La inteligencia artificial ya no entra en las empresas únicamente mediante grandes proyectos tecnológicos.
La IA ya está dentro de tu empresa. El problema es no saber qué está haciendo.
Está incorporada en herramientas de ventas, atención al cliente, recursos humanos, marketing, analítica o productividad. A veces se compra expresamente. Otras veces llega integrada dentro de plataformas que la empresa ya utilizaba.
Y ahí aparece un problema que muchas organizaciones todavía no han dimensionado:
la adopción de IA puede estar avanzando más rápido que la capacidad de la empresa para saber qué está haciendo realmente dentro del negocio.
El contexto regulatorio hace esta brecha más relevante.
Desde agosto de 2026, nuevas disposiciones del AI Act europeo han entrado en aplicación. España, además, tramita su Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial.
Pero antes de discutir regulación hay una pregunta empresarial mucho más básica:
¿sabemos realmente qué sistemas de IA están operando dentro de nuestra compañía?
El problema no empieza en compliance
Muchas empresas han incorporado IA por áreas, herramientas y proveedores.
Un CRM empieza a recomendar acciones comerciales. Una plataforma de recursos humanos incorpora algoritmos de selección. Atención al cliente añade un chatbot. Marketing automatiza contenidos. Un equipo comienza a utilizar modelos generativos con información de la compañía.
Cada decisión puede tener sentido individualmente.
El riesgo aparece cuando nadie tiene una visión completa de qué herramientas existen, qué datos utilizan, qué decisiones afectan y quién responde por ellas.
Eso no es únicamente un problema tecnológico o jurídico.
Es un problema de gestión empresarial.
El AI Act sigue un enfoque basado en riesgo: las obligaciones dependen del sistema, su utilización y el papel que desempeña cada organización. En determinados sistemas de alto riesgo existen obligaciones específicas de supervisión, monitorización y gestión.
Por eso, antes de hablar de cumplimiento, una empresa debería poder responder cuatro cosas.
1. Qué IA tiene desplegada
No solo las soluciones adquiridas como “IA”. También las capacidades incorporadas dentro de CRM, ERP, herramientas de RR. HH., plataformas comerciales, atención al cliente o software de terceros.
Si no sabemos qué existe, difícilmente podemos decidir qué controlar.
2. Qué datos utiliza
Clientes, empleados, candidatos, operaciones, información comercial o documentación interna pueden estar siendo procesados por sistemas de IA.
La empresa debería saber qué información entra, para qué se utiliza y qué ocurre con ella.
3. Qué decisiones está tomando o condicionando
No es lo mismo utilizar IA para resumir una reunión que para seleccionar candidatos, priorizar clientes, recomendar precios o intervenir en decisiones que afectan a personas.
El riesgo cambia según lo que la tecnología hace dentro del proceso.
4. Quién responde
Si negocio cree que es responsabilidad de tecnología, tecnología considera que corresponde al proveedor y legal aparece únicamente cuando existe una incidencia, el problema está claro:
la IA está operando, pero nadie tiene realmente la responsabilidad sobre ella.
El marco de gestión de riesgo de IA de NIST recomienda mantener inventarios de los sistemas utilizados y definir claramente responsabilidades dentro de la organización.
Y ahí está el punto central.
La regulación no crea este problema. Lo hace visible.
Una empresa que sabe qué IA utiliza, qué función cumple, qué datos procesa, qué decisiones afecta y quién responde por ella estará mejor preparada para cumplir cualquier regulación.
Pero también estará en mejor posición para algo más importante desde el negocio:
decidir qué IA aporta valor, cuál debe escalar y cuál nunca debió incorporarse.
La IA ya está dentro de muchas empresas.
El verdadero riesgo empieza cuando la tecnología avanza más rápido que la capacidad de la organización para entender qué está haciendo con ella.