Des que el paquet Òmnibus Digital es va publicar al juliol, gairebé totes les meves reunions amb comitès de direcció comencen amb el mateix dubte: si l’AI Act no s’havia ajornat. I la primera mitja hora no la dediquem al que l’empresa ha de fer, sinó a desfer el soroll dels titulars. Ho entenc: durant mesos el missatge va ser que Brussel·les donava més temps, i això només és veritat a mitges. El que es va ajornar van ser les obligacions dels sistemes d’alt risc: els que filtren currículums o avaluen a qui es concedeix un crèdit passen al 2 de desembre de 2027, i els que van integrats en productes regulats, com la maquinària, al 2 d’agost de 2028. Tota la resta segueix el seu calendari, i és justament el que afecta la majoria.
Les prohibicions, com fer servir sistemes que reconeixen les emocions dels treballadors a la feina, són vigents des del febrer del 2025, igual que l’obligació de formar qui fa servir la IA. Des del 2 d’agost, qui parla amb un xatbot ha de saber que és una màquina, i el contingut generat per IA ha d’anar marcat. I les multes, que en els usos prohibits arriben a 35 milions d’euros o al 7% de la facturació mundial (la xifra més alta, o la més baixa si és una pime), són vigents des de l’agost del 2025.
El segon dubte és el de «nosaltres no fem IA, només fem servir ChatGPT». Doncs el Reglament no afecta només qui desenvolupa la IA, sinó també qui la fa servir a la feina, el que la norma anomena «responsable del desplegament», i avui això és pràcticament qualsevol empresa. Segons l’INE, el 21,1% de les empreses espanyoles de deu treballadors o més feia servir la IA a principis del 2025, i a Catalunya l’Idescat ho eleva al 24%. Però això és només la que l’empresa sap que fa servir, perquè quan fem l’inventari gairebé sempre apareix la que ningú no ha autoritzat, com la que màrqueting paga amb una targeta personal. Segons l’últim informe d’IBM sobre bretxes de dades, els incidents lligats a aquesta IA a l’ombra van aparèixer en el 43% de les organitzacions afectades, davant del 20% de l’any anterior, i un de cada cinc va acabar en una multa del regulador. La pregunta no és si fem servir la IA, sinó quanta en fem servir sense saber-ho.
El tercer és la formació. L’Òmnibus la va suavitzar el 27 de juliol: ja no cal garantir un nivell suficient d’alfabetització en IA, sinó adoptar mesures que la facilitin, sense assegurar un nivell concret en cada persona. Per a les pimes és un alleujament, però l’obligació no ha desaparegut, i el risc és llegir-ho com si ho hagués fet. Continua vigent i es demostra amb registres: qui s’ha format, quan i en què. Ho defenso al meu llibre El Método IA i ho repeteixo a cada diagnòstic: un control ben fet però sense documentar és, davant d’un supervisor, indistingible d’un control que no existeix.
El quart és si ja poden multar, i la resposta real té matisos. Les multes estan fixades al Reglament, i a Espanya l’autoritat és l’AESIA, l’Agència Espanyola de Supervisió de la Intel·ligència Artificial, però la llei orgànica que concreta com es tramiten les sancions és al Congrés des del juny. Això no és una altra pròrroga: les obligacions no comencen a comptar el dia que s’aprovi la llei, sinó que compten des que el Reglament les va posar en marxa, i per la via de la protecció de dades el risc existeix des de fa anys.
I el cinquè, el que acaba sortint més car, és el d’«esperarem que s’aclareixi l’alt risc». És cert que falta claredat: les directrius de la Comissió per classificar aquests sistemes es van publicar en esborrany al maig i les normes tècniques harmonitzades encara s’estan tancant. Però per classificar un sistema primer cal saber que existeix, i això no depèn de Brussel·les. A més, a Catalunya l’Autoritat Catalana de Protecció de Dades va presentar el gener del 2025 una metodologia pionera a Europa per avaluar l’impacte de la IA en els drets fonamentals, una avaluació que alguns sistemes d’alt risc exigiran, de manera que qui vulgui avançar-se ja té l’eina a casa.
I què haurien d’estar fent ja les empreses? A CenteIA Consulting comencem sempre per un inventari de tot el que fa servir IA, inclòs el que cada departament s’ha instal·lat pel seu compte. Després classifiquem cada sistema pel seu risc i pel paper de l’empresa, perquè no obliga el mateix fer servir una eina que vendre-la amb marca pròpia; revisem els usos prohibits segons el que el sistema fa de debò i no segons la seva fitxa comercial, i ho creuem amb la protecció de dades, perquè l’AI Act no ve mai sol. Amb la documentació a la mà, en unes dues setmanes l’empresa té un memoràndum que li diu, sistema per sistema, què li toca avui i què li tocarà el 2027. El que ja és vigent es resol en setmanes: l’avís al xatbot, la formació per perfils amb el seu registre, el marcatge del contingut i, molt important, un responsable a la direcció amb capacitat real per aturar un desplegament. I davant la IA a l’ombra, prohibir no funciona: el que funciona és oferir una eina oficial millor que les alternatives.
Pel que fa al que ve, el 2 de desembre s’acaba el marge per al marcatge tècnic dels sistemes que ja eren al mercat, la llei espanyola seguirà el seu camí al Congrés i el desembre del 2027 arribarà l’alt risc. La diferència entre empreses no la marcarà la por a la multa, sinó qui pot ensenyar quina IA fa servir, qui en respon i com la controla. Aquesta és la pregunta correcta, i com més aviat se la faci un comitè, més barata li sortirà la resposta.