AI Act · ChatGPT · Copilot · Gemini · Empresas
AI Act ChatGPT para empresas: sí, el Reglamento puede afectar a tu organización aunque no desarrolle inteligencia artificial y se limite a utilizar ChatGPT, Microsoft Copilot, Gemini, Claude u otros asistentes. Pero eso no significa que cualquier uso sea de alto riesgo ni que tengas las mismas obligaciones que OpenAI, Microsoft o Google.
Antes de leer 15 páginas de normativa, comprueba dónde está realmente tu exposición
El Barómetro REGULA·IA convierte 12 preguntas sobre uso, datos, supervisión y control interno en una primera lectura orientativa de tu situación.
Medir la exposición de mi empresa →
12 preguntas · Aproximadamente 5 minutos · Sin registro · Resultado inmediato
AI Act ChatGPT para empresas: ¿por qué puede aplicarse aunque solo uses una herramienta de terceros?
El Reglamento europeo no regula únicamente a quienes desarrollan modelos o venden sistemas de inteligencia artificial. También contempla a las organizaciones que utilizan sistemas de IA bajo su autoridad en una actividad profesional.
Por eso, cuando hablamos de AI Act ChatGPT para empresas, la pregunta correcta no es «¿hemos creado una IA?», sino «¿qué sistemas de IA utilizamos, para qué los utilizamos y qué papel ocupamos frente a cada uno?».
Una empresa que utiliza un asistente generativo para redactar borradores, resumir documentos, preparar código, analizar información o asistir a trabajadores puede estar actuando como responsable del despliegue. Eso no convierte automáticamente ese uso en alto riesgo. El AI Act utiliza un enfoque basado principalmente en el uso y el riesgo, no en la popularidad o el nombre comercial de la herramienta.
¿Qué significa que tu empresa sea «responsable del despliegue» o deployer?
El AI Act define al deployer como la persona física o jurídica que utiliza un sistema de IA bajo su autoridad, salvo cuando el uso sea estrictamente personal y no profesional.
En una empresa, esto significa que normalmente la organización es la responsable del despliegue cuando sus empleados, colaboradores o terceros utilizan la IA en su nombre y bajo su control. El trabajador que abre una herramienta dentro de su actividad laboral no se convierte por ello en un operador jurídico independiente.
Desarrolla o pone el sistema en el mercado bajo su nombre
Puede asumir obligaciones sobre diseño, documentación, marcado técnico, información y, según el caso, modelos de IA de uso general.
Utiliza el sistema bajo su autoridad
Debe revisar qué obligaciones le corresponden según la finalidad, el riesgo, el contexto y las personas afectadas.
Existe además una situación que merece atención: una empresa puede pasar a asumir obligaciones propias de proveedor si modifica de forma relevante determinados sistemas, cambia su finalidad prevista o comercializa un sistema bajo su propio nombre en los supuestos contemplados por el Reglamento. Por eso conviene clasificar cada uso real antes de sacar conclusiones.
¿Qué obligaciones del AI Act pueden afectar a una empresa que usa IA generativa?
No existe una única lista válida para cualquier empresa. En una revisión de AI Act ChatGPT para empresas, las obligaciones dependen del uso real. Para un uso empresarial ordinario de asistentes generativos, las cuestiones más importantes empiezan por estas:
1. Alfabetización en IA: sigue siendo una obligación
Tras la reforma del Digital Omnibus de 2026, el artículo 4 sigue exigiendo a proveedores y responsables del despliegue que adopten medidas para apoyar el desarrollo de la alfabetización en IA de las personas que operan o utilizan estos sistemas en su nombre.
La reforma simplificó la obligación: ya no exige garantizar un nivel concreto o «suficiente» en cada individuo. La empresa debe adoptar medidas adecuadas teniendo en cuenta conocimientos, experiencia, formación, contexto de uso y personas potencialmente afectadas.
En la práctica, esto favorece un enfoque proporcional: no necesita la misma preparación una persona que usa IA para corregir estilo que quien interviene en selección de personal, análisis de datos sensibles o decisiones con impacto sobre terceros.
2. Prácticas prohibidas: el uso empresarial también debe evitarlas
El artículo 5 contiene prácticas de IA prohibidas. Una empresa no queda fuera de esas prohibiciones por utilizar un servicio de terceros. Si un caso de uso entra en una práctica prohibida, la cuestión relevante es cómo se utiliza el sistema, no quién fabricó el modelo.
3. Transparencia: desde agosto de 2026 hay obligaciones concretas
El artículo 50 es aplicable desde el 2 de agosto de 2026. Para los responsables del despliegue, las obligaciones más claras afectan, entre otros supuestos, al uso de sistemas de reconocimiento de emociones o categorización biométrica y a la divulgación de determinados deepfakes o textos generados/manipulados por IA sobre asuntos de interés público.
En este último caso existe una excepción relevante para textos sometidos a una revisión humana sustantiva o a verdadero control editorial con responsabilidad sobre la publicación. Una simple corrección ortográfica no equivale necesariamente a esa revisión.
