Dret i empresa en entorns digitals

3.1. Corporate Governance, IT Governance: principios, normas y funcionamiento de las empresas orientadas a tecnología.
3.2. Nuevos modelos de empresa y la calidad de la gestión TIC.
3.3. Aspectos jurídicos de la economía colaborativa.
3.4. El asesoramiento jurídico de emprendedores y start-ups digitales.
3.5. Outsourcing: contratación a terceros de bienes y servicios.
3.6. Las nuevas relaciones laborales en las empresas digitales: teletrabajo, control empresarial y derecho a la intimidad.

La transparència en la IA ja és obligatòria: està preparada la teva empresa?

per

El Reglament Europeu d'Intel·ligència Artificial (AI Act) continua avançant en el seu calendari d'aplicació i marca una nova fita per a les organitzacions que desenvolupen o utilitzen sistemes d'intel·ligència artificial. A partir del passat 2 d'agost de 2026, van començar a ser exigibles les obligacions de transparència previstes en l'article 50, la qual cosa suposa un canvi important en la forma en què les empreses han de desplegar aquestes tecnologies.

Fins ara, moltes organitzacions es preguntaven si utilitzaven intel·ligència artificial. A partir d'aquest moment, la pregunta canvia: estem informant adequadament les persones quan la IA intervé en les nostres interaccions, continguts o decisions?

La transparència deixa de ser una bona pràctica

Les noves obligacions afecten tant proveïdors com a empreses que utilitzen sistemes d'IA en la seva activitat diària.

Entre altres supòsits, serà necessari analitzar quan correspon informar que un usuari està interactuant amb un bot o un assistent virtual, quan han d'identificar-se continguts generats o modificats mitjançant IA, o quan resulta obligatori advertir sobre l'ús de tecnologies com els deepfakes, el reconeixement d'emocions o determinats sistemes de categorització biomètrica.

En definitiva, la transparència passa de ser una recomanació ètica a convertir-se en un requisit normatiu amb conseqüències jurídiques.

Un impacte molt més ampli del que sembla

Existeix la percepció que l'AI Act només afecta a grans companyies tecnològiques. No obstant això, la realitat és molt distinta.

Avui dia, nombroses empreses utilitzen eines d'intel·ligència artificial per a atenció al client, màrqueting, generació de contingut, recursos humans, anàlisi documental o automatització de processos. En molts casos, aquestes solucions incorporen funcionalitats d'IA de forma gairebé invisible per a l'usuari.

Precisament per això, resulta imprescindible identificar quins sistemes s'estan utilitzant, quin paper exerceix l'organització dins de la cadena de valor de la IA i quines són les obligacions que li corresponen.

El moment de revisar la governança de la IA

L'entrada en vigor d'aquestes obligacions ofereix una oportunitat perquè les empreses revisin la seva estratègia d'intel·ligència artificial des d'una perspectiva de compliment.

Això implica, entre altres qüestions:

  • Inventariar les eines d'IA utilitzades en l'organització.
  • Revisar avisos, etiquetes i comunicacions dirigides a usuaris.
  • Actualitzar polítiques internes sobre l'ús d'IA.
  • Revisar contractes amb proveïdors tecnològics.
  • Definir responsabilitats i mecanismes de supervisió.

L'experiència demostra que moltes organitzacions ja utilitzen intel·ligència artificial sense comptar amb un marc de governança que permeti gestionar adequadament els riscos legals i reguladors.

Compliment i confiança han d'avançar junts

L'AI Act no pretén frenar la innovació, sinó fomentar un ús responsable i transparent de la intel·ligència artificial.

Les empreses que comencin ara a adaptar els seus processos no sols reduiran riscos d'incompliment, sinó que també reforçaran la confiança de clients, empleats i socis comercials.

En aquest nou escenari, disposar d'una estratègia de governança d'IA, polítiques internes adequades i una anàlisi de compliment adaptat a l'activitat de cada organització deixa de ser un avantatge competitiu per a convertir-se en una necessitat. Perquè la intel·ligència artificial continuarà evolucionant, però les empreses que generin major confiança seran aquelles capaces de demostrar que la utilitzen de manera transparent, segura i conforme al marc regulador europeu.

Com sempre, cuideu les dades i cuideu-vos!

Descàrrega massiva de dades: detectar el risc abans que es converteixi en dany

per

Quan el risc ja és prou greu

Un treballador va descarregar sense autorització 475.163 registres corresponents a més de 16.000 clients, els va copiar en una memòria USB personal i es va endur tant el dispositiu com l’ordinador corporatiu al seu domicili. L’empresa va detectar l’operació aquell mateix dia, va recuperar els equips i va actuar abans que constés un ús comercial o una difusió efectiva de la informació.

