El compliance de IA es el conjunto de medidas con las que una empresa se asegura de usar la inteligencia artificial cumpliendo la ley: el Reglamento europeo de IA, la normativa de protección de datos y sus propias reglas internas.
Dicho así suena a departamento grande y a presupuesto. En la práctica, la mayoría de las empresas españolas que usan IA ya tienen obligaciones vivas y no lo saben, porque llegaron a la inteligencia artificial por la puerta de la productividad y no por la del cumplimiento.
Esta guía explica qué abarca el compliance de IA, en qué se diferencia de una idea parecida con la que se confunde constantemente, qué capas tiene y cómo se monta en una empresa que no es un banco.
Claves en 30 segundos
- El compliance de IA cubre cómo tu empresa usa la inteligencia artificial cumpliendo la normativa. Es distinto de usar IA como herramienta dentro del departamento de cumplimiento.
- Va más allá del AI Act: incluye protección de datos, gobernanza interna, contratos con proveedores y los requisitos de tu sector.
- Dos reglas del AI Act ya rigen para cualquier empresa que use IA: la obligación de formar al personal y la prohibición de determinadas prácticas.
- La prueba de que cumples es documental. Sin registros, cumplir y no cumplir se parecen demasiado.
- No hace falta un departamento: hace falta un responsable con nombre y un inventario actualizado.
Qué es el compliance de IA
El compliance, sin apellidos, es la función que se asegura de que una organización cumple las normas que le aplican y puede demostrarlo. Existe compliance penal, fiscal, laboral o medioambiental. El compliance de IA es la rama que se ocupa de una tecnología concreta: la inteligencia artificial que la empresa utiliza, integra o comercializa.
Su contenido tiene tres partes. La primera es conocer qué sistemas de IA hay dentro de la organización, quién los usa y para qué. La segunda, aplicar a cada uno las obligaciones que le correspondan según la normativa. La tercera, conservar la evidencia de haberlo hecho.
Esa tercera parte es la que más se descuida y la que más pesa cuando llega una revisión. El Reglamento (UE) 2024/1689, conocido como AI Act, y el Reglamento General de Protección de Datos comparten un principio de responsabilidad proactiva: quien trata los datos o despliega el sistema tiene que poder acreditar lo que hizo. Una empresa que formó a su equipo pero no guardó el registro de asistencia está en una posición jurídica peor que otra idéntica que sí lo guardó.
Compliance de IA o IA para compliance: dos cosas que se confunden
Buscando información sobre este tema aparecen mezclados dos asuntos distintos, y conviene separarlos antes de seguir.
| Pregunta | Compliance de IA | IA para compliance |
|---|---|---|
| De qué trata | Cumplir la normativa cuando tu empresa usa inteligencia artificial | Usar inteligencia artificial como herramienta del departamento de cumplimiento |
| Quién lo impulsa | Dirección y asesoría jurídica | El propio equipo de compliance |
| Qué pasa si falla | Sanciones, contratos perdidos, responsabilidad | Menos eficiencia en el trabajo interno |
Los dos temas son legítimos y a veces conviven: un departamento de compliance puede usar IA para revisar contratos y, al hacerlo, convertirse él mismo en sujeto de las obligaciones del AI Act. Esta guía trata el primero, que es el que genera obligaciones legales.
Compliance de IA no es solo el AI Act: las cinco capas
Reducir el compliance de IA al AI Act es el error más frecuente. El Reglamento europeo es la capa más visible y la más nueva, aunque no la única que te obliga. Estas son las cinco capas que hay que revisar en una empresa española.
| Capa | Qué te exige | Qué evidencia deja |
|---|---|---|
| AI Act | Clasificar cada sistema según su riesgo, garantizar la formación del personal (art. 4) y avisar cuando el contenido lo ha generado una máquina (art. 50) | Inventario de sistemas, registro de formación, avisos visibles |
| Protección de datos | Base jurídica, información a las personas y evaluación de impacto cuando la IA influye en decisiones sobre ellas (arts. 22 y 35 del RGPD) | Registro de actividades de tratamiento, evaluación de impacto |
| Gobernanza interna | Política de uso, roles definidos y supervisión humana de los resultados | Política aceptada por la plantilla, actas de las decisiones |
| Contratos | Comprobar qué hace tu proveedor con la información que le envías y qué garantías ofrece | Contratos y anexos revisados |
| Sector | Requisitos propios de sanidad, banca, seguros, educación o sector público | Lo que exija cada regulador |
La capa que más sorpresas da es la contractual. Muchas empresas descubren que la versión de una herramienta que tienen contratada permite al proveedor usar sus datos para entrenar modelos, algo que en un bufete o una clínica es directamente un problema de confidencialidad.
