AI Act y agentes de IA: qué implica para una empresa que despliega IA

El AI Act, el reglamento europeo de inteligencia artificial, no te obliga a demostrar que tu IA es perfecta. Te obliga a saber qué estás desplegando, clasificarlo por su riesgo, documentar cómo funciona y decir a las personas afectadas que hay una IA de por medio. Si despliegas agentes en tus operaciones internas, esto no es un trámite lejano: es una lista de obligaciones que dependen del uso que les das, y que conviene mirar antes de poner un agente a decidir sobre personas o dinero.

Aviso de método: describo el marco en términos generales y verificables. No cito artículos numerados ni fechas concretas de aplicación, porque el detalle cambia y el error de precisión se paga caro, y para el texto exacto está la norma. Lo que sí puedo darte es el criterio con el que un directivo debería leerla.

El enfoque por niveles de riesgo

La idea central del reglamento es sencilla: no todas las aplicaciones de IA se tratan igual. Las obligaciones crecen con el riesgo del uso, no con la sofisticación de la tecnología. Un mismo modelo puede caer en categorías distintas según para qué lo emplees. A grandes rasgos, el marco distingue usos prohibidos, usos de alto riesgo con obligaciones exigentes, usos con obligaciones de transparencia y usos de riesgo mínimo con requisitos ligeros.

La consecuencia práctica es que la primera pregunta no es técnica sino de negocio. Consiste en saber qué decide este agente y sobre quién. Un agente que concilia facturas internas y otro que influye en el acceso de una persona a un empleo, un crédito o un servicio esencial no están en el mismo plano regulatorio, aunque por dentro usen la misma clase de modelo. La mayoría de los agentes de back office con los que trabajo caen en las categorías de riesgo bajo o de transparencia, pero eso hay que determinarlo caso a caso, no asumirlo.

Transparencia: decir que hay una IA

Una de las obligaciones más transversales del marco es la transparencia. Cuando una persona interactúa con un sistema de IA, o cuando una decisión que le afecta se ha tomado con ayuda de uno, tiene derecho a saberlo. Para una empresa que despliega agentes, esto se traduce en cosas concretas: que un cliente que habla con tu atención al cliente sepa si le atiende un agente, que un empleado sepa cuándo un proceso interno lo ejecuta una IA, y que esa información no esté enterrada en una cláusula.

La transparencia no es solo hacia fuera. También es hacia dentro: quien opera el sistema tiene que entender qué hace, con qué límites y cuándo escala a una persona. Un agente que actúa sin que nadie en la casa pueda explicar su comportamiento es, además de un riesgo operativo, un problema de cumplimiento. El humano en el circuito no es solo buena ingeniería: es la pieza que hace explicable el sistema.

Documentación: poder demostrar lo que haces

El segundo gran bloque son las obligaciones de documentación y registro. El marco espera que quien despliega IA, sobre todo en los usos de más riesgo, pueda describir qué hace el sistema, con qué datos, con qué controles y con qué supervisión humana, y que conserve registro de su funcionamiento. La lógica es la de cualquier actividad regulada. No basta con cumplir, hay que poder demostrarlo.

Aquí es donde la ingeniería y el cumplimiento se encuentran. La trazabilidad que recomiendo por razones operativas —cada acción del agente con su contexto, la regla aplicada y el motivo— es exactamente lo que te permite responder a un auditor. Si el sistema ya registra qué hizo y por qué, la documentación regulatoria deja de ser un ejercicio aparte y pasa a ser una consulta a lo que ya tienes. Cómo se construye esa evidencia caso a caso está en auditar decisiones de agentes, y los controles que la producen, en permisos y controles de agentes.

Quién es responsable

La pregunta que más aparece en los comités es quién responde ante el regulador si el agente falla. El marco distingue roles a lo largo de la cadena. De forma simplificada, quien construye y pone en el mercado un sistema de IA tiene un conjunto de obligaciones, y quien lo despliega para un uso concreto en su organización tiene otro. Ese segundo papel, el de la empresa que usa el agente en su operación, es el tuyo.

Que exista un proveedor detrás no traslada tu responsabilidad como empresa que usa el sistema. Tú eliges el uso, defines los límites, supervisas y respondes ante tus clientes y ante la autoridad por lo que ocurre en tu operación. Por eso insisto tanto en la propiedad de la arquitectura operativa. Las reglas, los controles y las trazas que definen cómo se comporta tu agente deben ser tuyos y estar documentados, no encerrados en la caja de un tercero. Esa separación, que trato en protección de datos y RGPD desde la óptica de los datos, es también la que sostiene el cumplimiento del AI Act.

Qué hacer hoy, sin esperar a la letra pequeña

No hace falta un dictamen jurídico completo para empezar a estar en el lado bueno. Con estos pasos cubres la parte que depende de ti como empresa que despliega:

• Inventaría tus usos de IA. Qué agentes tienes, qué deciden y sobre quién. Sin este mapa no puedes clasificar el riesgo, y la clasificación es el primer deber. El shadow AI que circula sin control es precisamente lo que rompe este inventario.
• Clasifica por uso, no por tecnología. Separa lo que toca a personas y decisiones sensibles de lo que es back office interno acotado.
• Documenta y registra desde el diseño. Trazabilidad, límites y supervisión humana escritos antes del despliegue, no después de una inspección.
• Fija transparencia hacia clientes y empleados. Que se sepa cuándo interviene una IA.

Este trabajo no es un obstáculo al despliegue, es parte del despliegue serio. Encaja dentro del marco de gobernanza de agentes, se apoya en el modelo operativo codificado y forma parte de lo que reviso en preparar tu empresa para agentes. El resto de los riesgos que rodean a este, del error silencioso a la dependencia de proveedor, están ordenados en riesgos de la IA en las empresas. Y el punto de entrada a todo, en agentes de IA para empresas.

Preguntas frecuentes

¿El AI Act afecta a mi empresa si solo uso agentes en procesos internos?

Sí, el uso interno no queda fuera. Las obligaciones dependen del riesgo del uso, no de si es interno o externo: un agente que decide sobre empleados o sobre datos sensibles puede tener requisitos exigentes aunque nunca hable con un cliente. La mayoría del back office cae en categorías más ligeras, pero eso hay que determinarlo clasificando cada uso, no asumiéndolo.

¿Quién responde si un agente de IA se equivoca, el proveedor o mi empresa?

El marco reparte obligaciones entre quien construye el sistema y quien lo despliega para un uso concreto. Como empresa que usa el agente en su operación, eliges el uso, defines los límites y supervisas, así que respondes ante tus clientes y ante la autoridad por lo que ocurre. Tener un proveedor detrás no traslada esa responsabilidad, y por eso los controles y las trazas deben ser tuyos.

¿Qué es lo primero que debo hacer para cumplir con el AI Act?

Inventariar tus usos de IA y clasificarlos por riesgo. No puedes cumplir con lo que no sabes que tienes, y el uso no controlado por los empleados rompe ese inventario antes de empezar. Con el mapa hecho, priorizas documentación, trazabilidad y transparencia en los usos de más riesgo.

¿Necesito abogados especializados para desplegar agentes?

Para la clasificación fina de usos sensibles y para tu sector, conviene asesoramiento. Pero buena parte del cumplimiento depende de ingeniería que controlas tú: documentar qué hace el agente, registrar sus decisiones, fijar límites y supervisión, e informar a las personas afectadas. Si eso está diseñado desde el principio, la parte jurídica trabaja sobre algo ordenado en lugar de sobre un sistema opaco.