El Tribunal Superior de Justícia de Cantàbria ha confirmat la procedència de l’acomiadament disciplinari. La idea central és rellevant per a qualsevol pime: no cal esperar que el perjudici econòmic es materialitzi quan la conducta ja ha creat una situació objectiva de risc greu.

La diferència va ser detectar la conducta

La resolució assenyala que el sistema de seguretat informàtica va generar una alerta de possible pèrdua de confidencialitat. No sabem quina tecnologia concreta utilitzava l’empresa i, per tant, seria imprudent afirmar que es tractava d’una solució DLP, UEBA o SIEM.

Des d’un punt de vista empresarial, el nom de l’eina és secundari. El que importa és que l’organització podia identificar una operació anòmala sobre informació sensible i reaccionar a temps.

Moltes pimes disposen de clàusules de confidencialitat, polítiques d’ús dels sistemes o permisos d’accés. Però això no garanteix que puguin detectar una exportació massiva, una còpia a USB, un accés fora de patró o una extracció de dades que excedeixi les necessitats habituals del lloc de treball.

Prohibir no és el mateix que controlar

Una política interna que ningú pot supervisar ofereix una protecció limitada. La resposta no passa necessàriament per implantar una infraestructura complexa, sinó per aplicar controls proporcionats al volum i a la sensibilitat de la informació.

Convé revisar qui pot accedir a les dades, quines exportacions estan permeses, si existeixen alertes davant descàrregues massives, com es controla l’ús de dispositius externs, quins registres conserva el sistema i qui ha d’actuar quan es produeix una incidència.

Aquests controls també han de ser transparents i respectar la normativa laboral i de protecció de dades. Detectar una conducta sospitosa no autoritza qualsevol forma de vigilància ni converteix automàticament l’evidència en prova vàlida.

Una excepció que no s’ha de generalitzar

La sentència també analitza l’absència d’audiència prèvia abans de l’acomiadament. El tribunal l’admet per les circumstàncies excepcionals del cas: detecció immediata, risc de continuació de l’accés, reconeixement dels fets i necessitat de protegir informació de tercers.

Això no significa que l’audiència prèvia pugui ometre’s amb caràcter general. Després de la doctrina del Tribunal Suprem sobre l’article 7 del Conveni 158 de l’OIT, continua sent la regla en els acomiadaments disciplinaris, excepte quan no sigui raonablement exigible. Cada cas requereix una valoració jurídica específica.

De l’alerta a una prova digital defensable

Quan apareix una alerta, no n’hi ha prou amb una captura de pantalla o amb afirmar que “el sistema ho va detectar”. Cal preservar registres, documentar la intervenció, identificar les persones que hi han participat i poder reconstruir què va passar, quan, amb quin usuari i sobre quines dades.

Aquí connecta el cas amb el nostre mètode Forensic: detectar és només el primer pas; el valor real consisteix a convertir l’alerta en una prova digital íntegra, traçable i defensable.

Per a una pime, la lliçó és clara. La confidencialitat no es protegeix només amb normes. Es protegeix combinant prevenció, detecció, resposta i evidències. Perquè potser no cal que el dany arribi a produir-se, però sí que cal poder demostrar el risc i la conducta que l’ha creat.

Com sempre, cuideu les dades i cuideu-vos!

Vegeu aquí la sentència: Roj: STSJ CANT 101/2026 - ECLI:ES:TSJCANT:2026:101

La teva empresa utilitza IA? A partir d’agost, la transparència deixa de ser una recomanació

per

La intel·ligència artificial s'ha incorporat amb rapidesa a assistents virtuals, eines de generació de contingut, xatbots i nombrosos processos empresarials. No obstant això, conforme augmenta la seva presència, també ho fa la necessitat que els usuaris sàpiguen quan estan interactuant amb una IA i quan un contingut ha estat generat o modificat mitjançant aquesta tecnologia.

Amb aquest objectiu, el passat 20 de juliol la Comissió Europea va publicar les directrius que desenvolupen les obligacions de transparència previstes en l'article 50 del Reglament d'Intel·ligència Artificial (AI Act/RIA), l'aplicació de la qual comença el 2 d'agost de 2026. Aquestes directrius pretenen facilitar a proveïdors i empreses usuàries la correcta interpretació de les seves noves obligacions.

La transparència pansa a ser un requisit de compliment

Les noves directrius busquen reduir el risc d'engany, manipulació i desinformació en un entorn on cada vegada resulta més difícil distingir el contingut generat per persones del creat per intel·ligència artificial.

Entre altres qüestions, aclareixen quan serà obligatori informar els usuaris que estan interactuant amb un sistema d'IA, quan han d'identificar-se els continguts generats o alterats mitjançant intel·ligència artificial i en quins supòsits serà necessari advertir sobre l'ús de deepfakes, sistemes de reconeixement d'emocions o categorització biomètrica.

