Cuatro meses para la plena aplicación de la Ley de IA de la UE: lo que todo CEO necesita saber

El 2 de agosto de 2026 es la fecha en que las disposiciones de aplicación de la Ley de IA de la UE para sistemas de IA de alto riesgo entran en plena vigencia. Si su empresa opera en Europa, vende a clientes europeos, o utiliza herramientas de IA que afectan decisiones de empleo, evaluaciones de crédito o puntuación de clientes, esta fecha límite le aplica directamente. El reloj está corriendo.

Según un análisis regulatorio detallado publicado por LegalNodes, la Ley de IA de la UE entró en vigor en agosto de 2024 y ha ido implementándose por etapas. Las prohibiciones sobre prácticas de IA vetadas y los requisitos de alfabetización en IA entraron en vigor en febrero de 2025. Las obligaciones de gobierno para modelos de IA de propósito general se activaron en agosto de 2025. El hito de agosto de 2026 es cuando comienza la aplicación plena para los sistemas de IA de alto riesgo, la clasificación que captura la mayoría de los casos de uso empresarial de IA que las empresas no han considerado como "productos de IA".

La estructura de sanciones no es teórica. El incumplimiento de las obligaciones de IA de alto riesgo puede resultar en multas de hasta 35 millones de euros o el 7% de los ingresos anuales globales, la cifra que sea mayor. Para una empresa con $500 millones en ingresos, eso es potencialmente $35 millones de exposición por herramientas de IA que no construyó, solo desplegó.

El supuesto que está metiendo a las empresas en problemas

La idea errónea más común sobre la Ley de IA de la UE es que aplica principalmente a los desarrolladores de IA: los OpenAIs, Anthropics y Mistral AIs del mundo. Ese supuesto es incorrecto, y es el que está creando el mayor riesgo de cumplimiento para las empresas B2B en este momento.

El marco regulatorio de IA de la UE extiende las obligaciones a los desplegadores de sistemas de IA, no solo a los desarrolladores. Si es una empresa que compró un ATS con IA para reclutamiento, una plataforma de gestión del rendimiento con IA para evaluaciones de empleados, o una herramienta de decisión de crédito integrada en su flujo de trabajo financiero, es un desplegador. Las obligaciones de cumplimiento no recaen completamente en el proveedor. También recaen en usted.

Esto importa más de lo que la mayoría de los equipos directivos aprecian actualmente. El supuesto estándar de adquisición B2B es que los proveedores de SaaS manejan su propio cumplimiento. Bajo la Ley de IA de la UE, eso es parcialmente cierto, pero las obligaciones del desplegador en materia de supervisión humana, documentación y gestión de riesgos son suyas para cumplir independientemente de si su proveedor es conforme. Su marco de gobierno de IA necesitará abordar explícitamente esta responsabilidad del desplegador: el cumplimiento del proveedor y el cumplimiento interno son dos rastros de auditoría separados.

Qué significa realmente "alto riesgo" en la práctica

La clasificación de alto riesgo de la Ley de IA de la UE no se basa en cuán sofisticada es la IA. Se basa en qué decisiones informa o toma el sistema de IA. Una herramienta de IA simple que revisa CVs para un equipo de RRHH es de alto riesgo. Un sistema de IA complejo que sugiere temas para publicaciones de blog no lo es.

Según el análisis de LegalNodes, las categorías de alto riesgo más relevantes para las empresas B2B incluyen:

Empleo y gestión de la fuerza laboral. Las herramientas de IA utilizadas para reclutamiento (incluida la revisión de CVs, clasificación de candidatos y puntuación de entrevistas), monitoreo del rendimiento, decisiones de promoción y procesos de terminación caen en esta categoría. Si su ATS o plataforma de gestión del rendimiento tiene una capa de puntuación de IA (y la mayoría de los modernos la tienen), está operando un sistema de IA de alto riesgo. Las consideraciones de seguridad y cumplimiento de IA para estas herramientas van más allá de la política de privacidad del proveedor: incluyen su propia documentación operativa.

Decisiones de crédito y financieras. La IA que informa evaluaciones de solvencia, originación de préstamos o puntuación de riesgos para productos financieros es de alto riesgo. Esto se extiende más allá de la banca hacia contextos de ventas B2B donde las herramientas de IA apoyan decisiones sobre líneas de crédito o condiciones de pago.

Educación y formación profesional. Los sistemas de IA utilizados para evaluar estudiantes, recomendar rutas de aprendizaje o tomar decisiones sobre el acceso a programas educativos caen bajo la clasificación de alto riesgo.

Aplicación de la ley y control fronterizo. Menos relevante para la mayoría de las empresas B2B, pero incluido para completitud.

La prueba práctica es esta: ¿su herramienta de IA toma o influye fuertemente en una decisión relevante sobre una persona? Si es así, trátela como potencialmente de alto riesgo hasta que su equipo legal confirme lo contrario.

Qué requiere realmente el cumplimiento

Cumplir con las obligaciones de IA de alto riesgo de la Ley de IA de la UE no es solo tener una política de privacidad que mencione la IA. Requiere procesos documentados que puedan demostrarse a los reguladores. Según la guía de cumplimiento de SecurePrivacy, los requisitos principales para los desplegadores de sistemas de IA de alto riesgo incluyen:

Inventario y clasificación de sistemas. Necesita saber qué sistemas de IA utiliza su organización, qué decisiones informan y si tocan las categorías de alto riesgo anteriores. La mayoría de las empresas aún no tienen este inventario, y es más difícil de producir de lo que parece, porque las características de IA ahora están integradas en docenas de herramientas SaaS que no se compraron como "sistemas de IA".

