La inteligencia artificial se ha colado en las empresas a una velocidad extraordinaria. ChatGPT, Copilot, Gemini o Claude ya forman parte de la actividad diaria de profesionales de marketing, Recursos Humanos, finanzas, atención al cliente, análisis o productividad.
El problema es que, en muchas organizaciones, la tecnología llegó antes que las normas internas destinadas a controlarla.
Profesionales que comenzaron utilizando una herramienta para resumir documentos o redactar un correo han terminado incorporando inteligencia artificial a procesos cotidianos sin que necesariamente exista una política corporativa común, una formación específica o incluso un inventario que permita saber qué aplicaciones se utilizan.
Esta distancia entre adopción y gobernanza adquiere ahora otra dimensión con el AI Act en las empresas.
Desde el 2 de agosto de 2026, la mayoría de las disposiciones del Reglamento Europeo de Inteligencia Artificial son aplicables, aunque determinadas obligaciones mantienen calendarios posteriores. El marco contempla además importantes sanciones que, para determinadas infracciones relacionadas con prácticas prohibidas, pueden alcanzar 35 millones de euros o el 7% de la facturación anual mundial de una empresa.
La inteligencia artificial deja así de ser únicamente una conversación sobre productividad e innovación. También pasa a ser una cuestión de gobernanza empresarial.
AI Act en las empresas: el cumplimiento deja de ser un problema del futuro
El calendario regulatorio europeo lleva tiempo avanzando.
El Reglamento entró en vigor el 1 de agosto de 2024 y desde febrero de 2025 ya se aplicaban las primeras obligaciones, incluidas las relativas a determinadas prácticas prohibidas y a la alfabetización en inteligencia artificial.
El 2 de agosto de 2026 marca otra etapa importante al resultar aplicables la mayoría de las disposiciones del Reglamento y asumir la Comisión Europea y las autoridades nacionales competencias de supervisión y cumplimiento.
El calendario, no obstante, continúa desplegándose y algunas obligaciones vinculadas a sistemas de alto riesgo cuentan con fechas posteriores.
La lectura para las compañías es importante: que determinados plazos se extiendan no significa que puedan esperar hasta el último momento para analizar su exposición.
Juan Luis Pascual, CEO de CenteIA Consulting, lo resume con una idea especialmente gráfica: «La IA ha entrado en muchas empresas por la puerta de atrás: primero como herramienta de productividad, después como hábito diario y ahora como riesgo de gobernanza».
El primer problema: muchas empresas no saben qué IA están utilizando
Antes de plantearse cómo cumplir el AI Act, existe una pregunta aparentemente mucho más sencilla: ¿sabe realmente una organización qué herramientas de inteligencia artificial utilizan sus empleados?
Según la experiencia de CenteIA, muchas compañías han incorporado diferentes soluciones en menos de un año sin que exista necesariamente un responsable interno claramente identificado.
El problema aumenta cuando la IA deja de utilizarse para tareas auxiliares y entra en procesos que pueden afectar directamente a personas o decisiones empresariales relevantes.
La consultora señala ejemplos relacionados con selección automatizada de personal, análisis financieros y herramientas de evaluación o scoring.
En estos casos, gobernar la IA ya no consiste simplemente en decidir qué licencia corporativa contratar.
La organización necesita saber qué sistema está funcionando, qué información recibe, qué resultado genera, quién lo supervisa y qué impacto puede tener sobre terceros.
Multas de hasta 35 millones: el riesgo ya no es únicamente tecnológico
El AI Act establece un modelo regulatorio basado en diferentes niveles de riesgo.
Y su régimen sancionador muestra hasta qué punto Europa pretende convertir la gobernanza de la inteligencia artificial en una responsabilidad empresarial real.
Las infracciones vinculadas a determinadas prácticas prohibidas pueden alcanzar 35 millones de euros o el 7% de la facturación anual mundial. Otros incumplimientos relevantes pueden llegar a 15 millones o el 3%, mientras que proporcionar información incorrecta o engañosa a las autoridades puede conllevar multas de hasta 7,5 millones o el 1% del volumen de negocio.
Pero las sanciones económicas representan solo una parte del riesgo.
CenteIA identifica también posibles fugas de información, automatización sin supervisión humana, incumplimientos regulatorios y exposición reputacional.
La IA introduce, por tanto, una combinación de riesgos tecnológicos, jurídicos y empresariales que obliga a repartir responsabilidades más allá del departamento de IT.
Formar en IA no significa enseñar a utilizar mejor ChatGPT
Uno de los aspectos más interesantes del nuevo escenario es la alfabetización en IA.
Las obligaciones en este terreno son aplicables desde febrero de 2025 y exigen que las organizaciones procuren que quienes trabajan con sistemas de inteligencia artificial dispongan de conocimientos y comprensión suficientes teniendo en cuenta su función y el contexto en el que utilizan la tecnología.
Aquí aparece una diferencia fundamental entre formación y gobernanza.
Aprender a obtener mejores respuestas de ChatGPT puede aumentar la productividad de un trabajador, pero no necesariamente le enseña a utilizar la inteligencia artificial de forma segura dentro de una compañía.
La alfabetización debe incorporar otras cuestiones.
Qué información no debe introducirse en una herramienta. Cuándo debe intervenir una persona. Qué usos pueden provocar sesgos. Qué resultados necesitan ser verificados. Y qué responsabilidad mantiene la organización cuando utiliza un sistema automatizado.
Ese conocimiento empieza a convertirse en una competencia corporativa.
Recursos Humanos, finanzas y atención al cliente entran en el radar
Otro error sería pensar que el AI Act en las empresas afecta exclusivamente a compañías tecnológicas o desarrolladores de modelos.
