El AI Pact deja de ser relaciones públicas: desde hoy es la antesala auditable del AI Act

Apuntarse al AI Pact queda bien en la foto. El problema empieza cuando alguien confunde esa foto con cumplimiento. No es lo mismo. Y Bruselas, pese a toda la liturgia institucional que acompaña a estas iniciativas, no ha dicho que lo sea.

Ahí está el malentendido que conviene pinchar cuanto antes. El AI Pact de la Comisión Europea es un mecanismo voluntario pensado para que las organizaciones adelanten trabajo antes de que el AI Act despliegue todos sus efectos. Sirve para ordenar prioridades, para obligar a la dirección a tomarse la IA en serio y para empezar a levantar inventario donde hoy solo hay presentaciones de PowerPoint. Lo que no hace, al menos sobre la base de lo que la propia Comisión ha explicado públicamente, es alterar el marco jurídico del Reglamento.

La diferencia importa. Mucho. Porque en demasiadas conversaciones de mercado el AI Pact se está vendiendo como una especie de precompliance premium: firmas ahora, enseñas voluntad regulatoria y ya verás cómo mañana te miran mejor. Puede que esa lectura tenga cierta lógica política. Jurídicamente, sin embargo, conviene no decir más de lo que las fuentes permiten sostener.

La tesis de este artículo es simple: el AI Pact puede ser útil como herramienta de preparación, pero no debe presentarse como sustituto del cumplimiento del AI Act ni como una categoría regulatoria con efectos propios que la Comisión no ha explicitado. Si tu empresa está usando la adhesión al Pacto como señal externa de madurez, perfecto. Si la está usando para aplazar el trabajo duro de clasificación, gobernanza y documentación, va tarde.

Qué es exactamente el AI Pact y qué no es

La Comisión Europea presentó el AI Pact como una iniciativa voluntaria para apoyar la aplicación futura del AI Act y animar a las organizaciones a anticipar medidas. Voluntaria. Ésa es la palabra operativa. No estamos ante una obligación prevista como tal en el Reglamento ni ante un régimen paralelo con efectos jurídicos autónomos comparables a los de las obligaciones materiales del AI Act.

El punto de anclaje legal sigue siendo el propio Reglamento de inteligencia artificial, no el Pacto. Y el Reglamento sí establece deberes concretos, con artículos, destinatarios y calendarios. Entre ellos, la obligación de alfabetización en IA del artículo 4; las prohibiciones del artículo 5 para determinados usos; las obligaciones de proveedores de sistemas de alto riesgo del artículo 16 y siguientes; los requisitos de gestión de riesgos del artículo 9; gobernanza de datos en el artículo 10; documentación técnica en el artículo 11; registro de eventos en el artículo 12; transparencia e información al usuario en el artículo 13; supervisión humana en el artículo 14; y precisión, robustez y ciberseguridad en el artículo 15.

Eso es derecho positivo. El AI Pact, por el contrario, funciona como un compromiso de preparación y de adopción temprana de buenas prácticas en línea con la futura aplicación del Reglamento. Útil, sí. Sustitutivo, no.

La confusión no es trivial. En compliance, las etiquetas importan porque acaban definiendo presupuestos, calendarios y líneas de reporte al consejo. Si el departamento jurídico escucha “nos hemos adherido al AI Pact” y lo traduce internamente como “vamos bien de tiempo”, alguien está creando una falsa sensación de seguridad. Y las falsas sensaciones de seguridad suelen salir carísimas, aunque la factura no llegue el mismo trimestre.

El error de convertir una iniciativa voluntaria en un atajo jurídico

El atractivo del AI Pact se entiende. Las empresas llevan meses atrapadas entre dos impulsos contradictorios. Por un lado, la presión comercial para desplegar IA a escala. Por otro, la evidencia de que ni el inventario de casos de uso ni la gobernanza interna están maduros. El Pacto ofrece una salida elegante: comprometerse públicamente a avanzar antes de que venzan todos los plazos regulatorios.

Hasta ahí, nada que objetar. El problema aparece cuando esa adhesión se sobredimensiona. La fuente permite afirmar que el Pacto busca facilitar la preparación temprana. No permite inflarlo hasta convertirlo en una suerte de escudo jurídico con efectos que la Comisión no ha formulado expresamente.

Dicho de otro modo: firmar un compromiso voluntario puede ayudar a estructurar el programa interno; no altera por sí mismo las obligaciones aplicables bajo el AI Act. Tampoco sustituye la necesidad de demostrar, cuando llegue el momento, que un sistema ha sido clasificado correctamente, que se han aplicado los controles exigibles y que existe trazabilidad documental suficiente.

