Agentes de IA en la empresa: ¿qué obligaciones del AI Act aplican a los sistemas autónomos?

A finales de 2025, el MIT Technology Review estimaba que el 40 % de las aplicaciones empresariales integrarán modelos de IA agéntica para 2027. En 2026, la realidad ya está aquí: agentes de IA gestionan compras B2B completas, criban candidaturas, orquestan flujos de trabajo de RRHH, desencadenan transacciones financieras, a menudo sin intervención humana en cada paso.

Para la mayoría de los responsables de decisiones, la cuestión de cumplimiento del AI Act (Reglamento UE 2024/1689) sigue siendo poco clara en este tema. ¿Cubre el AI Act a los agentes autónomos? Y si es así, ¿cómo? La respuesta es inequívoca: sí, y a menudo con obligaciones sustanciales.

¿Qué es un agente de IA según el AI Act?

El AI Act no menciona explícitamente los "agentes de IA" o la "IA agéntica". Pero su definición general de sistema de IA, en el Artículo 3§1, es suficientemente amplia para englobarlos. Los agentes de IA encajan exactamente en esta definición - y la Comisión Europea lo confirmó en sus directrices de febrero de 2026: los agentes autónomos que realizan transacciones financieras o influyen en decisiones económicas se clasifican allí explícitamente.

Qué distingue a un agente de un chatbot ordinario

La distinción es estructural, no de grado. Un sistema de IA convencional funciona en modo solicitud-respuesta. Un agente rompe este patrón. Recibe un objetivo de alto nivel, lo descompone en subtareas, selecciona e invoca herramientas, evalúa resultados intermedios y ajusta su enfoque, todo con grados variables de supervisión humana, a veces ninguna.

Cómo clasificar el nivel de riesgo de un agente de IA

El nivel de riesgo depende del caso de uso, no del nivel de autonomía.

Riesgo mínimo o limitado

Un agente que automatiza tareas sin impacto directo en personas es de riesgo mínimo o limitado: agentes de redacción de contenidos, agentes de monitoreo de información, agentes de organización de agenda. Solo se aplican las obligaciones de transparencia del Artículo 50.

Alto riesgo - Anexo III

Un agente pasa al alto riesgo en cuanto su acción entra en uno de los ocho ámbitos del Anexo III:

• Agente de RRHH autónomo que criba candidaturas, evalúa rendimiento o recomienda despidos - Anexo III, sección 4
• Agente de scoring financiero que evalúa la solvencia, fija límites de crédito o desencadena alertas de fraude - Anexo III, sección 5
• Agente de gestión de infraestructura crítica - Anexo III, sección 2
• Agente de acceso a servicios públicos - Anexo III, sección 5
• Agente en el ámbito judicial o policial - Anexo III, secciones 6 y 7

La regla práctica: un agente que actúa sobre decisiones que afectan a personas físicas - su empleo, acceso al crédito, derechos, seguridad - es casi con seguridad de alto riesgo.

Obligaciones concretas para los agentes de alto riesgo

Artículo 14: supervisión humana efectiva

Es la obligación central para los agentes autónomos. El Artículo 14 exige que los sistemas de alto riesgo estén diseñados para permitir a un humano comprender, supervisar e interrumpir su funcionamiento. Para un agente de IA de alto riesgo: mecanismo de interrupción, explicabilidad de las acciones, umbrales de validación y personal de supervisión formado.

Artículos 12 y 26§6: trazabilidad y registros

Cada acción de un agente de IA de alto riesgo debe registrarse automáticamente. Los registros deben permitir reconstruir el razonamiento del agente: qué datos consultó, qué herramientas invocó, qué decisiones intermedias tomó y por qué.

Artículo 9: gestión de riesgos a lo largo del ciclo de vida

La capacidad de los agentes para invocar herramientas dinámicamente en tiempo de ejecución crea un desafío específico. El Artículo 9 impone un proceso continuo de identificación y mitigación de riesgos. Cada adición de herramienta o nueva integración de API desencadena una revisión de la evaluación de riesgos.

El caso específico de los sistemas multiagente

• La entidad que desarrolla y comercializa cada agente componente es el proveedor de ese agente
• La entidad que orquesta estos agentes en un flujo de trabajo es el desplegador del sistema global
• Si desarrolla su propio agente orquestador ensamblando agentes de terceros, se convierte en proveedor del sistema resultante

Qué debe hacer si despliega agentes de IA

1. Cartografiar cada agente desplegado: liste todos sus agentes, con su caso de uso exacto, las herramientas que invocan, los datos a los que acceden y los tipos de decisiones que producen.
2. Clasificar el nivel de riesgo de cada agente: aplique la cuadrícula del Anexo III. Si el agente actúa sobre decisiones que afectan a personas físicas en uno de los 8 ámbitos, es de alto riesgo.
3. Implementar la supervisión humana por diseño: no añadirla a posteriori. Diseñar los flujos de trabajo agénticos con puntos de validación humana, umbrales de escalada y mecanismos de interrupción desde el principio.
4. Establecer registros: cada agente de alto riesgo debe generar registros automáticos conservados al menos 6 meses.
5. Auditar a sus proveedores de SaaS agéntico: si utiliza un agente de un tercero en un contexto de alto riesgo, exija las instrucciones de uso y verifique el cumplimiento del AI Act.

El diagnóstico gratuito de AiActo le ayuda a clasificar sus sistemas de IA - incluidos sus agentes autónomos - e identificar sus obligaciones según su perfil de proveedor o desplegador.

Preguntas frecuentes

¿Está prohibido por el AI Act un agente de IA completamente autónomo?

No, la autonomía total no está prohibida como tal. Lo que se exige para los sistemas de alto riesgo es que la autonomía esté encuadrada por mecanismos de supervisión humana efectiva. Un agente puede actuar de forma autónoma en tareas de bajo impacto, pero las decisiones de alto impacto sobre personas físicas deben poder ser revisadas, impugnadas y corregidas por un humano competente.

¿Cómo gestionar la supervisión humana cuando un agente funciona 24/7?

El Artículo 14 no exige que un humano esté presente en cada acción del agente - exige que haya mecanismos que posibiliten la supervisión. Concretamente: alertas automáticas al superar ciertos umbrales, paneles de monitoreo, procedimientos claros de escalada y capacidad de detener el agente en cualquier momento.

Mi agente de IA usa herramientas de terceros vía API - ¿quién es responsable si algo sale mal?

Como desplegador del agente, usted es responsable del comportamiento general del sistema en su despliegue. Puede buscar recurso contractual contra el proveedor de la API, pero eso no le exime de responsabilidad frente a la persona afectada o la autoridad reguladora.

¿Cuál es la diferencia entre un flujo RPA y un agente de IA según el AI Act?

Un sistema RPA que ejecuta reglas fijas y predeterminadas sin capacidad de adaptación generalmente no entra en la definición de sistema de IA del AI Act. Un agente de IA que utiliza un modelo de lenguaje para adaptarse a situaciones imprevistas o generar salidas variables sí entra en el AI Act.

La IA agéntica es la próxima frontera del cumplimiento del AI Act. Las empresas que despliegan estos sistemas hoy sin estructurar su gobernanza asumen un riesgo regulatorio creciente. Las que anticipan, convierten esta restricción en una ventaja estructural en los mercados europeos. Consulte el calendario del AI Act para seguir todas las fechas clave de cumplimiento.