Una triple presión regulatoria sin precedentes
Las organizaciones que despliegan IA en 2026 operan en un entorno regulatorio inédito. Tres marcos se superponen, se articulan y, a veces, se contradicen. Ignorarlos no es una opción. Tratarlos por separado, todavía menos.
El AI Act europeo, en vigor desde agosto de 2024, despliega sus obligaciones a lo largo de tres años. Clasifica los sistemas de IA en cuatro niveles de riesgo (inaceptable, alto, limitado, mínimo) con exigencias proporcionales: transparencia, trazabilidad, supervisión humana, evaluación de conformidad antes de la comercialización para los sistemas de riesgo alto. La gran mayoría de los sistemas de IA desplegados en las empresas entra en las categorías limitado o alto. Pocas organizaciones han tomado la medida de ello.
El RGPD sigue siendo el marco de referencia. El AI Act no lo sustituye. Se superpone a él. Las obligaciones de minimización de datos, base legal, gestión de los derechos de las personas y Evaluaciones de Impacto relativas a la Protección de Datos (EIPD) se aplican plenamente a los sistemas de IA que tratan datos personales. Y la práctica totalidad de los casos de uso de IA en la empresa los trata.
La soberanía digital, por último, es una presión menos formal pero igual de real. La Cloud Act estadounidense y la sección 702 de la Foreign Intelligence Surveillance Act (FISA) permiten a las autoridades de Estados Unidos acceder a los datos alojados por proveedores sujetos al derecho estadounidense, incluso desde sus filiales europeas. Para los datos sensibles, los datos personales y los datos de sectores regulados, este riesgo extraterritorial ya no es aceptable.
Lo que es nuevo: estos tres marcos se aplican simultáneamente, en ciclos diferentes. El AI Act se despliega a lo largo de 3 años. El RGPD está en vigor desde 2018, pero su aplicación a los sistemas de IA sigue siendo en gran medida incompleta. La soberanía no tiene un plazo regulatorio. Pero cada incidente de fuga de datos amplifica la presión política y contractual.
El falso dilema: agilidad frente a cumplimiento
La reacción más frecuente que observamos en las organizaciones que se enfrentan a esta triple presión: dejarla en espera. «Ya lo veremos cuando hayamos entregado el MVP.» «El cumplimiento es para la fase 2.» «No podemos permitirnos frenar por cuestiones legales.»
Es un error de cálculo. Y sobre todo es un error de timing.
Tratar el cumplimiento a posteriori (una vez que los sistemas ya están diseñados, los datos recopilados y las arquitecturas desplegadas) cuesta sistemáticamente más caro que integrarlo desde el principio. Lo vemos con el RGPD desde 2018: las organizaciones que aplicaron el «privacy by design» tienen plazos de adecuación de semanas. Las que lo ignoraron afrontan proyectos de meses, a veces de años.
El AI Act repite exactamente este esquema, con una complejidad adicional: cualificar un sistema de IA después de construirlo es difícil. Modificar su arquitectura para satisfacer las exigencias de riesgo alto tras el despliegue resulta costoso. Y retomar la gestión del ciclo de vida de un sistema de IA existente sin documentación inicial es, en la práctica, a menudo imposible sin empezar de cero.
El cumplimiento by design no es un lujo de grandes organizaciones con equipos jurídicos sobredimensionados. Es el único enfoque económicamente racional a la escala de un programa de IA.
Los 4 pilares de un cumplimiento by design
La cartografía de los tratamientos de datos precede a cualquier despliegue de un sistema de IA. Cada tratamiento de datos personales está documentado: finalidad, base legal, plazo de conservación, transferencias. La minimización de datos es una restricción de diseño, no un principio de comunicación. Las EIPD se realizan de forma específica, sobre los casos de uso de riesgo alto, antes de la puesta en producción. El registro de tratamientos se mantiene de forma continua, no se actualiza solo en las auditorías.
Cada sistema de IA (SIA) se inventaría y se cualifica según los cuatro niveles de riesgo del AI Act. Esta cualificación determina las obligaciones aplicables: documentación técnica, supervisión humana, robustez, transparencia hacia los usuarios. El ciclo de vida del SIA (desde el diseño hasta la retirada de servicio) está documentado y es auditable. Las herramientas internas (carta ética, matrices de análisis de riesgo, plantillas de documentación) permiten tratar esta cualificación de forma industrializada, sin recrear un proceso ad hoc en cada proyecto.
Los datos sensibles y los datos personales se almacenan en el territorio de la Unión Europea. El tránsito fuera de la UE está prohibido para los datos de las categorías más sensibles. Las claves de cifrado permanecen bajo control de la organización (BYOK, Bring Your Own Key, o HYOK, Hold Your Own Key). Los proveedores cloud se seleccionan entre los operadores cualificados soberanos: OVHcloud, Bleu (participada por Orange y Capgemini), S3NS (Thales). Esta localización no es un simple criterio contractual. Se verifica a nivel de arquitectura y se audita.
