Conozca las reglas que ya se aplican a su uso de la IA

Qué es

Haga una lista de una página con las formas en que su empresa usa la IA y las reglas que se aplican a cada una. En los casos documentados, a las empresas se les exigieron reglas que ya conocían: responder de lo que se dice a los clientes, proteger los datos personales, no engañar en la publicidad, revisar lo que se presenta ante un tribunal. La herramienta era nueva. La regla era antigua.

Qué muestra la evidencia

Las decisiones y orientaciones de tribunales y reguladores de cuatro países, el texto habitual de las pólizas de las aseguradoras de Estados Unidos y el texto de la Ley de IA de la Unión Europea (AI Act), son la base de este consejo. Cada regla se indica junto con el lugar donde se aplica.

Reglas que existían antes de la IA

Usted responde de lo que su IA dice a los clientes (Canadá, Columbia Británica). Air Canada alegó que la aerolínea no era responsable de la respuesta equivocada de su chatbot. El tribunal resolvió que una empresa es responsable de toda la información de su sitio web, venga de “a static page or a chatbot” [“una página estática o un chatbot”].
La ley de privacidad cubre lo que el personal escribe en las herramientas de IA (Australia, Victoria). El regulador de privacidad del estado concluyó que un departamento de la administración había incumplido dos principios de privacidad después de que un trabajador escribiera en ChatGPT datos de un caso: el deber de mantener exacta la información personal y el deber de protegerla de una revelación no autorizada.
La ley de consumo cubre la IA que usted utiliza (Estados Unidos). La Federal Trade Commission prohibió a Rite Aid usar el reconocimiento facial durante cinco años. La Commission dijo que la cadena había usado el sistema sin probarlo, sin comprobar a sus proveedores y sin formar al personal.
Las reglas de publicidad cubren lo que usted dice sobre la IA (Estados Unidos). La Securities and Exchange Commission multó a dos asesores de inversión, según su norma de marketing ya existente, por afirmar que tenían una IA que no tenían. La Federal Trade Commission actuó contra un servicio de “robot lawyer” [“abogado robot”] y contra un proveedor de detección de IA por afirmaciones no probadas.
Las reglas de publicidad se aplican sea cual sea la forma en que se hizo el anuncio (Reino Unido). La Advertising Standards Authority dice que su código se aplica tanto si un anuncio se hizo con IA como si no, y que la automatización “doesn’t transfer liability” [“no transfiere la responsabilidad”]. Se apoyó en una resolución anterior en la que las herramientas automáticas de Google montaron un anuncio para una pequeña tienda de ropa. El regulador consideró responsable a la tienda.
Las herramientas de selección de personal pueden llevar al proveedor ante un tribunal (Estados Unidos). Un tribunal federal permitió que siguiera adelante, como acción colectiva, una demanda de ámbito nacional por discriminación por edad contra Workday, cuya IA criba a los candidatos a un empleo para sus clientes. En julio de 2025, el tribunal la amplió a funciones de IA de un producto que Workday compró después. Las resoluciones son preliminares, y ningún tribunal ha declarado responsable a Workday.
Los deberes profesionales no cambian (Estados Unidos, Inglaterra y Gales). Los tribunales sancionaron o remitieron a su regulador a abogados que presentaron resultados de IA que nadie había revisado, en despachos de Nueva York, Inglaterra, Wyoming y Alabama. Un tribunal de Estados Unidos escribió que, aunque los abogados pasen a usar la IA, el deber de comprobar sus fuentes “remains unchanged” [“sigue siendo el mismo”].

Puede que su seguro no cubra lo que produce la IA (Estados Unidos)

La prensa del sector informa de que ISO, de Verisk, que redacta el texto estándar de las pólizas que usan las aseguradoras de Estados Unidos, publicó tres anexos opcionales con fecha de enero de 2026: CG 40 47, CG 40 48 y CG 35 08. Un anexo es un añadido a una póliza. Estos permiten a una aseguradora retirar la cobertura de una póliza de responsabilidad civil general para las pérdidas causadas por la IA generativa. Pregunte a su corredor en la renovación si la IA está excluida, y cuánto cuesta cubrirla.

Reglas escritas para la IA: la Ley de IA de la Unión Europea

La Ley de IA (Reglamento (UE) 2024/1689) cubre a las organizaciones que usan IA en la UE, no solo a las que la desarrollan. La Ley llama a quienes la usan “deployers” [“responsables del despliegue”]. Sus reglas empiezan a aplicarse en fechas distintas. Las fechas de abajo vienen del artículo 113, en el texto con las modificaciones hasta el 27 de julio de 2026.

Desde	Qué se aplica	Artículo
2 de febrero de 2025	Las organizaciones que usan IA deben “take measures to support the development of AI literacy of their staff” [“adoptar medidas para apoyar el desarrollo de la alfabetización en IA de su personal”]. En palabras sencillas: ayude a su personal a entender la IA.	4
2 de agosto de 2026	Los sistemas de IA que hablan con personas deben diseñarse para que se les diga que están tratando con una IA, salvo que sea evidente. Quien publique una ultrafalsificación (deep fake) debe decir que se ha generado de forma artificial. Una ultrafalsificación es una imagen, un sonido o un vídeo realista de algo que no ocurrió.	50
2 de diciembre de 2027	Deberes para quienes usan sistemas de IA de “high-risk” [“alto riesgo”] en los ámbitos que enumera el anexo III. La lista incluye la contratación o selección de personas, las decisiones sobre trabajadores y la evaluación de la solvencia de una persona.	26

Para los sistemas de alto riesgo, el artículo 26 dice que quien usa el sistema debe:

usarlo de acuerdo con las instrucciones del proveedor;
encargar su supervisión a personas con “the necessary competence, training and authority” [“la competencia, la formación y la autoridad necesarias”];
como empleador, informar a los trabajadores y a sus representantes antes de usar un sistema así en el trabajo;
informar a las personas cuando un sistema así tome o ayude a tomar una decisión sobre ellas.