Esto enlaza con una lección bastante vieja del mundo regulatorio. Los reguladores europeos están encantados de fomentar adhesiones voluntarias, códigos, pilotos y espacios de aprendizaje. Pero cuando llega la hora de examinar cumplimiento, vuelven a lo de siempre: texto legal, evidencias, responsabilidades y hechos. Mucha ceremonia antes. Mucho documento después.

El calendario del AI Act: escalonado, sí; simplificado, no

Otra fuente de confusión habitual es el calendario. El AI Act no entra en juego de golpe, sino por fases. Esa idea general es correcta y conviene retenerla. Lo que no conviene es redondear mal las fechas o hablar del despliegue del Reglamento como si todo lo realmente serio quedara para el final.

El Reglamento establece una aplicación escalonada de sus obligaciones. Algunas disposiciones se aplican antes que otras, y esa secuencia cambia mucho la hoja de ruta de cumplimiento. La alfabetización en IA del artículo 4, por ejemplo, no es un asunto decorativo para departamentos de recursos humanos con ganas de lanzar un curso en la intranet. Es una obligación que obliga a las organizaciones a adoptar medidas para garantizar, en la medida de lo posible, un nivel suficiente de conocimientos en IA de su personal y de otras personas que operen o usen sistemas de IA por su cuenta. Ya desde ahí empieza el trabajo real.

Algo parecido ocurre con las prácticas prohibidas del artículo 5. La lógica del Reglamento es clara: ciertos usos se vetan antes y otros bloques de obligaciones llegan más tarde. Luego aparecen las exigencias para modelos de propósito general y, después, el núcleo pesado aplicable a sistemas de alto riesgo, con sus requisitos técnicos y organizativos. Esa aplicación por tramos no significa que las entidades puedan permitirse la pasividad inicial. Significa exactamente lo contrario: que deben secuenciar bien el programa.

Si eres una entidad financiera, una aseguradora, una gran plataforma o una compañía con un ecosistema complejo de proveedores, tu problema no es memorizar un calendario resumido en una slide. Tu problema es traducir ese calendario en dependencias operativas: inventario primero, clasificación después, evaluación de roles más tarde, revisión contractual a continuación, controles documentales después. Y todo eso antes de que alguien te pida evidencia.

Aquí el AI Pact puede ayudar como disciplina de ejecución. Pero la referencia de fondo sigue siendo el calendario y el contenido del AI Act, no una lectura optimista del compromiso voluntario.

Por qué el Pilar II interesa de verdad a compliance

Donde el AI Pact sí tiene más sustancia es en su valor como mecanismo de preparación interna, especialmente para empresas que aún no han aterrizado el impacto del AI Act en procesos, funciones y accountability. En particular, los compromisos voluntarios asociados a la preparación para obligaciones futuras obligan a mover debates que muchas organizaciones llevan demasiado tiempo postergando.

La Comisión ha vinculado el Pacto a medidas de anticipación práctica. En ese terreno, el valor está menos en el gesto institucional y más en las preguntas incómodas que fuerza dentro de la empresa: quién manda sobre la IA, dónde están los sistemas relevantes, qué casos de uso podrían acabar considerados de alto riesgo bajo el Reglamento y qué formación real tiene el personal que aprueba, opera, compra o integra estas herramientas.

No hace falta sobrecomprimir ese contenido en una lista cerrada y supuestamente oficial de “tres acciones nucleares” si la fuente no lo formula así. Basta con leer la dirección del mensaje regulatorio: gobernanza, identificación y evaluación de sistemas potencialmente afectados, y desarrollo de capacidades internas. Todo eso encaja, además, con la arquitectura del propio AI Act.

La gobernanza aparece como hilo conductor en varias obligaciones. No solo por el contenido técnico de los artículos 9 a 15 para sistemas de alto riesgo, sino porque su cumplimiento presupone algo más básico: que alguien dentro de la organización sabe qué sistemas existen, con qué finalidad se usan, qué rol ocupa la empresa respecto de ellos y qué controles deben activarse. Parece obvio. En muchas compañías no lo es en absoluto.

El segundo frente es el mapeo. Éste sí es el gran elefante en la sala. Hay organizaciones que hablan del AI Act como si afectara a un pequeño laboratorio de innovación, cuando en realidad ya tienen IA embebida en atención al cliente, prevención de fraude, marketing, selección de personal, monitorización de operaciones, gestión documental o herramientas adquiridas a terceros. El Reglamento no distingue entre la IA que te da prestigio y la IA que llegó en una licencia SaaS que nadie leyó con detalle. Si está ahí y entra en el perímetro, cuenta.

