La Inteligencia Artificial ha dejado de ser una tecnología experimental para convertirse en una herramienta de trabajo habitual en muchas organizaciones. Copilot y otras herramientas de IA ya forman parte del día a día de empresas que buscan ganar productividad, automatizar procesos y obtener un mayor valor de sus datos.
Al mismo tiempo, la Unión Europea está desplegando progresivamente el AI Act, el primer marco regulatorio integral sobre Inteligencia Artificial. Aunque muchas organizaciones perciben esta normativa como algo lejano o reservado para grandes desarrolladores de modelos de IA, la realidad es que también afecta a empresas que utilizan diariamente herramientas de IA proporcionadas por terceros, incluidos productos Microsoft.
El calendario de cumplimiento es progresivo y ya ha comenzado. Algunas obligaciones del AI Act, como las relacionadas con la alfabetización en IA y las prácticas prohibidas, son aplicables desde febrero de 2025. El 2 de agosto de 2026 marca otro hito especialmente relevante en el calendario, con la entrada en aplicación de nuevas obligaciones vinculadas a transparencia, supervisión y determinados sistemas de IA, consolidando así la entrada en una nueva fase de aplicación efectiva del AI Act.
Aun así, esto no debería interpretarse como el inicio del cumplimiento ni como una razón para esperar, sino como la siguiente fase crítica: el cumplimiento ya ha empezado y exige una revisión activa de cómo se utiliza la IA dentro de la empresa.
El AI Act establece un conjunto de normas destinadas a garantizar que los sistemas de Inteligencia Artificial se utilicen de forma segura, transparente y respetuosa con los derechos de las personas.
Su enfoque está basado en el riesgo. No todas las aplicaciones de IA tienen las mismas obligaciones ni requieren los mismos controles. Sin embargo, independientemente del nivel de riesgo, la regulación introduce nuevos conceptos que las organizaciones deberán tener en cuenta en sus procesos de adopción y gobierno de la IA.
Para las empresas que ya utilizan soluciones de IA, esto implica revisar no solo la tecnología, sino también el contexto en el que se aplica: qué sistemas se utilizan, con qué finalidad, sobre qué datos trabajan, qué personas intervienen en su uso y qué mecanismos existen para supervisar sus resultados.
En la práctica, el AI Act no afecta únicamente a quienes desarrollan modelos avanzados de Inteligencia Artificial. También introduce responsabilidades para las organizaciones que despliegan o utilizan sistemas de IA en contextos profesionales, especialmente cuando estas herramientas se integran en procesos de negocio, atención a clientes, toma de decisiones, gestión de información o automatización de tareas.
Además, el AI Act incorpora mecanismos de supervisión y un régimen sancionador para los casos de incumplimiento. Aunque las obligaciones varían en función del nivel de riesgo y del papel que desempeñe cada organización, las empresas que utilizan sistemas de IA deberán ser capaces de demostrar que existen medidas adecuadas de formación, gobierno, supervisión y control. El cumplimiento deja de ser únicamente una cuestión tecnológica para convertirse también en una cuestión de procesos, responsabilidad y gestión del riesgo.
En este punto conviene recordar que el AI Act establece límites claros sobre determinados usos de la IA. Entre las prácticas prohibidas, se incluyen, por ejemplo, la puntuación social, el uso de técnicas engañosas o manipuladoras, determinados usos de identificación biométrica y la inferencia de emociones en contextos como el lugar de trabajo cuando no exista una base permitida. Microsoft ha reforzado sus políticas y restricciones de uso para evitar que sus tecnologías se empleen en escenarios prohibidos o contrarios a sus principios de IA responsable.
Una de las dudas más habituales cuando se habla del AI Act es hasta qué punto las organizaciones deberán asumir nuevas obligaciones técnicas y regulatorias.
La buena noticia es que las empresas que utilizan soluciones Microsoft como Microsoft 365 Copilot, Dynamics 365, Copilot Studio o Azure AI parten de una posición especialmente favorable.
Microsoft ha publicado documentación específica para ayudar a comprender cómo se aplica el AI Act en el contexto de sus productos y servicios. En su guía sobre el reglamento europeo de IA, la compañía explica el marco general de la regulación y su impacto en los distintos actores del ecosistema de IA. También ha publicado una infografía sobre el EU AI Act, útil para entender de forma visual los principales hitos y obligaciones:
Además, Microsoft está incorporando capacidades de seguridad, gobernanza, transparencia, control y cumplimiento normativo como parte de sus propias plataformas y servicios. La compañía también ha creado equipos específicos para adaptar productos, contratos y procesos a los requisitos de la regulación europea.
Esto no significa que las organizaciones queden exentas de responsabilidades, pero sí que una parte importante de los requisitos técnicos asociados a la gestión del riesgo, la seguridad o la transparencia ya están siendo abordados por el fabricante.
Además de las capacidades incorporadas en sus plataformas, Microsoft ofrece herramientas específicas que pueden ayudar a estructurar el cumplimiento. Microsoft Purview Compliance Manager permite crear y gestionar evaluaciones de cumplimiento, incluidas evaluaciones relacionadas con regulaciones de IA, mientras que Azure AI Content Safety ayuda a detectar y mitigar contenido perjudicial en aplicaciones basadas en IA generativa. Estas capacidades no sustituyen la responsabilidad de cada organización, pero facilitan un enfoque más ordenado, medible y documentado.
Aunque el AI Act suele asociarse a la tecnología, para la mayoría de las organizaciones las principales acciones estarán relacionadas con personas, procesos y gobierno.
