¿Quién se encarga del AI Act en tu empresa? La pregunta que nadie responde bien
El AI Act lleva en vigor desde agosto de 2024, pero sus primeras obligaciones son exigibles desde febrero de 2025. El plazo más crítico para la mayoría de empresas vence este 2 de agosto de 2026.
Hay miles de guías que explican qué exige el reglamento. Casi ninguna responde a la pregunta que más le importa a un CEO o a un director de RRHH: ¿quién dentro de mi organización tiene que encargarse de esto?
Esa pregunta no es regulatoria. Es de talento.
Y tiene más matices de lo que parece.
Una aclaración previa: el AI Act afecta a casi todo el mundo, pero no de la misma manera
Antes de hablar de perfiles, hay que entender a quién obliga realmente el reglamento. Y sobre todo, con qué intensidad.
La gran mayoría de empresas españolas no están usando IA para tomar decisiones críticas de forma autónoma. No tienen sistemas que conceden crédito sin intervención humana ni plataformas que descartan candidatos sin que nadie revise el resultado. Están usando Copilot para redactar correos, ChatGPT para preparar documentos, herramientas de análisis que agilizan el trabajo de sus equipos. Eso es lo habitual. Y el AI Act también les aplica.
El Reglamento distingue entre dos niveles de exigencia. El primero afecta a todos sin excepción: cualquier empresa que use IA en un contexto profesional tiene que garantizar que su personal entiende qué usa y cómo funciona. Eso es la obligación de alfabetización del artículo 4, en vigor desde febrero de 2025. No es una obligación futura. Lleva más de un año siendo exigible.
El segundo nivel es más exigente y afecta a un universo más reducido: empresas que operan sistemas de IA clasificados como de alto riesgo. En ese grupo entran, entre otros, los sistemas de selección de personal con filtrado automatizado, las herramientas de evaluación del rendimiento de empleados y los sistemas de scoring crediticio. Aquí las obligaciones son más amplias: documentación, supervisión humana real, evaluación de impacto. Y es aquí donde la mayoría de empresas subestima su exposición, porque muchas de esas herramientas están en RRHH, no en IT.
Por qué la respuesta fácil no siempre funciona
La respuesta que dan muchas guías prácticas es: dáselo al DPO o al responsable de IT. Es comprensible. Son los perfiles que ya gestionan obligaciones parecidas.
Pero tiene un problema de fondo.
El DPO existe para supervisar el tratamiento de datos personales. Su función es de control e independencia frente a la organización. Asignarle también la supervisión del AI Act puede crear conflictos de rol, especialmente cuando la empresa usa sistemas de IA que tratan datos personales y que además entran en la categoría de alto riesgo. RGPD y AI Act se solapan en muchos puntos, pero no son lo mismo. Tratarlos como una sola función no siempre es viable.
El responsable de IT, por su parte, entiende los sistemas pero generalmente no tiene formación jurídica para evaluar qué obligaciones aplican, qué documentación hay que mantener o cómo interactuar con la AESIA si llega una inspección.
La respuesta correcta no es un cargo concreto. Es una combinación de conocimientos: comprensión suficiente de la norma, capacidad para traducirla a procesos internos, criterio para clasificar el riesgo de cada sistema y acceso al nivel directivo para impulsar los cambios necesarios. Eso raramente lo tiene una sola persona por defecto.
Por qué RRHH es parte de la solución, no solo del problema
Hay algo que pocas guías sobre AI Act mencionan: la función que asuma el cumplimiento va a necesitar trabajar muy de cerca con RRHH.
El motivo es doble. Por un lado, muchas de las herramientas que el AI Act clasifica como de alto riesgo están precisamente en RRHH: los ATS con preselección automática, las plataformas de evaluación del desempeño, los sistemas de formación adaptativa. RRHH no siempre sabe que esas herramientas tienen implicaciones regulatorias específicas. Alguien con criterio jurídico tiene que sentarse con ellos y ayudarlos a entenderlo.
Por otro lado, la obligación de formación del artículo 4 asegurar que el personal entiende la IA que usa tiene que implementarse de alguna manera. Esa implementación pasa por RRHH. Quién organiza la formación, cómo se documenta, qué evidencia se genera: todo eso requiere coordinación entre quien lleva el cumplimiento normativo y quien gestiona las personas.
En la práctica, esto significa que el perfil que asuma el AI Act en una empresa necesita tener una relación de trabajo fluida con RRHH. No como auditor externo que llega a revisar. Como interlocutor interno que ayuda a diseñar soluciones viables.
Las opciones reales que tiene una empresa
Para la mayoría de empresas, la respuesta no es contratar un perfil nuevo. Es asignar la función con claridad a alguien que ya está dentro, con el mandato y el tiempo necesarios para hacerlo bien.
El perfil más natural para asumir esa función es el compliance officer o el abogado in-house, si los hay. Tienen formación jurídica, están acostumbrados a trabajar con regulación y entienden la lógica de gestión de riesgos. El AI Act no les resulta conceptualmente extraño. Lo que necesitan es tiempo para hacer el inventario de sistemas, formarse en los aspectos específicos del reglamento y coordinar con RRHH e IT.
Lo que no funciona es añadir esta responsabilidad a alguien que ya va al límite, sin darle ni tiempo ni recursos. El cumplimiento no se logra sobreponiendo una capa más de trabajo sobre quien ya gestiona demasiado.
Para un número menor de empresas las que tienen IA integrada en procesos de decisión relevantes puede tener sentido un perfil dedicado o con el AI Act como parte central de su rol. Ese perfil combina formación jurídica, comprensión operativa de entornos tecnológicos y capacidad de interlocución con distintas áreas. No es un técnico puro. Tampoco es un abogado de despacho que nunca ha trabajado dentro de una organización.
La pregunta que ordena todo
Antes de decidir quién se encarga, hay que responder algo más básico: ¿qué sistemas de IA usa realmente tu empresa y cuál es su nivel de riesgo?
Sin ese inventario, la discusión sobre el perfil es prematura. No porque sea opcional, sino porque sin ese diagnóstico es imposible calibrar la magnitud real del problema. La AESIA puede pedirlo. Y la respuesta “no lo sabemos” no es una respuesta útil.
Hay empresas que, al hacer ese inventario, descubren que su exposición es menor de lo que parecía. Usan IA como herramienta de apoyo, con supervisión humana real en cada decisión relevante. Sus obligaciones son las de cualquier empresa: formación documentada y un mínimo de gobernanza.
Otras descubren que tienen herramientas con componentes de IA en RRHH que nadie ha evaluado desde ese ángulo. Eso no es un problema irresoluble, pero sí requiere atención y alguien con criterio para gestionarlo.
En los dos casos, saberlo antes de que llegue la inspección marca la diferencia entre gestionar y correr.
El AI Act no va a cambiar radicalmente la forma en que trabajan la mayoría de empresas. Pero sí obliga a que alguien dentro entienda qué sistemas usa la organización, cuál es su nivel de riesgo y qué documentación hay que mantener. Esa persona no tiene que saber todo sobre inteligencia artificial. Tiene que saber lo suficiente sobre la norma, sobre los procesos internos y sobre cómo trabajar con RRHH y con quien toma decisiones.
Si tu empresa está en ese punto y busca ese perfil un Compliance Officer con foco en regulación digital, un abogado in-house con experiencia en IA o un responsable de cumplimiento que cubra también el AI Act en Ethria podemos ayudarte a encontrarlo. Trabajamos por búsqueda directa y llegamos a los perfiles que no están mirando ofertas.