En altres paraules, la transparència deixa de ser una bona pràctica per a convertir-se en una obligació legal.

Un impacte molt més ampli del que sembla

Moltes organitzacions consideren que aquestes obligacions afecten únicament els grans desenvolupadors d'IA. No obstant això, la realitat és diferent.

Les obligacions de l'article 50 també aconsegueixen a nombroses empreses que utilitzen eines d'IA en la seva activitat diària: xatbots d'atenció al client, assistents virtuals, generadors de contingut, aplicacions de màrqueting o solucions que incorporen funcionalitats d'intel·ligència artificial dins de productes i serveis.

Per això, no n'hi ha prou amb confiar que el proveïdor tecnològic compleix la normativa. Cada organització ha d'analitzar com utilitza la IA i quines obligacions li corresponen com desplegador (deployer) d'aquests sistemes.

La governança de la IA comença per conèixer què s'utilitza

L'entrada en aplicació d'aquestes obligacions posa de manifest un problema que moltes empreses encara no han abordat: desconeixen quantes eines d'IA utilitzen realment els seus empleats i per a quines finalitats.

Abans d'implantar avisos o polítiques de transparència, resulta imprescindible identificar els sistemes utilitzats, avaluar els riscos associats i definir procediments clars sobre la seva utilització.

Aquest exercici constitueix el primer pas cap a una estratègia sòlida de governança de la intel·ligència artificial.

Una oportunitat per a generar confiança

Més enllà del compliment normatiu, la transparència representa una oportunitat per a reforçar la confiança de clients, empleats i socis comercials.

Les organitzacions que integrin des d'ara polítiques d'ús responsable de la IA, revisin els seus processos i adaptin les seves eines a les noves exigències reguladores estaran més ben preparades per a afrontar un entorn on la innovació i el compliment hauran d'avançar de la mà.

Perquè el repte de veritat ja no consisteix únicament a incorporar intel·ligència artificial, sinó a demostrar que s'utilitza de manera transparent, responsable i conforme a la normativa aplicable.

Com sempre, cuideu les dades i cuideu-vos!

Alfabetització en IA: l’elefant a l’habitació de moltes empreses

per

ANÀLISIS 

Hi ha obligacions que arriben fent soroll. I n’hi ha d’altres que entren discretament per la porta lateral, s’asseuen a la sala de reunions i, durant mesos, gairebé ningú les mira. L’alfabetització en intel·ligència artificial pertany a aquesta segona categoria.

Des del 2 de febrer de 2025, el Reglament Europeu d’Intel·ligència Artificial exigeix que les empreses que utilitzen o desenvolupen sistemes d’IA adoptin mesures per assegurar un nivell suficient d’alfabetització en IA de les persones que treballen amb aquests sistemes. No parlem només de grans tecnològiques, bancs o multinacionals. Parlem també de pimes que fan servir eines d’IA generativa per redactar continguts, analitzar informació, preparar ofertes, gestionar clients, donar suport a processos interns o prendre decisions organitzatives.

L’obligació ja hi és. L’elefant també.

L’obligació ja és vigent

Convé començar aclarint una idea important: l’alfabetització en IA no és una obligació futura. No depèn que l’empresa esperi una nova llei nacional ni que arribi una campanya inspectora concreta. L’article 4 del Reglament Europeu d’Intel·ligència Artificial ja és aplicable des del 2 de febrer de 2025.

El que canvia a partir del 2 d’agost de 2026 és el context de supervisió i aplicació pràctica del Reglament: els Estats membres han de tenir designades les seves autoritats nacionals competents i el marc institucional de control comença a estar plenament operatiu. Dit d’una altra manera: l’obligació no neix ara, però cada vegada serà més difícil tractar-la com una qüestió secundària.

Això no vol dir que totes les empreses hagin de fer el mateix ni que existeixi un únic curs obligatori, estàndard i vàlid per a qualsevol organització. L’obligació s’ha d’adaptar al context, al nivell de risc, al coneixement previ de les persones i a l’ús concret que es faci de la IA. Però sí que vol dir que l’empresa ha de poder demostrar que ha actuat amb criteri i diligència.

El precedent de la Desconnexió Digital

La situació recorda, en part, el que va passar amb el Dret a la Desconnexió Digital. Des del desembre de 2018, les empreses a Espanya tenen l’obligació de comptar amb una Política interna de desconnexió i de dur a terme accions de implementació, formació i sensibilització. Tanmateix, durant anys moltes organitzacions ho van tractar com una qüestió secundària: una cosa important en teoria, però ajornable a la pràctica.

