Una distribuidora mayorista de tamaño medio usa hoy más IA de la que cree: predicción de demanda, optimización de rutas, precios dinámicos, un CRM que puntúa oportunidades, un chatbot de pedidos. Cuando el AI Act entra en la conversación, la primera reacción suele ser de alarma — «usamos IA en todo, esto nos va a caer encima». La realidad, bien clasificada, es más tranquila y más interesante: la operativa core de la distribución es de riesgo mínimo. El alto riesgo, cuando aparece, entra por una puerta que casi nadie está mirando.
El core: riesgo mínimo, obligaciones ligeras
Repasemos el stack típico con la clasificación que le corresponde:
Forecasting de demanda (RELEX, Blue Yonder, SAP IBP y similares): predicción por referencia y punto de venta, planificación de aprovisionamiento. Sin afectación a personas físicas concretas, es un sistema de riesgo mínimo. Ni evaluación de impacto ni obligaciones de alto riesgo; sí cuenta para el inventario y para la formación del personal que lo usa.
Optimización de rutas y reparto: asignación de pedidos a vehículos, dimensionamiento de flota. En su uso logístico puro, riesgo mínimo. La letra pequeña llega si el sistema pasa de optimizar rutas a monitorizar y evaluar al conductor en el marco de su relación laboral: supervisar y evaluar el rendimiento y el comportamiento de las personas es el anexo III, punto 4, letra b), la misma puerta que la evaluación de desempeño de la que hablamos enseguida.
Pricing dinámico B2B: ajuste de precios entre empresas según demanda, márgenes y segmento. En B2B puro, riesgo mínimo de gobernanza de IA. La cautela: extenderlo a consumidor final con diferenciación por características personales cambia el análisis por completo y exige re-evaluación antes de dar el paso.
CRM con IA (Salesforce Einstein, HubSpot AI, Dynamics): scoring de leads, predicción de churn, redacción asistida. Riesgo mínimo; recuerda que los contactos B2B son datos personales — el RGPD aplica plenamente — y que si el CRM hace una evaluación sistemática y exhaustiva de aspectos personales basada en un tratamiento automatizado, como la elaboración de perfiles, sobre cuya base se toman decisiones con efectos jurídicos o significativos similares, la evaluación de impacto de protección de datos es obligatoria (Art. 35(3)(a) RGPD); fuera de ese supuesto, la deciden el análisis de riesgo del Art. 35(1) y la lista de la AEPD.
Chatbot de atención: como en cualquier sector, activa la transparencia con el cliente del Art. 50(1) — el aviso de que se habla con una IA, salvo que resulte evidente para una persona razonablemente informada, atenta y perspicaz. Esa obligación es del proveedor, que debe diseñar así el sistema; lo que conviene hacer por tu parte es verificar y documentar que el sistema la incorpora.
El patrón es claro: el corazón tecnológico de la distribuidora exige orden —inventario, formación, transparencia, verificación de proveedores— pero no soporta obligaciones de alto riesgo. Si alguien te dice lo contrario, pídele que señale en qué punto del anexo III encaja cada sistema.
La puerta por la que sí entra el alto riesgo: las personas
El Anexo III del AI Act no clasifica sectores; clasifica usos. Y hay un uso transversal que puede convertir en alto riesgo un sistema de cualquier empresa de cualquier sector: el empleo (anexo III, punto 4). En una distribuidora, eso se concreta en dos sistemas muy habituales:
El ATS con IA — el filtrado y scoring de candidaturas para almacén, reparto y oficinas. Como ya contamos en detalle, un sistema destinado a analizar y filtrar solicitudes de empleo y evaluar a los candidatos está en el anexo III, punto 4, letra a) —la excepción del Art. 6(3) nunca opera si elabora perfiles de personas físicas—, y además dispara obligaciones del RGPD que están vigentes hoy: la evaluación de impacto es obligatoria cuando hay una evaluación sistemática y exhaustiva de aspectos personales basada en un tratamiento automatizado, como la elaboración de perfiles, sobre cuya base se toman decisiones que producen efectos jurídicos o afectan significativamente de modo similar; y el candidato tiene derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado con esos efectos, salvo en las excepciones del Art. 22(2) —contrato, ley o consentimiento explícito— y, en las de contrato y consentimiento, con las garantías del Art. 22(3): como mínimo, intervención humana, expresar su punto de vista e impugnar la decisión.
La evaluación de desempeño asistida por IA — módulos de RRHH que analizan KPIs, señalan «high performers» o recomiendan promociones. Misma puerta —anexo III, punto 4, letra b), que incluye supervisar y evaluar el rendimiento y el comportamiento de las personas en el marco de relaciones laborales—, mismo régimen, con dos capas añadidas que en distribución pesan: si el convenio colectivo aplicable prevé procedimientos de evaluación, obliga a la empresa y la IA no puede saltárselos; y el comité de empresa —y los delegados de personal, con las mismas competencias— tiene derecho a ser informado de los parámetros, reglas e instrucciones en los que se basan los algoritmos o sistemas de IA que afectan a la toma de decisiones que pueden incidir en las condiciones de trabajo, el acceso y el mantenimiento del empleo, incluida la elaboración de perfiles (art. 64.4.d) del Estatuto de los Trabajadores).
La asimetría es la clave comercial y de riesgo del sector: la mayor parte de tu stack pide orden; la parte de RRHH pide rigor. Confundir los dos niveles en cualquiera de las direcciones sale caro — por exceso (parálisis y gasto donde no toca) o por defecto (un ATS que perfila candidatos para decidir sobre ellos y no tiene evaluación de impacto de protección de datos tiene pendiente una obligación del RGPD que ya es exigible hoy).
Qué hacer, en orden
- Inventaría todo, incluida la IA que llegó dentro del ERP y del CRM sin decisión formal de compra.
- Clasifica separando las dos puertas: operativa (riesgo mínimo, orden) y personas (alto riesgo, rigor). La finalidad real de cada sistema decide, no su nombre comercial.
- Cierra hoy lo que es de hoy: evaluación de impacto del ATS cuando se dé el supuesto del Art. 35 RGPD, garantías del Art. 22 si hay decisiones basadas únicamente en el tratamiento automatizado, verificación de que el chatbot incorpora el aviso del Art. 50(1), y medidas de alfabetización del Art. 4, con un registro que el artículo no exige pero que es la forma de demostrarlas.
- Programa lo que es de mañana: las obligaciones de alto riesgo llegan con el calendario que fijó el Digital Ómnibus —el capítulo III, secciones 1, 2 y 3, desde el 2 de diciembre de 2027 para los sistemas del anexo III—: margen para construir el expediente bien, no excusa para no empezarlo. El artículo 26 aplica desde el 2 de diciembre de 2027 para los sistemas de alto riesgo del anexo III y desde el 2 de agosto de 2028 para los del anexo I; a los productos del anexo I, sección B, no le alcanza.
Una distribuidora que separa bien esas dos aguas convierte el AI Act en lo que debería ser: un ejercicio de orden con un punto concreto de rigor. Ni más, ni menos.
Contenido con arreglo al anexo III y a los artículos 4, 6, 26, 50 y 113 del Reglamento (UE) 2024/1689, en la redacción dada por el Reglamento (UE) 2026/1744 (DOUE de 24/07/2026), a los artículos 22 y 35 del Reglamento (UE) 2016/679 y a los artículos 64 y 82 del Estatuto de los Trabajadores.
Las menciones a productos son descriptivas del mercado y no implican relación comercial. Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.