Las disposiciones de la AI Act que entraron en vigor el 2 de febrero de 2025 cambian las reglas del juego para cualquier empresa que desarrolle o implemente herramientas de inteligencia artificial en Europa. Las estrategias de transformación ya no se limitan a adoptar la última plataforma de IA generativa: ahora también integran un marco regulatorio vinculante, unas obligaciones de información ESG en plena reconfiguración y una mayor presión sobre la seguridad de las cadenas de suministro digitales.
AI Act y gobernanza algorítmica: qué deben cartografiar las empresas
Las primeras obligaciones de la AI Act se centran en las prácticas de IA prohibidas y el control de los usos. En la práctica, cada organización debe elaborar un inventario de los sistemas de IA que utiliza, identificar cuáles pertenecen a la categoría de alto riesgo y documentar los procesos de toma de decisiones automatizados.
La formación de los equipos no es opcional. El reglamento exige que las personas que supervisan los sistemas de IA cuenten con competencias suficientes. Los departamentos jurídicos, los responsables de TI y las áreas de negocio están implicados al mismo tiempo.
Observamos que la mayoría de las guías de tendencias abordan la IA desde el punto de vista de la productividad, sin tratar esta dimensión de cumplimiento normativo. Varios análisis sectoriales, disponibles en la sección de negocios de Le Blog Info, permiten seguir la evolución de estas exigencias regulatorias aplicadas a las empresas francesas y europeas.
La evaluación de los riesgos asociados a las herramientas de IA utilizadas requiere un registro interno, actualizado con cada nueva implementación. Este registro debe especificar la finalidad del sistema, los datos de entrenamiento utilizados y las medidas de supervisión humana establecidas.
Información ESG en 2026: CSRD, directiva Omnibus y redefinición de las obligaciones
La directiva conocida como «Stop the clock» aplazó algunos plazos de la CSRD y la CS3D. Posteriormente, la directiva Omnibus I redefinió el ámbito de aplicación de la CSRD para centrarse en las empresas más grandes, modificando las prioridades de cumplimiento normativo para una amplia parte del tejido empresarial.
Para las empresas medianas y las pymes que pensaban que tendrían que publicar un informe de sostenibilidad a corto plazo, el calendario ha cambiado. Este aplazamiento no supone una relajación: las grandes empresas que siguen sujetas a la CSRD continuarán exigiendo datos ESG a sus proveedores. La presión se traslada a la cadena de valor.
Consecuencias concretas para la gestión de proveedores
Una empresa que no esté directamente sujeta a la CSRD puede recibir, aun así, cuestionarios detallados de sus clientes. Los departamentos de compras y las direcciones financieras deben anticiparse a estas solicitudes y estructurar la recopilación de datos medioambientales y sociales.
El error más frecuente: invertir en una herramienta de reporting antes de saber si la empresa sigue dentro del ámbito de aplicación. Verificar el ámbito de aplicación exacto tras la directiva Omnibus I evita gastos prematuros en soluciones sobredimensionadas.
Ciberseguridad de la cadena de suministro digital: el riesgo que las estrategias digitales subestiman
Una conclusión recurrente en los análisis de ciberseguridad: la vulneración de un proveedor o de un software de terceros basta para paralizar procesos empresariales enteros.
Las empresas que aceleran su transformación digital multiplican las interconexiones con proveedores de SaaS, API de terceros y subcontratistas técnicos. Cada nuevo componente amplía la superficie de ataque.
Tres ejes de resiliencia que deben integrarse en toda estrategia de transformación
- Auditoría periódica de los proveedores de servicios digitales, con verificación de sus certificaciones y de sus planes de continuidad del negocio
- Cláusula contractual que exija la notificación rápida de incidentes y la separación de los entornos de datos de clientes
- Pruebas de resiliencia que simulen el fallo de un proveedor crítico, para medir el tiempo real de recuperación operativa
Estas medidas ya no son competencia exclusiva del departamento de TI. Los comités de dirección deben tratar la ciberseguridad de la cadena de suministro como un riesgo estratégico, al mismo nivel que el riesgo financiero o regulatorio.
Competencias y contratación: la brecha entre las ambiciones tecnológicas y el capital humano
Las empresas que implementan IA, automatizan sus procesos y refuerzan su marketing basado en datos se enfrentan al mismo obstáculo: la escasez de competencias técnicas disponibles en el mercado.
El Future of Jobs Report del World Economic Forum confirma que los puestos relacionados con la IA, la ciberseguridad y el análisis de datos se encuentran entre los que experimentan un crecimiento más rápido de la demanda. La brecha entre esta demanda y el número de candidatos con formación adecuada genera presión salarial y una elevada rotación en los equipos digitales.
Estrategias para desarrollar las competencias internas
Formar a los empleados actuales cuesta menos que contratar personal externo, siempre que se estructure el itinerario formativo. Las empresas más avanzadas en este ámbito ponen en marcha:
- Programas de reciclaje profesional centrados en las tecnologías que realmente se implementan (sin formación generalista que carezca de casos de uso internos)
- Un presupuesto de formación vinculado a la hoja de ruta tecnológica y revisado en cada ciclo estratégico
- Parejas formadas por un experto del área de negocio y un perfil técnico para acelerar la transferencia de competencias sin depender únicamente de proveedores externos
También existe el riesgo contrario: invertir demasiado en formar al personal en herramientas con un ciclo de vida corto. Dar prioridad a las competencias transversales (lectura de datos, lógica algorítmica, gestión ágil de proyectos) ofrece un mejor rendimiento que obtener una certificación en un único producto.
La transformación del mundo empresarial en 2026 depende menos de la adopción de una tecnología que de la capacidad para articular el cumplimiento normativo, la seguridad operativa y el desarrollo de competencias. Las organizaciones que abordan estas tres dimensiones por separado acumulan retrasos; las que las gestionan de forma integrada ganan resiliencia sin multiplicar los costes de coordinación.
