Ley de IA de la Unión Europea: cinco pasos que las empresas colombianas deberían revisar
La Ley de Inteligencia Artificial de la Unión Europea ya empieza a tener efectos fuera de ese continente. Para las empresas colombianas que desarrollan tecnología, prestan servicios digitales o trabajan con clientes europeos, su impacto puede sentirse incluso antes de una sanción: en una renovación de contrato, una licitación, una auditoría o una solicitud de información por parte de un cliente.
Aunque una compañía opere desde Colombia, debería revisar la regulación si sus sistemas, contenidos o resultados generados mediante inteligencia artificial son utilizados en Europa. En un contexto en el que las exportaciones colombianas de servicios digitales continúan creciendo, demostrar un uso responsable y controlado de IA puede convertirse en una condición para mantener relaciones comerciales.
Por eso, considero importante revisar al menos cinco aspectos.
1. Determine si la regulación puede aplicar a su empresa
El primer paso es entender cómo participa la organización dentro del ecosistema de inteligencia artificial.
No basta con revisar dónde está constituida la empresa. También es necesario identificar dónde se utiliza la tecnología, quién recibe sus resultados y qué papel desempeña la compañía: si desarrolla una solución, la comercializa, la integra dentro de un servicio o simplemente la utiliza.
Por ejemplo, si un chatbot atiende usuarios en Europa, un algoritmo interviene en decisiones de crédito o empleo, o contenidos generados en Colombia son utilizados allí, es necesario revisar con mayor detalle el alcance de la norma.
2. Identifique la IA que ya utiliza la organización
Uno de los mayores riesgos es no saber qué herramientas de inteligencia artificial están siendo utilizadas internamente.
Muchas aplicaciones ya incorporan funcionalidades de IA y, al mismo tiempo, los colaboradores pueden utilizar cuentas personales para redactar documentos, analizar información o automatizar tareas.
Por eso, las organizaciones deberían construir un inventario que incluya herramientas autorizadas y no autorizadas, su finalidad, los datos que procesan, responsables, usuarios y destino de los resultados.
Desde una perspectiva de gobierno tecnológico existe una regla sencilla: una empresa no puede controlar una herramienta cuya existencia desconoce.
3. Clasifique los riesgos y revise los plazos
No todas las herramientas de inteligencia artificial representan el mismo nivel de riesgo.
Un asistente utilizado para corregir un texto no tiene el mismo impacto que un sistema que participa en decisiones relacionadas con empleo, crédito o acceso a servicios. Por eso, la regulación europea adopta un enfoque basado en riesgos.
Una vez identificadas las herramientas, es necesario clasificarlas y determinar qué obligaciones aplican en cada caso.
Desde el 2 de agosto de 2026 comenzaron a aplicar determinadas obligaciones de transparencia, mientras que otros requerimientos tienen plazos posteriores. Algunas disposiciones relacionadas con sistemas de alto riesgo llegarán hasta 2027 y 2028.
El aplazamiento de ciertos requisitos no significa que toda la regulación esté suspendida. Las organizaciones deben diferenciar qué obligaciones aplican hoy y cuáles requieren preparación desde ahora.
4. Informe adecuadamente y conserve evidencia
La transparencia será uno de los elementos centrales de esta regulación.
En determinados escenarios, los usuarios deben saber que están interactuando con un sistema de inteligencia artificial y algunos contenidos generados o manipulados artificialmente deben poder identificarse.
Pero cumplir no significa únicamente tener una política escrita.
Las empresas deberían conservar evidencia sobre cómo gestionan sus herramientas: registros, responsables, versiones utilizadas, fechas de implementación, mecanismos de aprobación y controles existentes.
Cuando un cliente, auditor o regulador solicite información, esa evidencia puede ser tan importante como la política formal.
5. Revise contratos y asigne responsabilidades
La gestión de inteligencia artificial también debe reflejarse en los contratos.
Cuando varias organizaciones participan en una solución tecnológica, debe quedar claro quién documenta el sistema, quién conserva registros, quién responde ante incidentes, quién atiende auditorías y quién asume las correcciones necesarias.
Internamente también debe existir una persona o instancia con autoridad para suspender una herramienta cuando exista un riesgo relevante o un uso no autorizado.
Esto cobra especial importancia frente a las sanciones previstas en Europa, que pueden alcanzar hasta 35 millones de euros o el 7 % de la facturación mundial para determinadas infracciones.
Prepararse antes de que lo exija el cliente
Colombia todavía no cuenta con una regulación integral de inteligencia artificial equivalente a la europea. Sin embargo, las empresas ya deben considerar normas relacionadas con protección de datos personales, seguridad de la información y nuevas disposiciones que comienzan a incorporar el uso de IA.
Por eso, esperar a que exista una regulación local completamente desarrollada puede ser insuficiente. Los clientes internacionales ya están incorporando exigencias de transparencia, control y gobierno de inteligencia artificial dentro de sus procesos de contratación.
En los próximos años, la IA será cada vez menos una conversación exclusivamente tecnológica y más una conversación de riesgo, cumplimiento y gobierno corporativo.
Las organizaciones deberán poder responder preguntas concretas: qué herramientas utilizan, para qué las utilizan, qué información procesan, quién responde por ellas y qué controles existen.
El cliente probablemente no pedirá únicamente una declaración de cumplimiento. Pedirá evidencia.
Y esa evidencia no debería empezar a construirse durante la semana en la que se negocia la renovación de un contrato.
Conozca más aquí:
Artículo de Portafolio
Artículo de Economía y Desarrollo
Artículo de Vanguardia
