EU AI Act para usuarios

Muchas organizaciones creen que el cumplimiento de la IA es un problema del proveedor, es decir, de Microsoft u OpenAI. Es un error. El Reglamento de IA de la UE (EU AI Act) reparte las obligaciones a lo largo de toda la cadena de suministro, y quienes implementan herramientas como Copilot o ChatGPT comparten la responsabilidad, la hayan pedido o no.

Este artículo explica cómo funciona la escala de riesgo, qué diferencia a Copilot de ChatGPT desde el punto de vista regulatorio y qué checklist de cumplimiento conviene tener preparada antes de una auditoría.

EU AI Act: por qué los implementadores comparten la responsabilidad

Imagine que despliega ChatGPT en recursos humanos. De repente, usted responde del control de sesgos, de la explicabilidad y de la documentación. Esa es la letra pequeña que muchos pasan por alto: la ley no se limita a quien desarrolla el modelo, también alcanza a quien lo utiliza.

Las obligaciones se introducen de forma gradual, pero la aplicación empieza de inmediato. Las sanciones pueden llegar hasta el 7 % de los ingresos. Por eso conviene seguir las actualizaciones a través de Microsoft Trust Center: no es una opción, es una cuestión de supervivencia.

La escala de riesgo del EU AI Act: cuatro niveles que determinan sus obligaciones

La escala de riesgo no es un gráfico secundario, sino el principio operativo central de la ley. Cada sistema de IA se clasifica en una de cuatro categorías: inaceptable, alto, limitado o mínimo. Esa clasificación dicta el peso exacto del cumplimiento: documentación, supervisión humana, informes y transparencia.

Lo que cuenta es el uso, no el aspecto de la herramienta

Una herramienta de productividad aparentemente inocente no encaja por defecto en la categoría mínima. La clasificación depende de lo que el sistema hace y del contexto en que se usa. Un chatbot que redacta publicaciones para redes sociales puede ser de bajo riesgo. Pero si ese mismo motor se conecta a la contratación, a informes de cumplimiento o a la calificación crediticia, los reguladores lo elevan a alto riesgo. No hay ascenso gradual: la escalada es instantánea.

Usos de alto riesgo ya definidos

La UE no dejó todo a su criterio. Ciertos usos están designados como de alto riesgo de antemano:

• el filtrado automatizado de currículos;
• la calificación en procesos de reclutamiento;
• la identificación biométrica;
• la IA utilizada en fuerzas del orden o control fronterizo.

Los modelos generativos o de propósito general, como ChatGPT o Copilot, no son automáticamente de alto riesgo. Sin embargo, tienen requisitos propios de transparencia: hay que revelar claramente su naturaleza de IA y, en algunos casos, asumir responsabilidades adicionales cuando el modelo influye en decisiones sensibles.

Un calendario escalonado, pero no indulgente

Las prácticas prohibidas, como la IA de manipulación conductual o la calificación social, se prohíben pronto. Los deberes de transparencia y de etiquetado llegan poco después. Las obligaciones más pesadas para los sistemas de alto riesgo se aplicarán plenamente dentro de unos años. Eso no debe interpretarse como indulgencia: los plazos convergen rápidamente y la ignorancia no servirá como defensa cuando lleguen los auditores. Por eso conviene mapear ya los casos de uso.

Cuanto más alto el nivel, más larga la lista de requisitos. En el nivel bajo basta quizá con una nota de transparencia. En el alto hay que producir archivos de gestión de riesgos, registros listos para auditoría, mecanismos de supervisión y formación documentada del personal.

Un ejemplo: usar Copilot para resumir notas de reuniones se sitúa en una clasificación limitada o mínima. Usarlo directamente para informes de gobierno y cumplimiento lo coloca en los peldaños altos, con todas las obligaciones correspondientes. El mismo sistema puede abarcar varias clasificaciones según el contexto. Llamar «divertida» a una herramienta no reduce su nivel de riesgo; se juzga por su uso y su impacto, no por el lenguaje de marketing.

Copilot y el cumplimiento: gobernanza integrada en Microsoft 365

Copilot se presenta como una herramienta lista para empresas, diseñada para la gobernanza y para operar en entornos regulados. Su ventaja es que se apoya en una infraestructura integrada en Microsoft 365: un espacio de trabajo regulado, certificaciones de cumplimiento y una larga trayectoria en seguridad. Añadir un modelo genérico a sus flujos de trabajo exige, en cambio, mucho más trabajo propio.

