Ninguna empresa necesita desarrollar su propia inteligencia artificial para entrar en el ámbito del reglamento europeo sobre IA. Utilizar una herramienta que la integre es suficiente para generar obligaciones reales, incluso para una PYME que nunca haya oído hablar de cumplimiento normativo en IA.
Un estancamiento en seguridad que la IA promete superar
En 2024, Francia registró 549 614 accidentes laborales con baja, incluidos 764 fallecimientos, según el informe anual del Seguro de Enfermedad sobre riesgos profesionales. Esta cifra se ha estancado durante varios años a pesar de las herramientas de prevención clásicas : charlas, carteles y auditorías trimestrales. Muchos departamentos de QHSE recurren hoy a la inteligencia artificial para superar este estancamiento, cruzando volúmenes de datos que el ojo humano no puede procesar a la misma escala. Sin embargo, esta adopción conlleva un marco jurídico preciso que debe conocerse antes de implementar cualquier herramienta.
Utilizar una herramienta de IA es suficiente para que le afecte la normativa
El reglamento (UE) 2024/1689, que entró en vigor el 1 de agosto de 2024, distingue varios roles en la cadena de valor de la IA. El proveedor desarrolla un sistema y lo comercializa. El desplegador lo utiliza en el marco de una actividad profesional, según Leto, un despacho especializado en derecho digital. La mayoría de las empresas se encuentran en esta segunda categoría en cuanto utilizan una herramienta de contratación basada en IA, un chatbot de atención al cliente o un sistema de análisis predictivo aplicado a la seguridad laboral.
Una obligación ya vigente, a menudo ignorada
Un punto merece ser destacado antes que nada. La obligación de capacitación en IA prevista en el artículo 4 del reglamento es aplicable desde el 2 de febrero de 2025, no desde 2026. Este artículo exige a los proveedores y a los responsables del despliegue que adopten medidas para garantizar un nivel suficiente de competencia en IA entre su personal, sin imponer un formato específico ni una duración mínima de formación, según el análisis deOttho. Por lo tanto, una empresa cuyos equipos utilicen herramientas de IA sin formación sobre los riesgos asociados ya puede estar incumpliendo la normativa, mucho antes de la fecha límite que se cita con más frecuencia.
Lo que cambió el 2 de agosto de 2026
El 2 de agosto de 2026 marcó la entrada en vigor plena y completa de las obligaciones relativas a los sistemas de IA de alto riesgo, tras un periodo de transición, según Quillet Digital. Un directivo que integra una herramienta de gestión de RR. HH. basada en IA, o que despliega un sistema de análisis predictivo para anticipar accidentes laborales, asume a partir de esta fecha una responsabilidad que no puede delegar totalmente en su proveedor tecnológico. Los sistemas de IA utilizados en el ámbito del empleo y la gestión de trabajadores, incluidos los de salud y seguridad, entran en la categoría de alto riesgo del reglamento.
Sus obligaciones concretas como responsable del despliegue
Las obligaciones de quien despliega la tecnología son más ligeras que las del proveedor, pero son reales :
- Utilizar el sistema de conformidad con las instrucciones proporcionadas por el proveedor
- Garantizar la supervisión humana en las decisiones que afectan a las personas, un principio que suele resumirse así: la IA propone, el humano dispone
- Llevar registros de uso cuando se despliegue un sistema de alto riesgo
- Informar a las personas afectadas cuando interactúen con un sistema automatizado, conforme al artículo 50
- Realizar una evaluación de impacto sobre los derechos fundamentales antes de cualquier despliegue de un sistema de alto riesgo
Un chatbot integrado en un sitio web debe indicar explícitamente al usuario desde el inicio de la interacción que está hablando con un sistema automatizado, señala Malibellule. El tamaño de la empresa no exime de esta obligación de transparencia.
El riesgo de la IA en la sombra
El uso de IA no registrado dentro de la empresa, a menudo denominado IA en la sombra, constituye la exposición más subestimada de las pymes francesas, según Maison Graciet. Una herramienta genérica utilizada libremente por los equipos de marketing, un copiloto integrado en un software profesional sin validación formal o un asistente de voz probado sin supervisión suelen quedar fuera de cualquier inventario, a pesar de que el cumplimiento normativo exige saber exactamente qué sistemas de IA se están utilizando realmente.
Datos ya sensibles según el RGPD
Un punto específico para los servicios de QHSE merece ser destacado. Los datos tratados (salud, accidentes, bajas laborales, discapacidades) son datos sensibles según el artículo 9 del RGPD. Cualquier uso de un sistema de IA con este tipo de datos requiere una vigilancia reforzada: el consentimiento del empleado casi nunca es la base legal adecuada debido a la relación de subordinación con su empleador, y resulta sistemáticamente necesaria una evaluación de impacto relativa a la protección de datos antes de cualquier tratamiento automatizado.
Detallamos todos estos aspectos, junto con las bases legales apropiadas, los métodos de anonimización y seudonimización, y la relación con la Ley de IA, en nuestro libro blanco sobre IA y seguridad laboral, que explora la tensión entre el rendimiento predictivo y el imperativo ético propio de este tema.
Estructure su cumplimiento normativo con una herramienta de vigilancia regulatoria
Identificar las herramientas de IA que se utilizan realmente en la organización, realizar el seguimiento de los plazos normativos y documentar las medidas de supervisión humana supone una carga adicional para los departamentos de QHSE, que ya están volcados en otras obligaciones. El módulo de vigilancia normativa Symaveille realiza el seguimiento de las novedades normativas aplicables a su actividad y le avisa en cuanto un texto afecta a sus obligaciones, un principio directamente trasladable al seguimiento de la Ley de IA.
