La inteligencia artificial generativa puede ahorrar horas en tareas de consulta, resumen y redacción, pero la empresa que la usa sigue respondiendo de los datos que introduce y de las decisiones que salen de ella. La oportunidad es real cuando se sabe qué herramientas se utilizan, con qué información y quién revisa el resultado antes de aplicarlo.
Dónde aporta valor de verdad
La IA rinde más donde el problema es encontrar y ordenar información que ya existe. Una ingeniería de Girona donde los técnicos pierden tiempo buscando procedimientos, o un grupo hotelero de Andorra donde el personal pregunta cada temporada lo mismo sobre protocolos internos, son casos claros. También ayuda a hacer un primer borrador de un correo, de una oferta o de un informe que después revisa una persona.
Rinde menos, y ahí se concentran los errores de uso, cuando se le pide un dato exacto sin comprobarlo o cuando el resultado sirve directamente para decidir sobre personas. Un modelo de lenguaje puede dar una respuesta bien redactada e incorrecta. Nuestra recomendación es que la IA haga de primer lector y de redactor, y que la decisión final la tome alguien con nombre y apellidos.
El riesgo más habitual: la IA que nadie ha autorizado
A nuestro juicio, el riesgo más habitual en las pymes viene del uso espontáneo, antes que del Reglamento de IA. Una persona del equipo pega un contrato o un listado de clientes en un chat público para resumirlo, con la mejor intención. Si esa herramienta trata datos personales por cuenta de la empresa, el proveedor actúa como encargado del tratamiento, y el RGPD exige elegirlo con garantías suficientes y regularlo por contrato (artículo 28). En Andorra, la Llei 29/2021 añade las condiciones de las transferencias internacionales (artículos 42 a 44) si el servicio está fuera de Andorra y de la UE.
Prohibirlo todo rara vez funciona. Nos parece más eficaz ofrecer una herramienta autorizada, con un contrato revisado, y acompañarla de unas normas de uso que quepan en una página.
Inventario: qué usos de IA hay en la empresa
No se puede clasificar lo que no se conoce, y el primer paso es hacer una lista. Pregunta a cada área, mira las suscripciones y las extensiones del navegador, y no olvides las funciones de IA que han llegado dentro de herramientas que ya se tenían (ofimática, CRM, correo). Para cada uso anota:
| Pregunta | Por qué importa |
|---|---|
| ¿Qué herramienta y qué proveedor, y dónde trata los datos? | Contrato de encargado y transferencias |
| ¿Quién la usa y para qué tarea? | Define quién responde |
| ¿Qué datos entran: personales, de clientes, confidenciales? | Marca la base legal y el nivel de riesgo |
| ¿Los resultados afectan a personas (selección, evaluación, crédito, acceso a un servicio)? | Puede ser de alto riesgo según el Reglamento |
| ¿El resultado se publica o se muestra a terceros? | Obligaciones de transparencia |
| ¿Hay revisión humana antes de aplicarlo? | Evita decisiones únicamente automatizadas |
El inventario es también la base para responder a un cliente, a un auditor o a una autoridad.
Cómo se clasifica el riesgo según el Reglamento (UE) 2024/1689
El Reglamento de IA ordena los usos en cuatro niveles, y la mayoría de las empresas aparecen como responsables del despliegue: usan un sistema que ha creado otro.
- Prácticas prohibidas (artículo 5). Incluyen las técnicas subliminales o manipuladoras que alteran el comportamiento de forma sustancial, la puntuación de personas por su comportamiento social, el rastreo no selectivo de imágenes faciales de internet y la inferencia de emociones en el trabajo y en centros educativos, salvo por motivos médicos o de seguridad. Las multas llegan a 35 millones de euros o al 7% del volumen de negocio mundial (artículo 99.3).
- Alto riesgo (artículo 6 y anexo III). Entre los ámbitos del anexo están la selección de personal y la evaluación de candidatos, las decisiones sobre condiciones laborales, promoción o rescisión, el acceso a la educación, la evaluación de la solvencia y la fijación de precios de seguros de vida y de salud. Quien los despliega debe seguir las instrucciones de uso, encargar la supervisión humana a personas competentes, vigilar su funcionamiento, conservar los registros al menos seis meses e informar a los trabajadores y a las personas afectadas (artículo 26).