4. Alto riesgo: usar IA generativa no convierte automáticamente el uso en alto riesgo
El riesgo se analiza por el sistema y su finalidad concreta. Determinados usos en empleo, educación, acceso a servicios esenciales, biometría, justicia, migración u otros ámbitos del Anexo III pueden entrar en categorías de alto riesgo.
Tras el Digital Omnibus de 2026, las reglas específicas para sistemas de alto riesgo del Anexo III pasan a aplicarse desde el 2 de diciembre de 2027; para sistemas de alto riesgo integrados en productos regulados del Anexo I, desde el 2 de agosto de 2028.
Ejemplos: cuándo un uso de ChatGPT, Copilot o Gemini cambia de nivel
Redactar un borrador de email
No se convierte en alto riesgo por ser IA generativa. Aun así, conviene controlar qué datos se introducen, cómo se revisa el resultado y qué reglas internas existen.
Resumir documentos internos
El foco puede estar más en confidencialidad, protección de datos, condiciones del proveedor y exactitud que en una clasificación de alto riesgo.
Cribar o puntuar candidatos
La IA utilizada en determinados procesos de empleo puede entrar en categorías de alto riesgo. Debe estudiarse la finalidad y el papel real de la herramienta.
Publicar un deepfake comercial o institucional
Puede activar obligaciones de divulgación específicas del artículo 50 cuando el contenido encaja en la definición y no concurre una excepción.
Generar texto sobre asuntos de interés público
Si se publica para informar al público y no existe una revisión humana sustantiva o control editorial responsable, puede existir obligación de etiquetado.
Analizar expedientes con información identificable
Además del AI Act, entra en juego el RGPD. La empresa debe revisar finalidad, minimización, base jurídica, seguridad y relación con el proveedor.
El problema no es saber qué herramienta tienes. Es saber qué está haciendo realmente dentro de la empresa.
El Barómetro REGULA·IA te ayuda a identificar puntos ciegos en uso, datos, responsables, supervisión y evidencia antes de decidir qué revisar en profundidad.
ChatGPT, Microsoft Copilot y Gemini: ¿el AI Act cambia según la herramienta?
No de forma automática. En materia de AI Act ChatGPT para empresas, que una organización utilice ChatGPT, Microsoft Copilot, Gemini, Claude u otro asistente no determina por sí solo su categoría de riesgo. Lo decisivo es cómo se integra la herramienta y para qué finalidad se utiliza.
La misma tecnología puede participar en escenarios jurídicamente muy distintos:
- ayudar a redactar una descripción de producto;
- resumir un documento interno;
- contestar consultas de clientes;
- analizar currículums;
- apoyar decisiones sobre trabajadores;
- procesar datos personales o información sensible;
- generar imágenes o vídeos que puedan parecer auténticos;
- crear textos destinados a informar al público sobre asuntos de interés público.
Por eso, una política que simplemente diga «ChatGPT permitido» o «ChatGPT prohibido» suele quedarse corta. Una gobernanza útil identifica herramienta + finalidad + datos + personas afectadas + responsable + revisión + evidencia.
¿Y si introducimos datos personales en ChatGPT, Copilot o Gemini?
El AI Act y el RGPD son normas distintas y pueden aplicarse al mismo proceso simultáneamente. Si el uso de una herramienta de IA implica tratamiento de datos personales, la empresa debe analizar también sus obligaciones como responsable o encargado del tratamiento según el caso.
La AEPD ha insistido en principios como minimización, exactitud, finalidad y protección de datos desde el diseño en contextos de inteligencia artificial. También recomienda extremar la cautela al compartir información personal o especialmente delicada con herramientas de IA.
Esto significa que «la herramienta cumple el AI Act» no sería una respuesta suficiente para decidir si puedes introducir una base de datos de clientes, contratos, expedientes médicos, nóminas o documentación de empleados. Debes estudiar qué datos salen de tu control, con qué finalidad, bajo qué condiciones y qué garantías ofrece el proveedor.
Qué debería revisar una empresa que ya utiliza ChatGPT, Copilot o Gemini
Si tu organización ya utiliza IA generativa, este es un orden razonable para abordar AI Act ChatGPT para empresas sin empezar por burocracia innecesaria:
- Inventariar: identificar herramientas, cuentas, integraciones y departamentos que utilizan IA.
- Definir finalidades: documentar para qué se usa cada sistema y qué tareas no debería realizar.
- Revisar los datos: identificar información personal, confidencial, contractual, financiera o sensible que pueda introducirse.
- Clasificar el contexto: comprobar si el uso afecta a empleo, clientes, derechos, servicios esenciales u otros escenarios regulados.
- Asignar responsables: saber quién autoriza, revisa y puede detener un uso problemático.
- Establecer revisión humana: definir cuándo una salida debe comprobarse antes de producir consecuencias reales.
- Apoyar la alfabetización: adaptar formación e instrucciones al nivel y al riesgo de cada grupo de usuarios.
- Conservar evidencia: registrar criterios, decisiones, proveedores, controles e incidencias relevantes.