El tercero es la alfabetización. Y aquí conviene abandonar la idea infantil de que “awareness” equivale a un webinar anual y un cuestionario de diez preguntas. El artículo 4 del AI Act apunta a que el nivel de conocimientos debe ser suficiente y adecuado a las personas afectadas, teniendo en cuenta su experiencia, formación y el contexto de uso. Traducido: la capacitación genérica puede servir para demostrar intención, pero no necesariamente suficiencia.

Firmar está bien. Clasificar mal, no.

La conversación de verdad no va de adhesiones, sino de clasificación jurídica y operativa. Una empresa puede adherirse al AI Pact y seguir sin haber resuelto la pregunta clave: qué sistemas usa o pone en el mercado, con qué finalidad y bajo qué categoría regulatoria encajan.

Ése es el trabajo ingrato que nadie quiere presentar en conferencias y que, sin embargo, define si el programa de cumplimiento tiene alguna base. El AI Act obliga a distinguir, como mínimo, entre prácticas prohibidas, sistemas de alto riesgo, sistemas sujetos a determinadas obligaciones de transparencia y modelos de IA de propósito general con reglas específicas. Mezclar todas esas categorías en una sola política corporativa bonita pero imprecisa es una receta excelente para generar ruido y una pésima para cumplir.

En sectores regulados, además, la clasificación no puede hacerse en silo. Si una entidad financiera utiliza IA en procesos con impacto sobre clientes, empleados o controles internos, el análisis se cruza con marcos ya existentes: protección de datos, outsourcing, gestión de riesgos, gobernanza tecnológica y, en algunos casos, ciberresiliencia. No porque todas las normas digan lo mismo, sino porque la evidencia que una exige suele afectar a la otra.

El ejemplo más obvio está en el cruce entre AI Act y GDPR. Si el sistema trata datos personales, la empresa no solo tiene que preguntarse por la categoría del sistema bajo el AI Act; también por la base jurídica del tratamiento, los principios del artículo 5 del GDPR, la protección de datos desde el diseño del artículo 25, la seguridad del artículo 32 y, cuando proceda, la evaluación de impacto del artículo 35. El mercado sigue vendiendo “gobernanza de IA” como si fuera un módulo separado. Regulación en mano, no lo es.

Con DORA ocurre algo parecido para entidades financieras cuando el uso de IA descansa sobre terceros proveedores TIC o se integra en funciones críticas. Ahí entran en juego, entre otros, los requisitos sobre gestión de riesgos TIC del artículo 6 y siguientes, la gobernanza del marco de gestión, y todo el bloque de terceros del artículo 28 y siguientes. Si el sistema de IA depende de un proveedor externo, la discusión no termina en el modelo. Empieza también en el contrato, en la trazabilidad del servicio, en las dependencias de concentración y en los derechos de acceso y auditoría.

Lo que un consejo de administracion deberia preguntar mañana

Si el AI Pact va a servir para algo más que para alimentar el equipo de comunicación, debería traducirse en preguntas incómodas al nivel adecuado. No en slogans. No en una página de compromisos en la web corporativa. Preguntas concretas.

La primera: quién es responsable del inventario de sistemas de IA y con qué criterio se actualiza. Si nadie puede responder con precisión, la empresa no está “preparándose”; está improvisando.

La segunda: qué metodología se está usando para clasificar casos de uso frente a las categorías del AI Act. No basta con decir que “no creemos tener sistemas de alto riesgo”. Hay que poder demostrar por qué.

La tercera: qué evidencias documentales se están generando desde ya. En cumplimiento regulatorio, la distancia entre hacer algo y poder probarlo suele ser brutal. Y el regulador rara vez premia la buena fe huérfana de papel, logs, actas y trazabilidad.

La cuarta: cómo se coordinan jurídico, riesgos, seguridad, compras, datos y negocio. Porque la IA no cabe entera en ninguna de esas funciones por separado. El primer accidente organizativo llega cuando cada una redacta su propia política con terminología incompatible.

La quinta: qué dependencia existe de proveedores y qué controles contractuales se han revisado. El entusiasmo por la IA comprada fuera suele ir varios meses por delante de la diligencia contractual. Luego vienen las sorpresas sobre entrenamiento, subencargados, localización de datos, uso secundario, limitaciones de auditoría o reparto de responsabilidades. Nada exótico; lo de siempre, pero con marketing de IA.