Compliance de IA y protección de datos
Casi todo el uso empresarial de IA implica datos personales, así que las dos normativas se aplican a la vez. Conviene tener claro qué añade cada una.
El RGPD protege a las personas cuyos datos se tratan, use la empresa inteligencia artificial o una hoja de cálculo. El AI Act regula los usos de la IA por el riesgo que generan, traten datos personales o no. Un sistema que filtra currículums activa las dos: el RGPD por los datos de los candidatos y el AI Act por tratarse de un uso de alto riesgo en el ámbito del empleo.
Dos artículos del RGPD concentran la mayor parte del trabajo. El artículo 22 limita las decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos sobre una persona, lo que obliga a mantener intervención humana real en procesos como la selección de personal o la concesión de crédito. El artículo 35 exige una evaluación de impacto cuando el tratamiento entraña un riesgo alto para los derechos de las personas, supuesto habitual cuando se introduce IA en decisiones que les afectan.
Si tu sistema entra en alguno de esos terrenos, antes de nada conviene comprobar si estás ante un sistema de alto riesgo del Anexo III, porque el paquete de obligaciones cambia por completo.
Cuando el que incumple es tu proveedor
La capa contractual merece un apartado propio porque es donde más empresas se llevan un susto y la que casi nadie revisa antes de firmar.
Contratar una herramienta de un tercero no traslada tu responsabilidad. Si tu empresa decide usar un sistema de IA, para qué usarlo y con qué datos alimentarlo, sigue respondiendo como responsable del despliegue aunque el modelo lo haya construido una empresa americana. El AI Act alcanza además a proveedores de fuera de la Unión cuando los resultados de su sistema se usan dentro de ella, así que la distancia geográfica tampoco resuelve nada.
Cinco puntos concretos que conviene mirar en cualquier contrato antes de firmarlo:
- Qué hace el proveedor con lo que le envías. Muchas versiones de consumo permiten usar las conversaciones para entrenar modelos. En un despacho, una asesoría o una clínica, eso choca de frente con el deber de confidencialidad.
- Dónde se tratan los datos y qué garantías hay para las transferencias fuera del Espacio Económico Europeo.
- Qué subencargados intervienen. Un proveedor suele apoyarse en otros, y esa cadena tiene que estar identificada.
- Qué información técnica te entrega. Si tu sistema acaba clasificado como de alto riesgo, necesitarás documentación que solo el proveedor tiene.
- Cómo se sale. Qué pasa con tus datos y con el servicio si decides cambiar de herramienta.
La versión empresarial de una herramienta suele resolver los dos primeros puntos, algo que rara vez hace su versión de consumo. Comprobarlo cuesta una lectura y ahorra el problema entero.
Cómo montar un programa de compliance de IA
Un programa de compliance de IA se construye en cuatro movimientos. Ninguno requiere herramientas caras; todos requieren que alguien tenga el encargo por escrito.
Primero, el inventario. Una tabla con cada sistema de IA que se usa en la empresa: herramienta, proveedor, para qué se usa, quién la usa, si trata datos personales y desde cuándo está en marcha. Debe incluir las herramientas que nadie aprobó formalmente, que suelen ser mayoría. Este inventario es la base de todo lo demás y se revisa cada pocos meses.
Segundo, la clasificación. Cada sistema del inventario se sitúa en su nivel de riesgo y se anota qué obligaciones le corresponden. Aquí es donde se separa lo que solo necesita transparencia de lo que exige documentación técnica y supervisión reforzada. Para el detalle del procedimiento en una empresa pequeña, tienes el checklist para cumplir el AI Act si eres pyme.
Tercero, las reglas y la formación. Una política de uso de IA que diga qué herramientas están autorizadas, qué información no puede salir de la empresa y qué hacer ante un resultado dudoso. Y la formación del equipo, que además de ser sensata es obligatoria: el artículo 4 del AI Act exige un nivel suficiente de alfabetización en IA desde febrero de 2025.
Cuarto, la evidencia. Cada paso anterior deja un documento con fecha. El inventario, la clasificación, la política firmada, el registro de formación y las actas de las decisiones importantes. Ese conjunto es lo que se enseña cuando alguien pregunta.
La auditoría de compliance de IA: qué se revisa
Una auditoría de compliance de IA comprueba si lo que la empresa dice que hace coincide con lo que realmente hace. Se revisan cinco cosas.
- El inventario frente a la realidad. Se contrasta la lista oficial con lo que el equipo usa de verdad. La diferencia entre ambas cosas es el primer hallazgo de casi cualquier auditoría.
- La clasificación de riesgo. Si un sistema está mal clasificado, todas las obligaciones que cuelgan de él están mal calculadas.
- La formación. Que exista, que llegue a quien usa las herramientas y que esté documentada con fechas y asistentes.