Només quan el tema va començar a guanyar presència pública, sindical, inspectora i reputacional, moltes empreses van descobrir que allò no era una recomanació de bones pràctiques, sinó una obligació real. Amb l’alfabetització en IA pot passar una cosa semblant. La diferència és que el ritme d’adopció de la intel·ligència artificial està sent molt més ràpid.

Moltes empreses ja utilitzen IA, encara que no sempre ho sàpiguen

Moltes empreses ja utilitzen IA, encara que no sempre ho tinguin identificat, ordenat o documentat. Un treballador que introdueix informació de clients en una eina externa, un equip de recursos humans que utilitza IA per filtrar candidatures, un departament comercial que automatitza comunicacions o una àrea financera que es recolza en sistemes predictius estan generant riscos jurídics, organitzatius i reputacionals. I aquests riscos no es resolen només amb “sentit comú”.

La qüestió no és si l’empresa utilitza una eina sofisticada o si ha comprat una solució expressament etiquetada com a intel·ligència artificial. El problema sovint es troba en usos quotidians, fragmentats i poc governats. La IA pot estar entrant a l’empresa per moltes portes petites abans d’aparèixer en una gran decisió estratègica.

Alfabetitzar no és convertir tothom en tècnic

Convé no enfocar l’alfabetització en IA des de la por. Per a una Pime, ben plantejada, pot ser un avantatge competitiu molt clar. Alfabetitzar no significa convertir tota la plantilla en experta tècnica.

Significa que les persones entenguin què és la IA, quines eines utilitza l’empresa, per a què es poden fer servir, quins límits existeixen, quines dades no s’hi han d’introduir, quan cal verificar un resultat, quan ha d’intervenir una persona, quins riscos existeixen per a clients, treballadors o tercers, i com documentar mínimament les decisions rellevants. L’alfabetització en IA ha de ser pràctica, proporcional i connectada amb la feina real de cada equip.

Menys risc i més rendiment

Des d’una perspectiva jurídica/organitzativa, l’alfabetització en IA compleix una doble funció. D’una banda, redueix riscos: protecció de dades, confidencialitat, errors per al·lucinacions, biaixos, decisions automatitzades mal enteses, ús indegut d’informació interna o dependència acrítica d’una eina. De l’altra, millora el rendiment: equips més segurs, criteris comuns, menys improvisació, més traçabilitat i millor aprofitament de la tecnologia.

Aquest punt és especialment rellevant per a les pimes. No necessiten estructures complexes ni departaments interns de compliance tecnològic. Necessiten una cosa més pràctica: identificar on s’utilitza la IA, establir unes regles clares, formar les persones segons el seu rol i deixar una evidència raonable que l’empresa ha actuat amb diligència. La clau no és fer més burocràcia, sinó generar control, seguretat i confiança.

Una peça bàsica de govern digital

L’alfabetització en IA no s’hauria de veure com “un altre curs obligatori”. Hauria de ser una peça bàsica de govern digital. Igual que una empresa no deixaria que cada treballador decidís pel seu compte com tractar dades personals, tampoc hauria de deixar que cada persona utilitzi eines d’IA sense criteris comuns.

Formar els equips ajuda a ordenar l’ús de la tecnologia, reduir errors, protegir informació sensible, evitar decisions opaques i millorar la qualitat dels resultats. També permet que la direcció tingui una visió més realista de com s’està utilitzant la IA dins de l’organització. Perquè no es pot governar bé allò que no es coneix.

Mirar l’elefant de cara

L’elefant a l’habitació no ha de fer por. Però convé mirar-lo de cara. Les empreses que formin els seus equips abans que aparegui el problema estaran més ben preparades per utilitzar la IA amb seguretat, confiança i criteri.

En un mercat on totes les empreses parlen d’intel·ligència artificial, la diferència no estarà només a utilitzar més eines, sinó a utilitzar-les millor. Amb més control, més transparència, més responsabilitat i més capacitat de defensa.

L’alfabetització en IA no és un fre a la innovació: és una condició per aprofitar-la de manera segura i sostenible.

Com sempre, cuideu les dades i cuideu-vos!

La IA laboral ja no és només tecnologia: és compliance empresarial

per

La notícia pot presentar-se com una batalla entre Espanya i Brussel·les, però per a una pime la lectura important és molt més pràctica. Yolanda Díaz ha defensat que la intel·ligència artificial i els algoritmes ja influeixen en processos com la selecció, la permanència, els ascensos, les modificacions contractuals, les sortides o l’avaluació del treball. La pregunta per a l’empresa no és si fa servir IA, sinó si pot explicar com la fa servir quan afecta persones treballadores.

