Cuando una pyme española se pregunta qué tiene que hacer con la IA, el primer sitio donde pregunta no es un despacho especializado ni un proveedor de software. Es su gestoría — la misma que lleva las nóminas, los impuestos y, con frecuencia, la protección de datos.
Es una elección razonable y este artículo no viene a discutirla. Viene a separar tres cosas que se piden juntas y no son iguales: lo que una gestoría resuelve bien, lo que depende de información que solo tú tienes, y lo que no puede asumir nadie externo.
Lo que resuelve bien, y no es poco
Buena parte del trabajo que una empresa asocia al AI Act es en realidad trabajo de protección de datos, y ahí una gestoría con práctica en RGPD aporta directamente.
El registro de actividades de tratamiento, la base jurídica de cada tratamiento, los contratos con encargados, la información a los interesados, la respuesta a ejercicios de derechos y las evaluaciones de impacto cuando procedan. Nada de eso lo trae el AI Act: lo trae el RGPD, y sigue siendo exigible con independencia de cualquier calendario.
Si tu empresa tiene eso resuelto, una parte considerable del esfuerzo ya está hecha — y si no lo tiene, ese es el trabajo pendiente antes que ningún otro.
Lo que depende de información que solo tú tienes
Aquí está la mayoría de las decepciones, y no son culpa de nadie.
Clasificar un sistema exige saber qué hace. No qué promete el folleto: qué funciones están activadas, con qué datos, sobre quién decide y con qué consecuencia. Esa información vive en la operación, no en la contabilidad, y una gestoría no tiene forma de obtenerla sin que alguien de dentro se la dé.
Lo mismo con la finalidad prevista de cada sistema, que es de donde cuelga toda la clasificación. Y con el inventario: nadie de fuera puede enumerar herramientas que ni siquiera constan por escrito dentro.
De modo que la petición realista no es «clasifícame los sistemas», sino «te doy esta lista con lo que hace cada uno, ayúdame a interpretarla». Es una diferencia de encargo, y cambia el resultado.
Lo que no puede asumir nadie externo
Y esto es del texto, no una opinión sobre servicios profesionales.
El Art. 26(2) obliga a quien despliega un sistema de alto riesgo a encomendar la supervisión humana a personas «que tengan la competencia, la formación y la autoridad necesarias». La autoridad no se contrata: la persona que puede detener un sistema en tu empresa está en tu empresa. Un asesor puede describir el papel; no puede ocuparlo.
El Art. 4, en la redacción del Reglamento (UE) 2026/1744, pide medidas para apoyar la promoción de la alfabetización en IA del personal, «teniendo en cuenta sus conocimientos técnicos, su experiencia, su educación y su formación, así como el contexto previsto de uso». Ese juicio de proporción lo hace quien conoce al equipo.
Y decidir qué es aceptable —qué puede hacer un sistema sin intervención, qué se revisa siempre— es una decisión de riesgo, y el riesgo lo asume la organización.
Cinco preguntas que sí sirven
Sustituyen a la pregunta general —«¿me puedes llevar el AI Act?»— que casi nunca produce una respuesta útil.
¿Tenemos el registro de tratamientos al día, incluidos los que usan IA? Es lo primero y es enteramente su terreno.
De nuestros tratamientos, ¿cuáles requerirían evaluación de impacto? Pregunta del RGPD, no del AI Act, y con años de práctica detrás.
¿Qué contratos tenemos con los proveedores de estas herramientas, y qué dicen sobre el tratamiento de datos? Revisar contratos es trabajo clásico de asesoría.
Con esta lista de sistemas que te doy, ¿cuáles ves que puedan entrar en alguna categoría del Anexo III? Nótese el orden: la lista la aportas tú.
¿Qué de todo esto es exigible hoy y qué no? La respuesta correcta distingue el Art. 4 y el Art. 5 —aplicables desde el 2 de febrero de 2025, salvo las letras b bis) y b ter) del Art. 5(1) y sus apartados 1 bis y 1 ter, que se aplican desde el 2 de diciembre de 2026— del régimen de alto riesgo, que se aplica desde el 2 de diciembre de 2027 para los sistemas del anexo III y desde el 2 de agosto de 2028 para los del anexo I, salvo los productos de su sección B, a los que no alcanza.
Una señal, en las dos direcciones
Si en la respuesta aparece una urgencia que no está en el calendario —«hay que tenerlo antes de agosto», «ya es obligatorio»— conviene comprobarlo, porque buena parte de lo que circula usa plazos que no existen.
Y si aparece la promesa de dejarlo resuelto sin pedirte información sobre tus sistemas, también: es exactamente lo que no se puede hacer desde fuera.
La respuesta buena suele ser más aburrida — empieza pidiéndote una lista.
Contenido con arreglo a los artículos 4, 5 y 26 y al Anexo III del Reglamento (UE) 2024/1689, en la redacción dada por el Reglamento (UE) 2026/1744 (DOUE de 24/07/2026), y al Reglamento (UE) 2016/679.
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.