El AI Act y los asistentes de IA basados en RAG: qué obligaciones le pueden aplicar

El Reglamento europeo de IA (conocido como AI Act) no tiene un artículo dedicado a los sistemas RAG, pero varias de sus obligaciones sí pueden aplicarse a su asistente de conocimiento según el contexto en el que lo use. En este artículo repasamos qué categorías de riesgo existen, qué obligaciones de transparencia son las más probables para un asistente documental, qué queda claramente fuera del Reglamento y qué pasos prácticos puede dar ya. No es asesoramiento legal: para decisiones concretas, consulte con un despacho especializado en derecho digital.

Por qué el AI Act puede afectar a su asistente aunque solo responda preguntas sobre documentos

Es tentador pensar que el AI Act está pensado para sistemas de reconocimiento facial o de puntuación crediticia, no para un chatbot que responde dudas sobre el manual del empleado o el catálogo de productos. Pero el Reglamento no clasifica los sistemas por su tecnología (RAG, fine-tuning, reglas) sino por su finalidad y por el contexto de uso. Un asistente que recupera pasajes de documentos y genera una respuesta con un modelo de lenguaje es, a efectos del AI Act, un sistema de IA, y eso basta para que entren en juego algunas de sus normas, especialmente las de transparencia.

La buena noticia es que la inmensa mayoría de los asistentes de conocimiento (bases de preguntas frecuentes, manuales internos, documentación técnica, políticas de RRHH) caen en las categorías de riesgo más bajas del Reglamento. La obligación que casi siempre conviene revisar no es una evaluación de conformidad compleja, sino el deber de informar al usuario de que está hablando con una IA.

Las cuatro categorías de riesgo del AI Act y dónde encaja un asistente RAG

El Reglamento (UE) 2024/1689 organiza las obligaciones según un sistema de capas de riesgo. Conviene tenerlas claras antes de mirar el caso concreto de su asistente.

Un asistente de conocimiento construido sobre RAG (por ejemplo, uno que responde preguntas sobre un convenio colectivo, una documentación de producto o un conjunto de leyes) suele situarse en riesgo limitado o mínimo. La excepción importante es cuando el asistente se usa dentro de uno de los casos de uso del Anexo III del Reglamento: por ejemplo, un asistente que ayuda a decidir si se contrata a un candidato, que evalúa el riesgo de impago de un cliente o que participa en un proceso de admisión educativa. Ahí la clasificación cambia, aunque la tecnología subyacente sea la misma recuperación de pasajes con citas.

Las obligaciones de transparencia que sí es probable que le apliquen

Para la mayoría de los asistentes de conocimiento, el artículo 50 del AI Act (obligaciones de transparencia) es el que más probablemente le aplique. En términos prácticos, esto suele traducirse en:

1. Informar de forma clara de que el usuario está interactuando con un sistema de IA, salvo que sea evidente por el contexto (por ejemplo, un widget etiquetado «Asistente IA» en lugar de simular a una persona).
2. Si el asistente genera o modifica contenido (texto, imagen, audio), etiquetar ese contenido como generado por IA cuando pueda confundirse con contenido humano o real.
3. Si el sistema toca datos biométricos o de categorización de personas, aplicar las obligaciones de transparencia reforzadas que correspondan a ese uso específico.
4. Mantener documentación mínima sobre qué modelo y qué fuentes alimentan las respuestas, útil tanto para auditorías internas como para responder a solicitudes de usuarios o autoridades.

Esta última recomendación conecta directamente con una buena práctica de ingeniería: un sistema RAG que cita el pasaje exacto del documento del que extrae cada afirmación deja un rastro de trazabilidad que facilita mucho cualquier ejercicio de rendición de cuentas, sea frente al AI Act, frente al RGPD o simplemente frente a un cliente que pregunta «¿de dónde ha sacado esto?». Puede profundizar en cómo construir esa trazabilidad en cómo evaluar un sistema RAG: métricas, fidelidad y monitorización y en respuestas de IA con citas: cómo verificar una respuesta sobre sus documentos.

Lo que el AI Act no cubre (y lo que citar fuentes no le garantiza)

Conviene ser preciso con los límites, porque es fácil sobreestimar o subestimar el alcance del Reglamento.

