Reglamento Europeo de IA: qué obliga ya a una pyme que usa inteligencia artificial
Usar una herramienta de IA de terceros ya genera obligaciones propias. Este es el mínimo exigible y el orden en que conviene abordarlo.
Primero: saber qué papel juega su empresa
El Reglamento distribuye obligaciones según el rol. La mayoría de las pymes son responsables del despliegue, no proveedores: usan un sistema de un tercero. Ese papel es más liviano, pero no exento.
Segundo: clasificar por riesgo
Hay prácticas prohibidas, sistemas de alto riesgo (entre otros, los usados en selección de personal o evaluación de trabajadores) y sistemas de riesgo limitado sujetos a transparencia. La clasificación determina todo lo demás.
- Prohibido: puntuación social, reconocimiento de emociones en el trabajo, categorización biométrica sensible.
- Alto riesgo: empleo, acceso a crédito o servicios esenciales, entre otros anexos.
- Transparencia: chatbots, generación de contenido sintético y deepfakes.
Tercero: transparencia real frente al usuario
Si un cliente habla con un sistema automático, debe saberlo. Si publica contenido generado o manipulado con IA, debe estar identificado como tal.
Cuarto: formación del personal (alfabetización en IA)
El Reglamento exige un nivel suficiente de conocimiento en quienes operan estos sistemas. Un programa breve de formación documentada es la forma más económica de acreditarlo.
Quinto: el contrato con el proveedor
Revise qué hace el proveedor con sus datos, si los usa para entrenar modelos, dónde los aloja y qué garantías ofrece. Cuando hay datos personales implicados, además necesita el encargo de tratamiento del artículo 28 del RGPD.
El punto de partida razonable es un inventario de sistemas de IA en uso y su clasificación. Puede empezar por nuestro test de cumplimiento RGPD en 10 preguntas y remitirnos el resultado para una revisión.