- Los contratos. Qué han firmado con cada proveedor y qué dice ese contrato sobre confidencialidad, entrenamiento con tus datos y ubicación de los servidores.
- La trazabilidad de las decisiones. Cuando la IA interviene en una decisión sobre personas, si queda constancia de que hubo revisión humana.
La auditoría se puede hacer internamente si hay alguien con formación jurídica y técnica suficiente, y externamente cuando se necesita una mirada independiente o cuando el cliente la exige por contrato.
Quién lo lleva: el responsable de compliance de IA
El AI Act no obliga a nombrar una figura equivalente al delegado de protección de datos. Aun así, funciona mal cuando no hay nadie con el encargo explícito, porque el trabajo cruza departamentos: tecnología conoce las herramientas, legal conoce las obligaciones y dirección decide el riesgo que asume.
En empresas pequeñas y medianas suele recaer en quien ya lleva protección de datos o asesoría jurídica, con apoyo técnico puntual. Lo determinante es que la responsabilidad esté asignada por escrito y que esa persona tenga acceso a la dirección: un responsable sin capacidad de parar un proyecto es un adorno organizativo.
En empresas con sistemas de alto riesgo el asunto crece. Ahí ya hablamos de un sistema de gestión de riesgos permanente, con revisión durante todo el ciclo de vida del sistema.
ISO/IEC 42001 y otros marcos de referencia
La norma ISO/IEC 42001 define un sistema de gestión de inteligencia artificial y es certificable, igual que la 27001 lo es para seguridad de la información. Su adopción es voluntaria: ninguna ley exige tenerla.
Su utilidad es doble. Da una estructura probada a quien empieza de cero y sirve como argumento comercial ante clientes grandes o en licitaciones, donde acreditar gobernanza empieza a puntuar. Para una pyme que solo usa herramientas de terceros, certificarse es desproporcionado; usar su lógica como guía, en cambio, ahorra tiempo.
En el plano español, la Agencia Española de Supervisión de la Inteligencia Artificial publica guías orientativas y actúa como autoridad nacional de vigilancia del mercado.
Preguntas frecuentes
¿Qué es el compliance y para qué sirve?
El compliance es la función que se asegura de que una organización cumple las normas que le aplican y puede demostrarlo. Sirve para prevenir sanciones, para responder ante un incidente con evidencia y para sostener la relación con clientes que exigen garantías. El compliance de IA aplica esa misma lógica a la inteligencia artificial.
¿Puede la IA encargarse del cumplimiento normativo?
La IA ayuda en tareas del departamento de cumplimiento, como revisar contratos, detectar cláusulas o resumir normativa. La responsabilidad, en cambio, sigue siendo de la empresa y de las personas que deciden. Una herramienta puede preparar el trabajo; asumir la decisión y responder por ella corresponde a alguien con nombre.
¿Qué es el compliance tecnológico?
El compliance tecnológico agrupa las obligaciones legales asociadas al uso de la tecnología en una empresa: protección de datos, seguridad de la información, servicios digitales y, desde la llegada del AI Act, inteligencia artificial. El compliance de IA es una especialidad dentro de ese conjunto.
¿Qué tipos de compliance hay?
Los más habituales son el penal, el fiscal, el laboral, el medioambiental, el de protección de datos y el tecnológico. El compliance de IA se ha incorporado a esa lista con el Reglamento europeo de inteligencia artificial y se apoya en los procedimientos que la empresa ya tenga montados.
¿Cómo se hace una auditoría de compliance de IA?
Se contrasta el inventario declarado con el uso real, se revisa la clasificación de riesgo de cada sistema, se comprueba la formación y su documentación, se examinan los contratos con proveedores y se verifica que las decisiones automatizadas sobre personas conservan intervención humana. El resultado es un informe con hallazgos y un plan con plazos.
¿El compliance de IA es lo mismo que proteger los datos?
Son cosas complementarias. La protección de datos cubre el tratamiento de información personal; el compliance de IA cubre además el propio funcionamiento del sistema, su clasificación de riesgo, la transparencia y la formación de quien lo usa, aunque no haya datos personales de por medio.
Una reflexión antes de cerrar
Hay una lectura del compliance de IA que lo presenta como una carga que llega desde Bruselas para complicar la vida a las empresas. Vista de cerca, la norma pide tres cosas que cualquier dirección querría saber igualmente: qué inteligencia artificial se está usando en casa, para qué, y con qué control. Las empresas que se ordenan por obligación acaban descubriendo que también se ordenan por sentido común.
La ventaja de empezar mientras las obligaciones más duras siguen de camino es evidente: se puede hacer con calma, por fases y sin parar la operación. Esa ventana no dura para siempre.