Cómo hacerlo

Haga una lista de todos los usos de la IA en la empresa. Incluya las herramientas que el personal ha empezado a usar por su cuenta. Para cada uno, anote qué hace y a quién afecta: clientes, personal, candidatos a un empleo, nadie de fuera.
Marque los usos que afectan a personas. Respuestas a clientes, datos personales, decisiones de contratación y de plantilla, decisiones de crédito, y todo lo que publique o anuncie.
Asigne a cada uso marcado las reglas que ya cumple. Pregúntese en cada caso: si esto lo hiciera una persona, ¿qué regla se aplicaría? Esa regla se aplica.
Si opera en la UE, compare las tres fechas de la Ley de IA de arriba con su lista. Las herramientas de contratación y las evaluaciones de solvencia son los usos con más probabilidades de considerarse de alto riesgo.
Consulte al regulador de su sector. Los colegios profesionales, los reguladores financieros y las autoridades de protección de datos han publicado orientaciones sobre la IA. Lea la que le corresponde.
Ponga el resultado en su política de uso de la IA y entregue la lista a quien sea el responsable de la IA en la empresa.
Pregunte a su aseguradora o a su corredor si sus pólizas excluyen las pérdidas causadas por la IA, antes de la renovación.
Revise la lista cada seis meses. Llegan herramientas nuevas y pasan las fechas.

Qué medir

Si la lista de usos de la IA está completa y fechada.
La proporción de usos que afectan a personas que tienen una regla y un responsable con nombre.

Dónde falla

Esperar a una ley de IA. Todas las sanciones de esta página se impusieron con reglas más antiguas que la herramienta.
Suponer que el riesgo lo asume el proveedor. En el caso de Rite Aid se sancionó al comprador, no a los dos proveedores. El regulador de la publicidad del Reino Unido dice que las herramientas automáticas de anuncios no quitan la responsabilidad al anunciante. En Estados Unidos, su propio seguro de responsabilidad civil puede excluir las pérdidas causadas por la IA.
Tratarlo como algo de una sola vez. Las fechas de la UE para los sistemas de alto riesgo se modificaron en 2026. Vuelva a comprobarlas en cada revisión.
Mirar solo su propio país. Las reglas van adonde están sus clientes y su personal.

Según el tamaño de la empresa

Micro y pequeña: una hora con una lista. La mayoría de las empresas pequeñas tiene de tres a cinco usos de la IA, y uno o dos que afectan a personas.
Mediana: el responsable de la IA mantiene la lista y la revisa dos veces al año.
Mediana-grande y gran empresa: la lista se convierte en un registro, que se lleva junto con las áreas legal y de cumplimiento normativo, y que se consulta antes de comprar cualquier herramienta de IA nueva.

Casos de empresas

Empresas que lo hicieron

SAM Los expedientes contienen historiales laborales, datos de salud e ingresos. La empresa implementó cifrado, controles de acceso, registros de acceso, registros de consentimiento y un registro de auditoría para cumplir la ley de protección de datos. Resultado declarado por la empresa

Qué pasó sin ella

Fuentes

Ningún estudio publicado pone a prueba directamente esta práctica, así que se califica como Práctica habitual. La calificación se basa en los casos de empresas de arriba y en las fuentes de abajo.

Moffatt v. Air Canada, 2024 BCCRT 149. British Columbia Civil Resolution Tribunal, 14 February 2024. decisions.civilresolutionbc.ca
US Federal Trade Commission (25 September 2024). FTC announces crackdown on deceptive AI claims and schemes. Press release. ftc.gov
US Securities and Exchange Commission (18 March 2024). SEC charges two investment advisers with making false and misleading statements about their use of artificial intelligence. sec.gov
Office of the Victorian Information Commissioner (September 2024). Investigation into the use of ChatGPT by a Child Protection worker. ovic.vic.gov.au
R (Ayinde) v London Borough of Haringey and Al-Haroun v Qatar National Bank [2025] EWHC 1383 (Admin). High Court of England and Wales, 6 June 2025. judiciary.uk
European Union. AI Act, Regulation (EU) 2024/1689, Article 4 (AI literacy), consolidated text of 27 July 2026. European Commission’s AI Act Service Desk. ai-act-service-desk.ec.europa.eu
European Union. AI Act, Article 26 (obligations of deployers of high-risk AI systems). ai-act-service-desk.ec.europa.eu
European Union. AI Act, Article 50 (transparency obligations). ai-act-service-desk.ec.europa.eu
European Union. AI Act, Article 113 (entry into force and application). ai-act-service-desk.ec.europa.eu
European Union. AI Act, Annex III (high-risk AI systems). ai-act-service-desk.ec.europa.eu
Advertising Standards Authority (11 June 2026). AI and Deepfakes: Four Things Advertisers Need to Know Before They Hit 'Run'. asa.org.uk
Mobley v. Workday, Inc., No. 3:23-cv-00770 (N.D. Cal.). Order of July 2025 (Dkt. 158). storage.courtlistener.com
Independent Insurance Agents & Brokers of America (21 October 2025). Verisk to roll out new general liability exclusions for generative AI exposures. Trade press. independentagent.com
Insurance Business (16 September 2026). ISO's generative AI exclusion is already on thousands of CGL policies. Trade press. insurancebusinessmag.com