El 60 % de las empresas utilizan la IA sin marco normativo: la carta de uso que la AI Act ya espera de usted
El hecho nuevo
La tercera edición del Barómetro Data & IA de Coface, realizada con Les Echos Études entre 900 directivos y difundida por ActuIA, establece una constatación clara. El 35 % de las empresas no tiene ningún dispositivo de regulación interna de la IA ni prevé tenerlo; una cuarta parte reflexiona sobre ello sin reglas formalizadas. En total, el 60 % funciona sin marco. Solo el 17 % ha definido, formalizado y comunicado una política de uso a sus colaboradores.
Los frenos citados coinciden con el tema: seguridad de los datos y conformidad reglamentaria (41 %), falta de madurez interna (31 %) y confianza en los análisis producidos por la IA (30 %). Paradoja destacada por el estudio: la confianza en los datos progresa 18 puntos en un año, hasta el 67 %, pero solo el 58 % de los directivos los considera bien integrados en sus herramientas de negocio. Los datos mejoran, la gobernanza no sigue el ritmo.
Lo que la AI Act exige realmente
El reglamento europeo sobre la IA (Reglamento 2024/1689) suele resumirse en sus obligaciones de «alto riesgo». Estas fueron aplazadas al 2 de diciembre de 2027 por el reglamento ómnibus 2026/1744, publicado en el Diario Oficial de la UE el 24 de julio de 2026, como detalla el informe de ActuIA. Pero tres bloques ya se aplican a toda empresa que suministre o utilice un sistema de IA:
- Las prácticas prohibidas (artículo 5), desde el 2 de febrero de 2025. Una de ellas afecta directamente a los empleadores: la inferencia de las emociones de los asalariados en el lugar de trabajo, por ejemplo en un centro de llamadas, salvo por motivos médicos o de seguridad.
- El dominio de la IA (artículo 4), desde el 2 de febrero de 2025, supervisado por las autoridades nacionales de vigilancia del mercado desde el 2 de agosto de 2026.
- La transparencia (artículo 50), desde el 2 de agosto de 2026: información a las personas que interactúan con un chatbot y marcado de los contenidos generados.
El ómnibus reescribió el artículo 4 para aliviar la carga de las pequeñas empresas. Los proveedores y responsables del despliegue ya no deben «garantizar, en la medida de lo posible, un nivel suficiente» de dominio, sino «tomar medidas para favorecer» su desarrollo, sin obligación de garantizar un nivel determinado para cada individuo. La obligación permanece, y sus criterios siguen siendo los del texto inicial: conocimientos técnicos, experiencia, formación de las personas y contexto de utilización.
La Comisión Europea precisa en sus preguntas frecuentes, actualizadas el 27 de julio de 2026, que no se exige ningún certificado y que basta con un registro interno de las formaciones. Ninguna multa específica está vinculada al artículo 4; el régimen sancionador depende de los Estados miembros, que deben tener en cuenta los intereses de las pymes. En Francia, el proyecto de ley que designa a las autoridades competentes seguía en comisión en la Asamblea Nacional a 6 de octubre de 2026.
Por qué una política escrita es el buen punto de partida
Una empresa cuyos empleados redactan, traducen o resumen documentos con un asistente generativo está afectada por el artículo 4: sus equipos deben conocer los riesgos propios de la herramienta, empezando por los errores factuales. Sin documento escrito ni registro, no podrá mostrar a una autoridad de control qué medidas ha tomado. El retraso de gobernanza medido por Coface es, por tanto, también un retraso documental.
El barómetro France Num 2026 de la DGE confirma la magnitud del tema en las pequeñas estructuras: el 40 % de las micropymes y pymes utilizan la IA, pero solo el 19 % paga una solución. Dicho de otro modo, gran parte de los usos pasa por cuentas gratuitas e individuales, fuera de todo control de la empresa, con los riesgos de fuga de datos que ello implica.
La carta de uso en cinco secciones
El reglamento no impone ningún modelo de política ni estructura de gobernanza particular. El esquema siguiente retoma las etapas mínimas enumeradas por la Comisión y responde a los frenos citados por los directivos.
- Perímetro: lista de herramientas autorizadas, cuentas profesionales que deben utilizarse, usos admitidos por oficio y usos prohibidos.
- Datos prohibidos: datos personales de clientes o empleados, informaciones cubiertas por el secreto empresarial y documentos confidenciales. Es la respuesta directa al primer freno citado (41 %).
- Validación humana: revisión obligatoria de toda producción de IA antes de su envío a un cliente, publicación o decisión que comprometa a la empresa.
