El EU AI Act, el Reglamento (UE) 2024/1689 de Inteligencia Artificial, suele tratarse como si fuera un único plazo futuro. No lo es. Se aplica por fases, y dos de ellas ya han llegado. Para una empresa SaaS europea, las partes que importan hoy son el artículo 4, sobre alfabetización en materia de IA, y el artículo 50, sobre transparencia.
Ambos son más prácticos que técnicos. Ambos necesitan un responsable, y ambos se pasan por alto con facilidad, simplemente porque nadie se ha dado cuenta de cuánta IA se usa ya en la empresa.
Una nota antes de entrar en detalle: este artículo explica lo que dicen las normas y cómo suelen responder las empresas. No es asesoramiento jurídico. Para decisiones específicas de su empresa, consulte a un abogado.
¿Qué exigen los artículos 4 y 50 del EU AI Act a una empresa SaaS?
El artículo 4, aplicable desde el 2 de febrero de 2025, pide a las empresas que adopten medidas para que las personas que usan IA tengan un nivel suficiente de alfabetización en materia de IA; basta con un registro interno de la formación. El artículo 50, aplicable desde agosto de 2026, exige que la IA que interactúa con personas indique que es IA, salvo que resulte evidente, y que las ultrasuplantaciones (deepfakes) se divulguen.
Ninguno de los dos exige un certificado ni un nuevo departamento. En la práctica, lo que piden es concienciación, un registro y un etiquetado honesto.
Artículo 4: la alfabetización en materia de IA, en la práctica
El artículo 4 se aplica desde el 2 de febrero de 2025, y las autoridades nacionales supervisan el Reglamento desde agosto de 2026. Pide a las empresas que adopten medidas para que las personas que trabajan con IA en su nombre la entiendan lo suficiente como para usarla correctamente: en qué es buena, dónde falla y qué datos no deben introducirse nunca en ella.
Hay dos puntos que a menudo se malinterpretan. Primero, no se exige ningún certificado. No hay ningún curso oficial que comprar ni examen que aprobar. Segundo, basta con un registro interno: qué formación y orientaciones se dieron, a quién y cuándo.
Para una empresa SaaS, lo difícil no es la formación, sino saber dónde se usa realmente la IA. El Work Trend Index 2024 de Microsoft y LinkedIn concluyó que el 75% de los trabajadores del conocimiento usa IA generativa en el trabajo, y que el 78% de los usuarios de IA utiliza sus propias herramientas. En una empresa SaaS típica, eso significa agentes de soporte redactando respuestas, comerciales escribiendo mensajes de prospección, ingenieros usando asistentes de programación y finanzas pegando cifras en una ventana de chat, a menudo sin una herramienta aprobada ni orientaciones.
Un enfoque viable tiene tres pasos:
- Inventario. Enumerar las herramientas de IA en uso, aprobadas o no, quién las usa y qué datos de la empresa o de clientes se introducen en ellas.
- Orientaciones por puesto. Orientaciones breves y concretas para cada equipo: para qué pueden usarse las herramientas, qué datos deben quedar fuera y cómo comprobar los resultados. Un equipo de soporte y un equipo de finanzas necesitan reglas distintas.
- Un registro. Un registro fechado de quién recibió qué orientaciones o formación, actualizado cuando cambian las herramientas o los puestos.
Esto también es buena gestión operativa, haya ley o no. Una empresa que sabe adónde van sus datos es una empresa que puede responder con honestidad al cuestionario de seguridad de un cliente.
Artículo 50: decir a las personas que están hablando con una IA
El artículo 50 se aplica desde agosto de 2026. Su núcleo es sencillo: un sistema de IA que interactúa con personas debe dejar claro que es IA, salvo que resulte evidente por el contexto. Las ultrasuplantaciones, es decir, imágenes, audio o vídeo generados por IA que podrían pasar por reales, deben divulgarse.
Para una empresa SaaS, los puntos que hay que revisar suelen ser:
- El asistente dentro del producto. Un asistente integrado en la aplicación que responde a los usuarios debe indicar que es una IA.
- Chat de la web, de ventas y de soporte. Un chat que responde a clientes o potenciales clientes necesita un aviso claro de que las respuestas proceden de una IA.
- Voz y vídeo. Una voz de IA en una llamada, o un presentador generado por IA en un vídeo de producto o un anuncio, debe indicarse.
La divulgación es más una tarea de diseño que legal: una línea en la ventana de chat, una etiqueta en la interfaz, una frase al inicio de una llamada. Sale más barata cuando forma parte del diseño desde el principio. El mismo criterio se aplica a los agentes internos: el NordOps AI Agent está diseñado para las normas europeas, con cada pregunta y cada acción registradas.
Lo que aún no se aplica
Gran parte de la atención en torno al Reglamento se centra en la IA de alto riesgo, y para la mayoría de las empresas SaaS esa parte aún está por llegar:
- 2 de diciembre de 2027: empiezan a aplicarse las normas para los ámbitos de alto riesgo enumerados en el anexo III, como la IA utilizada en la selección de personal.
- 2 de agosto de 2028: empiezan a aplicarse las normas para la IA integrada en productos regulados.
Estas fechas siguen la modificación del Reglamento de 2026, que entró en vigor el 27 de julio de 2026. Una empresa SaaS cuyo producto se use en selección de personal, o en otro ámbito del anexo III, debería aprovechar el tiempo para prepararse en lugar de esperar. Para todas las demás, la prioridad son los dos artículos que ya se aplican.
Una lista de comprobación práctica para este trimestre
- Nombre a un responsable de la IA en la empresa, con tiempo para hacer el trabajo.
- Complete un inventario de la IA en uso, incluidas las herramientas que las personas han introducido por su cuenta.
- Redacte orientaciones breves para cada equipo y registre quién las ha recibido.
- Revise cada punto en el que la IA habla con clientes, potenciales clientes o el público, y añada un aviso claro donde falte.
- Revise el contenido de marketing en busca de personas o voces generadas por IA, y etiquételo.
- Si su producto se usa en selección de personal o en otro ámbito del anexo III, empiece a planificar para diciembre de 2027.
Nada de esto convierte a un Chief AI Officer en un requisito legal; es un puesto, no una obligación. Pero el trabajo necesita un responsable, y en la mayoría de las empresas en crecimiento todavía no lo tiene. Eso forma parte de lo que asume un Fractional Chief AI Officer, y nuestro AI Snapshot empieza precisamente con este inventario y con la revisión de la alfabetización en materia de IA y la transparencia.
Fuente: Reglamento (UE) 2024/1689, artículos 4, 50 y 113, en su versión modificada en 2026. Este artículo informa; no es asesoramiento jurídico.