Hasta hace poco, hablar de compliance en una pyme significaba, sobre todo, hablar de protección de datos, prevención de blanqueo o riesgos laborales. Hoy hay que sumar un nuevo capítulo: el compliance en inteligencia artificial. Si tu empresa usa ChatGPT, Copilot, un CRM con IA integrada o cualquier otra herramienta que automatice decisiones, ya tienes obligaciones legales concretas que cumplir, algunas de ellas exigibles desde febrero de 2025.
En este artículo te explicamos qué es el compliance en IA, qué normativa lo regula y cómo integrarlo, paso a paso, en el plan de compliance que ya tenga tu empresa.
Qué es el compliance en inteligencia artificial
El compliance en inteligencia artificial es el conjunto de políticas, controles y procesos internos que permiten a una empresa usar sistemas de IA —propios o de terceros— de forma legal, segura y responsable. No consiste solo en «no usar la IA para hacer cosas prohibidas», sino en poder demostrar, con documentación y procedimientos, que el uso que se hace de estas herramientas está controlado y es conforme a la normativa.
No es solo para tecnológicas: afecta a quien usa la IA, no solo a quien la crea
A diferencia de lo que se suele pensar, esto no afecta solo a grandes tecnológicas que desarrollan modelos de IA. El Reglamento Europeo de Inteligencia Artificial distingue entre proveedores (quienes desarrollan o comercializan sistemas de IA) y responsables del despliegue o deployers (quienes los utilizan en su actividad, bajo su propia autoridad). La inmensa mayoría de pymes y profesionales entran en esta segunda categoría simplemente por usar herramientas de IA generativa en su día a día: redactar correos, resumir documentos, generar contenido de marketing o cribar currículums. Si tu equipo usa este tipo de herramientas, ya eres sujeto obligado.
El marco normativo del compliance en IA
El compliance en IA no se construye desde cero: se apoya en varias normas que ya conocemos bien, ampliadas por el nuevo Reglamento europeo.
El Reglamento Europeo de IA y su calendario de aplicación
El Reglamento Europeo de Inteligencia Artificial (Reglamento UE 2024/1689) es la norma central. Establece un enfoque basado en el riesgo, con obligaciones distintas según el sistema se considere de riesgo inaceptable, alto, limitado o mínimo. No entra en vigor de golpe: se aplica de forma progresiva. Los capítulos I y II —que incluyen las prácticas prohibidas y la obligación de alfabetización en IA— son exigibles desde el 2 de febrero de 2025. Otras obligaciones, como las relativas a modelos de IA de uso general y gobernanza, se aplican desde agosto de 2025, y el grueso del Reglamento será plenamente aplicable a partir del 2 de agosto de 2026, con algunas obligaciones específicas para sistemas de alto riesgo aplazadas hasta 2027.
RGPD y LOPDGDD: siguen mandando sobre los datos
El RGPD y la LOPDGDD siguen aplicándose en paralelo, no desaparecen. Cualquier sistema de IA que trate datos personales —y la mayoría lo hace— debe respetar los principios de licitud, minimización, transparencia y limitación de la finalidad, contar con una base jurídica adecuada y, cuando corresponda, someterse a una evaluación de impacto. La AEPD ha publicado guías y recomendaciones específicas sobre el uso de IA en tratamientos de datos personales, insistiendo en la necesidad de valorar el origen de los datos de entrenamiento y los riesgos para las personas afectadas.
La normativa laboral y la transparencia algorítmica
Cuando la IA se usa para gestionar personas —control de rendimiento, asignación de tareas, procesos de selección—, entran en juego también las obligaciones de información a la representación legal de los trabajadores y, en general, los principios de transparencia algorítmica que ya recoge nuestro ordenamiento laboral. Usar IA para tomar decisiones sobre plantilla sin informar ni justificar adecuadamente el proceso puede generar responsabilidad más allá del propio Reglamento IA.
AESIA: el supervisor español
A todo lo anterior se suma el papel de la AESIA (Agencia Española de Supervisión de Inteligencia Artificial), la autoridad española encargada de vigilar el cumplimiento del Reglamento IA y de emitir directrices de aplicación en nuestro país, y que trabaja de forma coordinada con la AEPD en todo lo que tiene que ver con protección de datos e IA.
Clasificación de riesgos: prácticas prohibidas, alto riesgo y riesgo limitado
Diseñar un plan de compliance en IA empieza por clasificar correctamente cada sistema que usa tu empresa, porque las obligaciones son muy distintas según el nivel de riesgo:
- Prácticas prohibidas (riesgo inaceptable). Desde febrero de 2025 están terminantemente prohibidas, entre otras, las técnicas subliminales o manipuladoras que alteren el comportamiento de las personas de forma que les cause un perjuicio, la explotación de vulnerabilidades de colectivos concretos (por edad, discapacidad o situación social o económica) y los sistemas de puntuación social de ciudadanos.
- Alto riesgo. Incluye sistemas usados en selección de personal, evaluación de solvencia crediticia, acceso a servicios públicos esenciales, educación o determinados usos sanitarios y de seguridad. Estos sistemas concentran las obligaciones más exigentes: gestión de riesgos, calidad de los datos, documentación técnica, registro y supervisión humana.
- Riesgo limitado. Aquí se sitúan, por ejemplo, los chatbots o los sistemas que generan contenido sintético (texto, imagen, audio o vídeo). La obligación principal es de transparencia: la persona debe poder saber que está interactuando con un sistema de IA o que un contenido ha sido generado artificialmente.