Evaluaciones de riesgo. Para cada sistema de IA de alto riesgo en uso, necesita evaluaciones de riesgo documentadas que cubran el propósito previsto del sistema, el potencial de resultados sesgados o discriminatorios y los controles de calidad de datos.

Mecanismos de supervisión humana. Los sistemas de IA de alto riesgo deben diseñarse para permitir una revisión humana significativa antes de que se tomen las decisiones finales. "La IA lo recomendó" no es un proceso suficiente para decisiones de empleo o crédito bajo la Ley.

Documentación de gobierno de datos. Necesita demostrar que los datos utilizados para entrenar u operar sistemas de IA son precisos, completos y no están sistemáticamente sesgados. Esta es a menudo la parte más difícil porque los datos relevantes pueden estar con su proveedor de SaaS, no con usted. Para los equipos de RevOps que ejecutan herramientas de puntuación de leads con IA y previsión, la lista de verificación de cumplimiento de RevOps cubre los pasos específicos de documentación para esos flujos de trabajo.

Verificación del cumplimiento del proveedor. Necesita confirmar que sus proveedores de herramientas de IA (las empresas que construyeron las herramientas que despliega) son ellas mismas conformes con las obligaciones de la Ley para desarrolladores y proveedores de IA. No lo asuma. Solicite, por escrito, su documentación de cumplimiento.

La brecha que la mayoría de los equipos directivos no han abordado

Hay una brecha específica que aparece repetidamente en las conversaciones sobre la preparación para la Ley de IA de la UE: la desconexión entre los equipos legales y de cumplimiento y las funciones operativas que realmente despliegan herramientas de IA.

La mayoría de los equipos legales empresariales saben que existe la Ley de IA de la UE. Pero las personas que saben qué herramientas de IA se están ejecutando realmente dentro del negocio (en RRHH, operaciones de ventas, finanzas y Customer Success) no siempre participan en esas conversaciones legales. El líder de RRHH que actualizó el ATS el año pasado puede no saber que la función de puntuación de IA califica como sistema de alto riesgo. El Director de RevOps que configuró el sistema de puntuación de leads con IA puede no darse cuenta de que toca decisiones adyacentes al crédito que requieren documentación del desplegador.

Cerrar esta brecha requiere un proceso de inventario interfuncional, no una revisión legal conducida de forma aislada. Las empresas que estarán bien posicionadas en agosto de 2026 son las que inicien esa conversación interfuncional ahora.

Un marco de acción para el cumplimiento

Esto no es asesoramiento legal. Trabaje con asesor legal calificado sobre sus obligaciones específicas. Desde una perspectiva de conciencia ejecutiva, aquí está la secuencia que tiene sentido en los próximos cuatro meses:

Encargue un inventario de sistemas de IA. En las próximas dos o tres semanas, pida a cada director de departamento que liste cada herramienta de IA o función habilitada por IA que usa su equipo, incluidas las herramientas integradas en plataformas SaaS existentes. El resultado le sorprenderá.
Aplique la prueba de clasificación de alto riesgo. Ejecute cada herramienta identificada contra las categorías de alto riesgo de la Ley de IA de la UE. Los contextos de empleo, crédito, educación y aplicación de la ley son los filtros principales. Su equipo legal debe hacer esta revisión, pero no puede hacerla sin el inventario primero.
Solicite documentación de cumplimiento a los proveedores. Para cualquier herramienta que pudiera calificar como de alto riesgo, contacte al proveedor y solicite su documentación de estado de cumplimiento con la Ley de IA de la UE. Si no pueden proporcionarla, escale a su equipo de adquisiciones. El cumplimiento del proveedor es ahora un criterio de adquisición, no solo una casilla de seguridad.
Mapee sus procesos de supervisión humana. Para los sistemas de IA de alto riesgo en uso, documente cómo ocurre realmente la revisión humana antes de que se finalicen las decisiones relevantes. Si la respuesta honesta es "no ocurre", eso es una brecha de proceso que necesita abordar.
Involucre a asesor legal para la evaluación formal. Con el inventario en mano y la clasificación preliminar de alto riesgo completada, tiene lo que necesita para tener una conversación sustantiva con su equipo legal o asesor externo. Pueden asesorar sobre los requisitos de documentación específicos y su exposición al riesgo.

Qué hacer esta semana

Una acción concreta: inicie el inventario de sistemas de IA.

Envíe un mensaje breve a su equipo directivo (RRHH, RevOps, Finanzas, Producto, Customer Success) pidiendo una lista de cada herramienta de IA o función habilitada por IA en uso activo en sus funciones, incluidas las funciones integradas en herramientas que ya tienen. Deles una semana para responder. Compile las respuestas de forma centralizada.

Este único paso lo coloca por delante de la mayoría de las empresas que todavía estarán averiguando qué están ejecutando cuando llegue agosto de 2026. El cronograma de cumplimiento es fijo. Su cronograma de preparación no lo es, pero es más corto de lo que la mayoría de los ejecutivos supone actualmente.

Fuentes: Actualizaciones de la Ley de IA de la UE 2026 (LegalNodes), Marco regulatorio de la Estrategia Digital de la UE y Guía de cumplimiento de SecurePrivacy. Este artículo es un informe de conciencia ejecutiva, no asesoramiento legal. Consulte a asesor legal calificado para obtener consejo específico para la situación de su empresa.

AI at Work News