Autodiagnóstico: ¿en qué situación está su empresa frente al AI Act?

1.¿Se utilizan herramientas de IA en su empresa (ChatGPT, Copilot, Gemini, funciones de «IA» integradas en su software de gestión, traducción automática…), aunque sea de manera informal o sin autorización expresa?

Por qué importa: La mayoría de las obligaciones dependen de qué se usa y para qué. En muchas pymes hay más IA en uso de la que la dirección conoce.

2.¿Dispone de un inventario escrito y actualizado de qué herramientas de IA se usan, en qué procesos, por quién y con qué datos?

Por qué importa: Sin inventario no se puede saber qué obligaciones aplican. Es el punto de partida de cualquier análisis serio.

3.¿Tiene un chatbot o asistente virtual de cara a clientes (web, WhatsApp, atención telefónica automatizada)?

Por qué importa: Desde el 2 de agosto de 2026, las personas deben poder saber que están interactuando con una IA (obligación de transparencia del artículo 50).

4.¿Publica contenido generado o retocado con IA (textos, imágenes, vídeo o audio) en su web, redes sociales o comunicaciones comerciales?

Por qué importa: Determinado contenido sintético debe identificarse como tal desde el 2 de agosto de 2026. No es complicado de resolver, pero hay que saberlo.

5.¿Utiliza herramientas con IA en selección de personal o en decisiones sobre empleados (filtrado de currículos, evaluación del desempeño, asignación de tareas o turnos)?

Por qué importa: Varios usos de IA en RR. HH. están previstos como «alto riesgo» en el anexo III, con obligaciones específicas aplicables desde el 2 de diciembre de 2027. Hay tiempo, pero conviene clasificarlos antes de esa fecha.

6.¿Se introducen datos personales o información sensible en herramientas de IA (datos de clientes o empleados, información financiera, de salud, secretos comerciales) al escribir prompts o subir documentos?

Por qué importa: Aquí el AI Act convive con el RGPD, que ya está plenamente en vigor. Es el punto donde más pymes tienen exposición real hoy.

7.¿Ha recibido su personal formación sobre uso responsable de la IA, con constancia documental de quién la recibió, cuándo y con qué contenido?

Por qué importa: La obligación de alfabetización en IA (artículo 4) aplica desde el 2 de febrero de 2025. No exige un curso oficial ni homologado: exige medidas adaptadas a su contexto, y poder acreditarlas.

8.¿Evalúa a los proveedores de IA antes de contratarlos — qué hacen con sus datos, dónde los alojan, qué garantías contractuales ofrecen?

Por qué importa: Como empresa usuaria, buena parte de su posición depende de lo que su proveedor haga y de lo que usted pueda exigirle por contrato.

9.¿Existe supervisión humana definida de los resultados de la IA — una persona concreta que revisa las salidas relevantes antes de que afecten a clientes o empleados?

Por qué importa: La supervisión humana convierte una herramienta útil en una herramienta gobernada. Es de las evidencias más valoradas si hay que demostrar diligencia.

10.¿Registra las incidencias relacionadas con IA (errores relevantes, filtraciones de información, reclamaciones de clientes, resultados incorrectos o discriminatorios)?

Por qué importa: Sin registro no hay aprendizaje ni evidencia. Un registro sencillo, mantenido de verdad, vale más que una política extensa que nadie aplica.