• El AI Act no sustituye al RGPD. Si su asistente procesa datos personales de empleados, candidatos o clientes, las obligaciones de protección de datos (base jurídica, minimización, derechos de los interesados) se aplican en paralelo, no se diluyen porque ya haya revisado el AI Act.
• Citar las fuentes reduce el riesgo de alucinaciones, pero no es una obligación del AI Act en sí misma ni le exime de las obligaciones de transparencia: son dos cosas distintas que conviene gestionar juntas.
• El Reglamento no certifica la exactitud factual de las respuestas. Un asistente puede cumplir todas las obligaciones de transparencia y seguir dando una respuesta incorrecta si el documento fuente está desactualizado o mal interpretado.
• Las normas sobre responsabilidad civil por productos defectuosos o las obligaciones de protección al consumidor siguen existiendo al margen del AI Act; si su asistente da información que un cliente usa para tomar una decisión de compra, esas normas también entran en juego.
• El AI Act no obliga a usar un proveedor concreto ni un modelo concreto. Lo que regula es el comportamiento del sistema frente al usuario final, no la arquitectura técnica elegida.

Si su asistente maneja datos personales (currículums, historiales clínicos, datos de nóminas), merece la pena revisar primero la lista de comprobación de RGPD y RAG: qué revisar antes de lanzar su proyecto de IA, porque suele ser el punto donde las pymes se encuentran con más dudas prácticas antes incluso de llegar al AI Act.

Calendario de aplicación: qué entra en vigor y cuándo

El Reglamento entró en vigor en agosto de 2024, pero sus obligaciones se aplican de forma escalonada. Las prácticas prohibidas (riesgo inaceptable) son exigibles desde febrero de 2025. Las obligaciones para modelos de IA de uso general se aplican desde agosto de 2025. Las obligaciones de los sistemas de alto riesgo del Anexo III, junto con buena parte de las normas de transparencia, se aplican de forma general desde agosto de 2026, con algunos plazos adicionales para sistemas ya integrados en productos regulados que se extienden hasta 2027. Si su asistente está en fase de diseño o piloto ahora, el momento de revisar la clasificación de riesgo es antes del lanzamiento, no después.

Pasos prácticos para preparar su asistente de conocimiento

Sin pretender agotar el tema (y sin que esto sea una lista de obligaciones legales cerrada), estos son los pasos que tienen sentido para la mayoría de proyectos de asistentes basados en documentos:

1. Clasifique el caso de uso real: ¿el asistente informa, o participa en una decisión que afecta a derechos de personas (empleo, crédito, salud, educación)? Eso determina si está en riesgo limitado o si debe mirar el Anexo III con más detalle.
2. Añada un aviso visible de que se trata de un sistema de IA en la interfaz de chat, en el correo automático o en el widget, salvo que ya sea evidente por el diseño.
3. Documente de qué documentos se alimenta el asistente, cuándo se indexaron por última vez y qué modelo genera las respuestas. Esta documentación mínima facilita cualquier auditoría futura.
4. Active citas de fuente por respuesta siempre que sea posible, de modo que cualquier afirmación se pueda rastrear hasta el pasaje original del documento.
5. Revise el tratamiento de datos personales en paralelo, siguiendo una lista de comprobación de RGPD específica para proyectos de IA documental.
6. Mantenga supervisión humana en cualquier punto donde la respuesta del asistente alimente una decisión con impacto real sobre una persona.
7. Revise periódicamente las guías de la Oficina de IA de la Comisión Europea y de la autoridad de control que corresponda (en España, la AEPD en lo relativo a protección de datos), porque el desarrollo normativo sigue en marcha.

Qué parte de este trabajo facilita una plataforma como Kopik

Kopik (kopik.io) no le dice si su asistente es de alto riesgo ni sustituye el análisis legal, pero sí resuelve buena parte del trabajo técnico que facilita cumplir con las obligaciones de transparencia y trazabilidad que acabamos de repasar. Cada base de conocimiento que se crea subiendo documentos (PDF, Word, texto, Markdown) queda indexada para búsqueda híbrida, y cada respuesta llega con los pasajes citados del documento original, no solo un texto generado sin referencia. Eso facilita responder a la pregunta «¿de dónde sale esta afirmación?» tanto a un usuario curioso como a una auditoría interna.

Las bases pueden ser privadas, de modo que solo usted y sus claves de API puedan consultarlas (relevante si el asistente maneja información sensible), o públicas en el catálogo de bases de conocimiento, donde cualquiera puede consultarlas pagando por pregunta. Para integrarlo en su producto o en herramientas como Claude, Cursor o ChatGPT vía MCP, puede revisar la documentación para desarrolladores. Si quiere entender mejor los conceptos básicos antes de avanzar, el glosario de IA y LLM para profesionales resuelve de un vistazo los términos que aparecen en estos debates regulatorios.

Preguntas frecuentes sobre el AI Act y los asistentes RAG