- Transparencia (artículo 50). Las personas deben saber que hablan con un sistema de IA, y los contenidos sintéticos han de poder identificarse. Quien despliega un sistema que genera ultrasuplantaciones debe decir que son artificiales, y quien publica texto generado para informar al público sobre asuntos de interés público debe revelarlo, salvo que haya revisión humana y responsabilidad editorial.
- El resto. No tiene obligaciones específicas en este reglamento, pero sí las del RGPD y, para el personal, la medida de apoyo a la alfabetización en IA del artículo 4.
Las multas por incumplir las obligaciones del artículo 26 o del artículo 50 llegan a 15 millones de euros o al 3% del volumen de negocio, y en las pymes se aplica la menor de las dos cantidades (artículo 99).
Calendario vigente a 25 de octubre de 2026
El Reglamento (UE) 2026/1744, el Ómnibus digital sobre IA, se publicó en el DOUE el 24 de julio de 2026 y entró en vigor el 27 de julio. Las fechas, ahora, son estas:
| Fecha | Qué se aplica |
|---|---|
| 2 de febrero de 2025 | Disposiciones generales y prácticas prohibidas; el artículo 4 sobre alfabetización en IA |
| 2 de agosto de 2025 | Gobernanza, modelos de uso general y régimen de sanciones (salvo el artículo 101) |
| 2 de agosto de 2026 | Fecha general de aplicación, incluidas las obligaciones de transparencia del artículo 50 |
| 2 de diciembre de 2026 | Nuevas prohibiciones sobre imágenes íntimas sintéticas sin consentimiento y material de abuso sexual infantil; plazo límite para que los sistemas generadores de contenido sintético ya comercializados cumplan el artículo 50.2 |
| 2 de diciembre de 2027 | Obligaciones de los sistemas de alto riesgo del anexo III |
| 2 de agosto de 2028 | Obligaciones de los sistemas de alto riesgo de productos regulados del anexo I |
El Ómnibus también ha reescrito el artículo 4: ya no pide garantizar un nivel suficiente de alfabetización, sino adoptar medidas para apoyarla, sin exigir un nivel concreto a ninguna persona. Una herramienta de selección de personal que se elija hoy debería poder cumplir las obligaciones de alto riesgo dentro de poco más de un año.
Qué se aplica a una empresa andorrana que ofrece servicios en la UE
El Reglamento no es derecho andorrano, pero no se queda fuera por estar en Andorra. Se aplica a los proveedores que comercializan sistemas de IA en la Unión con independencia de dónde estén establecidos (artículo 2.1.a) y a los proveedores y responsables del despliegue de un tercer país cuando los resultados del sistema se utilizan en la Unión (artículo 2.1.c). Un proveedor de un tercer país de un sistema de alto riesgo debe nombrar un representante autorizado establecido en la UE antes de comercializarlo (artículo 22).
Dos ejemplos típicos. Un grupo hotelero de Andorra que usa un chat con IA para atender a clientes de Francia o de España debe asegurarse de que esos clientes saben que hablan con un sistema de IA. Una agencia andorrana que preselecciona candidatos para una empresa de Barcelona con una herramienta de IA debería comprobar si el uso entra en el anexo III, porque los resultados se utilizan en la Unión.
España ha creado una agencia de supervisión propia, la AESIA (Real Decreto 729/2023). En Andorra, el marco que nos consta para los datos personales es la Llei 29/2021, sin perjuicio del RGPD cuando sea aplicable (artículo 3.2).
Los datos personales siguen bajo el RGPD y la Llei 29/2021
La IA no crea un espacio aparte de la protección de datos. El RGPD reconoce el derecho a no ser objeto de una decisión basada únicamente en un tratamiento automatizado que produzca efectos jurídicos o afecte significativamente a la persona (artículo 22). La Llei 29/2021 contiene un derecho equivalente para Andorra (artículo 25). En la práctica, si una herramienta propone quién recibe una oferta, un crédito o una entrevista, debe haber una persona que revise y que pueda explicar la decisión.