- Riesgo mínimo. El resto de aplicaciones, sin obligaciones específicas más allá de las buenas prácticas generales.
El primer paso: inventariar lo que ya usas (aunque no lo hayas «comprado»)
Clasificar correctamente cada herramienta que usa tu empresa —incluidas las que no has «comprado» expresamente, sino que vienen integradas en programas de gestión, CRMs o plataformas de marketing— es el primer paso de cualquier plan de compliance en IA serio. Para los sistemas que automatizan decisiones sobre personas, ese análisis se completa con una auditoría ética de algoritmos.
Políticas internas de uso de IA (ChatGPT y herramientas generativas en el trabajo)
Uno de los puntos que más preguntas genera en las empresas es cómo regular el uso cotidiano de herramientas como ChatGPT, Copilot o Gemini por parte de la plantilla.
Qué debe incluir la política como mínimo
- Qué herramientas están autorizadas y cuáles no, especialmente si implican volcar información de la empresa o de clientes en plataformas externas.
- Qué tipo de información no puede introducirse nunca en estas herramientas: datos personales de clientes o empleados, información confidencial, secretos comerciales.
- Quién es responsable de revisar y validar los resultados generados por IA antes de usarlos, sobre todo en documentos, comunicaciones o decisiones con relevancia jurídica.
- Cómo se identifica el contenido generado o asistido por IA, cuando así lo exija la normativa o la relación con el cliente.
- Un canal claro para que la plantilla pueda consultar dudas o reportar usos indebidos.
Por qué esta política es tu mejor aliada
Esta política no solo reduce riesgos legales: es, además, la vía más práctica para cumplir con la obligación de alfabetización en IA que exige el artículo 4 del Reglamento IA, porque formaliza por escrito los criterios que la empresa espera que su equipo aplique.
Formación y alfabetización en IA: obligación en vigor desde febrero de 2025
Desde el 2 de febrero de 2025 es exigible el artículo 4 del Reglamento IA, que obliga tanto a los proveedores como a los responsables del despliegue de sistemas de IA a adoptar medidas para garantizar que su personal —y cualquier otra persona que use estos sistemas en su nombre— cuenta con un nivel suficiente de alfabetización en IA. Se trata de una obligación transversal: no depende del tamaño de la empresa ni exige un curso oficial o una certificación concreta, pero sí exige poder demostrar que se han adoptado medidas reales, adaptadas al perfil de cada persona y al contexto en el que utiliza la IA.
Qué implica cumplirla en la práctica
- Evaluar qué nivel de conocimiento sobre IA tiene realmente tu equipo, según sus funciones.
- Diseñar acciones formativas proporcionadas —desde sesiones internas hasta materiales escritos— sobre los riesgos, límites y buenas prácticas de las herramientas de IA que se usan en la empresa.
- Documentar qué formación se ha impartido, a quién y cuándo, porque esa documentación es la que permite acreditar el cumplimiento ante una eventual inspección de la AESIA.
Conviene tener claro que esta obligación no busca «acelerar» el uso de la IA en la empresa, sino garantizar que, cuando se use, se haga con conocimiento suficiente de sus riesgos.
Cómo integrar la IA en el plan de compliance existente, paso a paso
Si tu empresa ya cuenta con un programa de compliance —de protección de datos, prevención de blanqueo o riesgos laborales—, no hace falta construir uno nuevo desde cero para la IA. Se trata de integrarla como un capítulo más, siguiendo estos pasos:
- Inventario de sistemas de IA. Identifica todas las herramientas de IA que se usan en la empresa, incluidas las que vienen integradas en otros programas.
- Clasificación por nivel de riesgo. Aplica la clasificación del Reglamento IA a cada sistema identificado.
- Revisión de la base jurídica y del tratamiento de datos. Comprueba que cada uso está amparado por el RGPD y la LOPDGDD, y valora si es necesaria una evaluación de impacto.
- Política interna de uso de IA. Redacta y difunde una política clara, alineada con la del resto del compliance de la empresa.
- Plan de formación y alfabetización. Diseña e implanta las acciones formativas necesarias y documenta su realización.
- Canal de supervisión y revisión periódica. Designa quién revisa el cumplimiento de estas obligaciones y con qué periodicidad, igual que ya se hace con el resto de áreas de compliance.
Integrar la IA en tu compliance existente, en lugar de tratarla como un asunto aparte, es la forma más eficiente de cumplir con el Reglamento IA sin duplicar esfuerzos ni generar una carga desproporcionada para tu empresa.
Pon en orden el uso de la IA en tu empresa antes de que lo haga una inspección
El compliance en inteligencia artificial ya no es un tema de futuro: desde febrero de 2025 hay obligaciones concretas y exigibles, especialmente en materia de prácticas prohibidas y alfabetización en IA, y el resto del Reglamento se irá desplegando hasta 2027. Adelantarte, clasificar correctamente tus sistemas y documentar tus políticas y formaciones es la mejor forma de evitar sanciones y de transmitir confianza a clientes y empleados.
En DEME Soluciones 360 podemos ayudarte a revisar qué sistemas de IA usa tu empresa, clasificarlos y diseñar el plan de compliance que necesitas, integrado con tu cumplimiento en protección de datos.
Contáctanos aquí y lo ponemos en marcha.
Beatriz Sancho es especialista en protección de datos y cumplimiento normativo. Con experiencia en el sector energético y financiero, completó un Máster en Protección de Datos y Acceso a la Abogacía. Tras ejercer en Canarias, regresó a Zaragoza y en 2023 se unió a DEME Soluciones 360, aportando su experiencia legal en auditoría y consultoría.