EU AI Act y empresas: por qué necesitarás trazabilidad, control y auditoría del uso de IA
El EU AI Act marca un cambio importante para las empresas que usan inteligencia artificial: ya no bastará con adoptar herramientas de IA, probar asistentes o conectar modelos a aplicaciones internas. Las organizaciones necesitarán demostrar trazabilidad, control, supervisión, gestión de riesgos y evidencias auditables sobre cómo usan la IA en sus procesos.
La cuestión no es solo si tu empresa desarrolla modelos de inteligencia artificial. Muchas organizaciones no crean modelos propios, pero sí los usan: empleados que trabajan con asistentes generativos, aplicaciones internas conectadas a APIs de IA, automatizaciones que procesan documentos, herramientas de soporte con IA o sistemas que ayudan a tomar decisiones. En todos esos casos, la empresa necesita saber qué IA se usa, para qué, con qué datos, bajo qué política y con qué nivel de control.
El AI Act no debería leerse únicamente como una obligación legal futura. También es una señal clara de hacia dónde va la adopción empresarial de IA: más trazabilidad, más gobierno, más evidencias y menos uso descontrolado.
Del entusiasmo por la IA a la necesidad de evidencias
Durante la primera fase de adopción, muchas empresas se han centrado en probar herramientas: ChatGPT, Claude, Gemini, Copilot, modelos open source, asistentes internos o integraciones vía API. El objetivo era ganar productividad, automatizar tareas y explorar casos de uso.
La siguiente fase será distinta. Las preguntas ya no serán solo “¿qué podemos hacer con IA?”, sino:
Usuario, departamento, aplicación, asistente o API que generó la interacción.
Proyecto, cliente, proceso, centro de coste o caso de uso asociado.
Datos personales, documentos internos, información confidencial, código, contratos o datos regulados.
DLP, políticas, anonimización, bloqueo, aprobación, modelo permitido o supervisión humana.
Logs, auditoría, eventos, costes, modelos utilizados, proveedor, respuesta y política aplicada.
Sin estas respuestas, una empresa puede tener una política de IA, pero no un sistema real de gobierno.
Qué cambia con el EU AI Act
El EU AI Act establece un marco regulatorio basado en el riesgo. No todos los sistemas de IA tienen las mismas obligaciones. Un filtro antispam o una herramienta creativa de bajo impacto no se tratan igual que una IA usada en empleo, educación, crédito, infraestructuras críticas, justicia, biometría o acceso a servicios esenciales.
El enfoque general distingue entre usos prohibidos, sistemas de alto riesgo, sistemas con obligaciones de transparencia y usos de riesgo mínimo o limitado. Para las empresas, esto implica una tarea previa fundamental: clasificar sus usos de IA.
Usos prohibidos por su amenaza para derechos, seguridad o libertades.
Usos que pueden afectar significativamente a personas, derechos fundamentales, seguridad o acceso a oportunidades.
Casos donde el usuario debe saber que interactúa con IA o que un contenido ha sido generado artificialmente.
Usos cotidianos de baja exposición regulatoria, aunque siguen necesitando buenas prácticas internas.
La mayoría de empresas tendrán una mezcla de casos: algunos de baja criticidad, otros de transparencia y algunos potencialmente sensibles o de alto riesgo. Por eso, el inventario de IA será una pieza clave.
Por qué la trazabilidad se vuelve imprescindible
La trazabilidad permite reconstruir qué ocurrió en una interacción de IA. En un entorno empresarial, esto no se limita a guardar prompts. Implica asociar cada uso a una identidad, un contexto, una finalidad y una política.
Una empresa debería poder reconstruir, como mínimo:
- Qué usuario, equipo o aplicación realizó la petición.
- Qué modelo y proveedor se utilizaron.
- Qué datos o documentos se procesaron.
- Qué proyecto, cliente o centro de coste estaba asociado.
- Qué política se aplicó antes de enviar la petición.
- Si se detectaron datos sensibles, credenciales o información confidencial.
- Si la petición fue permitida, bloqueada, anonimizada o enviada a aprobación.
- Qué respuesta se generó y bajo qué condiciones.
- Qué coste tuvo la interacción.
Sin esta trazabilidad, la empresa depende de reconstrucciones manuales, recuerdos de usuarios o registros incompletos de proveedores externos.
Control: la política de IA debe aplicarse en tiempo real
Muchas empresas ya tienen normas internas sobre el uso de IA. El problema es que una norma escrita no impide que un empleado pegue datos personales en un prompt, que un desarrollador envíe una clave API a un modelo externo o que una aplicación interna use un modelo no autorizado.
