Cumplimiento normativo de la IA en 2026: lo que todo equipo de negocio y operaciones debe saber
La IA ya no es un proyecto piloto. Está funcionando dentro de tu empresa ahora mismo, la hayas autorizado o no.
Alrededor de ocho de cada diez trabajadores utilizan herramientas de IA no aprobadas en el trabajo, según el informe State of Shadow AI 2025 de UpGuard. Y el 43 % de los trabajadores admite compartir información laboral sensible con herramientas de IA sin que su empresa lo sepa, según el informe Oh, Behave! 2025-2026 de CybSafe y la National Cybersecurity Alliance.
Para los responsables de operaciones y de negocio, no es solo un problema de TI. Es un problema de cumplimiento normativo, y en 2026 las reglas han cambiado, pero no en el sentido de un menor escrutinio.
El panorama regulatorio ha cambiado
Dos grandes marcos determinan cómo deben gestionar la IA las empresas: la Ley de IA de la UE y el RGPD.
La Ley de IA de la UE
La Ley de IA de la UE entró en vigor el 1 de agosto de 2024. Es el primer marco jurídico integral del mundo dedicado específicamente a la IA, y se aplica a los proveedores y a los responsables del despliegue de sistemas de IA en el mercado de la UE, con independencia de dónde esté ubicada la organización. En julio de 2026, la UE adoptó el Digital Omnibus sobre IA (Reglamento (UE) 2026/1744), que aplazó parte del calendario original.
Dónde estamos hoy:
- Febrero de 2025: prohibición de las prácticas de IA prohibidas en toda la UE
- Agosto de 2025: pasaron a ser aplicables las obligaciones para los modelos de IA de uso general (GPAI), incluidos los que están detrás de herramientas como ChatGPT y Gemini
- 2 de agosto de 2026: ya se aplican las obligaciones de transparencia del artículo 50. Los usuarios deben ser informados cuando interactúan con un sistema de IA, los deepfakes deben declararse y los textos generados por IA publicados sobre asuntos de interés público deben etiquetarse, salvo que una persona los haya revisado. Los proveedores de sistemas generativos que ya estaban en el mercado tienen hasta el 2 de diciembre de 2026 para añadir un marcado legible por máquina.
- 2 de diciembre de 2027: los sistemas de alto riesgo del anexo III, como la IA utilizada para el empleo y la gestión de trabajadores, la evaluación crediticia o la educación, deberán cumplir la normativa (antes, agosto de 2026)
- 2 de agosto de 2028: la IA de alto riesgo integrada en productos ya cubiertos por la legislación de seguridad de la UE deberá cumplir la normativa (antes, agosto de 2026)
Un aplazamiento no es una exención. Las reglas de alto riesgo siguen llegando, y las organizaciones que ya saben qué herramientas de IA usan, para qué y con qué datos serán las que estén listas a tiempo. Los incumplimientos de las obligaciones de transparencia pueden acarrear multas de hasta 15 millones de euros o el 3 % del volumen de negocio anual mundial, la cifra que sea mayor.
En la práctica: la mayoría de las empresas usan herramientas de IA en lugar de desarrollarlas. Tus preguntas inmediatas son la transparencia y la supervisión: poder demostrar qué herramientas se usan y quién las usa, y asegurarte de que los contenidos generados por IA que publicas estén correctamente etiquetados y revisados. La siguiente, si la IA interviene en la contratación, la gestión de trabajadores o decisiones de crédito, es cómo prepararte para diciembre de 2027.
El RGPD
El RGPD no es nuevo, pero su interacción con la IA está cada vez más bajo escrutinio. Cuando los empleados utilizan herramientas de IA públicas y pegan datos de clientes, expedientes de personal o información financiera, esos datos pueden ser tratados por un sistema de terceros al margen de cualquier acuerdo de encargo de tratamiento.
Las consecuencias pueden ser graves. Las multas del RGPD pueden alcanzar los 20 millones de euros o el 4 % del volumen de negocio anual mundial, la cifra que sea mayor. Y el coste no es solo regulatorio: el informe Cost of a Data Breach 2025 de IBM concluyó que una de cada cinco organizaciones había sufrido una brecha vinculada a la IA en la sombra, y que las brechas en organizaciones con mucha IA en la sombra costaron de media 670.000 dólares más.
El problema de la IA en la sombra
El principal reto de cumplimiento para la mayoría de las empresas en 2026 no es una infracción deliberada de las políticas. Es la IA en la sombra: el uso silencioso y descentralizado de herramientas de IA que nadie ha aprobado, gobernado ni siquiera detectado.