CenteIA advierte precisamente de lo contrario.
Una empresa que utiliza sistemas de inteligencia artificial en procesos internos o para adoptar decisiones que afectan a personas también necesita determinar qué obligaciones pueden corresponderle.
Esto amplía considerablemente el número de organizaciones que deben prestar atención al Reglamento.
Una pyme que utiliza IA de forma espontánea, una compañía mediana que automatiza determinados procesos de Recursos Humanos o una empresa que incorpora sistemas inteligentes en atención al cliente pueden encontrarse ante necesidades de gobernanza diferentes.
También las startups empiezan a encontrarse exigencias de cumplimiento en procesos comerciales, mientras las grandes corporaciones necesitan gestionar ecosistemas tecnológicos considerablemente más complejos.
El tamaño de la empresa no elimina, por tanto, la necesidad de saber qué está haciendo con la inteligencia artificial.
España desarrolla su propio marco de gobernanza
El escenario europeo se complementa además con movimientos regulatorios nacionales.
Según el documento de CenteIA, el Consejo de Ministros aprobó el 26 de mayo de 2026 el Proyecto de Ley para el buen uso y la gobernanza de la Inteligencia Artificial, que inicia su tramitación parlamentaria.
El texto busca adaptar el marco español al Reglamento europeo, reforzar la supervisión humana sobre sistemas de alto riesgo e incorporar la prohibición específica de deepfakes sexuales. También mantiene un régimen sancionador alineado con la normativa europea.
A ello se suma el papel de la Agencia Española de Supervisión de Inteligencia Artificial (AESIA) dentro del nuevo escenario de control.
Para las empresas, la consecuencia es clara: el marco regulatorio se está consolidando y esperar a que todas las fechas del calendario hayan llegado puede reducir considerablemente el margen para adaptarse de manera ordenada.
Del Shadow AI a un inventario real de herramientas
El primer paso para gobernar algo es saber que existe.
Muchas organizaciones pueden encontrarse actualmente con una especie de Shadow AI: herramientas utilizadas por profesionales o departamentos sin una visión corporativa completa sobre su funcionamiento.
Una política eficaz debería comenzar, según el planteamiento de CenteIA, identificando qué herramientas se utilizan, en qué departamentos, con qué datos y bajo qué mecanismos de supervisión.
Ese inventario permite después analizar el nivel de exposición y establecer prioridades.
No necesita el mismo control una herramienta utilizada para generar ideas para una campaña de marketing que un sistema capaz de intervenir en decisiones relacionadas con contratación, evaluación de personas o información financiera.
La gobernanza debe ser proporcional al riesgo.
La supervisión humana se convierte en una cuestión estratégica
La expansión de sistemas capaces de automatizar tareas puede generar una tentación empresarial evidente: reducir al máximo la intervención humana para conseguir eficiencia.
El AI Act introduce precisamente la necesidad de analizar cuándo esa supervisión resulta necesaria.
Para una organización, la pregunta no debería ser únicamente cuánto puede automatizar.
También necesita determinar qué decisiones no debería dejar exclusivamente en manos de un sistema de inteligencia artificial.
Esto exige definir responsabilidades.
Si una IA genera una recomendación, ¿quién la valida? Si utiliza información incorrecta, ¿quién detecta el error? Si participa en una decisión que afecta a una persona, ¿qué mecanismos permiten revisar el resultado?
La gobernanza de IA empieza a parecerse cada vez más a cualquier otro sistema de control empresarial: necesita responsables, procedimientos, trazabilidad y capacidad de intervención.
Cumplir antes puede convertirse en una ventaja competitiva
El nuevo marco suele analizarse desde el riesgo de sanción, pero existe otra lectura para los directivos.
Las organizaciones que consigan establecer antes un modelo sólido de gobernanza de inteligencia artificial pueden disponer de una ventaja frente a aquellas que continúen utilizando estas herramientas de forma fragmentada.
No solo por reducir su exposición regulatoria.
También porque disponer de reglas claras puede facilitar una adopción más rápida y segura. Los profesionales saben qué herramientas pueden utilizar, qué datos están permitidos, cuándo necesitan supervisión y quién responde ante una incidencia.
En este sentido, regulación e innovación no tienen por qué funcionar necesariamente como fuerzas opuestas.
Una organización que sabe cómo controla su IA puede encontrarse en mejores condiciones para ampliarla.
La pregunta ya no es si su empresa utiliza IA
El gran cambio que plantea el AI Act puede resumirse en una cuestión de control.
Durante los últimos años, los directivos se han preguntado cómo incorporar inteligencia artificial a sus compañías, qué herramientas contratar y cuánto podrían aumentar la productividad.
Ahora necesitan añadir otras preguntas.
¿Quién utiliza IA dentro de la organización? ¿Para qué? ¿Con qué datos? ¿Qué decisiones está automatizando? ¿Quién supervisa sus resultados? ¿Qué riesgos regulatorios existen?
CenteIA considera que las empresas todavía disponen de tiempo para prepararse, pero advierte de que el calendario progresivo no debería interpretarse como una invitación a esperar.
La inteligencia artificial ya está dentro de las organizaciones. Intentar detener su utilización probablemente no sea la respuesta.
El verdadero salto de madurez empresarial consiste en pasar del uso informal al uso gobernado.
Porque en la nueva etapa de la IA corporativa, la ventaja ya no estará únicamente en utilizar más inteligencia artificial que los competidores. También estará en saber exactamente dónde está, qué hace y cuánto control conserva la empresa sobre ella.