Control: qué debería exigir a cualquier herramienta
Antes de contratar un asistente de IA, conviene tener respuestas por escrito a unas cuantas preguntas. Si los datos de la empresa sirven para entrenar modelos de otros. Si la herramienta respeta los permisos que ya existen, de modo que cada persona solo consulte lo que le corresponde. Si se puede saber en qué documentos se basa cada respuesta. Y dónde se ejecuta el servicio y dónde quedan los datos.
Aquí tenemos interés y lo decimos: MIA es un asistente corporativo privado y es un producto de BDR Group. Según la web del producto, los datos de la empresa no entrenan modelos públicos, el acceso se define por equipo, rol o área a partir de la gestión de identidades de la empresa, hay trazabilidad sobre en qué se basan las respuestas y puede desplegarse en cloud privado, en entorno dedicado o on-premise. Sean cuales sean las herramientas que elijas, estas son las preguntas que deberías hacer a cualquier proveedor.
Qué hacer ahora
- Pregunta al equipo qué herramientas de IA usa hoy y con qué tipo de información, y haz el inventario.
- Escribe una política de uso de una página: qué se puede introducir, qué no, y quién revisa los resultados.
- Elige una herramienta autorizada, con el contrato de encargado revisado, y comprueba dónde se tratan los datos.
- Identifica si algún uso afecta a decisiones sobre personas (selección, evaluación, crédito) y asígnale una revisión humana.
- Si el resultado llega a clientes de la UE, comprueba la transparencia y organiza una formación básica para todos los que la usan.
Preguntas frecuentes
Si el equipo usa un chat público, ¿incumplo alguna norma?
Depende de lo que se introduzca. Si entran datos personales sin contrato con el proveedor ni base para la transferencia, puede haber un incumplimiento del RGPD o de la Llei 29/2021.
¿Ya se aplica el Reglamento de IA?
Sí, en parte. Las prácticas prohibidas se aplican desde el 2 de febrero de 2025 y la fecha general es el 2 de agosto de 2026, con las obligaciones de transparencia. Las de los sistemas de alto riesgo del anexo III se aplican a partir del 2 de diciembre de 2027, según la modificación de 2026.
¿Una empresa andorrana tiene que cumplir el Reglamento europeo de IA?
No como derecho andorrano, pero sí cuando los resultados del sistema se utilizan en la Unión Europea.
¿Puedo usar IA para seleccionar personal?
Sí, pero el anexo III considera esos sistemas de alto riesgo, con obligaciones a partir del 2 de diciembre de 2027. Además, el derecho a no ser objeto de decisiones únicamente automatizadas ya se aplica hoy.
Fuentes
- Parlamento Europeo y Consejo. Reglamento (UE) 2024/1689, de 13 de junio de 2024 (Reglamento de Inteligencia Artificial), artículos 2, 4, 5, 6, 22, 26, 27, 50, 99 y 113 y anexo III. DOUE L, 2024/1689, de 12/7/2024. Consulta: 25/10/2026. https://www.boe.es/buscar/doc.php?id=DOUE-L-2024-81079
- Parlamento Europeo y Consejo. Reglamento (UE) 2026/1744, de 8 de julio de 2026 (Ómnibus digital sobre IA), artículo 1 (modificaciones de los artículos 4, 5, 111 y 113). DOUE L, 2026/1744, de 24/7/2026. Consulta: 25/10/2026. https://www.boe.es/buscar/doc.php?id=DOUE-L-2026-81147
- Reglamento (UE) 2016/679 (RGPD), artículos 3, 22 y 28. DOUE L 119, de 4/5/2016. Consulta: 25/10/2026. https://www.boe.es/buscar/doc.php?id=DOUE-L-2016-80807
- Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals, artículos 25 y 42 a 44. BOPA núm. 119, de 17/11/2021. Consulta: 25/10/2026. https://www.apda.ad/assets/pdf/CGL20211115_08_58_32.pdf
- Real Decreto 729/2023, de 22 de agosto, por el que se aprueba el Estatuto de la Agencia Española de Supervisión de Inteligencia Artificial. BOE núm. 210, de 2/9/2023 (BOE-A-2023-18911). Consulta: 25/10/2026. https://www.boe.es/buscar/doc.php?id=BOE-A-2023-18911
Hablemos de la IA en tu empresa
Si quieres ver cómo puede funcionar un asistente privado con la documentación de tu empresa, consulta la ficha: MIA, el asistente de IA corporativo privado