Así se ve en una empresa típica:
- Un comercial pega un contrato de un cliente en ChatGPT para generar una propuesta
- Un responsable de RR. HH. usa una herramienta de IA gratuita para redactar comunicaciones con datos personales
- Un miembro del equipo de finanzas sube una hoja de cálculo con cifras sensibles para obtener un resumen
En cada caso, datos sensibles salen de la organización y entran en un sistema de terceros sin rastro de auditoría, sin acuerdo de tratamiento de datos y sin supervisión.
Entre los trabajadores que admiten compartir información sensible con herramientas de IA, los datos incluyen documentos internos de la empresa, datos financieros y datos de clientes. E IBM constató que el 63 % de las organizaciones que sufrieron una brecha no tenía una política de gobernanza de la IA o aún la estaba elaborando. Multiplica eso por un equipo de 50 personas y la exposición es considerable.
Lo que el cumplimiento realmente exige en 2026
Para los equipos de operaciones, el cumplimiento en el contexto de la IA se basa en cuatro pilares:
1. Visibilidad
Necesitas saber qué herramientas de IA se están usando, quién las usa y con qué propósito. Sin una plataforma gobernada, esto es prácticamente imposible.
2. Gobernanza de datos
Los datos sensibles — información de clientes, registros financieros, datos de empleados — deben tratarse de acuerdo con el RGPD. Eso significa saber a dónde van, quién los procesa y bajo qué condiciones.
3. Control de acceso
No todos los empleados necesitan acceso a todas las capacidades de IA. Los permisos basados en roles garantizan que las personas adecuadas tengan acceso a las herramientas adecuadas — y nada más.
4. Auditabilidad
Tanto el RGPD como la Ley de IA exigen que las empresas demuestren su cumplimiento. Eso requiere registros, documentación y un historial claro de cómo se utiliza la IA en toda la organización.
El desafío práctico: la mayoría de las empresas no están preparadas
Saber lo que el cumplimiento exige y ser capaz de implementarlo son dos cosas diferentes.
Para la mayoría de las pymes, el desafío no es la falta de intención, sino la falta de infraestructura. Cuando el uso de la IA está fragmentado entre diez herramientas gratuitas diferentes, sin supervisión central ni capa de gobernanza de TI, el cumplimiento se vuelve estructuralmente imposible.
Aquí es donde el papel del proveedor de TI se vuelve fundamental. Un enfoque gestionado de la IA — donde un socio de confianza despliega, gobierna y monitoriza el uso de la IA en nombre de la empresa — es cada vez más el único camino realista hacia el cumplimiento para organizaciones sin un equipo dedicado de IA o legal.
Cómo es un entorno de IA conforme
Un entorno de IA gobernado para una empresa típicamente incluye:
- Una plataforma única para todo el uso de IA — sin herramientas fragmentadas, sin IA en la sombra
- Aislamiento de datos — los datos de cada empresa permanecen en su propio entorno, nunca compartidos con otros clientes o sistemas externos
- Control de acceso basado en roles — los empleados solo acceden a lo relevante para su función
- Registros de auditoría — visibilidad completa de la actividad de la plataforma para revisiones de cumplimiento
- Infraestructura conforme al RGPD — datos alojados en la UE, procesados bajo condiciones claras
No se trata de restringir cómo los equipos usan la IA. Se trata de asegurar que cuando lo hagan, la empresa esté protegida.
Lo esencial
El cumplimiento normativo de la IA en 2026 no es opcional. Las obligaciones de transparencia de la Ley de IA ya se aplican, las de alto riesgo llegarán en diciembre de 2027 y el RGPD sigue aplicándose plenamente a cada dato que tus equipos comparten con herramientas de IA. La brecha entre cómo usan la IA hoy la mayoría de las empresas y lo que exigen las normas sigue siendo grande.
La buena noticia: ponerse en regla no tiene por qué ser un proyecto de seis meses. Requiere la infraestructura adecuada y el socio adecuado para gestionarla.
Fuentes
- UpGuard, The State of Shadow AI, 2025
- CybSafe y National Cybersecurity Alliance, Oh, Behave! The Annual Cybersecurity Attitudes and Behaviors Report 2025-2026
- IBM, Cost of a Data Breach Report 2025
- Reglamento (UE) 2026/1744 (Digital Omnibus sobre IA), resumido por Orrick y Jones Walker
- EU Artificial Intelligence Act, artificialintelligenceact.eu
Listo para ver Goodweek en acción?
Reservar una demo→