El cumplimiento de la IA no es un silo. Se integra en los marcos de gobernanza ya existentes: gobernanza de datos, gobernanza de TI, cumplimiento regulatorio sectorial. Los roles están claros: data owners por dominio de negocio, responsables de cumplimiento de IA, DPO implicado desde la cualificación de los SIA. Esta gobernanza transversal evita dos escollos simétricos: la sobreburocratización (un comité de cumplimiento de IA que lo bloquea todo) y la ausencia de responsabilidad (cada uno piensa que ya se encarga otro).
El enfoque en 3 fases
Implantar estos cuatro pilares no se hace en una sola intervención. El enfoque Niji Data & Trust se estructura en tres fases complementarias:
Planteamiento de las exigencias regulatorias aplicables a la organización (RGPD + AI Act + restricciones sectoriales). Construcción de un lenguaje común entre los equipos jurídicos, técnicos y de negocio. Definición del RACI de cumplimiento de IA. Elaboración de la hoja de ruta priorizada: por nivel de riesgo y por esfuerzo de puesta al día. Esta fase produce una visión clara del estado inicial y del objetivo.
Implantación del ciclo de vida de los SIA: cualificación, documentación, validación antes de la puesta en producción. Despliegue de las herramientas de cumplimiento: carta ética de IA, matrices de análisis de riesgo, plantillas de EIPD adaptadas a los sistemas de IA, catálogo de localización de datos. Tratamiento de la deuda existente: cualificación retrospectiva de los sistemas de IA ya en producción. Es la fase más intensiva, y la que produce los efectos más inmediatos sobre el nivel de riesgo real.
Integración del cumplimiento en las rutinas operativas: revisiones periódicas, actualización de las cualificaciones cuando evolucionan los modelos o los casos de uso. Implantación de una vigilancia regulatoria activa (el AI Act sigue evolucionando a través de actos delegados y estándares armonizados). Construcción del modelo operativo duradero: el cumplimiento de la IA deja de ser un proyecto. Se convierte en una competencia interna.
Qué da esto sobre el terreno
Un operador de infraestructuras críticas (sector fuertemente regulado, datos sensibles que afectan a millones de usuarios, exigencias de seguridad de nivel ANSSI) inició un proceso de adecuación de IA en 2025. Las cifras hablan por sí solas.
En tres meses, con una squad de 3 ETC de Niji (un experto en RGPD/AI Act, un arquitecto de datos, un consultor de gobernanza), se analizaron y cualificaron más de 200 casos de uso de IA según los niveles de riesgo del AI Act. Se produjo una hoja de ruta de adecuación, priorizando los 40 casos de uso de riesgo alto. Se estructuró la puesta al día de la deuda existente. Se desplegó un ciclo de vida SIA estandarizado, con sus herramientas asociadas.
Lo que hizo posible esta velocidad: un equipo dedicado a tiempo completo, un método probado y, sobre todo, un sponsor interno que entendía que el cumplimiento no era una restricción que gestionar, sino un activo que construir. Los sistemas conformados son más fáciles de hacer evolucionar, más sencillos de auditar y más sólidos jurídicamente en caso de incidente.
Lo que enseña esta experiencia de campo: la adecuación de la IA no es un proyecto de 18 meses imposible de asumir. Con el método y los recursos adecuados, los trabajos preparatorios y la cualificación inicial de un parque de casos de uso significativo pueden llevarse a cabo en un trimestre. Lo que lleva tiempo es la consolidación. Pero se construye en paralelo, no después.
Qué aporta Niji en la práctica
La oferta Data & Trust de Niji cubre todo el espectro: desde la evaluación inicial hasta la gobernanza operativa continua. Esto es lo que las organizaciones nos piden con más frecuencia, y lo que aportamos:
| Necesidad | Qué aporta Niji |
|---|---|
| Cualificar mis sistemas de IA conforme al AI Act | Inventario + cualificación SIA - matrices de análisis, niveles de riesgo, obligaciones aplicables por sistema |
| Tratar mi deuda RGPD en los tratamientos de IA existentes | Auditoría + plan de puesta al día - cartografía de los tratamientos, bases legales, EIPD específicas, actualización del registro |
| Asegurar la localización de mis datos | Diagnóstico de arquitectura - identificación de los flujos fuera de la UE, recomendaciones BYOK/HYOK, cualificación de proveedores cloud soberanos |
| Implantar una gobernanza de IA duradera | Modelo operativo - RACI, roles y responsabilidades, integración en los marcos existentes, herramientas (carta ética, plantillas) |
| Formar a mis equipos en las nuevas obligaciones | Programas de capacitación - por perfil (jurídico, técnico, negocio), talleres de cualificación práctica |
| Garantizar la vigilancia regulatoria continua | Célula de vigilancia activa - seguimiento de los actos delegados del AI Act, estándares armonizados, jurisprudencia RGPD aplicable a la IA |
Niji es miembro de la iniciativa Positive AI, comprometida con una IA responsable y soberana. Nuestro área de Ciberseguridad reúne a más de 100 expertos, con cualificaciones PACS/PASSI y certificación ISO 27001. Nuestro equipo de Data & IA cuenta con más de 130 expertos. Esta profundidad de competencias nos permite tratar el cumplimiento de la IA no como un asunto jurídico aislado, sino como un reto de arquitectura, gobernanza y confianza, en conexión directa con los equipos que construyen y operan los sistemas.