El control debe ocurrir antes de que el riesgo se materialice. Esto significa aplicar reglas automáticas en el momento de uso.
Detectar datos sensibles, validar permisos, estimar coste, comprobar presupuesto y decidir si el modelo está permitido.
Aplicar routing, fallback, anonimización, bloqueo o aprobación según política y contexto.
Registrar evidencias, revisar respuestas, crear eventos, analizar incidentes y alimentar reporting de auditoría.
Este enfoque transforma una política de IA en un sistema operativo de control.
Auditoría: qué evidencias deberías empezar a generar
La auditoría de IA no debería improvisarse cuando llega una revisión legal, un incidente o una petición de compliance. Las evidencias deben generarse desde el inicio, de forma automática y consistente.
- Inventario de sistemas, asistentes, aplicaciones y proveedores de IA.
- Clasificación de cada caso de uso según riesgo, finalidad y datos tratados.
- Registro de usuarios, roles, departamentos y permisos.
- Logs de prompts, respuestas y metadatos según política de retención.
- Historial de modelos utilizados, proveedor, coste y latencia.
- Eventos DLP: datos personales, secretos, credenciales o información sensible detectada.
- Políticas aplicadas: permitir, advertir, anonimizar, bloquear, enrutar o solicitar aprobación.
- Workflows de aprobación y decisiones humanas documentadas.
- Incidentes, revisiones, medidas correctivas y responsables asignados.
- Informes de uso por usuario, departamento, proyecto, cliente o centro de coste.
Estas evidencias no solo ayudan ante una auditoría. También permiten mejorar seguridad, costes, adopción y calidad del uso de IA.
El error de pensar que el AI Act solo afecta a proveedores
Es frecuente pensar que el AI Act afecta principalmente a quienes desarrollan modelos o venden sistemas de IA. Es cierto que los proveedores tienen obligaciones importantes, pero las empresas que despliegan o usan IA en un contexto profesional también deben prestar atención.
Una empresa puede ser usuaria de un sistema de IA y, aun así, tener responsabilidades prácticas:
- Usar el sistema conforme a las instrucciones del proveedor.
- Garantizar supervisión humana cuando sea necesario.
- Conservar registros cuando proceda.
- Monitorizar el uso real del sistema.
- Informar o escalar incidentes relevantes.
- Evitar usos no autorizados o fuera del alcance previsto.
- Controlar qué datos se introducen en sistemas de IA.
Por eso, incluso las empresas que no crean modelos deberían construir capacidades internas de gobierno, trazabilidad y control.
Casos empresariales que deberían revisarse cuanto antes
No todos los usos de IA tienen el mismo nivel de urgencia. Pero hay áreas donde conviene revisar el uso con especial atención.
Cribado de CVs, evaluación de candidatos, análisis de rendimiento, promoción interna o gestión de empleados.
Chatbots, asistentes de soporte, clasificación de reclamaciones o generación automática de respuestas.
Análisis de solvencia, scoring, evaluación de riesgo, fraude, márgenes o decisiones automatizadas con impacto económico.
Análisis contractual, revisión de documentos sensibles, generación de informes o soporte en decisiones reguladas.
Uso de IA con código fuente, documentación interna, credenciales, arquitectura o sistemas críticos.
APIs de IA integradas en CRM, ERP, intranet, herramientas operativas o automatizaciones internas.
El objetivo no es bloquear estos usos. El objetivo es inventariarlos, clasificarlos y aplicar controles proporcionales.
Del documento de compliance al sistema de gobierno
Una respuesta habitual ante el AI Act será crear un documento interno: política de uso de IA, guía de buenas prácticas o protocolo de aprobación. Ese documento es necesario, pero no suficiente.
Una empresa preparada necesita pasar de documentación estática a gobierno operativo.
El AI Act empuja a las empresas hacia este segundo enfoque: sistemas capaces de generar evidencias, no solo declaraciones de intención.
Qué significa “auditabilidad” en IA empresarial
Auditar IA no significa únicamente revisar código o modelos. En muchas empresas, el punto crítico será auditar el uso: quién usó qué modelo, con qué datos, para qué finalidad y con qué resultado.
Una IA empresarial auditable debería permitir responder:
- ¿Qué sistemas de IA están activos en la organización?
- ¿Qué proveedores externos reciben datos?
- ¿Qué modelos están permitidos para cada departamento?
- ¿Qué usuarios han trabajado con información sensible?
- ¿Qué decisiones se han tomado con asistencia de IA?
- ¿Qué respuestas se han usado en procesos relevantes?