La transparència algorítmica ja és una obligació laboral

Aquest debat no comença amb l’AI Act. Espanya ja va obrir camí amb l’anomenada Llei Rider, que va modificar l’Estatut dels Treballadors per reconèixer el dret de la representació legal a ser informada sobre els paràmetres, regles i instruccions dels algoritmes o sistemes d’IA que afectin decisions laborals rellevants. La transparència algorítmica laboral forma part del nostre ordenament des de 2021.

L’AI Act acumula obligacions, no les substitueix

El Reglament Europeu d’Intel·ligència Artificial reforça aquesta direcció. Considera d’alt risc determinats sistemes d’IA utilitzats en contractació, selecció, promoció, rescissió contractual, assignació de tasques, supervisió o avaluació del rendiment. També exigeix alfabetització en IA per a qui operi o utilitzi aquests sistemes en nom de l’organització. L’AI Act no substitueix el RGPD, l’Estatut dels Treballadors ni la normativa d’igualtat: els suma.

Aquí apareix la tensió actual. El calendari europeu pot donar més marge per a determinades obligacions vinculades als sistemes d’alt risc, però això no elimina la realitat empresarial immediata: les eines ja s’estan utilitzant i les decisions ja es prenen. Que Europa doni més temps no significa que l’empresa pugui continuar implantant eines sense control.

El risc real és més quotidià del que sembla

Per a moltes pimes, el risc no estarà a haver comprat “una IA perillosa”, sinó en usos molt més normals: una eina de selecció que filtra candidats, un software de productivitat que genera mètriques individuals, una plataforma de RRHH amb funcionalitats intel·ligents, un sistema de torns automatitzat o un proveïdor que promet “optimitzar” decisions sense explicar bé quines dades utilitza. El risc acostuma a amagar-se en eines normals que ningú ha inventariat com a IA.

Del compliance algorítmic a les evidències defensables

Per això convé començar a parlar de compliance algorítmic laboral. No com un document decoratiu, sinó com una forma de govern intern: inventari d’eines, avaluació del proveïdor, anàlisi de dades tractades, informació a la plantilla o a la seva representació, intervenció humana, mesures davant biaixos, traçabilitat i evidències. L’empresa no necessita saber programar l’algoritme; necessita poder governar-lo, qüestionar-lo i defensar-ne l’ús.

I aquí apareix una dimensió que moltes empreses encara no estan considerant: l’evidència. No n’hi ha prou amb tenir una política, una clàusula o una avaluació inicial si després no podem reconstruir com es va prendre una decisió concreta, quina eina hi va intervenir, quines dades es van utilitzar, quina persona va supervisar el resultat i quins controls es van aplicar. La preparació forense d’evidències ha de començar abans del conflicte: no per judicialitzar l’empresa, sinó per garantir que les decisions puguin explicar-se, verificar-se i defensar-se si algun dia són qüestionades. En la pràctica, això significa dissenyar registres, traçabilitat, actes, validacions, revisions humanes i documentació tècnica mínima que permetin acreditar que la IA no s’ha utilitzat de forma opaca, discriminatòria o automàtica, sinó dins d’un marc raonable de control empresarial.

No es tracta de frenar la IA, sinó de governar-la

El règim sancionador de l’AI Act existeix i serà rellevant, però no hauria de ser l’únic motor de reacció. Per a una pime, el primer cost pot arribar abans: una reclamació laboral, una inspecció, una queixa d’un candidat, una bretxa reputacional o la impossibilitat de justificar una decisió interna.

La reacció intel·ligent no és frenar la IA. Seria un error. La IA pot ajudar a seleccionar millor, organitzar equips, reduir càrregues administratives, detectar necessitats formatives i prendre decisions amb més informació. Però en l’àmbit laboral ha d’aplicar-se amb una regla senzilla: com més impacte tingui sobre persones, més transparència, control humà i evidència documental necessita.

Per a una pime, el primer pas no hauria de ser comprar una altra eina, sinó fer-se tres preguntes: quina IA estem utilitzant ja, quines decisions laborals pot estar condicionant i què podríem ensenyar demà si ens ho demana una persona treballadora, la representació legal, la Inspecció de Treball o una autoritat de control. L’avantatge competitiu no serà utilitzar més IA que els altres, sinó utilitzar-la millor: amb criteri, controls i capacitat de defensa.

Conclusió: la IA laboral ja és una responsabilitat de direcció

El Projecte de Llei Orgànica per al bon ús i la governança de la intel·ligència artificial continua en tramitació parlamentària, però la direcció del viatge ja és clara. La IA laboral passarà de ser una decisió tecnològica a convertir-se en una responsabilitat de direcció, compliment i reputació empresarial. Les empreses que comencin ara a ordenar eines, proveïdors, dades, decisions i evidències no només reduiran risc: estaran més ben preparades per aprofitar la IA amb confiança i avantatge competitiu.