- Trazabilidad: registro de las herramientas desplegadas y de las formaciones seguidas, que sirve de prueba de las «medidas» adoptadas en virtud del artículo 4.
- Formación: contenidos adaptados al rol y al nivel de cada persona, desde el directivo hasta el operador, con una actualización anual.
Dos complementos para las empresas afectadas: la información a los representantes del personal cuando la IA modifique las condiciones de trabajo y, para aquellas que operen un centro de contacto o servicio de atención al cliente, la verificación de que ninguna herramienta analice las emociones de los asesores.
Consecuencias para los directivos
Reglamentarias. La obligación ya es aplicable; lo que falta en Francia son las autoridades designadas y el baremo de sanciones. Esperar a su designación para actuar equivaldría a correr el riesgo de una inspección sin ningún documento que presentar.
Operativas. Una carta sin formación se queda en papel mojado. El reto no es prohibir, sino canalizar usos que ya existen hacia herramientas controladas por la empresa.
Humanas. Los empleados utilizan la IA, a menudo sin decirlo. Un marco claro protege a la empresa y tranquiliza a los equipos, que saben qué pueden hacer y con qué herramientas.
Puntos de vigilancia y límites
El barómetro Coface es declarativo, publicado por una aseguradora de crédito que comercializa servicios de información, y su página pública no precisa ni el período de trabajo de campo ni el desglose de encuestados por tamaño. Las dos tasas del 17 % citadas por el estudio no miden lo mismo: una se refiere a la gobernanza y la otra a la madurez de los usos. Por último, el calendario de la AI Act aún puede evolucionar: el próximo vencimiento, el 2 de diciembre de 2026, concierne al marcado legible por máquina de los contenidos generados y a dos nuevas prohibiciones; las obligaciones de «alto riesgo» siguen otro calendario.
Conclusión
Formalizar una política de uso de la IA no es ni un proyecto jurídico pesado ni un freno a la adopción. Es un documento de unas pocas páginas, un registro y un plan de formación, que transforman usos dispersos en práctica empresarial. El 17 % que lo ha hecho ya dispone de lo que la AI Act espera; los demás tienen interés en ponerse manos a la obra antes de que se designen las autoridades nacionales.
¿Y ahora qué?
FASEYA Academy diseña itinerarios de formación en IA adaptados a cada oficio, con una validación de conocimientos que alimenta su registro. FASEYA Consulting le ayuda a redactar su carta, cartografiar sus usos y definir su gobernanza; FASEYA BPO aplica estas reglas en los equipos de soporte y atención al cliente que opera para usted. Para hacer balance en 30 minutos: solicitar un diagnóstico o escribir a contact@faseya.com.
Preguntas frecuentes
¿Afecta el artículo 4 de la AI Act a una pyme que solo utiliza un asistente como ChatGPT?
Sí. Toda empresa que despliegue un sistema de IA en un marco profesional debe tomar medidas para desarrollar el dominio de la IA de su personal, sea cual sea la herramienta.
¿Hace falta una certificación o un organismo acreditado?
No. La Comisión Europea indica que no se exige ningún certificado. Un registro interno de las formaciones y de las herramientas basta para documentar las medidas adoptadas.
¿Cuál es el próximo vencimiento de la AI Act para las empresas?
El 2 de diciembre de 2026, para el marcado legible por máquina de los contenidos generados por los sistemas comercializados antes del 2 de agosto de 2026 y para dos nuevas prácticas prohibidas. Las obligaciones de «alto riesgo» del anexo III se aplicarán el 2 de diciembre de 2027.
Fuentes y referencias
Lea también
IA en la empresa: solo el 13 % de los CIO constatan un valor significativo — la disciplina de inversión marca la diferencia
La IA se despliega en todas partes, pero sus beneficios siguen siendo difíciles de demostrar: según una encuesta de Gartner publicada el 28 de octubre, solo el 13 % de los CIO estiman que su organización ha obtenido un valor significativo. Las empresas que lo logran no son las que lanzan más proyectos, sino las que saben cuáles detener.
Facturación electrónica: 30 millones de facturas, 3 % de rechazos — lo que las pymes deben corregir antes de septiembre de 2027
Un mes y medio después del 1 de septiembre, la administración publica un primer balance de la facturación electrónica: 30 millones de facturas intercambiadas, pero todavía un 3 % de rechazos entre plataformas autorizadas. Para las pymes, que deberán emitir a su vez en septiembre de 2027, estas cifras describen menos un éxito que una lista de proyectos que deben abrirse desde ahora.
¿Desea abordar estos desafíos en su empresa?
Nuestros directores de área están disponibles para una sesión diagnóstica de 30 minutos y evaluar sus prioridades.
¿Prefiere hablar directamente?