- ¿Qué incidencias se han detectado y cómo se resolvieron?
- ¿Qué controles humanos existen en usos sensibles?
La auditabilidad no se consigue al final del proceso. Se diseña desde la arquitectura.
AI Gateway: una pieza clave para el cumplimiento operativo
Cuando cada aplicación interna se conecta directamente a OpenAI, Claude, Gemini, Mistral, Azure OpenAI u otro proveedor, la trazabilidad queda fragmentada. Cada equipo registra lo que puede, cada proveedor ofrece métricas distintas y la empresa pierde una visión centralizada.
Un AI Gateway ayuda a resolver este problema porque actúa como punto común de control entre aplicaciones internas, empleados y proveedores externos de IA.
Evita que cada aplicación tenga su propia integración, sus propias claves y sus propios controles.
Valida permisos, modelos permitidos, presupuestos, DLP y reglas de riesgo antes de enviar la petición.
Registra usuario, aplicación, modelo, proveedor, coste, política aplicada, evento y resultado.
Permite reconstruir decisiones y demostrar qué controles se aplicaron en cada uso de IA.
En la práctica, el gateway convierte el uso de IA en un flujo gobernado, no en una suma de integraciones aisladas.
DLP y AI Act: proteger datos antes de llamar al modelo
Uno de los mayores riesgos en IA generativa es que los datos sensibles viajen dentro del prompt. Un empleado puede pegar información personal, una clave API, un contrato, una nómina, una reclamación o código fuente en una herramienta de IA.
Para reducir ese riesgo, el control debe producirse antes de enviar la petición al modelo. Un sistema DLP para IA debería poder:
- Detectar datos personales, secretos, credenciales o información regulada.
- Anonimizar datos cuando la identidad real no sea necesaria.
- Bloquear información crítica o no permitida.
- Solicitar aprobación para usos sensibles.
- Registrar el evento para revisión posterior.
Esto no solo mejora seguridad. También genera evidencias de control: qué se detectó, qué política se aplicó y qué acción tomó el sistema.
Supervisión humana: no basta con decir “hay una persona revisando”
En usos sensibles, la supervisión humana debe ser real, documentada y operativa. No debería limitarse a una frase genérica en una política interna.
Una supervisión humana efectiva necesita:
Quién puede aprobar, revisar, detener o escalar un uso de IA.
Prompt, respuesta, modelo, datos tratados, riesgo detectado y política aplicada.
Bloquear, corregir, aprobar, pedir más información o cambiar el flujo.
Quién revisó, cuándo, qué decidió y con qué justificación.
Sin registro, la supervisión humana es difícil de demostrar. Con workflows de aprobación, se convierte en una evidencia auditable.
Calendario: por qué conviene prepararse antes
El AI Act se aplica de forma progresiva. Algunas obligaciones ya están en marcha y otras entran en aplicación por fases. Además, el marco se está acompañando de guías, códigos de práctica, herramientas de soporte y procesos de simplificación.
Para las empresas, el mensaje práctico es claro: esperar al último momento es mala estrategia. Construir inventario, trazabilidad, políticas y auditoría lleva tiempo. También exige coordinar a IT, legal, compliance, seguridad, finanzas y negocio.
Inventariar usos de IA, proveedores, asistentes, aplicaciones internas y datos tratados.
Clasificar riesgos, definir políticas, activar DLP, presupuestos, modelos permitidos y logs.
Consolidar evidencias, workflows de aprobación, informes exportables y revisión de incidentes.
Prepararse no significa sobrerregular todos los usos desde el primer día. Significa construir una base de gobierno proporcional y escalable.
Checklist de preparación para empresas
Una empresa que quiera prepararse para un uso más regulado de IA debería empezar por estas acciones:
Listar herramientas, asistentes, modelos, aplicaciones internas, proveedores y casos de uso.
Separar usos de bajo riesgo, transparencia, posibles usos sensibles y usos potencialmente de alto riesgo.
Definir propietarios por sistema, departamento, proyecto, aplicación o centro de coste.
Registrar usuario, prompt, respuesta, modelo, proveedor, coste, política aplicada y resultado.
Detectar datos personales, secretos, credenciales, información financiera o documentación confidencial.
Permitir, advertir, anonimizar, bloquear, enrutar o solicitar aprobación según contexto.
Imputar gasto por usuario, departamento, proyecto, cliente o centro de coste.
Exportar evidencias para IT, seguridad, compliance, finanzas y dirección.