Cal frenar la intel·ligència artificial? Les empreses haurien de començar per controlar la que ja utilitzen

per

La carrera per desenvolupar models d'intel·ligència artificial cada vegada més potents ha aconseguit un punt en el qual fins i tot algunes de les empreses líders del sector estan demanant cautela. Recentment, Anthropic—una de les companyies més rellevants en el desenvolupament d'IA avançada—ha plantejat la necessitat de comptar amb mecanismes que permetin alentir o fins i tot pausar temporalment el desenvolupament de determinats sistemes si els riscos arriben a superar la nostra capacitat de supervisió.

Encara que la idea de «frenar la IA» pot semblar extrema, el debat que es planteja és molt més rellevant per a les organitzacions: estem preparats per a gestionar tecnologies que evolucionen més ràpid que les nostres estructures de control?

El desafiament no és la IA, sinó la velocitat del canvi

Segons indica Reuters, la preocupació expressada per Anthropic gira entorn d'un escenari en el qual els sistemes d'IA aconsegueixin nivells creixents d'autonomia i puguin participar en el disseny o millora de models posteriors amb una intervenció humana cada vegada menor. Encara que els propis experts reconeixen que aquest escenari encara no s'ha materialitzat, consideren que podria arribar abans que existeixin mecanismes adequats de supervisió i governança.

Més enllà de les hipòtesis sobre el futur, la realitat és que moltes empreses ja estan incorporant eines d'IA en processos crítics sense haver definit polítiques clares sobre el seu ús, supervisió o control.

La governança de la IA es converteix en una necessitat empresarial

Durant els últims anys, la conversa sobre intel·ligència artificial s'ha centrat principalment en productivitat i automatització. No obstant això, cada vegada resulta més evident que l'adopció d'aquestes tecnologies ha d'anar acompanyada de marcs de governança adequats.

Les organitzacions necessiten respondre preguntes fonamentals:

  • Quines eines d'IA estan utilitzant els seus empleats?
  • Quines dades s'estan introduint en aquests sistemes?
  • Existeixen mecanismes de supervisió humana?
  • Com es documenten les decisions assistides per IA?
  • Quins riscos reguladors i reputacionals poden derivar-se del seu ús?

Aquestes qüestions ja no pertanyen únicament a l'àmbit tecnològic. Formen part de la gestió del risc corporatiu.

El compliment normatiu serà un factor diferencial

L'entrada en vigor progressiva del Reglament Europeu d'Intel·ligència Artificial (RIA) està accelerant la necessitat d'establir controls interns sobre els sistemes d'IA utilitzats per les empreses.

En aquest context, conceptes com a traçabilitat, avaluació de riscos, supervisió humana, transparència i responsabilitat deixen de ser recomanacions per a convertir-se en requisits estratègics de compliment.

Les organitzacions que comencin ara a desenvolupar polítiques internes d'IA estaran més ben preparades per a afrontar futures obligacions reguladores i demostrar diligència davant clients, socis comercials i autoritats.

De l'entusiasme tecnològic a l'adopció responsable

La discussió plantejada per Anthropic no hauria d'interpretar-se com una advertència a detenir la innovació, sinó com una invitació a desenvolupar-la de manera responsable.

La intel·ligència artificial ofereix oportunitats extraordinàries per a millorar la productivitat, optimitzar processos i generar nous avantatges competitius. No obstant això, aquests beneficis només seran sostenibles si les organitzacions són capaces de gestionar adequadament els riscos associats.

Per això, cada vegada més empreses estan incorporant programes de governança d'IA, auditories de compliment, avaluacions d'impacte i estratègies de protecció de dades com a part de la seva transformació digital.

La pregunta ja no és si una organització utilitzarà intel·ligència artificial, sinó si està preparada per a fer-ho de manera segura, conforme a la normativa i alineada amb els seus objectius de negoci.

Com sempre, cuideu les dades i cuideu-vos!

Transcripció de veu amb IA: la pregunta no és si funciona, sinó si la teva organització està preparada

per

La IA transcriu, però la responsabilitat continua sent humana

La creixent adopció d'eines d'intel·ligència artificial per a transcriure reunions, trucades o converses està transformant la forma en què les organitzacions gestionen la informació. Agilitat, automatització i eficiència són avantatges evidents. No obstant això, darrere d'aquesta millora operativa existeix una qüestió que moltes empreses encara no s'han plantejat: qui respon quan la tecnologia s'equivoca?

La recent reflexió de l'AEPD recorda una idea essencial: utilitzar IA per a transcriure veu no implica traslladar la responsabilitat al proveïdor tecnològic. L'organització que decideix implantar aquestes eines continua sent responsable del tractament i de les seves conseqüències.