También es importante aclarar el rol que desempeña cada organización. Microsoft actúa principalmente como proveedor de modelos, plataformas y servicios de IA. En cambio, las empresas que utilizan estas soluciones en sus procesos internos o las integran en sus operaciones actúan como responsables del despliegue u operadores. Esto significa que deben prestar atención a cómo se usa la IA en su contexto concreto, qué finalidad tiene, quién la supervisa y qué controles internos existen.
Uno de los primeros aspectos que conviene abordar es la alfabetización en IA (AI Literacy), recogida en el Artículo 4 del AI Act. Las personas que utilizan herramientas con IA necesitan comprender sus capacidades y limitaciones, conocer los riesgos asociados, validar los resultados obtenidos y saber cuándo es necesaria la supervisión humana. Microsoft dispone de recursos prácticos, como su guía de inicio de alfabetización en IA, que pueden servir como punto de partida para diseñar acciones formativas alineadas con este requisito.
Junto con la formación, también resulta recomendable establecer políticas internas de uso de IA que definan cómo debe utilizarse la Inteligencia Artificial dentro de la organización. Estas políticas deberían recoger qué herramientas están autorizadas, qué tipo de información puede compartirse con sistemas de IA, qué procesos requieren validación humana y cómo deben gestionarse las incidencias o riesgos relacionados con estas tecnologías.
A medida que la IA se incorpora a más procesos de negocio, cobra importancia la definición de un modelo de gobernanza que permita coordinar iniciativas, asignar responsabilidades y aprobar nuevos casos de uso. El objetivo no es burocratizar la innovación, sino asegurar que la adopción de la IA se realiza de forma controlada y alineada con los objetivos de la organización.
La documentación también desempeña un papel relevante. Mantener registros de los casos de uso implantados, las políticas aprobadas, los agentes desplegados o las acciones formativas realizadas facilita la trazabilidad y ayuda a demostrar que existe un uso responsable y controlado de la Inteligencia Artificial.
Del mismo modo, conviene monitorizar y revisar periódicamente el uso real de las herramientas de IA, identificar nuevos riesgos, evaluar necesidades formativas y adaptar las prácticas de gobierno a medida que evolucionan tanto la tecnología como la regulación.
La siguiente gran ola de innovación en el ecosistema Microsoft está llegando de la mano de los agentes de IA.
Gracias a herramientas como Copilot Studio, las organizaciones pueden crear asistentes capaces de consultar información corporativa, interactuar con aplicaciones, automatizar tareas o participar en procesos de negocio, además de los agentes y capacidades que el fabricante incorpora en sus propias plataformas.
Precisamente por ello, aspectos como la gobernanza, la trazabilidad, la gestión de permisos, la monitorización y la supervisión adquieren una importancia cada vez mayor. La pregunta ya no es únicamente qué puede hacer un agente, sino también quién puede crearlo, qué información puede consultar, qué acciones puede ejecutar, cómo se supervisa su comportamiento, cómo se documentan sus decisiones y cómo se gestionan los riesgos asociados.
En este ámbito, soluciones como Microsoft Agent 365 pueden convertirse en una pieza clave para las organizaciones que quieran escalar el uso de agentes de forma controlada. Microsoft lo plantea como un plano de control para observar, proteger y gobernar agentes en toda la organización, facilitando capacidades como el inventario de agentes, la monitorización de actividad, la gestión de accesos, la aplicación de políticas y la preparación ante auditorías. Esto resulta especialmente relevante a medida que los agentes dejan de ser pruebas aisladas y empiezan a formar parte de procesos reales de negocio.
Es fácil interpretar el AI Act como una nueva obligación regulatoria. Sin embargo, las organizaciones que están obteniendo mejores resultados con la Inteligencia Artificial suelen coincidir en algo: el verdadero reto no es desplegar la tecnología, sino hacerlo de forma ordenada, segura y sostenible.
La llegada del AI Act puede servir como catalizador para impulsar una adopción más madura de la IA, combinando alfabetización y formación de empleados, gobierno, políticas internas, seguridad, cumplimiento, gestión de datos, documentación, trazabilidad y monitorización continua.
Esta visión coincide con la que están compartiendo numerosos expertos del sector. Como señala Anna Cejudo de Founderz en su artículo El verdadero impacto de la AI Act no es legal, es formativo, el principal cambio que introduce la regulación no está tanto en la aparición de nuevas obligaciones legales como en la necesidad de desarrollar nuevas capacidades, hábitos y mecanismos de gobierno dentro de las organizaciones. En otras palabras, el reto no es únicamente cumplir la norma, sino construir una cultura de adopción responsable de la Inteligencia Artificial
En este contexto, Microsoft Copilot y los agentes no deberían verse únicamente como herramientas de productividad, sino como parte de una estrategia más amplia de transformación, gobierno y uso responsable de la Inteligencia Artificial.
El despliegue progresivo del AI Act marca el inicio de una nueva etapa en la que innovación, confianza y responsabilidad deberán avanzar de la mano. Para avanzar en el cumplimiento de este marco, las organizaciones deberían ser capaces de responder a estas preguntas y aportar pruebas sobre su realización:
Si tras revisar este artículo y el checklist anterior te surgen dudas sobre el cumplimiento del AI Act puede ser un buen momento para iniciar la conversación. ¿Hablamos? 🙂
En CrossPoint ayudamos a organizaciones como Unicaja a avanzar en este camino combinando formación, definición de políticas, gobierno, revisión de casos de uso y adopción segura de soluciones con IA.
Porque la pregunta ya no es si la IA va a formar parte de las empresas. La verdadera cuestión es cómo adoptarla de forma responsable, segura y alineada con el nuevo marco regulatorio europeo. La mejor forma de prepararse para el AI Act no es esperar a la siguiente obligación regulatoria, sino empezar hoy a construir una cultura de uso responsable, gobierno efectivo y adopción segura de la Inteligencia Artificial.
