Qué normativas regulan el uso de IA en empresas

El problema no es la tecnología, es no saber qué se automatizó

Una empresa de manufactura mediana en México instala un sistema de visión artificial para detectar defectos en su línea de producción. Funciona bien durante meses. Un día, un cliente corporativo pregunta por escrito qué datos captura la cámara, quién revisa esas imágenes y bajo qué criterio se descarta una pieza. Nadie en la empresa tiene una respuesta documentada. El sistema funciona, pero no existe ningún papel que explique cómo decide.

Ese es el problema real, no la letra de una ley. La mayoría de empresas que usan IA hoy no se han preguntado si necesitan cumplir alguna normativa porque asumen que las reglas son para bancos grandes o para empresas de tecnología en otro país. La realidad es distinta: cualquier empresa que procese datos personales con un sistema automatizado, o que use IA para decidir sobre personas (contratación, crédito, atención al cliente, priorización de reclamos), ya está dentro del radio de alguna norma vigente, aunque nadie se lo haya explicado así.

El dolor no aparece cuando se instala el sistema. Aparece meses después, cuando un cliente, un proveedor, un empleado o un regulador pregunta cómo funciona esa decisión automatizada y la empresa no tiene nada concreto que mostrar. Para entonces, reconstruir esa información hacia atrás cuesta mucho más que haberla llevado desde el primer día.

Qué son las normativas de IA, en criterio de negocio

Antes de hablar de reglamentos específicos de inteligencia artificial, conviene entender el criterio que está detrás de casi toda norma que está apareciendo en el mundo: no regulan la tecnología en abstracto, regulan el uso y el riesgo de ese uso sobre las personas. Un modelo que clasifica fotos de productos y otro que decide si alguien recibe un crédito no reciben el mismo trato, aunque los dos sean inteligencia artificial.

Esto cambia la pregunta que debería hacerse una empresa. No es «¿qué modelo estoy usando?», sino «¿qué decido con este modelo y sobre quién?». La misma tecnología puede estar en una zona tranquila o en una zona de control estricto según el caso de uso concreto. Esa traducción, de tecnología a decisión, es la que todavía le falta a la mayoría de equipos legales y de tecnología.

La clasificación por nivel de riesgo, no por tecnología

El enfoque que más está marcando el criterio regulatorio a nivel global, con el reglamento europeo de inteligencia artificial como referencia más citada, clasifica los sistemas de IA según el nivel de riesgo que representan para las personas, no según la tecnología que usan por dentro.

En términos generales, la lógica se mueve en niveles. Hay usos que quedan directamente prohibidos porque el daño potencial se considera inaceptable, por ejemplo la manipulación encubierta del comportamiento de una persona o la puntuación social masiva de ciudadanos. Hay usos de alto riesgo, donde el sistema participa en decisiones que afectan derechos, empleo, acceso a servicios o seguridad, y ahí la exigencia de documentación, supervisión humana y trazabilidad sube con fuerza. Y hay usos de riesgo limitado o mínimo, donde suele bastar con informar que se está interactuando con un sistema automatizado.

Lo que necesita saber una empresa que no opera en Europa es que este esquema de niveles se está usando como plantilla de referencia en otras geografías, incluida buena parte de Latinoamérica, aunque cada país esté todavía definiendo su propia norma o dependa por ahora de leyes más generales. No hace falta memorizar categorías europeas para aplicar el criterio: sirve preguntarse, para cada sistema de IA en producción, qué tan grave sería el daño si falla y a quién le pega ese fallo.

Preguntas que ayudan a ubicar un sistema propio en ese esquema de riesgo

• ¿La decisión del sistema afecta el acceso de una persona a empleo, crédito, salud o educación?
• ¿Existe una persona real que revise la decisión antes de que tenga efecto, o el sistema actúa solo?
• ¿El sistema procesa datos sensibles, como información biométrica, de salud o de menores de edad?
• ¿La persona afectada sabe que está interactuando con IA o recibiendo una decisión asistida por IA?
• Si el sistema se equivoca, ¿el error es reversible o deja un daño permanente en la persona?

Los marcos de gestión de riesgo: el camino práctico mientras la ley se termina de escribir

Al mismo tiempo que avanza la regulación por ley, ha crecido un segundo camino, más práctico para el día a día de una empresa: los marcos de gestión de riesgo. El más citado es el marco de gestión de riesgo de IA publicado por el instituto de estándares de Estados Unidos (NIST), pensado como guía voluntaria y no como ley, pero que en la práctica se ha vuelto el lenguaje común que auditores, aseguradoras y clientes corporativos usan para preguntar cómo gestiona una empresa el riesgo de sus propios sistemas de IA.

La lógica de estos marcos no depende de un país ni de una fecha de entrada en vigor: se organiza alrededor de un puñado de funciones que cualquier empresa puede adoptar sin esperar a que exista una ley local. Gobernar: quién es responsable de cada sistema de IA dentro de la empresa. Mapear: qué sistemas existen, para qué se usan y qué datos tocan. Medir: qué tan bien funciona el sistema y qué tan seguido falla. Gestionar: qué se hace cuando falla, y quién tiene la autoridad para apagarlo.

• Gobernar: asignar un responsable interno con nombre y apellido por cada sistema de IA en uso.
• Mapear: mantener un inventario de qué sistemas existen, qué deciden y sobre qué datos.
• Medir: registrar qué tan seguido falla cada sistema y qué tan grave es cada falla.
• Gestionar: definir por escrito quién puede pausar o apagar un sistema y bajo qué criterio.