Quan un error de transcripció deixa de ser un error menor

Els errors poden tenir un impacte molt major del que sembla. Una transcripció pot atribuir una declaració a la persona equivocada, eliminar matisos rellevants o registrar dades incorrectes. Un nom mal identificat, un càrrec erroni o una frase treta de context poden afectar la qualitat de la informació i, en determinats escenaris, generar riscos jurídics i de compliment.

La qüestió no és si la tecnologia falla—perquè pot fer-ho—, sinó si l'organització ha previst què ocorrerà quan succeeixi.

Transparència, conservació i drets: riscos que solen passar desapercebuts

La transparència també ocupa un paper central. Les persones han de conèixer de manera clara quan la seva veu està sent tractada mitjançant sistemes d'IA, amb quina finalitat i quin ús posterior pot donar-se a aquesta informació.

A més, és necessari revisar aspectes que amb freqüència passen desapercebuts: les gravacions es conserven més temps del necessari?, les dades s'utilitzen per a reentrenar models?, existeixen mecanismes senzills per a rectificar errors o exercir drets?

L'experiència demostra que moltes organitzacions incorporen solucions de transcripció automàtica com una funcionalitat més dins de plataformes col·laboratives o eines de productivitat, sense analitzar realment les implicacions de privacitat i governança que incorporen.

La veritable pregunta: ha revisat la teva organització tot el que hauria?

Potser la pregunta rellevant ja no és si utilitzar o no aquestes eines. La qüestió és una altra: la teva organització ha revisat realment tot el que hauria de revisar?

  • Ha analitzat el paper i les responsabilitats del proveïdor?
  • Existeixen protocols per a validar i corregir transcripcions errònies?
  • S'han definit períodes adequats de conservació?
  • S'informa correctament empleats, clients o participants?
  • S'han avaluat els riscos des d'una perspectiva de privacitat i compliment?

La intel·ligència artificial pot aportar un enorme avantatge competitiu, però la innovació sostenible exigeix alguna cosa més a implementar tecnologia: requereix fer-ho amb garanties.

Les organitzacions que obtindran major valor d'aquestes eines no seran necessàriament les que adoptin més IA, sinó aquelles que hagin dedicat temps a entendre les seves implicacions i a implantar-la amb garanties.

Com sempre, cuideu les dades i cuideu-vos!

Evidències digitals: el gran oblidat del compliment 

per

Moltes organitzacions han avançat en els últims anys en matèria de compliment: polítiques internes, protocols, formacions, clàusules, procediments… El problema és que, en massa casos, tot això continua vivint en documents estàtics que rares vegades es connecten amb l'operativa real de l'empresa.

I aquí apareix un dels majors riscos actuals: no poder demostrar què es va fer, quan, per qui i amb quins controls.

El compliment ja no es mesura només pel que una organització té documentat, sinó per la seva capacitat per a acreditar que realment funciona.

1. El compliment ja no és un PDF

Durant anys, moltes empreses han entès el compliance com una qüestió principalment documental: disposar de polítiques, manuals o procediments.

El context ha canviat; normatives com el RGPD, el Reglament Europeu d'IA, els requisits de ciberseguretat o els sistemes interns d'informació exigeixen alguna cosa més: traçabilitat i capacitat de prova.

No n'hi ha prou amb afirmar que existeix un control, sinó que cal poder demostrar: quan es va aplicar, qui va intervenir, quina decisió es va prendre, i quines evidències ho recolzen.

2. El problema de veritat apareix quan hi ha un incident

La diferència entre un compliment «formal» i un realment operatiu sol aparèixer en el pitjor moment: una inspecció, una reclamació, una bretxa de seguretat o un conflicte laboral.

En aquest escenari, les preguntes canvien ràpidament:

  • pots acreditar que es va informar l'empleat?
  • existeix registre de l'autorització?
  • va quedar documentada la revisió humana?
  • es pot reconstruir què va ocórrer?

Moltes vegades la resposta és incompleta perquè l'organització tenia polítiques… però no evidències.

3. De la documentació estàtica a sistemes defensables

El repte actual no és generar més documentació, sinó construir sistemes que permetin convertir el compliment en una cosa aplicable, mesurable i defensable.

Això afecta pràcticament a totes les àrees:

  • protecció de dades,
  • ús d'intel·ligència artificial,
  • ciberseguretat,
  • canal intern de denúncies,
  • desconnexió digital,
  • controls laborals o recerques internes.

En tots aquests àmbits, l'element diferencial ja no és només «tenir normes», sinó comptar amb mecanismes que permetin acreditar com s'executen realment.

4. L'evidència digital com a element estratègic

Moltes organitzacions continuen veient les evidències digitals com un aspecte tècnic o secundari. No obstant això, cada vegada tenen més pes des del punt de vista jurídic i operatiu.

