La adopción de inteligencia artificial ya no es una hipótesis, sino algo que forma parte de la operativa de muchas empresas. El AI Act establece obligaciones para las organizaciones que desarrollan, comercializan o utilizan sistemas de inteligencia artificial en la Unión Europea. Su aplicación exige identificar los sistemas utilizados, entender sus riesgos y responsabilidades y establecer las medidas que correspondan. Este proceso también puede utilizarse para revisar cómo funcionan los procesos de negocio y cómo se integra la IA en ellos.
Hemos hablado de ello en un webinar junto a Mylegalinbox, y en concreto de como impacta este asunto en el sector Travel Tech. La conversación partía de una realidad bastante evidente: la regulación llega cuando la IA ya está dentro de las empresas.
Chatbots, sistemas de pricing, recomendadores, herramientas de RRHH, generación de contenido, copilotos internos o soluciones de detección de fraude forman ya parte de la operativa de muchas compañías. Y, a efectos del Reglamento, una empresa no necesita haber desarrollado esos sistemas para verse afectada. El uso de soluciones de terceros también puede generar obligaciones.
Durante los últimos años la pregunta ha sido qué puede hacer la IA por nuestra empresa, pero esa pregunta ha cambiado y ahora es ¿Qué estamos haciendo realmente con ella y cómo queremos gobernarla?
El AI Act, establecido por el Reglamento (UE) 2024/1689, es el marco regulatorio europeo para el desarrollo, comercialización y uso de sistemas de inteligencia artificial. Sus obligaciones dependen del caso de uso, del riesgo asociado y del papel que ocupa cada compañía frente al sistema: proveedor, deployer, importador o distribuidor.
Un deployer es una organización que utiliza un sistema de IA bajo su autoridad, aunque haya sido desarrollado por un tercero. En Travel Tech, muchas organizaciones pueden encontrarse en esta posición al utilizar herramientas de pricing, recomendadores, chatbots, asistentes o sistemas de automatización desarrollados por otros proveedores.
Además, la aplicación del Reglamento es progresiva. Las primeras obligaciones comenzaron a aplicarse en febrero de 2025 y, desde el 2 de agosto de 2026, el Reglamento es aplicable de forma general, incluidas determinadas obligaciones de transparencia. Algunos requisitos específicos para sistemas de alto riesgo tienen periodos de aplicación posteriores.
| Obligación | Aplicación |
|---|---|
| Prácticas prohibidas y alfabetización en IA | 2 de febrero de 2025 |
| Obligaciones para determinados modelos de IA de propósito general | 2 de agosto de 2025 |
| Aplicación general del Reglamento | 2 de agosto de 2026 |
| Determinadas obligaciones de transparencia | 2 de agosto de 2026 |
| Obligaciones para determinados sistemas de alto riesgo | 2 de diciembre de 2027 |
| Sistemas de alto riesgo integrados en determinados productos | 2 de agosto de 2028 |
Por eso, para adaptarse al AI Act, las empresas tienen que empezar por algo bastante básico: saber qué IA tienen dentro. Eso pasa por inventariar herramientas, entender para qué se utilizan, identificar los casos de uso, revisar responsabilidades y proveedores, formar a las personas y documentar las decisiones y controles necesarios.
Y aquí aparece una decisión estratégica interesante: puedes cumplir y seguir funcionando exactamente igual o puedes aprovechar esta obligatoriedad para dar un salto cualitativo y transformar verdaderamente la empresa.
Una organización puede completar todo ese trabajo como un ejercicio de compliance, crear un Excel con las herramientas utilizadas, redactar una política de IA, proveer la formación necesaria, guardar documentación de proveedores y registrar algunas decisiones y controles.
Todo ello es necesario, pero nada de ello garantiza que la empresa esté utilizando mejor la inteligencia artificial.
Podemos llegar al final del proceso regulatorio con una organización perfectamente documentada que continúa trabajando exactamente de la misma manera y sin aprovechar verdaderamente el potencial de la IA. Y esta decisión estratégica es para nosotros el punto realmente interesante del AI Act.
La regulación está obligando a hacer un trabajo de análisis que también puede utilizarse para transformar la empresa.
Si tenemos que analizar dónde utilizamos IA, podemos aprovechar para mirar qué ocurre alrededor de cada sistema.
Si solamente nos preguntamos qué herramienta usamos, solo servirá para completar el inventario. Sin embargo, si nos preguntamos en qué proceso interviene, qué problema intenta resolver, dónde se pierde tiempo, quién toma realmente la decisión y qué información necesita, la conversación deja de ser puramente de cumplimiento y tecnológica y pasa a ser estratégica y transformadora.
Esto cambia también la forma de entender un inventario de IA. No se trata solamente de saber qué herramientas utiliza una empresa, sino de entender qué papel tiene cada sistema dentro de la organización y qué impacto tiene sobre el proceso en el que interviene.
Pensemos en un proceso habitual en turismo, como gestionar una petición de grupo o un evento. Puede involucrar disponibilidad, tarifa, restauración, depósitos, cambios y seguimiento. Varias personas, diferentes sistemas y múltiples intercambios.
La tentación es buscar qué partes de todo ese proceso puede acelerar la IA. Pero si el verdadero problema son las esperas, los traspasos o la información fragmentada, hacer cada tarea individual un poco más rápida no va a transformar el proceso.
La pregunta correcta deja de ser “¿dónde ponemos IA?” y pasa a ser “¿cómo debería funcionar este proceso ahora?”
Si entendemos el proceso, cada paso puede resolverse de manera diferente.
