El Reglamento Europeo de Inteligencia Artificial entra en su fase decisiva. Las sanciones pueden alcanzar el 7% de la facturación global, pero el mayor riesgo para muchas compañías es más silencioso: no saben qué datos están saliendo de la organización a través de herramientas como ChatGPT o Claude.
Europa ha dejado de pedir buenas intenciones en materia de inteligencia artificial. Con la aplicación progresiva del Reglamento (UE) 2024/1689, conocido como AI Act, la primera norma integral del mundo sobre IA, las empresas que desarrollan o simplemente utilizan estas tecnologías se enfrentan a obligaciones concretas y a un régimen sancionador que no admite comparación con otras normativas digitales.
Las cifras marcan el tono. El incumplimiento de las prácticas prohibidas por el reglamento puede acarrear multas de hasta 35 millones de euros o el 7% de la facturación anual mundial de la compañía, la cantidad que resulte mayor. Para el resto de infracciones, las que afectan a la mayoría de las empresas usuarias, las sanciones alcanzan los 15 millones de euros o el 3% del volumen de negocio global, y facilitar información incorrecta a las autoridades puede costar 7,5 millones o el 1%. Son importes que, en su tramo más alto, superan incluso a los del Reglamento General de Protección de Datos (RGPD).
Una regulación basada en el riesgo, con fecha en el calendario
Aprobado con la vocación de impulsar la innovación sin renunciar a la protección de las personas, el AI Act adopta un enfoque basado en el riesgo: no regula todas las aplicaciones por igual, sino que gradúa las obligaciones en función del impacto potencial de cada sistema. Los usos considerados inaceptables quedan prohibidos; los de alto riesgo, como sanidad, empleo, servicios financieros o infraestructuras críticas, deben cumplir requisitos exigentes de gestión de riesgos, calidad de los datos, trazabilidad y supervisión humana; y los sistemas de riesgo limitado, como los chatbots, quedan sujetos a obligaciones de transparencia.
Y el calendario ya no es una amenaza lejana. Aunque el reglamento entró en vigor en agosto de 2024, su aplicación es escalonada, y el pasado 2 de agosto de 2026 marcó un punto de inflexión: entraron en vigor las obligaciones de transparencia y nuevas disposiciones que afectan de lleno a proveedores y a organizaciones usuarias. De aquí a 2028, el resto de exigencias se irá desplegando sobre los sistemas de alto riesgo. Para muchas compañías, el tiempo de la preparación anticipada ya se ha agotado: las primeras obligaciones son exigibles hoy.
El problema de fondo: datos fragmentados y sin gobierno
Pero para Javier de la Cuerda, CEO de Structurit, el debate sobre el cumplimiento normativo esconde un problema anterior y mucho más extendido de lo que parece.
“En la mayoría de las compañías detecto un problema de fondo con el gobierno de sus datos: están completamente fragmentados, y en muchos casos la trazabilidad y la seguridad acaban comprometiendo la propia usabilidad de la información. Es difícil cumplir con una normativa tan exigente cuando ni siquiera se tiene control sobre dónde están los datos y quién accede a ellos” , Javier de la Cuerda, CEO de Structurit.
A ese punto de partida se suma un fenómeno que he visto crecer a una velocidad vertiginosa: el uso masivo de asistentes conversacionales dentro de las empresas.
“Estoy viendo una explosión en la utilización de herramientas como ChatGPT o Claude, que son las más extendidas. El problema es que los empleados exponen de manera completamente indiscriminada datos que pueden ser críticos para el negocio de su propia empresa o de sus clientes. No existe una vía real de gobierno del uso de la IA”, Javier de la Cuerda, CEO de Structurit.
Soberanía del dato: un incumplimiento silencioso
Esa falta de control tiene una doble consecuencia. Por un lado, dificulta el cumplimiento del propio AI Act. Por otro lado, choca frontalmente con las obligaciones de soberanía del dato, que exigen no sacar la información de las regiones a las que pertenece.
«Cuando un empleado copia información en una herramienta que procesa esos datos fuera de la región a la que pertenecen, se puede estar incumpliendo la obligación de no sacar datos de la compañía fuera de la Unión Europea. Y eso, hoy, ocurre a diario en muchísimas organizaciones sin que nadie lo esté supervisando», Javier de la Cuerda, CEO de Structurit.
La respuesta no es prohibir, es gobernar
La conclusión, no pasa por prohibir la inteligencia artificial, una batalla perdida y contraproducente, sino por gobernarla de forma ordenada, empezando por los cimientos.
«Lo importante es tener una buena estrategia de gobierno de la inteligencia artificial y de los agentes, que garantice el control de la seguridad y de los datos. No se puede definir una estrategia de IA correcta sin partir de una estructura de datos correcta y segura. Es el orden lógico, y muchas empresas lo están haciendo al revés», Javier de la Cuerda, CEO de Structurit.
Entre las medidas que el directivo considera clave figura la creación de bases de conocimiento, o knowledge bases, compartidas y gobernadas, que ordenan la información y evitan que cada equipo procese los mismos datos una y otra vez.
«Además de aportar seguridad y control, las bases de conocimiento gobernadas evitan el sobreprocesamiento de los datos, que tiene un sobrecoste brutal. Cada vez que la información se reprocesa sin una estructura común, se multiplican los costes y se multiplican los riesgos», Javier de la Cuerda, CEO de Structurit.
El coste de no hacer nada
El mensaje de fondo conecta con la advertencia inicial. Las multas del AI Act son, para muchas compañías, solo la punta visible del iceberg: una sanción millonaria es un riesgo tangible, pero la exposición silenciosa de datos críticos a través de herramientas no gobernadas puede resultar igual de costosa en términos de competitividad, confianza y seguridad. Inventariar los sistemas de IA en uso, clasificar su nivel de riesgo, definir un modelo de gobernanza y, sobre todo, ordenar los datos ha dejado de ser una recomendación para convertirse en una obligación que ya corre en el calendario.
«El coste de no hacer nada ya no es hipotético. Las primeras obligaciones ya están en vigor y el resto llegará antes de 2028; las empresas que sigan sin gobernar su IA y sus datos no es que vayan a quedarse atrás, es que ya lo están», Javier de la Cuerda, CEO de Structurit.