Reglament de la IA: què exigeix a les pimes de Catalunya

Algú de l'equip ha activat un assistent d'IA dins del CRM que ja feu servir cada dia —potser per redactar respostes a clients o per fer un primer filtre de currículums— i ningú s'ha aturat a mirar què implica legalment. O potser ha estat a l'inrevés: un client amb qui treballeu des de fa anys, potser una asseguradora o un banc, us ha enviat el qüestionari anual de proveïdors i, per primer cop, hi apareix una pregunta sobre el «Reglament de la IA» amb un to que sona més a advertència que a tràmit. Si ets una pime a Catalunya —una startup del 22@ a Poblenou, una consultora tecnològica, o una empresa de logística que acaba d'incorporar IA a la gestió de comandes— aquesta situació és cada cop més freqüent, i la resposta rarament és un simple sí o no.

Per què Catalunya és un cas particular

Catalunya, i Barcelona en concret, concentra una de les densitats més altes de pimes tecnològiques i startups de tot l'Estat espanyol. El districte 22@ a Poblenou, el Mobile World Congress cada any, i un teixit consolidat de fintech, healthtech i martech fan que Barcelona sigui probablement el clúster més matiner d'adopció d'IA a Espanya: empreses que integren models generatius, eines de scoring o assistents conversacionals molt abans que la mitjana del país. Aquesta densitat és precisament el que fa que el Reglament (UE) 2024/1689, conegut com el Reglament de la IA, deixi de ser una qüestió abstracta per a moltes pimes catalanes i passi a aparèixer en qüestionaris de client, en clàusules contractuals o en la due diligence d'una ronda d'inversió.

És important ser precisos en un punt: Catalunya no té una llei pròpia d'implementació del Reglament de la IA. El Reglament és una norma europea d'aplicació directa —no requereix transposició al dret espanyol ni català— i l'autoritat nacional competent a Espanya és l'Agència Espanyola de Protecció de Dades (AEPD). Catalunya compta amb la seva pròpia autoritat de protecció de dades, l'APDCAT, encarregada sobretot del sector públic català. Exactament com es reparteixen les competències de vigilància del mercat sota el Reglament de la IA entre l'AEPD i altres actors és una pregunta amb prou matisos com per merèixer una anàlisi pròpia, que no repetim aquí.

Què costa fer-ho malament

El Reglament estableix un règim sancionador esglaonat. Les pràctiques prohibides —el llistat curt d'usos bandejats, com certs sistemes de puntuació social o de manipulació subliminal— poden arribar fins a 35 milions d'euros o el 7% de la facturació global anual, el que sigui més alt. La resta d'incompliments greus, inclosos els relacionats amb sistemes d'alt risc, topen als 15 milions d'euros o el 3% de la facturació global.

Aquest tracte més proporcionat és real, però no elimina la necessitat de fer l'anàlisi. Canvia el sostre de la sanció potencial, no si una obligació concreta s'aplica o no al teu cas.

On encaixa la teva pime dins el Reglament

La gran majoria de pimes catalanes no són «proveïdores» en el sentit del Reglament: no desenvolupen ni comercialitzen un model d'IA amb el seu propi nom. Són «desplegadores», és a dir, fan servir una eina de selecció de personal, un chatbot d'atenció al client o una funció d'IA integrada en el programari de gestió que ja paguen cada mes. Aquesta distinció determina en bona part l'abast de les teves obligacions. Dos grups mereixen atenció particular a Catalunya, més enllà d'aquest patró general: les startups i scale-ups del 22@ i altres pols tecnològics que sí que construeixen productes amb IA pròpia, i les consultores o empreses de serveis professionals el client de les quals —sovint una entitat financera o asseguradora— ja comença a exigir garanties de governança de la IA com a condició contractual.

Què repassar a la teva empresa

Abans de convertir això en un projecte legal, val la pena repassar unes quantes preguntes concretes sobre com feu servir la IA avui mateix:

• Alguna eina d'IA que useu toca contractació, avaluació de personal, concessió de crèdit o una altra àrea d'alt risc de l'annex III?
• Un client o soci —especialment del sector financer o assegurador— us ha enviat ja un qüestionari sobre el Reglament de la IA?
• Sabeu, per a cada sistema d'IA que useu, si sou proveïdors o desplegadors, en lloc de donar-ho per suposat en general?
• Si l'AEPD us contactés demà, sabríeu identificar de seguida quin ús concret d'IA hauria motivat la consulta?
• Hi ha funcions d'IA noves dins d'eines que ja teniu contractades (CRM, ERP, RRHH) que ningú de l'equip ha revisat des que es van activar?

Informació general, no assessorament legal

Tot el que precedeix és informació general per orientar-te, no assessorament legal per al teu cas concret —i, com hem apuntat abans, el repartiment exacte de competències entre l'AEPD i les autoritats catalanes és un punt que mereix més detall del que cap en aquest article. El Reglament de la IA encara s'està desplegant per fases fins al 2027, i la seva aplicació pràctica a Espanya seguirà evolucionant. A Komplya distingim sempre entre els continguts que han passat revisió legal i els que encara són material de treball, perquè puguis valorar cada peça d'informació pel que val, i no tractar-ho tot com si tingués el mateix grau de certesa.

Per on començar

En lloc de llegir el Reglament sencer en fred, el pas més útil és repassar els usos reals d'IA a la teva empresa, un per un, i veure on encaixa cadascun. Respon el qüestionari sobre com fa servir la IA la teva pime i obtén una lectura en llenguatge planer d'on us trobeu, incloent-hi si l'AEPD, una altra autoritat, o cap en particular, és probable que s'hi fixi.