El espejismo reputacional

Hay otra razón por la que conviene bajar el volumen a ciertas promesas implícitas alrededor del AI Pact: el riesgo reputacional de sobredeclarar madurez. Una organización que anuncia públicamente su adhesión está enviando una señal al mercado, a clientes, a inversores y, potencialmente, a supervisores. Esa señal puede ser positiva si detrás hay trabajo real. Puede convertirse en un boomerang si la adhesión se usa como sustituto narrativo de un programa todavía inmaduro.

En otras palabras: si prometes gobernanza responsable y luego no puedes explicar quién validó un caso de uso sensible, has creado una brecha entre discurso y control. Y esa brecha ya no es solo regulatoria. También es de confianza.

Esto debería sonar familiar a cualquiera que haya vivido otras olas normativas. Con GDPR pasó. Con sostenibilidad, también. Y con DORA se está viendo una variante interesante: muchas entidades descubren bastante tarde que sus declaraciones de preparación eran más optimistas que sus evidencias de ejecución. El patrón se repite porque las organizaciones confunden demasiado a menudo “tener un programa” con “tener control”. No son sinónimos.

El AI Pact, bien usado, puede reducir esa distancia porque obliga a fijar compromisos internos y a movilizar recursos antes de que el reloj regulatorio apriete del todo. Mal usado, la agranda, porque añade una capa de narrativa de cumplimiento donde todavía falta arquitectura operativa.

La lectura correcta para equipos juridicos y de compliance

Para un equipo jurídico serio, la lectura prudente del AI Pact debería ser ésta: es una herramienta de anticipación y alineamiento, no una fuente autónoma de derechos regulatorios ni un mecanismo que reconfigure el estándar legal aplicable. Esa formulación es menos excitante para marketing, pero bastante más útil para no meterse en problemas.

Desde esa óptica, adherirse puede tener sentido por cuatro razones bastante concretas.

• Gobierno interno: fuerza patrocinio ejecutivo y evita que la IA siga dispersa entre negocio, innovación y proveedores.
• Priorización: ayuda a secuenciar trabajo antes de que todas las obligaciones del AI Act resulten aplicables a cada categoría relevante.
• Disciplina documental: empuja a crear inventarios, políticas, criterios de clasificación y trazabilidad de decisiones.
• Señal externa razonable: comunica intención de preparación, siempre que no se exagere lo que esa adhesión significa jurídicamente.

Lo que no debería hacer un equipo de compliance responsable es presentar esa adhesión como prueba suficiente de conformidad futura. Menos aún si la organización no ha aterrizado cuestiones básicas de alcance, roles y controles.

Hay una trampa adicional aquí. Como el AI Act tiene una arquitectura técnica compleja, muchas empresas buscan un indicador simple que el consejo pueda entender: hemos firmado, estamos dentro, vamos por delante. Es comprensible. También es engañoso. La ventaja competitiva real no está en firmar antes, sino en aclarar antes qué sistemas tienes, qué riesgos generas y qué evidencia podrás enseñar cuando te la pidan.

El cruce con proveedores: donde se va a jugar media partida

Buena parte del esfuerzo real de cumplimiento no se decidirá dentro del laboratorio de datos, sino en la gestión de terceros. Porque muchas organizaciones no desarrollan IA desde cero; la compran, la integran, la personalizan o la consumen como funcionalidad embebida en servicios externos.

Eso complica el panorama jurídico de forma notable. Bajo el AI Act, las obligaciones cambian según el rol que desempeñe la entidad: proveedor, importador, distribuidor, desplegador o actor que modifica de forma sustancial el sistema. En la práctica, una empresa puede empezar creyéndose mero usuario y terminar asumiendo cargas mucho más exigentes si reconfigura, reetiqueta o integra el sistema de determinada manera.

Aquí el AI Pact no resuelve nada por sí solo. Puede empujar a revisar la cadena de suministro con más atención, pero el trabajo sigue siendo contractual y técnico: reparto de roles, acceso a documentación, soporte para evaluaciones, gestión de incidencias, transparencia sobre datos, ciberseguridad y uso de subproveedores.

Si además hablamos de sectores con obligaciones específicas de resiliencia, como el financiero bajo DORA, la presión aumenta. El artículo 28 de DORA obliga a gestionar el riesgo de terceros TIC como parte integrante del marco de gestión de riesgos TIC. No como apéndice. No como checklist de compras. Como parte del núcleo del control operativo. Si la IA crítica descansa en un proveedor opaco, el problema no es solo de innovación: es de gobernanza, continuidad y supervisabilidad.

