La vicepresidenta de la Comisión Europea responsable de soberanía tecnológica, seguridad y democracia, Henna Virkkunen, ha defendido que la Unión cuenta con herramientas legales y técnicas para responder a riesgos de la inteligencia artificial más avanzada. Lo afirmó en unas declaraciones recogidas por Reuters el 9 de octubre, mientras Bruselas evalúa los efectos de los sistemas de propósito general en ciberseguridad, privacidad y capacidad de supervisión. Reuters.
El debate es relevante para el tejido empresarial español: adoptar IA en atención al cliente, programación, marketing o análisis documental ya no es exclusivamente una decisión sobre productividad, sino también sobre responsabilidades, trazabilidad y protección de datos. Sin embargo, la existencia de un marco regulatorio no garantiza por sí misma que todos los riesgos estén controlados.
Qué regula y qué no regula la ley europea
El Reglamento Europeo de Inteligencia Artificial, conocido como AI Act, organiza obligaciones en función de los riesgos de las aplicaciones y establece un régimen para modelos de uso general. Algunas disposiciones se han aplicado desde 2025 y otras entraron en vigor durante 2026. El calendario incluye además plazos y modificaciones específicas, por lo que no corresponde afirmar que todas las obligaciones de todos los sectores ya sean exigibles simultáneamente. Calendario de la Comisión Europea.
La norma combina prohibiciones en ámbitos específicos, transparencia, documentación y sistemas de supervisión para determinadas aplicaciones. También reconoce diferencias entre el proveedor que desarrolla un modelo, la empresa que lo integra y el usuario final. Confundir sus obligaciones conduce a errores de cumplimiento.
Supervisión sobre sistemas avanzados y modelos de propósito general
La Comisión, por medio del AI Office, cuenta con competencias para solicitar información técnica, evaluar modelos de propósito general, exigir medidas correctivas y, cuando exista base legal suficiente, sancionar incumplimientos. Reuters recoge que Bruselas ha pedido información de seguridad a empresas de diferentes países y sigue estudiando su documentación. Esa fase de examen no es una declaración de culpabilidad administrativa.
La cuestión técnica de fondo es cómo comprobar capacidades emergentes que no siempre se observan en una prueba estática. La evaluación previa puede combinarse con vigilancia posterior, equipos independientes, notificación de incidentes y pruebas sobre usos maliciosos. La verificación rigurosa necesita metodologías reproducibles, límites conocidos y posibilidad de auditoría.
IA y ciberseguridad: una relación de doble uso
Las capacidades de la IA pueden ayudar a clasificar alertas, analizar programas y mejorar la respuesta ante incidentes; también pueden facilitar automatización abusiva, creación masiva de contenidos engañosos y búsqueda de vulnerabilidades. La Comisión presentó en julio un plan europeo específico para los riesgos y oportunidades de la IA avanzada en ciberseguridad, que prevé fortalecer la capacidad de evaluación y coordinación entre Estados, empresas y organismos especializados.
El plan incluye la intención de aumentar la capacidad independiente de análisis de modelos y promover entornos de ensayo seguros en sectores críticos. Un objetivo político anunciado debe diferenciarse de la disponibilidad efectiva de laboratorios, presupuestos y personal. El calendario y el grado de ejecución son variables esenciales.
Qué debe comprobar una empresa española antes de integrar IA
La decisión no termina al elegir un proveedor por precio o velocidad. La organización debe identificar qué datos se envían a servicios externos, qué autorizaciones existen, cómo se almacenan resultados, qué tareas afectan a personas y quién revisa las decisiones relevantes. En sectores regulados, la diligencia se amplía a obligaciones específicas de trazabilidad, seguridad y rendición de cuentas.
Las herramientas para redactar borradores o resumir información pueden estar sujetas a exigencias diferentes de las utilizadas en selección de personal, crédito o decisiones médicas. Adoptar controles proporcionales evita tanto el incumplimiento como una burocracia que no responda al riesgo verdadero.
El reto de demostrar eficacia
Virkkunen defendió que la legislación es suficientemente flexible para adaptarse a nuevas generaciones de modelos. Esta es una posición institucional; expertos y compañías mantienen desacuerdos sobre cargas regulatorias, plazos y capacidad europea para innovar frente a competidores internacionales. La afirmación deberá someterse a datos sobre incidentes, sanciones, inversiones y resultados de las evaluaciones.
La autonomía tecnológica europea tampoco se reduce a prohibir riesgos. Incluye capacidad de cómputo, investigación, infraestructura, competencia, acceso a talento y ciberseguridad. El valor del marco legal será medible en qué amenazas previene, qué daños permite investigar y cómo protege derechos sin bloquear usos beneficiosos.
El titular riguroso no es que Europa haya resuelto el peligro de la IA, sino que ha construido un sistema de supervisión cuya eficacia real está todavía a prueba.
