AI Act: ¿tu empresa usa inteligencia artificial con control?
Si tu empresa utiliza ChatGPT, Copilot, Gemini, chatbots, agentes, automatizaciones, IA en marketing, RR. HH., atención al cliente o contenidos generados con IA, conviene saber qué se está usando, para qué, con qué datos, bajo qué proveedores y qué medidas se han adoptado.
El AI Act ya es aplicable por fases y no afecta igual a todas las organizaciones. La obligación concreta depende del sistema, la finalidad, el contexto y el papel de la empresa.
El primer paso es conocer cómo se está utilizando realmente la IA y poder justificar las medidas adoptadas.
Tras la jornada en Cámara Alicante: de la información a la acción
El 8 de julio de 2026, Cooralia Intelligent Works participó como ponente en una jornada organizada por Cámara Alicante para explicar qué deben revisar las empresas que ya utilizan IA ante la aplicación progresiva del Reglamento Europeo de Inteligencia Artificial.
A partir de esa experiencia hemos estructurado tres servicios independientes y adaptables al punto de partida de cada organización: AI Act Básico · Revisión Inicial, para conocer la situación y prioridades; AI Act Avanzado · Plan de Control y Evidencias, para implantar gobernanza; y Programa de Alfabetización en IA, para organizaciones cuya necesidad principal es formativa.
La sesión se desarrolló en cooperación jurídica habitual con Gimeno Abogados. En Cooralia trabajamos esta dimensión jurídica con M.ª Fuensanta Gimeno, Premio De Ley Siglo XXI 2025 en Compliance.
Guía AI Act para empresas que ya utilizan IA
Qué conviene revisar si tu empresa utiliza IA, cómo identificar el punto de partida y qué nivel de actuación puede necesitar según sus usos y controles actuales.
El problema no es usar IA. Es usarla sin trazabilidad.
Muchas empresas ya usan IA sin una revisión estructurada de herramientas, usos, datos, proveedores y responsables.
Actualmente, una empresa que utiliza IA debería poder responder al menos a preguntas básicas como estas:
- ¿Qué herramientas y funcionalidades de IA se utilizan realmente?
- ¿Para qué finalidades?
- ¿Quién las utiliza y con qué tipo de cuenta?
- ¿Qué datos personales, internos o confidenciales pueden introducirse?
- ¿Qué proveedores intervienen?
- ¿Hay IA en RR. HH., atención al cliente, marketing, contenidos, agentes o automatizaciones?
- ¿Existen reglas, revisión humana, formación y evidencias de las medidas adoptadas?
Qué se está aplicando ya y qué viene después
El AI Act ya está en aplicación por fases. Algunas obligaciones son exigibles desde 2025, otras desde el 2 de agosto de 2026 y determinadas reglas de alto riesgo tienen fechas posteriores. Por eso conviene revisar cada caso según el sistema, el uso y el papel de la organización.
Que algunas reglas de alto riesgo se apliquen en 2027 y 2028 no significa que el resto pueda esperar: las empresas que ya utilizan IA deberían conocer sus usos, datos, proveedores y medidas de transparencia, y poder justificar lo que han adoptado.
Tres servicios AI Act según el punto de partida de la organización
No todas las empresas necesitan el mismo proyecto. Cooralia recomienda el alcance en función de los usos de IA, los controles existentes y la necesidad real de la organización.
Los tres servicios son independientes: no es necesario pasar por todos ni contratarlos en una secuencia obligatoria.
Todos los servicios incorporan alfabetización en IA con diferente profundidad. La formación, por sí sola, no sustituye una revisión de los usos de IA ni determina qué otras obligaciones pueden resultar aplicables.
AI Act Básico · Revisión Inicial
Conocer la situación, priorizar y definir los siguientes pasos.
1–2 semanas- Punto de partida recomendado cuando la empresa utiliza IA pero todavía no ha realizado una revisión estructurada de herramientas, usos, datos, proveedores y posibles obligaciones.
- Proyecto de 1–2 semanas, sujeto a disponibilidad e información necesaria.
- Incluye alfabetización adaptada al diagnóstico y evidencias de realización.
AI Act Avanzado · Plan de Control y Evidencias
Implantar un marco interno de gobernanza, controles y evidencias.
4–6 semanas (orientativo)- Para organizaciones que ya conocen sus principales usos y necesitan reglas, responsabilidades, controles, proveedores, canal y evidencias de forma estructurada.
- Proyecto orientativo de 4–6 semanas según perímetro y complejidad.
- Incluye alfabetización y formación específica sobre las reglas y controles implantados.
Programa de Alfabetización en IA
Proceso formativo adaptado al contexto de la organización.
Proceso formativo adaptado- Para organizaciones cuya necesidad principal es capacitar al equipo y documentar una medida de alfabetización.
- Incluye cuestionario previo, preparación y adaptación, sesión en directo, comprobación de comprensión y evidencias.
- No incluye una revisión integral de sistemas, usos, riesgos u obligaciones. Si no existe una revisión previa, Cooralia recomienda comenzar por AI Act Básico.
Qué incluye cada servicio
AI Act Básico · Revisión Inicial
Formar, identificar, priorizar y definir los siguientes pasos.
Qué resuelve. Ofrece una primera visión ordenada y documentada de las herramientas, usos, datos, proveedores y exposiciones principales de la empresa. Es el punto de partida recomendado cuando todavía no existe una revisión estructurada.
- Cuestionarios de contexto y diagnóstico más sesión de contraste.
- Inventario preliminar y declarativo de herramientas y usos.
