El cumplimiento del AI Act y RGPD empieza por saber cuánta IA tienes encendida

Te afecta si usas cualquier sistema de IA, y casi todas las empresas usan alguno sin haberlo pensado. Desde el 2 de agosto de 2026, todo chatbot, agente de voz o avatar que hable con una persona debe avisar de forma clara, y desde la primera interacción, de que quien contesta es una IA. Y desde febrero de 2025 hay que formar a quien la usa, sin umbral de tamaño de empresa. Lo que probablemente no te afecta hoy son las obligaciones de alto riesgo, que se aplazaron a diciembre de 2027. Por eso el cumplimiento del AI Act en una pyme normal es trabajo de semanas, no un proyecto de un año. Lo caro no es cumplir. Lo caro es no saber en qué grupo estás.

Es la obligación de que la persona sepa que está hablando con una IA, de forma clara y antes de empezar la conversación. En un chatbot se resuelve con un mensaje de apertura y una mención visible en la ventana; en una recepcionista de voz, con una frase al descolgar. No vale esconderlo en el aviso legal ni contarlo al final. Nosotros lo configuramos en cada canal, lo probamos con una conversación real, guardamos la evidencia y lo reflejamos en tu registro. Todos los agentes que desplegamos nosotros lo llevan activado desde el primer día; si el sistema es de otro proveedor, lo revisamos y te decimos exactamente qué pedirle por escrito.

Solo si trata datos personales con riesgo alto, y muchos chatbots no llegan ahí. Un asistente de preguntas frecuentes que no identifica a nadie ni guarda conversaciones con datos personales normalmente no la necesita, pero hay que dejar escrito por qué no. Sí la necesitas cuando el sistema identifica al cliente, consulta su historial, maneja datos de salud (el caso de la IA para clínicas dentales), trata datos de menores o toma decisiones que le afectan. Nosotros hacemos esa valoración previa sistema por sistema y redactamos la evaluación solo donde toca, con lo concreto: qué datos se guardan, cuánto tiempo, quién accede, cómo se borran y qué pasa si el sistema se equivoca.

Una parte es suya y otra parte es tuya, y la tuya no se puede subcontratar. El proveedor responde de su software; tú respondes como responsable del tratamiento de los datos de tus clientes y, en el AI Act, como quien despliega el sistema en su propio canal. El aviso de IA de tu web es tuyo aunque el motor sea de otro. Por eso revisamos que cada proveedor tenga acuerdo de tratamiento firmado, que sepas dónde viven los datos y que no se usen para entrenar modelos sin que lo hayas aceptado. Si un proveedor no puede darte esas garantías por escrito, te lo decimos y te proponemos con qué sustituirlo.

También cuenta, y suele ser donde más riesgo se acumula. Hay que saber quién los usa, con qué cuenta (personal o de empresa), qué información se pega dentro y si el proveedor la usa para entrenar. De ahí sale la política de uso: qué herramientas están permitidas, qué datos no salen nunca de casa y qué alternativa hay para lo sensible, que muchas veces es montar la IA privada en servidor propio. La política sola no basta: se cumple cuando el equipo entiende el porqué, y eso lo da la formación del artículo 4.

Entre dos y seis semanas, según cuántos sistemas aparezcan, y tu trabajo son unas tres o cuatro horas repartidas. Necesitamos una reunión de alcance, que nos abras el acceso a los canales donde vive la IA y una persona que apruebe la política de uso y firme los documentos. El resto lo hacemos nosotros: buscar los sistemas, clasificarlos, activar los avisos, redactar y perseguir los acuerdos que falten. El alcance queda cerrado por escrito y se firma antes de empezar, así que no hay sorpresas a mitad del camino.

Para eso está el Servicio Gestionado, y no es un supuesto teórico: ya ha pasado. En mayo de 2026 se aplazó el calendario del alto riesgo a diciembre de 2027, y quien había escrito su documentación con las fechas anteriores tuvo que rehacerla. Cada mes revisamos lo que publican la Comisión Europea, la AESIA y la AEPD, y aplicamos lo que te afecta en tus avisos, tu registro y tu política. Si un cambio exige trabajo de verdad, te llega con aviso previo y con el alcance cerrado por escrito, nunca de un día para otro.

Es tuya, y vive en tu Drive o tu SharePoint más un panel de registro alojado en nuestros servidores propios en la Unión Europea. Firmamos acuerdo de tratamiento de datos antes de empezar y no movemos información fuera de ahí. El expediente entero (inventario, fichas de clasificación, evaluaciones de impacto, registro, política y evidencias de los avisos) es tuyo, tal y como recogen las condiciones, y se sostiene por sí solo, porque no está atado a ninguna herramienta nuestra.

Sirve para los dos, porque en la práctica se solapan y separarlos duplica el trabajo. El AI Act te pide transparencia, clasificación de riesgo y control sobre lo que despliegas; el RGPD te pide base legal, información al interesado, minimización, plazos de conservación, evaluación de impacto y acuerdos con quien trata datos por ti. El cumplimiento del AI Act y RGPD se hace en el mismo recorrido: cuando inventarías un chatbot, ya estás anotando qué datos personales toca. Lo que no hacemos es tu adaptación general al RGPD como empresa, que es un trabajo más amplio y suele llevarlo tu asesoría.

Sí, y suele ser el motivo real por el que se busca este servicio. Cuando un cliente corporativo, una aseguradora o un comité de compras te manda un cuestionario sobre IA y datos, lo que necesitas es responder con documentos que ya existen y con fechas creíbles. Con el expediente montado contestas en un rato en vez de improvisar en un fin de semana. Dentro del Servicio Gestionado te ayudamos a preparar esa respuesta con los papeles que ya tienes, sin inventar nada y sin prometer cosas que tus sistemas no hacen.

La sede está en Madrid y trabajamos en remoto para toda España, y también en Europa, Estados Unidos y Latinoamérica. Las reuniones son por videollamada, la documentación se entrega en tu Drive o tu SharePoint y los avisos se configuran en tus canales, que están en internet, no en una oficina. De hecho el cumplimiento del AI Act y RGPD es de los trabajos que menos requieren pisar tu sede: requiere ver tus sistemas, tus contratos y tus conversaciones. Si prefieres una reunión presencial para arrancar, se organiza.

Te lo diremos sin rodeos. Hay empresas con un único asistente en la web que no guarda datos personales y con un proveedor serio detrás: ahí el trabajo se reduce a activar bien el aviso, guardar la evidencia y anotar el sistema en una hoja. Si ese es tu caso, montamos exactamente eso y nada más. Empieza por el diagnóstico: en diez minutos sabrás si tu cumplimiento del AI Act y RGPD es una tarde de trabajo o un proyecto de seis semanas.