Ese reparto entre software determinista, IA y personas es mucho más importante que elegir primero una herramienta o un modelo.
Además, una vez decidido quién hace qué, podemos plantearnos una formación eficiente y que tenga verdadero sentido, porque no todas las personas necesitan un curso genérico sobre IA. Quien construye o mejora los sistemas necesita unas capacidades; quien supervisa sus decisiones necesita otras; y quien trabaja dentro de un proceso modificado necesita entender su nuevo papel y, por lo tanto, una formación distinta.
El impacto depende del sistema utilizado, de su finalidad y del papel que desempeñe la organización. En Travel Tech, esto puede afectar a sistemas utilizados para pricing, recomendación, atención al cliente, recursos humanos, fraude o automatización de procesos.
El punto de partida no debería ser decidir qué herramienta utilizar, sino entender qué sistemas de IA ya existen y qué función cumplen.
Por ejemplo, un chatbot de atención al cliente, un sistema de recomendación de hoteles y una herramienta de pricing pueden utilizar IA, pero tienen funciones, riesgos y responsabilidades diferentes. Tratarlos como una única categoría solo porque todos utilizan inteligencia artificial dificulta tanto el cumplimiento como la toma de decisiones sobre cómo integrarlos en la organización.
Por eso, el inventario debe servir también para entender el contexto de cada sistema: qué proceso afecta, qué decisiones interviene, qué personas lo utilizan, qué datos necesita y qué ocurre cuando su resultado no es correcto.
En el webinar, Mylegalinbox propuso un recorrido de adaptación estructurado en aproximadamente 90 días: primero inventariar y clasificar; después trabajar contratos, políticas y formación; finalmente documentar decisiones y controles. Por nuestra parte desde Codurance planteamos aprovechar exactamente ese recorrido para hacer algo más.
Cuando inventariamos, medimos un proceso real.
Cuando definimos responsabilidades y formamos a las personas, rediseñamos quién hace qué dentro de ese proceso.
Cuando registramos las decisiones, medimos también si el cambio ha mejorado tiempos, costes, calidad o conversión.
No hace falta un programa especifico para cumplir la norma y otro diferente para transformar; se pueden lograr ambos objetivos si aproximamos el proyecto de IA de forma estratégica.
La adopción de IA ya está ocurriendo, y ahora la regulación obliga a hacerla explícita: saber dónde está, quién responde por ella y bajo qué condiciones debe utilizarse. En este punto las empresas pueden limitarse a generar la evidencia necesaria para demostrar que cumplen, o pueden aprovechar ese momento para preguntarse algo bastante más valioso:
Ahora que la IA ya está dentro de nuestra organización, ¿cómo queremos que funcione la organización con ella?
Ahí es justo donde empieza la parte interesante.
El AI Act es el Reglamento de la Unión Europea que establece reglas para el desarrollo, comercialización y uso de sistemas de inteligencia artificial. Sus obligaciones dependen del uso concreto que se haga de la IA, del nivel de riesgo asociado y del papel que desempeñe cada organización frente al sistema.
Por eso, puede afectar tanto a empresas que desarrollan sistemas de IA como a organizaciones que utilizan soluciones desarrolladas por terceros.
Puede hacerlo. Una empresa no necesita desarrollar su propia inteligencia artificial para verse afectada por el Reglamento. El uso de herramientas de terceros debe analizarse según su finalidad, la forma en que se utilizan y el papel que desempeña la organización.
Esto incluye herramientas como asistentes de IA, copilotos, chatbots, sistemas de generación de contenido o soluciones integradas en otros productos y procesos.
Sí, el hecho de que una solución haya sido desarrollada por un tercero no excluye a la empresa de las obligaciones que puedan corresponderle.
Muchas organizaciones actúan como deployers: utilizan bajo su autoridad sistemas desarrollados por terceros, como chatbots, recomendadores, herramientas de pricing, copilotos o soluciones de RRHH. Ese uso puede generar obligaciones específicas.
A septiembre de 2026, ya se aplican varias obligaciones del AI Act, entre ellas las relacionadas con determinadas prácticas prohibidas, la alfabetización en IA y determinadas obligaciones de transparencia.
La aplicación del Reglamento es progresiva y algunos requisitos específicos, especialmente relacionados con determinados sistemas de alto riesgo, tienen fechas posteriores de aplicación.
Un buen punto de partida es crear un inventario de los sistemas de IA que utiliza la organización e identificar para qué se emplean, qué datos utilizan, quién los opera y qué papel desempeña la empresa frente a cada sistema.
A partir de ahí, conviene clasificar los casos de uso, revisar proveedores y contratos, establecer las políticas y controles necesarios, formar a los equipos y mantener la documentación correspondiente.
Como mínimo, conviene identificar qué sistema se utiliza, para qué proceso, cuál es su finalidad, qué proveedor interviene, qué personas lo utilizan, qué datos necesita, qué decisiones apoya o toma y qué controles existen.
Este inventario puede convertirse además en una herramienta para detectar procesos con fricción, responsabilidades poco claras o áreas donde la IA puede integrarse de una manera más efectiva.
El trabajo necesario para adaptarse al AI Act puede utilizarse también para revisar cómo funciona realmente la organización.
Al inventariar la IA podemos identificar procesos con fricción; al definir responsabilidades podemos decidir qué tareas deben resolver el software, la IA o las personas; y al documentar las decisiones podemos medir también su impacto en tiempo, costes, calidad o conversión.
La oportunidad está en convertir el compliance en un punto de partida para mejorar procesos y construir una capacidad real de adopción de IA.