Registres d'activitat, logs, autoritzacions, revisions, traçabilitat d'accessos o validacions internes són elements que permeten demostrar diligència i control.

I això té un impacte directe:

  • redueix exposició davant sancions,
  • enforteix la posició de l'empresa davant conflictes,
  • i millora la capacitat de resposta davant incidents.

Conclusió: el compliment que no es pot provar és cada vegada menys útil

Les organitzacions ja no necessiten únicament polítiques ben redactades. Necessiten estructures que permetin demostrar que aquestes polítiques s'apliquen de manera efectiva.

Perquè el canvi de paradigma real és aquí: passar d'un compliment basat en documents a un compliment basat en evidències.

I en un entorn on conflueixen IA, protecció de dades, ciberseguretat i relacions laborals, aquesta capacitat de prova comença a convertir-se en un avantatge competitiu.

La pregunta clau: Si demà la teva organització hagués de justificar una decisió, una actuació o un control concret… podria demostrar-lo amb evidències clares i traçables, o només amb un procediment en PDF?

Com sempre, cuideu les dades i cuideu-vos!

La política d’IA que funciona: menys normes, més circuit 

per

En moltes organitzacions, la resposta a l'auge de la intel·ligència artificial ha estat immediata: redactar una política interna i distribuir-la en format PDF. El problema és que, en la pràctica, una política que no s'integra en l'operativa diària acaba sent irrellevant. 

Mentrestant, l'ús d'eines d'IA—moltes vegades fora dels canals autoritzats—continua creixent. El fenomen del Shadow AI no es corregeix amb prohibicions generals, sinó amb alternatives viables. 

L'Agència Espanyola de Protecció de Dades (AEPD), en la seva Política d'ús d'IA generativa, apunta cap a un enfocament més pràctic: no es tracta només de regular, sinó d'establir un marc operatiu que permeti l'ús segur d'aquestes eines. 

L'error habitual: polítiques que no es poden aplicar 

Moltes polítiques d'IA comparteixen un problema comú: estan ben redactades, però mal aterrades. Prohibeixen usos genèrics o imposen restriccions àmplies, sense oferir solucions concretes per al dia a dia. 

El resultat és previsible: els empleats continuen necessitant aquestes eines per a ser més eficients, i acaben utilitzant-les fos dels canals corporatius. 

Això no sols incrementa el risc, sinó que redueix la capacitat de l'organització per a controlar i supervisar l'ús real de la IA. 

El que sí que funciona: crear un circuit d'autorització 

Enfront d'aquest enfocament, l'AEPD proposa una lògica distinta: permetre l'ús de la IA, però dins d'un marc estructurat i controlat. 

Una política eficaç no és només un document, sinó un circuit d'autorització i governança que inclogui: 

  • Casos d'ús definits: què es pot fer i en quins contextos.  
  • Usuaris autoritzats: qui pot utilitzar determinades eines i per a què fins.  
  • Eines validades: quines solucions han estat avaluades des del punt de vista de protecció de dades i seguretat.  
  • Supervisió humana: revisió en aquells processos on existeixi major impacte o risc.  

Aquest enfocament permet canalitzar l'ús de la IA en lloc d'intentar bloquejar-lo. 

Menys prohibició, més alternativa segura 

Un dels missatges clau és que prohibir eines poques vegades funciona. Quan no existeix una alternativa clara, els usuaris buscaran solucions pel seu compte. 

Per contra, quan l'organització ofereix un «camí fàcil i segur»—eines aprovades, criteris clars i suport intern—l'ús no autoritzat disminueix de manera natural. 

Aquest canvi d'enfocament transforma el problema: el Shadow AI deixa de ser una qüestió disciplinària per a convertir-se en un problema de disseny organitzatiu. 

Governança d'IA: control sense fricció 

El repte per a les empreses no és triar entre control o productivitat, sinó integrar tots dos elements. Una política ben dissenyada permet mantenir el control sobre les dades i els riscos; garantir el compliment del RGPD; i, al mateix temps, facilitar el treball diari dels equips.  

La clau està a construir un sistema on l'ús correcte de la IA sigui més senzill que l'ús no autoritzat. 

Conclusió: la política útil és la que s'usa 

En el context actual, tenir una política d'IA ja no és suficient. El rellevant és que aquesta política sigui operativa, comprensible i aplicable. 

Les organitzacions que entenen això deixen de veure la IA com un risc que cal limitar i comencen a gestionar-la com una capacitat que cal governar. 

Perquè, en la pràctica, la millor política no és la més restrictiva, sinó la que aconsegueix una cosa molt més difícil: ordenar l'ús de la IA sense frenar la productivitat. 

Com sempre, cuideu les dades i cuideu-vos! 

Revisió Texts legals web