El 2 de agosto de 2026 entró en aplicación el grueso del Reglamento (UE) 2024/1689, el AI Act. Podríamos haber escrito el artículo teórico de rigor. En su lugar hemos hecho otra cosa: aplicarlo a nuestra propia web y contar lo que nos encontramos, incluidas las partes incómodas.
Va bien porque somos un caso normal. No desarrollamos modelos: usamos IA de terceros para funcionalidades concretas. Es exactamente la situación de la mayoría de las empresas que van a leer esto.
Lo primero fue el inventario, y salió más de lo que recordábamos
La pregunta parece trivial: ¿dónde usamos IA? La respuesta de memoria fue «en el chat del blog y en la corrección de ejercicios del campus». La respuesta real, al revisar el código, fueron ocho funcionalidades: los dos chats, el tutor de dudas del campus, la corrección de respuestas abiertas, la corrección de ejercicios de Excel, la narración de lecciones con voz sintética, la corrección de frases en nuestra app de inglés para niños, y varios análisis internos.
Esto es el patrón, no la excepción. La IA entra por goteo: una función que activa un proveedor en una actualización, una integración que alguien montó para un caso concreto. Si no tienes inventario, tu cumplimiento se apoya en lo que alguien recuerda.
Sin inventario no puedes hacer nada de lo demás: ni clasificar riesgo, ni declarar transparencia, ni formar a nadie sobre lo que no sabes que existe.
El agujero más claro: un asistente que no decía que era una IA
El artículo 50 pide algo simple: que quien interactúa con un sistema de IA lo sepa. Nuestro chat del blog ya lo decía. Pero el recomendador de certificaciones —un asistente que pregunta por tu rol y te sugiere qué certificación encaja— abría así:
«¡Hola! Te ayudo a elegir la certificación que más te conviene.»
Ni una palabra sobre que era una IA. Nadie lo decidió: se escribió ese saludo antes de que la transparencia fuera una obligación y nadie volvió a mirarlo.
Es el incumplimiento típico del artículo 50. No es mala fe, es un descuido que sobrevive porque nadie audita los textos de un widget que funciona bien. Arreglarlo costó una línea. Encontrarlo costó revisar uno por uno todos los puntos donde una IA habla con una persona.
Si solo vas a hacer una cosa después de leer esto, que sea esa revisión.
Lo que no puedes declarar si no lo cumples
Aquí viene la parte incómoda, y es la que más nos enseñó.
Al redactar la sección de IA de nuestra política de privacidad íbamos a declarar que las conversaciones con los asistentes se conservan 12 meses. Suena razonable, queda bien y es el tipo de frase que aparece en muchas políticas.
Al ir a comprobarlo, resulta que no existía ninguna purga automática. Ese plazo no se cumplía: era una intención, no un hecho.
Así que no lo escribimos. La política declara el criterio de conservación en vez de un plazo, y el plazo concreto —con su borrado automático— quedó anotado como pendiente real, no como texto bonito.
La lección es general: una política que declara lo que no haces es peor que no tener política. Si alguien la audita, no encuentra un despiste: encuentra una declaración falsa. Y en protección de datos eso pesa bastante más.
La parte que casi nadie mira: dónde tu producto roza el alto riesgo
El AI Act clasifica como alto riesgo (anexo III) los sistemas que evalúan resultados de aprendizaje en formación profesional. Nosotros tenemos un campus donde la IA corrige ejercicios y pone nota, y emitimos certificados.
¿Somos alto riesgo? Nuestro análisis dice que no, y la razón importa: el artículo 6(3) exime a los sistemas que realizan una tarea procedimental estrecha y no determinan por sí solos el resultado. En nuestro caso la nota es orientativa, admite reintentos y no es la barrera que decide el certificado — y hay revisión humana real, no teórica: un tutor lee las dudas y responde.
Lo relevante no es la conclusión, es que esa exención hay que poder demostrarla. Así que está documentada, y con una condición escrita: si algún día la nota de IA pasara a ser la única barrera para certificar, la funcionalidad cambia de categoría y cambian las obligaciones.
Casi todas las empresas tienen un rincón así. Suele estar en RRHH (cribado de currículums), en atención al cliente (análisis de sentimiento, que puede rozar la prohibición de reconocimiento de emociones) o en cualquier sitio donde un sistema puntúe a personas. Encontrar el tuyo es más importante que ordenar los otros diez usos inocuos.
La transparencia, en una página pública
Todo lo anterior está en /ia: dónde usamos IA, qué hace una persona en cada caso, qué datos salen hacia el modelo y cómo pedir revisión humana.
Publicarlo cumple el artículo 50. Pero hay una razón práctica que descubrimos por el camino: es la página que un cliente puede enviar a su responsable de protección de datos. En una venta B2B, la pregunta «¿cómo usáis la IA con nuestros datos?» aparece cada vez más, y responderla con un enlace en vez de con tres semanas de correos es ventaja comercial pura.
Cumplir y vender no estaban en lados opuestos. Esa fue la sorpresa.
Dos cosas que puedes usar hoy
Del trabajo salieron dos piezas que hemos publicado para que no tengas que empezar de cero:
El checklist de preparación para el AI Act. 18 preguntas en 6 áreas —inventario, alfabetización, transparencia, usos prohibidos, datos y proveedores, gobernanza—, cinco minutos, y un informe en PDF que dice qué hacer en cada una según cómo hayas respondido. Es el mismo recorrido que hicimos nosotros, ordenado.
El curso gratuito de alfabetización en IA. Noventa minutos que cubren la obligación del artículo 4, que es la que más gente desconoce: desde febrero de 2025 hay que garantizar un nivel suficiente de alfabetización en IA en quien la usa por cuenta de la organización. No pide un máster; pide que quien usa estas herramientas entienda qué está usando y bajo qué reglas.
El curso termina con un certificado nominal y verificable, y eso no es decoración: es el registro de que una persona concreta se formó en una fecha concreta. Exactamente la evidencia que el artículo 4 te va a pedir poder enseñar.
Lo que nos llevamos
Tres cosas, por si te ahorran tiempo:
1. El inventario primero. Todo lo demás depende de él, y siempre hay más IA de la que recuerdas. 2. Revisa los textos, no solo la arquitectura. El incumplimiento más claro que teníamos era un saludo. 3. No declares lo que no cumples. Es la tentación más fácil de todo este trabajo y la que peor envejece.
Y una cuarta, más de fondo: casi nada de esto fue trabajo de abogados. Fue decidir, escribir y formar. La parte jurídica importa cuando tienes un uso de alto riesgo de verdad; para el resto, lo que falta es que alguien se siente a mirarlo.
Si quieres formar a tu equipo y poder demostrarlo, esto mismo lo damos en formato in-company, adaptado a vuestras herramientas y a vuestros casos reales. Y si prefieres empezar por saber dónde estás, el checklist son cinco minutos.
Este artículo describe nuestro propio proceso y no es asesoramiento jurídico. Para decisiones concretas sobre tu caso, consulta con quien lleve el asunto legal en tu organización. Si buscas el marco general de RGPD y AI Act, lo cubrimos en Legalidad de la IA en la empresa.