Sus Empleados Ya Están Usando Herramientas de IA que Nadie Aprobó. Ahí Es Donde Realmente Vive la Mayor Parte del Uso Real.

Depende de su rol (proveedor o desplegador) y del nivel de riesgo de cada sistema, las obligaciones van desde la alfabetización en IA, ya activa, hasta requisitos exigentes de alto riesgo que se implantan más adelante durante los próximos años. No hay una única respuesta que aplique a toda una organización a la vez; la respuesta honesta requiere clasificar cada sistema de IA individualmente antes de que las obligaciones específicas queden claras.

Por fases, la alfabetización en IA y la transparencia de IA generativa aplican ya; los requisitos más estrictos para sistemas de alto riesgo se aplican más adelante, en un calendario escalonado fijado en el propio reglamento. Tratar el Act como un único plazo en lugar de un conjunto de obligaciones por fases es un malentendido común y costoso, ya que algunos requisitos ya son exigibles mientras otros aún tienen margen para prepararse bien.

Se determina por aplicación de IA según si usted construyó o comercializa el sistema o simplemente lo usa dentro de su propia operación, la mayoría de las organizaciones son desplegadoras para la mayoría de sus herramientas, pero eso no es automáticamente cierto para cada sistema, en particular cualquier aplicación construida internamente o muy personalizada. La clasificación debe comprobarse sistema por sistema, no asumirse para la organización en su conjunto.

Combine entrevistas por departamento, una encuesta a empleados, desk research sobre compras o licencias, y señales de uso de IT, ninguna fuente única lo capta todo, y depender solo de una típicamente pierde una parte significativa de lo que realmente está en uso. Las entrevistas por departamento revelan lo que la gente sabe que usa; las encuestas a empleados y las señales de IT suelen sacar a la luz las herramientas que nadie pensó en mencionar porque dejaron de verlas como algo distinto de su flujo de trabajo normal.

Puntúe cada aplicación frente a los cuatro niveles del Act, riesgo inaceptable, alto, limitado o mínimo, según lo que el sistema realmente hace y a quién afecta, no según lo sofisticada o novedosa que parezca la tecnología subyacente. Un sistema simple usado en un contexto de alto impacto puede conllevar más riesgo regulatorio que uno sofisticado usado en algo de bajo impacto, por lo que la clasificación debe seguir el caso de uso, no la complejidad técnica.

Un requisito ya activo para garantizar que el personal entiende los sistemas de IA que usa, se cumple con formación específica por rol y registro que demuestre su finalización, en lugar de una única sesión genérica impartida una vez a toda la empresa. El registro importa porque la obligación no es solo ofrecer formación; es poder demostrar, si se pregunta, que las personas adecuadas la completaron de verdad.

Inclúyalas en el inventario mediante una encuesta y señales de IT en lugar de solo listas oficiales, esto suele ser donde vive la mayor parte del uso real, precisamente porque ocurrió fuera de cualquier proceso de aprobación existente. Tratar el uso no aprobado como algo que castigar en lugar de inventariar suele empujarlo más al terreno oculto, haciendo el panorama de riesgo real más difícil de ver, no más fácil.

Defínalo explícitamente por sistema en el marco de gobierno, roles, rutas de escalado y puntos de supervisión humana deben asignarse de antemano, porque intentar averiguar la responsabilidad después de que algo ya haya ido mal es una conversación mucho más difícil y conflictiva que decidirlo con calma de antemano. Todo sistema del inventario debería tener una respuesta clara a esta pregunta antes de entrar en uso en producción.

Defina qué decisiones requieren aprobación humana y cuándo, integrado en su estructura de riesgo y compliance ya existente en lugar de construido como un proceso paralelo separado específico para IA. La supervisión humana integrada en un marco de riesgo ya existente tiende a mantenerse; la supervisión construida como sistema autónomo propio tiende a ser lo primero que deja de ocurrir en silencio cuando la atención inicial se desplaza a otro sitio.

Gobierno y controles, reglas de supervisión humana, roles y rutas de escalado, y monitorización continua, alineados con su proceso de riesgo ya existente, en lugar de un documento independiente escrito para satisfacer una casilla de compliance y nunca vuelto a consultar. Una política que no está integrada en cómo la organización ya gestiona el riesgo tiende a existir solo sobre el papel, desconectada de cómo se usan realmente los sistemas de IA día a día.

Mantenga un registro trazable, qué sistemas, qué categoría de riesgo, quién es responsable, qué obligaciones se cumplen, y dónde queda riesgo abierto, actualizado de forma continua en lugar de ensamblado a posteriori cuando un regulador realmente pregunta. Un registro construido solo cuando se necesita suele estar incompleto y desfasado; uno mantenido continuamente como parte del gobierno normal es la versión que realmente resiste el escrutinio.

Integre la monitorización en el marco de gobierno desde el principio, para que siga funcionando tras el lanzamiento en lugar de detenerse cuando el proyecto se cierra y la atención de todos pasa a la siguiente iniciativa. Un sistema cuidadosamente gobernado durante el despliegue pero nunca monitorizado después tiende a derivar en silencio fuera de cumplimiento a medida que cambian con el tiempo los patrones de uso y los datos subyacentes.

Sí, las herramientas estándar igualmente procesan datos de la empresa y respaldan decisiones, y las obligaciones de inventario y clasificación aplican independientemente de si usted construyó el sistema o simplemente se suscribió a él. Usar una herramienta comercial conocida no exime a una organización de clasificar cómo se usa ni de garantizar la supervisión adecuada en torno a las decisiones que influye.

Intégrelo en su estructura actual en lugar de construir un segundo proceso paralelo, una vía de gobierno de IA independiente se ignora en un año, típicamente una vez que el impulso inicial de compliance que la creó ha dejado de ser prioridad. El gobierno que vive dentro de la misma estructura que su organización ya usa para otros tipos de riesgo tiende a sobrevivir porque lo mantiene la misma disciplina continua, no un esfuerzo separado y puntual.

Un resumen corto y trazable, qué sistemas funcionan, en qué categoría de riesgo, quién es responsable, qué obligaciones se cumplen, y dónde está el riesgo abierto, en lugar de un extenso informe técnico que la mayoría de los miembros del consejo no tendrán tiempo de revisar en detalle. El objetivo es que el consejo pueda responder, con confianza, si la organización realmente conoce su propio panorama de riesgo de IA, no un registro de auditoría exhaustivo por sí mismo.