La ampliación de los plazos de la Ley de IA europea concede a las empresas más tiempo para adaptar sus sistemas de alto riesgo, pero no elimina uno de los problemas más complejos de su cumplimiento: demostrar cómo funciona la inteligencia artificial cuando interviene en una decisión empresarial. Confluent identifica cuatro áreas de trabajo que considera prioritarias para llegar a las nuevas fechas con mecanismos suficientes de trazabilidad, supervisión y control.
El calendario quedó modificado este año con el Ómnibus Digital sobre IA. Las obligaciones correspondientes a los sistemas de alto riesgo incluidos en el anexo III, que abarca usos relacionados con ámbitos como empleo, educación, infraestructuras críticas o acceso a determinados servicios esenciales, serán aplicables desde el 2 de diciembre de 2027. Para los sistemas considerados de alto riesgo por estar integrados en productos sujetos a legislación europea específica, entre ellos maquinaria o dispositivos médicos, la fecha se extiende hasta el 2 de agosto de 2028.
El aplazamiento forma parte de los cambios introducidos por el Ómnibus de IA, que entró en vigor el 27 de julio de 2026 después de que la UE acordara simplificar determinados aspectos de la aplicación del reglamento. La modificación pretende acompasar las obligaciones más exigentes con la disponibilidad de estándares, especificaciones y otras herramientas necesarias para acreditar el cumplimiento.
«Valoro positivamente este tiempo adicional. Las empresas llevan tiempo preparándose para la Ley de IA, pero las normas técnicas, las directrices y los mecanismos de supervisión y aplicación han seguido evolucionando. Esta prórroga permite a las organizaciones avanzar en los preparativos necesarios para cumplir con la normativa, en lugar de apresurarse para llegar a una fecha límite para la que muchas aún no estaban preparadas», señala Francisco Molero, CEO de Confluent para España y Portugal.
La extensión de los plazos afecta, sin embargo, a una parte concreta del reglamento. Otras disposiciones ya están en aplicación: las prohibiciones sobre determinados usos de IA y las obligaciones relacionadas con alfabetización comenzaron a aplicarse en febrero de 2025, mientras que las normas de gobernanza y las obligaciones para modelos de propósito general lo hicieron en agosto de ese mismo año. Desde agosto de 2026 también son exigibles, entre otras, determinadas obligaciones de transparencia.
Saber dónde interviene la IA antes de poder gobernarla
Para Confluent, el primer problema es conocer con precisión dónde se está utilizando inteligencia artificial dentro de una organización. Ese inventario puede resultar menos evidente de lo que parece porque la IA se incorpora cada vez con mayor frecuencia como una función integrada en aplicaciones empresariales.
Una plataforma de selección de personal, un sistema antifraude, una herramienta de atención al cliente o un servicio contratado a un tercero pueden incluir modelos de IA sin presentarse internamente como proyectos independientes. Las actualizaciones de los proveedores también pueden modificar sus capacidades durante la vida útil del producto.
El resultado es un problema de visibilidad. Una empresa difícilmente puede aplicar controles regulatorios, de seguridad o de riesgo sobre sistemas cuya existencia o función desconoce. La primera prioridad planteada por Confluent consiste así en mantener un inventario que identifique las aplicaciones con IA y permita determinar sobre qué procesos actúan, qué decisiones condicionan y dónde producen recomendaciones utilizadas posteriormente por personas u otros sistemas.
La clasificación también importa porque la Ley de IA establece obligaciones diferentes en función del riesgo y del papel de cada operador. En los sistemas clasificados como de alto riesgo, el marco europeo contempla requisitos relacionados con gestión del riesgo, calidad de los datos, documentación, registro de actividad, supervisión humana, precisión, robustez y ciberseguridad.
La trazabilidad debe llegar hasta los datos de cada decisión
Identificar el modelo utilizado resuelve solo una parte del problema. Cuando una organización necesita reconstruir una decisión asistida por IA, también debe conocer qué información recibió el sistema, en qué estado se encontraba esa información y qué acontecimientos se produjeron después.
Esa capacidad resulta especialmente relevante cuando los resultados afectan a personas o generan consecuencias económicas. En procesos como la concesión de crédito, la selección de candidatos o la evaluación de riesgos, conservar únicamente el resultado de una inferencia puede ser insuficiente para investigar posteriormente por qué el sistema produjo una determinada recomendación.
La segunda prioridad de Confluent se centra, por este motivo, en la trazabilidad de los datos. El objetivo es poder reconstruir la secuencia que conecta las fuentes de información, el procesamiento realizado y la decisión resultante, conservando registros que permitan analizarla posteriormente.
Desde una perspectiva tecnológica, esta exigencia amplía el alcance de la gobernanza. La responsabilidad deja de estar concentrada exclusivamente en el modelo y alcanza también a las arquitecturas de datos que lo alimentan, las integraciones entre aplicaciones y los mecanismos utilizados para registrar cada evento.
El control continúa cuando el sistema llega a producción
Un modelo que supera las pruebas antes de su despliegue puede comportarse de forma diferente meses después. Los datos cambian, las aplicaciones se actualizan, aparecen nuevos patrones de utilización y las dependencias de terceros pueden introducir modificaciones que alteren el funcionamiento previsto.
La tercera prioridad es, por tanto, establecer una supervisión continuada. La propuesta de Confluent incluye registrar los eventos relevantes y disponer de mecanismos capaces de detectar desviaciones, investigar incidentes y reconstruir el comportamiento del sistema en un periodo determinado.
Esta capacidad conecta directamente con algunas de las obligaciones previstas para los sistemas de alto riesgo. El reglamento exige, entre otros elementos, mecanismos que permitan registrar automáticamente determinados eventos durante su funcionamiento y medidas de supervisión humana adecuadas al riesgo y al contexto de utilización.
Para las empresas, la consecuencia operativa es que el cumplimiento tendrá que mantenerse durante todo el ciclo de vida del sistema. Las pruebas realizadas antes del lanzamiento seguirán siendo necesarias, pero deberán complementarse con evidencias procedentes del funcionamiento real.
Integrar la gobernanza de IA en los controles empresariales
La cuarta prioridad consiste en evitar que la supervisión de la inteligencia artificial se convierta en una estructura paralela al resto de los mecanismos de control corporativo. Datos, ciberseguridad, contratación de proveedores, privacidad y riesgo operativo ya disponen de procesos propios en numerosas organizaciones, y parte de la información necesaria para gobernar la IA se encuentra distribuida entre ellos.
Crear circuitos independientes puede producir duplicidades y dificultar la identificación de responsabilidades. Confluent plantea integrar la gobernanza de IA con esos controles existentes, de manera que las decisiones sobre modelos, datos y proveedores puedan relacionarse con los mecanismos que la organización utiliza para gestionar otros riesgos tecnológicos.
La arquitectura de datos adquiere aquí una función transversal. Siemens utiliza, por ejemplo, una plataforma central de data streaming para conectar sistemas operativos y aplicaciones empresariales con almacenes de datos y plataformas de inteligencia artificial y aprendizaje automático. El planteamiento permite que distintos equipos trabajen sobre una infraestructura común para acceder y gestionar información dentro de una organización de gran escala.
La ampliación de los plazos ofrece margen para desarrollar estos mecanismos antes de que las principales obligaciones sobre IA de alto riesgo sean exigibles. También desplaza el foco desde la fecha límite hacia las pruebas que las empresas deberán conservar para acreditar qué sistemas utilizan, de dónde procedían sus datos, cómo fueron supervisados y qué controles actuaron durante su funcionamiento.
«Esas pruebas hay que empezar a construirlas ahora», concluye Molero.
