Cumplimiento del EU AI Act para pymes: diagnóstico, políticas y evidencias

Sin alfabetización, gobernanza y reskilling, la IA no es una ventaja: es un riesgo. La inteligencia artificial no fracasa por la tecnología: fracasa cuando entra en una organización que no sabe usarla, no ha rediseñado sus procesos para acogerla y no tiene manera de decidir quién responde de lo que produce. En ese escenario no ahorra trabajo: multiplica el error, lo hace más rápido y lo reparte mejor.

Alfabetización. Que las personas sepan qué hace la herramienta, dónde falla y cuándo desconfiar. No es enseñar a escribir instrucciones: es enseñar a no creerse la respuesta.

Reskilling. Que los puestos se rediseñen alrededor de lo que la persona aporta cuando la máquina hace el resto. Sin esto, la IA no libera tiempo: genera desconcierto y resistencia.

Gobernanza. Inventario, clasificación de riesgo, supervisión humana con capacidad real de intervenir y rastro de lo que se decidió y por qué. Sin esto no hay nada que enseñar cuando alguien pregunte.

Un despacho te dice si cumples. Nosotros formamos a tu equipo, rediseñamos cómo trabajáis y luego emitimos nuestro sello privado de verificación. Son tres cosas distintas. Lo aplicamos en casa antes que en ningún cliente: tenemos la red de consultores formada con registro acreditable y hemos separado la verificación de la redacción para detectar y reducir errores mediante controles documentales, funcionales y humanos.

Los datos de nuestros clientes se almacenan en la Unión Europea (Irlanda). Las llamadas a modelos de IA implican transferencia a Estados Unidos y se realizan bajo Acuerdo de Encargo de Tratamiento con Cláusulas Contractuales Tipo (Arts. 28 y 46 RGPD), con minimización de los datos personales conforme a instrucciones internas de obligado cumplimiento, sin uso de los datos para entrenamiento de modelos y con evaluación de impacto de transferencias (TIA) documentada. La capa técnica de seudonimización previa (criteria-privacy v1.0.0) está desplegada en el asistente público desde julio de 2026 —su versión desplegada emite la cabecera x-criteria-privacy, comprobable por cualquiera— y en despliegue progresivo sobre el resto de la cadena de servicios: decir dónde está y dónde todavía no es parte de la medida. Solo el hash de cada emisión va a la blockchain; los datos personales quedan siempre fuera de la cadena. Detalle completo en nuestra Política de IA.

Si usas IA generativa, cuatro reglas: contrata siempre plan comercial con DPA, nunca cuentas de consumo. Comprueba cómo transfiere los datos tu proveedor. Minimiza los datos personales que metes en los prompts. Y valora residencia en la UE si tu sector lo exige.