- Revisar periódicamente: repetir el análisis cuando cambie la herramienta, el modelo, la finalidad o el proceso.
El objetivo no es generar burocracia porque sí. Es poder responder con claridad a preguntas básicas: qué IA utiliza la empresa, con qué datos, para qué, quién la controla y cómo se demuestra ese control.
Preguntas frecuentes sobre AI Act, ChatGPT, Copilot y Gemini
¿El AI Act se aplica a mi empresa solo por usar ChatGPT?
En un escenario de AI Act ChatGPT para empresas, el uso profesional de un sistema de IA bajo la autoridad de una empresa puede situarla como responsable del despliegue. Sin embargo, las obligaciones concretas dependen del sistema, la finalidad y el riesgo. Usar ChatGPT no convierte automáticamente todos los procesos en alto riesgo.
¿Una pyme que usa Copilot o Gemini también puede ser deployer?
Sí. El tamaño de la empresa no excluye por sí mismo la condición de responsable del despliegue. La definición se centra en utilizar un sistema de IA bajo la propia autoridad en una actividad profesional.
¿Tengo que formar a los empleados que utilizan ChatGPT?
El artículo 4 obliga a adoptar medidas para apoyar el desarrollo de la alfabetización en IA de quienes operan o utilizan sistemas de IA en nombre de la organización. Tras la reforma de 2026 no se exige garantizar un nivel concreto en cada persona, pero la obligación de adoptar medidas se mantiene.
¿Tengo que etiquetar todo el contenido creado con IA?
No. El artículo 50 establece obligaciones específicas y excepciones. Para los responsables del despliegue son especialmente relevantes determinados deepfakes y textos generados o manipulados por IA publicados para informar al público sobre asuntos de interés público, así como ciertos usos biométricos o de reconocimiento de emociones.
¿Un texto generado con IA y revisado por una persona tiene que etiquetarse?
En el supuesto específico de textos sobre asuntos de interés público, el artículo 50 contempla una excepción cuando existe una revisión humana sustantiva o control editorial y una persona o entidad asume la responsabilidad editorial. Una corrección meramente superficial no equivale necesariamente a esa revisión.
¿Usar IA para seleccionar candidatos puede ser alto riesgo?
Determinados sistemas utilizados en empleo y gestión de trabajadores pueden entrar en las categorías de alto riesgo del Anexo III. Debe analizarse el caso concreto, la finalidad y el papel que desempeña la IA en la decisión.
¿Las reglas de alto riesgo ya se aplican plenamente en agosto de 2026?
No. Tras el Digital Omnibus de 2026, las reglas específicas para sistemas de alto riesgo del Anexo III se aplican desde el 2 de diciembre de 2027 y las de sistemas de alto riesgo integrados en productos regulados del Anexo I desde el 2 de agosto de 2028. Otras obligaciones del AI Act sí están ya vigentes.
¿Puedo meter datos de clientes o empleados en una IA si tengo una cuenta empresarial?
No debe asumirse automáticamente. Si existen datos personales, entra también en juego el RGPD y deben revisarse finalidad, base jurídica, minimización, seguridad, condiciones del proveedor y demás obligaciones aplicables.
¿ChatGPT Enterprise o Microsoft Copilot eliminan mis obligaciones?
No. Las funciones empresariales y las condiciones contractuales pueden mejorar determinados controles, pero la organización sigue teniendo que revisar su propio caso de uso, datos, responsabilidades y obligaciones aplicables.
¿Cómo puedo saber por dónde empezar sin hacer una auditoría completa?
Empieza identificando usos, datos, responsables y controles. El Barómetro REGULA·IA permite obtener una primera lectura orientativa mediante 12 preguntas antes de decidir qué áreas necesitan una revisión más profunda.
Si tu empresa ya usa IA, la pregunta útil es: ¿puedes explicar y demostrar cómo la controla?
Haz el Barómetro de Exposición IA y detecta qué áreas conviene revisar primero. No sustituye una auditoría jurídica, pero te permite dejar de trabajar sobre suposiciones.
Obtener mi diagnóstico orientativo →
Participación gratuita · Sin registro · Resultado inmediato
En resumen: el enfoque correcto de AI Act ChatGPT para empresas no consiste en prohibir o permitir una marca concreta, sino en identificar finalidad, datos, riesgo, responsables, supervisión y evidencia de cada uso.
Fuentes oficiales y actualización
Contenido actualizado a agosto de 2026. Es información divulgativa y no sustituye una evaluación jurídica, técnica o sectorial del caso concreto.
- EUR-Lex: Reglamento (UE) 2026/1744 — Digital Omnibus on AI.
- AI Act Service Desk: artículo 3 — definiciones y responsable del despliegue.
- Comisión Europea: alfabetización en IA tras la reforma de 2026.
- Comisión Europea: preguntas y respuestas sobre obligaciones de transparencia del artículo 50.
- Comisión Europea: marco regulatorio y calendario actualizado del AI Act.
- AEPD: exactitud, finalidad y minimización en tratamientos de datos personales con IA.
Deja un comentario