramatismo: la norma ya está operativa y las autoridades ya están mirando. Quien aún no ha empezado no necesita un plan perfecto. Necesita empezar.