Vuelta a la oficina: Los 3 hitos de cumplimiento del EU AI Act que tu Comité de Dirección debe revisar antes de cerrar el año
¡Nos vemos en septiembre!, os decía antes de cerrar por vacaciones. Y septiembre ya está aquí.
Espero que hayáis podido desconectar, porque el último trimestre de 2026 promete ser intenso. Con el Reglamento Europeo de Inteligencia Artificial (EU AI Act) ya desplegando sus efectos prácticos, la etapa de las declaraciones de intenciones ha terminado. Ahora toca gobernar la tecnología.
En mis sesiones de Advisory con Comités de Dirección, noto un patrón común: la IA se sigue viendo exclusivamente como un reto del departamento de IT o de Datos. Craso error. El cumplimiento normativo de la IA no va de ajustar hiperparámetros; va de soberanía corporativa, gestión del riesgo y viabilidad del negocio. Si tu organización utiliza o desarrolla Inteligencia Artificial, hay tres hitos críticos que tu C-Suite debe dejar atados antes de cerrar el presupuesto y la estrategia de 2027.
1. Integración del Sistema de Gestión de Calidad (Art. 17) con la ISO 42001
El EU AI Act exige a los proveedores de sistemas de Alto Riesgo establecer un Sistema de Gestión de Calidad (QMS). La tentación de muchas empresas es crear un silo nuevo y burocrático, lo cual dispara el Total Cost of Ownership (TCO).
El hito directivo: El Comité de Dirección debe aprobar la convergencia de este requisito legal con estándares internacionales como la ISO 42001 (Sistema de Gestión de la IA). No partáis de cero. Si vuestra empresa ya cumple con normativas sectoriales o tiene implementadas la ISO 27001 (Seguridad) o la ISO 31000 (Riesgos), el enfoque debe ser la integración. La clave técnica aquí es el diseño de una Declaración de Aplicabilidad, mapeando los controles de mitigación de riesgos (desde la calidad de los datos de entrenamiento hasta la ciberseguridad) e insertándolos en el ciclo de mejora continua (Plan-Do-Check-Act) de la compañía.
Pregunta para el C-Suite: ¿Tenemos ya asignado presupuesto y un "dueño" (CAIO o equivalente) para liderar la auditoría de nuestro Sistema de Gestión de IA antes de final de año?
2. Triaje de la cartera de modelos: Riesgos y Evaluaciones de Conformidad
No toda la IA es igual, y el Reglamento aplica un enfoque basado en el riesgo. Muchos algoritmos predictivos que llevan años operando en recursos humanos (ej. selección de personal), scoring crediticio o biometría, caen ahora en la categoría de Alto Riesgo (Anexo III).
El hito directivo: Antes de cerrar el año, la dirección debe tener sobre la mesa un inventario exhaustivo de todos los sistemas de IA en uso o desarrollo, clasificados por su nivel de riesgo legal. Para los sistemas de Alto Riesgo, debéis decidir el camino de la Evaluación de la Conformidad. Como indica la norma, dependiendo del sistema, podréis optar por una autoevaluación de control interno o necesitaréis pasar por un Organismo Notificado externo. Además, para quienes despliegan estos sistemas, es el momento de planificar las obligatorias Evaluaciones de Impacto en los Derechos Fundamentales, calculando la probabilidad e impacto de posibles sesgos o discriminaciones.
Pregunta para el C-Suite: ¿Sabemos exactamente qué modelos "legacy" (pre-2024) que operan como cajas negras dentro de nuestra empresa deben ser retirados o re-evaluados urgentemente?
3. Protocolos de Transparencia y Vigilancia Humana (Human-in-the-loop)
La opacidad algorítmica es el mayor riesgo reputacional y legal de 2026. El reglamento exige que los sistemas sean explicables y que exista una supervisión humana efectiva (Art. 14). No basta con poner a un empleado a hacer clic en "Aceptar" frente a una pantalla.
El hito directivo: Implementar la gobernanza de la vigilancia humana (Human-in-the-loop o HITL). La alta dirección debe garantizar que los equipos operativos entienden la lógica del sistema (interpretabilidad). Una práctica altamente recomendable para el Q4 es realizar simulaciones o pruebas de "error forzado" en entornos de pre-producción. Esto consiste en introducir salidas erróneas deliberadas para evaluar si los empleados confían ciegamente en la máquina (sesgo de automatización) o si mantienen una capacidad crítica de vigilancia e intervención, incluyendo la capacidad de detener el sistema de forma segura.
Pregunta para el C-Suite: ¿Están nuestros empleados formados no solo para usar la IA, sino para contradecirla cuando el algoritmo se equivoca?
Afrontar el EU AI Act no tiene por qué paralizar la innovación si se aborda desde la estrategia y no desde el pánico. El objetivo de este último trimestre de 2026 no es tener un cumplimiento perfecto y absoluto —eso es un proceso iterativo—, sino demostrar diligencia debida, control de la infraestructura y gobierno corporativo.
El reloj regulatorio ya está en marcha. ¡A por el último trimestre!
Comentarios