Tú no desarrollas IA. El reglamento va contigo igual.
El reglamento europeo de inteligencia artificial no da deberes solo a quien fabrica modelos. Dos ya te aplican hoy. El aplazamiento del que todos hablan no los toca.
Hay una frase que oímos en casi todas las reuniones donde sale el reglamento europeo de inteligencia artificial. «Eso es para los que hacen IA. Nosotros solo la usamos.»
Es media verdad. La mitad que falta es la que trae los deberes.
El reglamento no clasifica empresas por si programan o no. Las clasifica por el papel que ocupan frente a un sistema concreto. Quien lo pone en el mercado es el proveedor. Quien lo usa bajo su propia autoridad es el responsable del despliegue. Y el segundo tiene su propia lista de obligaciones, que no desaparecen porque el modelo lo haya entrenado otro.
Dos deberes que ya te aplican hoy
No en 2027. Hoy, mientras lees esto.
El primero es la alfabetización en IA, el artículo 4. Obliga desde el 2 de febrero de 2025 y no distingue por nivel de riesgo: aplica a todos los sistemas, incluido el asistente que alguien de tu equipo usa para redactar correos. Pide que quien trabaja con esas herramientas tenga formación proporcional a lo que hace con ellas.
Proporcional es la palabra que abre el margen. No exige un máster, exige que quien aprueba una respuesta generada sepa qué puede salir mal en ella.
El segundo es la transparencia del artículo 50, que aplica desde el 2 de agosto de 2026. Si una persona habla con una máquina, se le dice. Si publicas una ultrasuplantación o un texto generado sobre asuntos de interés público, se avisa.
Ninguno de los dos depende de que tu sistema sea de alto riesgo. Ninguno de los dos se ha aplazado.
El aplazamiento que casi todo el mundo ha leído mal
En julio de 2026 se publicó el Ómnibus Digital, el Reglamento (UE) 2026/1744. La lectura que circuló fue «han retrasado el reglamento de IA». Circuló tanto que muchos comités de dirección lo dieron por resuelto.
Lo que retrasó de verdad son las obligaciones de alto riesgo: el anexo III pasa al 2 de diciembre de 2027 y el anexo I al 2 de agosto de 2028.
Y lo que no retrasó, que es lo que a ti te toca, son las prácticas prohibidas, la alfabetización del artículo 4 y la transparencia del artículo 50. Las obligaciones de los modelos de propósito general no entran ahí, porque son de quien los pone en el mercado.
Dicho de otra forma: se aplazó la parte que afecta a pocos y se dejó intacta la que afecta a todos. Quien archivó el asunto en julio archivó justo la parte que seguía en vigor.
Y si además caes en alto riesgo
Entonces entra el artículo 26, que es la lista de deberes de quien despliega. Usar el sistema según las instrucciones. Poner supervisión humana con competencia y con autoridad real para detener el sistema. Vigilar que los datos de entrada sean pertinentes para lo que el sistema hace, en la medida en que tú controles esos datos. Monitorizar cómo se comporta e informar de lo que se tuerza. Conservar los registros al menos seis meses y avisar a los trabajadores a quienes afecte. Y avisar también a la persona sobre la que el sistema decide, cuando se use para tomar una decisión sobre ella o para ayudar a tomarla.
Antes de que se te encoja el estómago: el anexo III son ocho dominios concretos, entre ellos biometría, empleo, educación, servicios esenciales como el crédito y los seguros de vida y salud, infraestructura crítica, ámbito policial, migración y justicia. Una empresa que automatiza facturas o responde consultas de clientes no cae ahí por defecto. La que filtra currículos, sí.
Lo que descubrimos leyendo esa lista
Cuando pusimos el artículo 26 al lado de nuestros propios sistemas esperábamos encontrar trabajo administrativo. Encontramos otra cosa.
Casi todos esos deberes son decisiones de ingeniería, no papeles. Conservar registros seis meses es una decisión de arquitectura que se toma el primer día o no se toma. Que una persona pueda parar el sistema es una decisión de arquitectura. Que los datos de entrada sean pertinentes se comprueba en el código, no en una reunión.
Un sistema construido de esa manera genera el expediente de cumplimiento como subproducto. Uno que no, obliga a fabricarlo a mano cada vez que alguien pregunta.
Y esa diferencia se nota mucho antes de que aparezca un inspector. Los mismos registros que pide el reglamento son los que te dicen por qué tu asistente contestó una barbaridad un martes por la tarde. Es la misma disciplina que ya defendemos por razones que no tienen nada que ver con la ley. La contamos en medir la IA por las ganancias.
La pregunta que conviene hacerle a tu proveedor
Si te vas con una sola cosa de aquí, que sea esta.
«¿El registro de lo que hizo el sistema existe por diseño o hay que reconstruirlo cuando alguien lo pide?»
Si la respuesta es lo segundo, no existe. Un expediente que se fabrica después de la pregunta es una redacción, no una prueba. Un inspector lo nota y tu cliente también.
Es la misma pregunta, por cierto, que separa un sistema que puedes mantener de uno con el que solo te queda rezar para que siga funcionando. El reglamento no te está pidiendo nada raro. Te está pidiendo, con fuerza de ley, lo que ya deberías querer por tu cuenta.
El detalle completo, con los ocho dominios uno a uno, el artículo 26 deber a deber y una primera pasada que puedes hacer esta semana, está en la guía del reglamento europeo de IA.