- Cribado inicial de riesgos y posibles obligaciones.
- Revisión básica de alerta sobre proveedores críticos incluidos.
- Reglas urgentes de uso para reducir exposición inmediata.
- Formación de alfabetización adaptada a las herramientas, riesgos y reglas detectadas, con comprobación y evidencias.
- Informe ejecutivo y plan de acciones 30/60/90: qué corregir ahora, qué revisar después y qué ordenar progresivamente.
- Propuesta de coordinación interna cuando proceda.
Límites. No es una auditoría legal, técnica o contractual completa; no realiza discovery automático; no clasifica definitivamente casos complejos de alto riesgo; no incluye evaluaciones de impacto, pruebas técnicas, certificación ni implantación completa de política, canal o evidencias. La revisión puede identificar necesidades de transparencia, pero la redacción o implantación de avisos específicos depende del alcance contratado.
AI Act Avanzado · Plan de Control y Evidencias
Formar, estructurar, implantar y documentar un marco interno de gobernanza.
Qué resuelve. Convierte el diagnóstico en reglas, documentos y mecanismos operativos para gestionar los usos de IA de forma más consistente y trazable.
- Inventario documentado de herramientas y casos de uso incluidos.
- Política y protocolo interno adaptados a la organización.
- Revisión documentada de los proveedores incluidos.
- Formación personalizada sobre las reglas, controles y usos reales de la organización, con evidencias.
- Diseño de un canal interno de dudas, altas e incidencias.
- Carpeta estructurada de evidencias y documentos del proyecto.
- Cribado y clasificación preliminar cuando proceda, con escalado si requiere revisión especializada.
- Matriz básica de responsabilidades y actuaciones pendientes según alcance.
Puede requerir alcance adicional. Prácticas potencialmente prohibidas o alto riesgo, biometría, RR. HH. complejo, scoring, EIPD, contratos complejos, pruebas técnicas, conformidad, sectores regulados, multi-país o desarrollo y provisión de sistemas o modelos.
Programa de Alfabetización en IA
Formación esencial para un uso responsable de la inteligencia artificial.
Qué resuelve. Ayuda a adoptar y documentar una medida de alfabetización para las personas que utilizan u operan sistemas de IA en nombre de la organización.
- Cuestionario breve de contexto y conocimientos previos.
- Preparación y adaptación general a perfiles, herramientas y usos comunicados.
- Sesión en directo de 60–90 minutos, dentro de un proceso que incluye preparación, adaptación, evaluación y cierre documental.
- IA y sus limitaciones; errores y alucinaciones; datos y confidencialidad; revisión humana; propiedad intelectual básica.
- Usos sensibles, transparencia, agentes, buenas prácticas y criterios de escalado.
- Cuestionario final de comprensión, materiales y evidencias de realización.
- Nota de cierre con alertas cuando convenga una revisión adicional.
No sustituye. Inventario completo, clasificación jurídica, auditoría, evaluación de impacto, revisión contractual integral, política interna completa, implantación de controles, certificación o garantía de cumplimiento integral.
Los tres servicios, uno al lado del otro
| Elemento | AI Act Básico | AI Act Avanzado | Alfabetización |
|---|---|---|---|
| Finalidad principal | Conocer situación y prioridades. | Implantar gobernanza y control. | Formar y evidenciar. |
| Cuándo se recomienda | Se usa IA pero no hay revisión estructurada. | Se conocen los usos y se necesitan reglas o controles. | Los usos ya están razonablemente identificados y la necesidad es formativa. |
| Contexto y cuestionarios | Diagnóstico. | Gobernanza y módulos. | Contexto formativo. |
| Formación | Alfabetización adaptada al diagnóstico. | Alfabetización más formación de implantación. | Formación base adaptada. |
| Inventario | Preliminar. | Documentado. | No. |
| Riesgos | Cribado inicial. | Operativo y ampliado. | Alertas formativas. |
| Proveedores | Revisión básica de alerta. | Revisión documentada. | No. |
| Política y protocolo | No. | Sí. | No. |
| Canal interno | No. | Diseño o implantación según alcance. | No. |
| Evidencias | Iniciales más formación. | Estructura del proyecto. | Evidencias formativas. |
| Resultado | Informe más plan priorizado. | Marco de control implantado. | Medida formativa documentada. |
Si utilizas IA, conviene saber ya qué estás utilizando y bajo qué controles
No necesitas saber qué servicio contratar antes de hablar con nosotros. Los servicios son independientes y revisamos tu punto de partida para recomendar el alcance adecuado según los usos de IA de tu organización.
Esta página tiene finalidad informativa, divulgativa y comercial. Los servicios de Cooralia tienen carácter consultivo, estratégico, organizativo, formativo y documental. No constituyen asesoramiento jurídico individualizado, certificación, homologación, auditoría oficial, evaluación de conformidad ni garantía de cumplimiento integral del Reglamento Europeo de Inteligencia Artificial. El alcance definitivo se establece en la propuesta correspondiente y puede requerir análisis jurídico, técnico, de protección de datos o sectorial adicional según los sistemas y usos detectados. Cuando una organización contrata únicamente el Programa de Alfabetización, el alcance queda limitado a la formación y sus evidencias y no implica que Cooralia haya revisado o validado todos los sistemas, usos, riesgos u obligaciones de IA de la organización.
La referencia a Cámara Alicante y a Gimeno Abogados corresponde a la jornada divulgativa y a la cooperación jurídica habitual de Cooralia. No implica que la jornada ni esa colaboración hayan constituido asesoramiento jurídico individualizado para las empresas asistentes.