Qué garantiza Microsoft

• Los prompts, las respuestas y los datos a los que se accede mediante Microsoft Graph no se utilizan para entrenar los modelos de lenguaje fundacionales.
• Copilot se ejecuta en Azure OpenAI, dentro del límite de servicio de Microsoft 365. Lo que se escribe permanece en el inquilino, bajo los permisos de la organización. Esta separación es relevante tanto para el RGPD como para la ley de IA.
• Microsoft aplica un límite de datos en la UE para mantenerlos en la región. Sin embargo, la documentación del Trust Center indica que, ante alta demanda, las solicitudes pueden trasladarse a otras regiones. Los reguladores distinguen entre «siempre solo en la UE» y «primero en la UE, con desbordamiento».
• Clasificadores en segundo plano filtran resultados dañinos o sesgados y algunos bloquean la inferencia de atributos personales sensibles.

Herramientas de apoyo

Microsoft Purview aplica controles de descubrimiento, clasificación y retención de datos en todo el entorno de Copilot. Las notas de transparencia del panel de IA responsable explican las limitaciones del modelo y ofrecen métricas para monitorear riesgos. El Trust Center aloja documentación, evaluaciones de impacto y plantillas que serán necesarias si un auditor visita la empresa.

Pero Copilot no elimina sus obligaciones. La ley establece un modelo de responsabilidad compartida: Microsoft aporta el andamiaje, pero usted debe configurarlo, registrarlo y operar dentro de él. Los auditores pedirán sus registros, no solo los de Microsoft. Comprar Copilot significa estar a mitad de camino; la subida sigue siendo suya.

ChatGPT y el EU AI Act: flexibilidad frente a carga burocrática

La fortaleza de ChatGPT es su flexibilidad: puede dirigirse a casi cualquier tarea. Bajo la ley de IA de la UE, esa misma flexibilidad se convierte en un problema de cumplimiento. En su forma de aplicación para el consumidor, se clasifica por defecto como de riesgo limitado, lo que cubre usos casuales como lluvia de ideas, resumen de notas o generación de recetas. En cuanto se usa para decisiones que afectan a personas (contratación, aprobaciones de crédito, contextos de salud), pasa a un territorio de mayor riesgo con obligaciones más estrictas. La variable no es el código de la herramienta, sino el contexto de uso.

Construir el andamiaje propio

A diferencia de Copilot, la versión pública de ChatGPT no viene con esas garantías de fábrica. Quien lo implementa debe revisar la documentación, los términos y los contratos de OpenAI para saber qué datos se almacenan, cómo se usan y si existen salvaguardas adicionales. «Asumimos que era seguro» no es una defensa aceptable. Además, hay que construir:

• políticas para gobernar los prompts;
• registros de auditoría del uso;
• límites para los datos personales;
• procesos de reporte de errores e incidentes.

Transparencia, deepfakes y RGPD

Los resultados de la IA generativa (texto, imágenes y audio) deben identificarse claramente como generados por IA, y hay que poder rastrear las instrucciones y explicar el comportamiento del sistema. Decir que el modelo predice probabilidades de tokens no equivale a una explicación legalmente suficiente de por qué influyó en una recomendación de contratación. Si se genera voz o vídeo que se asemeja a una persona real, existe el riesgo de que se considere deepfake, con una supervisión aún más estricta.

En cuanto los prompts incluyen identificadores personales, entra en juego el RGPD: tratamiento lícito, justo y transparente, consentimiento cuando proceda, minimización de datos y respeto de los derechos de los interesados. El servicio público no configura esas protecciones automáticamente; la responsabilidad recae en quien realiza el despliegue.

Un camino intermedio

Si se accede a las capacidades de ChatGPT a través de plataformas gestionadas como Azure OpenAI o conectores integrados en entornos empresariales, el panorama mejora: hay registros de auditoría, garantías de residencia y monitoreo dentro del límite del inquilino. Las responsabilidades no desaparecen, pero se vuelven manejables con herramientas. La pregunta pasa de «no tenemos supervisión» a «¿funciona la supervisión prometida en los contratos tal como se anuncia?».

Checklist de cumplimiento para implementadores

La ley espera listas de verificación operativas, no garantías vagas. Estos son los elementos esenciales:

1. Evaluación de impacto de protección de datos (DPIA) y registro de actividades de tratamiento (RoPA). Cuando la IA afecta a personas, por ejemplo en contratación, salud o calificación financiera, debe demostrar que ha analizado los riesgos y documentado los flujos de tratamiento. La DPIA descubre el riesgo; el registro prueba qué se trata y cómo. Son el esqueleto de la gobernanza.
2. Clasificar y controlar los datos. Microsoft Purview permite etiquetar automáticamente material sensible, imponer políticas de retención y aplicar DLP. Combínelo con modelos de acceso de privilegios mínimos y restrinja las consultas de Copilot mediante el índice semántico y los modelos de permisos, para que solo extraiga datos que cada usuario tiene derecho a ver.
3. Registrar, retener y gestionar cada interacción. Configure el historial de actividad de Copilot y active y conserve los registros de auditoría de Azure y Microsoft 365. Si no puede demostrar quién usó qué IA, con qué propósito y qué día, su supervisión se desmorona. La retención tampoco debe ser eterna: los registros han de durar lo suficiente para ser útiles, sin ahogarse en desorden digital irrelevante.
4. Formar al personal. Las obligaciones del artículo 4 exigen alfabetización en IA adaptada a cada rol. El personal técnico debe entender los modelos de riesgo y los mecanismos de retención; quienes toman decisiones, el sesgo, la documentación y la deliberación. La formación es el cuarto artefacto de cumplimiento.