Por eso una de las preguntas más útiles que deja este debate es muy prosaica: tu contrato te permite entender y controlar lo que estás usando? Si la respuesta es “más o menos”, no hay Pacto que arregle el agujero.

Qué hacer ahora, sin teatro regulatorio

La reacción útil para las empresas no es discutir si el AI Pact “protege” más o menos. Esa conversación, formulada así, se apoya demasiado en inferencias y demasiado poco en texto normativo. La reacción útil es usar el impulso del Pacto para acelerar un plan de trabajo que, con Pacto o sin él, vas a necesitar igualmente.

Ese plan debería incluir, como mínimo, cinco frentes operativos.

• Inventario real de sistemas y casos de uso. No solo los desarrollados internamente, también los adquiridos a terceros y las funcionalidades embebidas.
• Clasificación jurídica inicial. Identificar qué puede caer en prohibiciones, alto riesgo, transparencia específica o reglas sobre modelos de propósito general.
• Mapa de roles. Determinar cuándo la organización actúa como desplegador y cuándo puede asumir un papel más exigente por integración o modificación.
• Gobernanza y escalado. Definir responsables, criterios de aprobación, umbrales de revisión y coordinación entre funciones.
• Capacitación con contexto. Aplicar el artículo 4 con una lógica adaptada al rol de cada colectivo, no con formación genérica para todos.

Esto no es glamuroso. Tampoco opcional para quien aspire a llegar al calendario del AI Act sin correr a última hora. La parte curiosa del momento regulatorio es que Europa ha dado a las empresas una rara oportunidad de prepararse con antelación y, a la vez, algunas siguen buscando una lectura indulgente de esa misma oportunidad. Como si la advertencia temprana fuese una amnistía. No lo es.

La objecion habitual: “algo tendran en cuenta”

La objeción más repetida en privado suena así: de acuerdo, quizá el AI Pact no cambie formalmente las obligaciones, pero alguna relevancia tendrá que tener si una empresa demuestra compromiso anticipado. La intuición política es comprensible. El problema es metodológico. Si la fuente no atribuye de forma expresa un efecto jurídico concreto a esa adhesión, no conviene prometerlo.

Eso no significa que la adhesión carezca de valor. Significa que su valor debe describirse con prudencia. Puede servir como indicador de movilización temprana. Puede ayudar a estructurar diálogos internos y externos. Puede incluso facilitar una narrativa de responsabilidad organizativa si va acompañada de evidencias consistentes. Lo que no corresponde es traducir todo eso a consecuencias jurídicas específicas no explicitadas.

Los equipos legales saben bien por qué este matiz importa. Una cosa es decir “hemos asumido compromisos voluntarios de preparación”. Otra, muy distinta, insinuar beneficios regulatorios concretos que no están formulados en la iniciativa ni en el Reglamento. La primera frase es defendible. La segunda invita a correcciones, y con razón.

Mi lectura: util, pero no le pidas al Pacto lo que solo da el trabajo duro

La Comisión acierta al empujar preparación temprana. También aciertan las empresas que se adhieren si usan ese impulso para ordenar gobierno interno, clasificar sistemas y empezar a producir evidencia. Hasta ahí, el AI Pact tiene sentido.

Donde conviene poner freno es en la inflación narrativa. El Pacto no debería venderse como más de lo que es: una iniciativa voluntaria orientada a la anticipación del cumplimiento. El peso normativo sigue estando en el AI Act y en sus obligaciones concretas, con sus artículos, sus destinatarios y su aplicación escalonada. Y el peso operativo sigue estando en lo de siempre: inventario, clasificación, controles, contratos, formación, supervisión y documentación.

La mala noticia para quien busque atajos es que ese trabajo no desaparece por firmar un compromiso público. La buena es que empezar antes sigue siendo una ventaja real, siempre que no confundas señal con sustancia.

Si tu organización ya se ha adherido al AI Pact, la pregunta correcta no es “qué nos da”. Es otra, bastante menos cómoda: “qué hemos cambiado de verdad desde que firmamos”. Si la respuesta se resume en una nota de prensa y dos reuniones de seguimiento, ya sabes en qué punto estás.

Y si todavía no te has adherido, tampoco pasa nada dramático. Lo dramático sería llegar a la aplicación efectiva de las obligaciones que sí te correspondan con el inventario roto, la clasificación a medias y compras descubriendo por primera vez que medio negocio llevaba meses usando IA generativa con contratos de juguete.

Eso sí sería muy europeo en el peor sentido: mucha ceremonia, poco control y una confianza conmovedora en que el problema ya se arreglará en la siguiente reunión.