Cómo coordinat.io ayuda ante el EU AI Act
coordinat.io ayuda a las empresas a construir la capa operativa que necesitan para usar IA con trazabilidad, control y auditoría. No sustituye el asesoramiento legal ni clasifica jurídicamente todos los casos por sí solo, pero sí proporciona la infraestructura para generar evidencias y aplicar políticas en el uso diario de IA.
La plataforma permite centralizar el uso de inteligencia artificial en dos frentes:
Los usuarios acceden a asistentes aprobados, con selección de proyecto, cliente o centro de coste, políticas de uso y trazabilidad de cada interacción.
Las aplicaciones internas consumen modelos de IA a través de una capa común donde se aplican DLP, políticas, routing, presupuestos, logs y auditoría.
Con coordinat.io, una organización puede:
- Registrar quién usa IA, cuándo, desde dónde y para qué.
- Asociar interacciones a usuarios, departamentos, proyectos, clientes o centros de coste.
- Controlar modelos y proveedores permitidos según política interna.
- Detectar datos sensibles antes de enviar prompts a modelos externos.
- Aplicar acciones como advertir, anonimizar, bloquear o solicitar aprobación.
- Registrar costes y consumo por entidad de negocio.
- Generar logs y evidencias para auditoría.
- Consultar una vista 360 del uso de IA por usuario, departamento, proyecto, cliente o aplicación.
- Centralizar incidentes, aprobaciones y eventos DLP.
La ventaja principal es que las evidencias no se crean manualmente al final. Se generan mientras la IA se usa.
Ejemplo práctico: de uso informal a uso auditable
Imagina que un equipo de RRHH usa IA para resumir entrevistas o comparar perfiles de candidatos. Aunque el uso sea interno, puede afectar a personas y tratar datos personales. Sin una capa de control, la empresa puede no saber qué datos se enviaron, qué modelo se usó, quién revisó la respuesta o qué criterio se aplicó.
Con una capa de gobierno como coordinat.io, el flujo puede cambiar:
- El usuario accede a un asistente aprobado para RRHH.
- Selecciona proyecto, departamento o proceso asociado.
- El sistema detecta datos personales en el prompt.
- Se aplica anonimización o se solicita aprobación según política.
- Solo se permite el uso de modelos autorizados.
- La interacción queda registrada con coste, modelo, política y resultado.
- Compliance puede revisar el historial si es necesario.
La tarea puede seguir siendo productiva, pero ahora deja evidencias de control.
Preguntas frecuentes sobre EU AI Act y uso empresarial de IA
¿El AI Act afecta a empresas que solo usan IA, pero no la desarrollan?
Sí, puede afectarles según el papel que desempeñen y el tipo de sistema o caso de uso. Aunque muchas obligaciones recaen sobre proveedores, las empresas que despliegan o usan IA profesionalmente deben controlar cómo se utiliza, especialmente en usos sensibles o de alto riesgo.
¿Tener una política interna de IA es suficiente?
No. Es un buen punto de partida, pero una política escrita no genera por sí sola logs, evidencias, controles DLP, auditoría, supervisión humana ni trazabilidad del uso real.
¿Todas las herramientas de IA requieren el mismo nivel de control?
No. El enfoque debe ser proporcional al riesgo. Un asistente creativo de bajo impacto no exige el mismo nivel de control que una IA usada en selección de personal, crédito, decisiones legales o procesos que afecten a personas.
¿coordinat.io garantiza cumplimiento automático del AI Act?
No. El cumplimiento depende del caso de uso, del rol de la empresa, de sus procesos y de la interpretación legal aplicable. coordinat.io ayuda a generar la base técnica y operativa: trazabilidad, políticas, DLP, auditoría, control de modelos, costes y evidencias.
Conclusión: la IA regulada necesita evidencias, no solo intención
El EU AI Act acelera una tendencia que ya era inevitable: las empresas deberán usar inteligencia artificial con más control, más trazabilidad y más capacidad de auditoría. La adopción de IA no desaparecerá, pero dejará de ser aceptable operar con herramientas dispersas, costes opacos, datos sensibles sin control y decisiones sin registro.
La preparación empieza por construir una capa de gobierno: inventario, clasificación de riesgos, políticas automáticas, DLP, supervisión humana, control de costes y logs exportables.
En ese contexto, coordinat.io permite a las empresas transformar el uso de IA en una actividad medible, gobernada y auditable. No se trata solo de cumplir mejor. Se trata de adoptar inteligencia artificial sin perder el control.
coordinat.io centraliza el uso de IA, aplica políticas, detecta datos sensibles, registra costes, gestiona aprobaciones y genera trazabilidad para IT, seguridad, finanzas y compliance.
Empieza gratis — 30 días