Cumplir empieza por saber qué se está usando

El AI Act para pymes no debería interpretarse como una invitación al miedo ni como una excusa para no usar inteligencia artificial. Es, sobre todo, una llamada al orden. Muchas empresas ya tienen IA dentro aunque no la llamen proyecto: asistentes de redacción, herramientas de análisis, chatbots, automatizaciones con modelos generativos, funciones inteligentes en CRM, plataformas de selección, soluciones de atención al cliente o sistemas que clasifican información. El primer riesgo es no saberlo.

La regulación europea establece un enfoque basado en riesgos. Algunas prácticas están prohibidas, algunos sistemas se consideran de alto riesgo y otros tienen obligaciones de transparencia o buenas prácticas. Una pyme que usa IA para redactar borradores comerciales no está en la misma situación que una entidad que la usa para evaluar personas, decidir accesos, priorizar solicitudes sensibles o influir en derechos. La diferencia importa.

España cuenta además con AESIA como organismo de referencia en supervisión de IA, y la Comisión Europea mantiene información oficial sobre el marco regulatorio. Para una pyme, la lectura práctica es clara: no hace falta empezar con un documento enorme, pero sí con un inventario serio de usos y decisiones.

El inventario de IA: pequeño, concreto y vivo

El primer documento útil es un inventario. Qué herramientas con IA se usan, en qué departamento, para qué finalidad, con qué datos, quién las gestiona, qué decisiones apoyan y qué nivel de revisión humana existe. Este inventario puede empezar en una hoja estructurada o en una plataforma interna, pero debe tener dueño y actualizarse. Si se queda como foto puntual, pierde valor.

El inventario suele revelar usos informales. Personas que suben documentos a herramientas externas para resumirlos. Equipos que usan extensiones del navegador. Departamentos que prueban automatizaciones sin comunicarlo. No siempre hay mala intención; muchas veces hay ganas de ser más eficientes. Pero la empresa necesita saber qué datos salen, qué condiciones acepta y qué riesgos asume.

Este ejercicio también ayuda a separar usos de bajo riesgo de usos que merecen más atención. No todo requiere el mismo nivel de control. La madurez consiste precisamente en no aplicar el mismo peso a todo.

Preguntas para clasificar riesgos

Una pyme puede empezar con preguntas sencillas. ¿La IA trabaja con datos personales? ¿Con datos sensibles? ¿Afecta a empleados, candidatos, pacientes, alumnos, clientes vulnerables o beneficiarios? ¿Toma decisiones o solo propone? ¿Hay una persona que revisa antes de actuar? ¿Puede explicar la empresa por qué se tomó una decisión? ¿Se conserva registro? ¿Hay alternativa humana?

También conviene preguntar si la herramienta se usa en un proceso crítico. Un error en una propuesta comercial puede corregirse. Un error en una evaluación de riesgo, una selección de personal o una priorización de atención puede tener consecuencias mayores. La clasificación no debe hacerse solo por tecnología, sino por contexto de uso.

Estas preguntas no sustituyen asesoramiento legal cuando haga falta, pero permiten a dirección distinguir entre experimentos inocuos y usos que necesitan gobierno. Y esa distinción evita dos errores: bloquearlo todo por prudencia excesiva o permitirlo todo por desconocimiento.

Supervisión humana real, no decorativa

El concepto de supervisión humana aparece con frecuencia en IA responsable, pero muchas empresas lo aplican de forma débil. No basta con decir que “una persona revisa”. Hay que definir qué revisa, cuándo, con qué criterio y qué capacidad tiene para corregir o detener el proceso. Si la persona solo firma lo que la máquina propone porque no tiene tiempo ni información, la supervisión es decorativa.

En pymes, esto se puede resolver con diseños simples. Borradores que no se envían sin aprobación. Clasificaciones que muestran confianza y fuente. Alertas que recomiendan, pero no bloquean. Registros donde se ve quién validó. Reglas para casos dudosos. Formación mínima para que el equipo entienda límites de la herramienta.

La supervisión bien diseñada no frena la eficiencia. La hace defendible. Permite usar IA en procesos internos sin perder criterio humano ni responsabilidad empresarial.

Documentar sin ahogar la operación

Uno de los miedos habituales es que el cumplimiento convierta la IA en una montaña de papeles. Ese riesgo existe si se aborda de forma burocrática. Pero una documentación práctica puede ser ligera y útil: finalidad del uso, datos tratados, herramienta empleada, responsable, revisión humana, riesgos previstos, medidas de mitigación y fecha de revisión.

Esta documentación sirve también para mantenimiento. Si dentro de seis meses cambia la herramienta, el proveedor o el proceso, la empresa sabe qué revisar. Si hay una incidencia, puede reconstruir lo ocurrido. Si se incorpora una persona nueva, entiende el criterio. Si dirección quiere ampliar el uso, no parte de cero.

ReÁnima suele enfocar estos trabajos como arquitectura operativa, no solo como cumplimiento. La documentación buena no vive aparte del sistema; ayuda a gestionarlo.

IA responsable como ventaja de confianza

Para muchas pymes, el AI Act será una obligación indirecta antes de ser una obligación directa. Clientes grandes, administraciones, centros educativos, entidades sanitarias o partners pueden pedir garantías sobre cómo se usa la IA. Quien tenga inventario, criterios y registros responderá mejor que quien tenga solo entusiasmo.

Además, ordenar la IA reduce dependencia de proveedores. Si la empresa entiende qué hace cada herramienta y qué datos toca, puede cambiar, negociar o sustituir con más criterio. El cumplimiento se convierte así en una forma de dirección tecnológica.

La clave es empezar pequeño: inventario, clasificación, responsables, supervisión y revisión. No hace falta esperar a tenerlo todo perfecto. Hace falta dejar de operar a ciegas.

Casos de uso habituales que conviene revisar

Hay usos de IA que muchas pymes adoptan sin darse cuenta de que merecen una revisión mínima. El primero es atención al cliente: si un asistente responde dudas, debe saber cuándo derivar a una persona y qué información puede prometer. El segundo es recursos humanos: cualquier herramienta que ayude a filtrar candidaturas, valorar perfiles o resumir entrevistas debe tratarse con especial prudencia. El tercero es análisis de clientes: segmentar, priorizar o puntuar oportunidades puede afectar decisiones comerciales relevantes.

También aparecen usos en educación, salud privada, entidades sociales y servicios profesionales. Resumir expedientes, clasificar solicitudes, preparar informes o recomendar próximos pasos puede ser útil, pero requiere controlar datos, permisos y revisión. La pregunta no es si se usa IA, sino si la empresa puede explicar qué papel tiene esa IA dentro del proceso.

Un mapa de casos de uso permite ordenar prioridades. Quizá algunas herramientas solo necesiten una política básica. Otras requerirán documentación, formación y controles. Y algunas deberían pausarse hasta que el proceso esté mejor definido. Esa capacidad de distinguir es lo que convierte el cumplimiento en gestión real.

Hablemos con criterio antes de mover ficha

Si tu pyme ya usa IA pero no tiene claro dónde, con qué datos y bajo qué responsabilidad, es buen momento para hacer un mapa práctico. En ReÁnima podemos ayudarte a ordenar usos, riesgos y procesos para que la IA avance con criterio y sin burocracia innecesaria.