¿Tu empresa está preparada para cumplir con la regulación de la inteligencia artificial?

¿Sabes qué herramientas de IA se usan realmente dentro de la organización?

¿Las ha aprobado IT, Legal o Compliance, o algunas han entrado directamente por áreas de negocio?

Si la respuesta no está clara, el primer paso no debería ser redactar una política compleja. Debería ser algo más básico: ordenar la casa.

Nadie instala una alarma sin saber cuántas puertas tiene, quién tiene las llaves, qué habitaciones contienen información sensible o por dónde puede entrar alguien. Con la IA ocurre algo parecido.

Antes de decidir cómo cumplir, hay que saber qué sistemas existen, para qué se usan, qué datos manejan y qué decisiones pueden afectar a personas.

El AI Act empieza por entender qué IA usas

El AI Act exige mirar la inteligencia artificial con método.

No todos los sistemas tienen el mismo riesgo. Un asistente que resume documentos internos no plantea los mismos problemas que una herramienta que filtra candidatos, calcula una puntuación crediticia o recomienda una decisión sobre un cliente.

Por eso, el primer paso no debería ser una política general. Debería ser identificar qué IA se usa realmente dentro de la empresa.

Inventario, riesgo y responsables

El punto de partida puede ser sencillo:

  • inventariar los sistemas de IA que ya se utilizan;
  • identificar quién los contrató y quién los controla;
  • revisar qué datos usan;
  • clasificar el riesgo;
  • comprobar proveedores, contratos y medidas de seguridad;
  • definir qué evidencias se conservarán.

No hace falta convertir el primer análisis en un proyecto enorme. Pero sí conviene empezar con orden.

Inventario, clasificación, responsables, controles y evidencias.

Qué aporta la ISO/IEC 42001

Aquí es donde la ISO/IEC 42001 puede ser útil.

La ISO 42001 es una norma internacional para implantar un sistema de gestión de inteligencia artificial. Dicho de forma simple: ayuda a una empresa a organizar cómo gobierna, controla, documenta y mejora el uso de la IA.

No sustituye al AI Act. Tampoco garantiza por sí sola que todos los sistemas cumplan la normativa. Pero ofrece una estructura útil para no empezar desde cero.

ISO 27001 ayuda, pero no lo cubre todo

Si una empresa ya tiene experiencia con ISO 27001, seguridad de la información, protección de datos, gestión de proveedores o auditoría interna, parte con ventaja. Ya conoce la lógica de riesgo, controles, documentación y mejora continua. Pero conviene no confundirse. La ISO 27001 ayuda, pero no cubre todo lo que exige la gobernanza de IA. La inteligencia artificial añade cuestiones propias: sesgos, transparencia, supervisión humana, calidad de datos, explicación de resultados y control de cambios del sistema.

Cumplir sin agobiarse

La ISO 42001 puede servir como puente entre la norma jurídica y el funcionamiento real de la empresa.

Permite pasar de “usamos IA” a “sabemos qué IA usamos, quién responde, qué riesgos tiene y cómo lo demostramos”.

La conclusión es sencilla: no hace falta agobiarse, pero sí empezar con orden.

Cumplir con la IA no debería empezar con un documento largo que nadie aplica. Debería empezar entendiendo la casa: qué hay dentro, quién entra, qué riesgos existen y qué medidas permiten gestionarlos.