Errores frecuentes y falsas seguridades

• Pensar que la herramienta es «mínima» por su apariencia. La clasificación depende del uso y del impacto, no de la presentación interna ni del marketing.
• Tratar ChatGPT como un asistente informal. Redactar textos sin etiquetas de divulgación, alimentarlo con currículos sin verificar sesgos o manejar notas sensibles sin límites de datos puede convertir un riesgo limitado en un despliegue de alto riesgo de la noche a la mañana. La ley mide por el impacto, no por la intención.
• Confundir tener herramientas con cumplir. Que Microsoft ofrezca un panel o que Copilot tenga opciones de registro es irrelevante si no se han implementado los controles. Los reguladores preguntarán si se aplicaron y exigirán los registros propios.
• Interpretar el calendario gradual como un margen de espera. Los plazos convergen y la ignorancia no es defensa.
• Creer que Copilot lo resuelve todo. Reduce la exposición legal, pero no la elimina: sigue siendo necesario configurar, documentar y monitorear.

Las consecuencias no son abstractas: decenas de millones en sanciones, exposición pública en titulares y pérdida de confianza de los clientes.

¿Frena la ley de IA la innovación?

Pensar que el EU AI Act sofoca la innovación es tan equivocado como creer que los límites de velocidad acabaron con el automóvil. Su propósito es sustituir la incertidumbre por un marco estable. Cuando los líderes saben exactamente qué se exige, dejan de hacer experimentos silenciosos y empiezan a desplegar a escala de sistema. Las reglas dan puntos de referencia y permiten avanzar sin apostar a ser declarado no conforme meses después del lanzamiento.

Un ejemplo es el propio liderazgo legal de Microsoft, que mostró públicamente cómo crear un agente de Copilot para ayudar a los equipos a interpretar la ley de IA. Es un uso de IA generativa para consultas de cumplimiento que difícilmente se habría abordado bajo la incertidumbre regulatoria anterior.

Aun así, hay costes. Ciertos modelos avanzados llegan más tarde a Europa por los gastos de cumplimiento y la incertidumbre legal, y algunos proveedores dudan en lanzar servicios aquí porque la documentación de auditoría y las disposiciones de responsabilidad añaden gasto general. El resultado es un acceso desigual. Es el precio del marco normativo, un intercambio por estabilidad a largo plazo y confianza pública.

Visto con claridad, la regulación funciona como un andamio, no como una jaula: es el equipo que evita que los trabajadores caigan mientras el edificio crece.

Takeaways prácticos

• Clasifique cada caso de uso de IA según los cuatro niveles de riesgo y revise la clasificación cada vez que cambie el contexto.
• Mapee sus casos de uso ahora: los plazos convergen y la ignorancia no es defensa.
• Con Copilot, configure y use Microsoft Purview, el historial de actividad y el panel de IA responsable para control y documentación.
• Con ChatGPT, revise contratos y términos de OpenAI y construya sus propias políticas, registros de auditoría y límites de datos; valore plataformas gestionadas como Azure OpenAI.
• Realice la DPIA, mantenga el registro de actividades de tratamiento y active los registros de auditoría con políticas de retención sensatas.
• Aplique el principio de privilegios mínimos para que la IA solo acceda a datos que cada usuario puede ver.
• Forme al personal según el artículo 4 y documente esa formación.
• Etiquete claramente los contenidos generados por IA.
• Siga las actualizaciones normativas a través de Microsoft Trust Center.

Conclusión

El EU AI Act traslada responsabilidad a quien implementa la IA, elija la herramienta que elija. Copilot llega más cerca de ser conforme por diseño, con gobernanza y auditoría integradas en Microsoft 365, pero sigue exigiendo configuración, documentación y monitoreo. ChatGPT, en su forma pública, es un motor potente al que hay que añadir todo el andamiaje de cumplimiento. En ambos casos, el regulador mirará su implementación y no las promesas del proveedor. Quien clasifica sus casos de uso, documenta, controla los datos y forma a su equipo puede adoptar la IA con confianza y sin improvisar.