La ventaja de adoptar esta lógica antes de que la ley obligue es que la empresa construye el hábito de documentar mientras el sistema todavía es simple. Hacerlo después, cuando ya hay varios sistemas de IA repartidos en distintas áreas y nadie llevó registro, cuesta mucho más caro que hacerlo desde el principio.

La ley que ya te alcanza: protección de datos personales

Mientras las leyes específicas de inteligencia artificial todavía se están terminando de escribir en la mayoría de países, incluida buena parte de América Latina y España, ya existe una norma que sí está vigente y que casi ninguna empresa revisa antes de lanzar un sistema de IA: la ley de protección de datos personales de su propio país.

Esto es importante porque cambia el orden de prioridad. Un sistema de IA que entrena o consulta con datos de clientes, empleados o usuarios ya está tocando esa ley, exista o no una ley de IA específica todavía. España y el resto de la Unión Europea cuentan con un reglamento general de protección de datos como referencia consolidada desde hace años. En Latinoamérica, la mayoría de países ya cuenta con su propia ley de protección de datos personales, con una autoridad de control, derechos de acceso y rectificación para el titular del dato, y obligaciones de consentimiento para su tratamiento.

En la práctica, esto significa que una empresa que hoy usa IA para procesar currículums, historiales de compra o datos de salud ya debería estar cumpliendo una ley que existe, sin necesidad de esperar una norma de IA que todavía no llega. La pregunta correcta no es «¿ya existe una ley de IA en mi país?», sino «¿mi empresa ya cumple la ley de datos personales que sí existe?». La mayoría no puede responder que sí con seguridad.

Qué debe documentar tu empresa hoy, sin importar la jurisdicción

Sin importar en qué país opere la empresa ni qué tan avanzada esté su normativa local de IA, hay un conjunto de documentos que cualquier auditor, cliente corporativo o autoridad de protección de datos va a pedir tarde o temprano. Construirlos hoy, con calma, sale más barato que armarlos bajo presión cuando ya los estén exigiendo.

Lo mínimo que debería existir por cada sistema de IA en producción

• Un inventario de qué sistemas de IA usa la empresa, para qué y desde cuándo están activos.
• Una descripción de qué datos entrena o consulta cada sistema, y de dónde provienen esos datos.
• Un registro de quién puede revisar, corregir o apagar la decisión que toma el sistema.
• Una evaluación de impacto, aunque sea breve, sobre a quién puede afectar un error del sistema.
• Evidencia de que el proveedor externo, si lo hay, cumple con las mismas obligaciones de datos y riesgo.

Esto no es un ejercicio legal aislado. Es el mismo criterio que sostiene una auditoría de IA seria: sin este inventario, ninguna auditoría tiene de dónde partir. Y conecta directo con el trabajo de gobierno de IA dentro de la empresa, porque alguien tiene que ser dueño de esta lista, o esa lista simplemente no existe.

Mi criterio

Cuándo esto ya es urgente y cuándo puedes avanzar con calma

No toda empresa necesita un programa formal de cumplimiento de IA desde el primer día, pero sí necesita saber en qué punto está parada. Estas señales ayudan a distinguir cuándo el riesgo regulatorio ya es real y cuándo todavía se puede avanzar construyendo una base simple de orden.

Señales de que ya estás en zona de riesgo alto

• El sistema decide o influye de forma directa sobre el acceso de una persona a empleo, crédito, salud o educación.
• Procesa datos sensibles, como información biométrica, de salud o de menores, sin un proceso claro de consentimiento.
• No hay una persona identificada que pueda revisar o revertir la decisión que toma el sistema.
• Un cliente corporativo o un proveedor ya pidió evidencia de cumplimiento y la empresa no tuvo qué mostrar.
• El sistema opera en más de un país y nadie ha revisado qué ley de protección de datos aplica en cada uno.

Señales de que todavía puedes avanzar con una base simple

• El sistema automatiza tareas internas sin tocar datos personales de clientes ni de terceros.
• Cualquier decisión que toma el sistema pasa por revisión humana antes de ejecutarse.
• La empresa ya tiene, aunque sea básico, un inventario de qué sistemas de IA usa y para qué.
• El volumen de datos y de decisiones automatizadas todavía es bajo y manejable por un equipo pequeño.
• No han aparecido quejas, incidentes ni preguntas externas sobre cómo decide el sistema.

El orden correcto: dolor, proceso, dato y al final la herramienta

El error más común no es ignorar la ley, es invertir el orden. Una empresa ve una herramienta de IA, la instala, y recién después se pregunta si eso era legal. El orden que funciona es el contrario: primero identificar el dolor real, qué decisión se está automatizando y sobre quién, después mirar el proceso que rodea esa decisión, luego los datos que ese proceso mueve, y solo al final elegir la herramienta que lo ejecuta. Cuando se sigue ese orden, la pregunta normativa deja de ser una sorpresa al final del camino: se responde sola en el trayecto.

Ninguna empresa necesita convertirse en experta en reglamentos internacionales de IA para operar con criterio. Necesita saber qué decide cada sistema que usa, con qué datos, y quién responde si algo sale mal. Esa disciplina, más que cualquier ley que todavía se esté terminando de escribir, es lo que separa a una empresa que puede mostrar su trabajo de una que solo espera que nadie le pregunte.