“Una IA ética y responsable contribuirá a generar una ventaja competitiva”, Jorge Morillo, SAP

¿Cómo ha impactado la AI Act europea en el desarrollo de soluciones basadas en IA desde su entrada en vigor en agosto de 2024?

El reglamento europeo de IA ha establecido un marco común para el desarrollo y uso de la inteligencia artificial en Europa y ha reforzado la importancia de aspectos como la transparencia, la trazabilidad, la explicabilidad, la importancia de la supervisión humana, la seguridad y la gestión del riesgo.

En SAP llevábamos años trabajando en esa dirección. Nos anticipamos al desarrollo del marco regulatorio europeo con nuestros propios mecanismos de gobernanza de la IA. En 2018 publicamos nuestros primeros principios rectores para la inteligencia artificial y, en 2022, establecimos nuestra Política Global de Ética de la IA, que se ha ido actualizando conforme han evolucionado tanto la tecnología como la regulación. Su versión actual tiene en cuenta expresamente, entre otros marcos, el AI Act europeo, el NIST AI Risk Management Framework, los principios de la OCDE e ISO/IEC 42001.

Esta política establece diez principios que deben aplicarse a los sistemas de IA de SAP, entre ellos proporcionalidad, seguridad, privacidad y protección de datos, supervisión humana, transparencia y explicabilidad y responsabilidad. Además, no se limita al desarrollo: gobierna el desarrollo, despliegue, comercialización y utilización de los sistemas de IA.

Todo ello se traduce en procesos concretos. Cada caso de uso de IA desarrollado, desplegado, comercializado o utilizado por SAP pasa por una evaluación de impacto ética. Los casos identificados como de alto riesgo pueden someterse a diferentes niveles de revisión y SAP establece también líneas rojas para determinados usos, que no pueden continuar su desarrollo, despliegue, comercialización o utilización.

 

¿Cómo van a afectar a la industria las nuevas obligaciones impuestas por esta Ley desde agosto de 2026? ¿Cómo está afectando a los proyectos de inteligencia artificial que llevan años en marcha en España?

Efectivamente, desde el 2 de agosto de 2026 son aplicables las obligaciones de transparencia del artículo 50 del reglamento europeo de IA. En SAP hemos concretado cómo trasladamos esos requisitos a nuestros productos y servicios de IA a través de medidas que se aplican a los sistemas de SAP, incluido Joule, y también a las interacciones de IA desarrolladas por clientes y partners con sistemas SAP mediante un entorno gobernado en el que los agentes de IA pueden interactuar con los sistemas y procesos de SAP bajo controles de acceso, trazabilidad y supervisión.

Entre esas medidas se encuentra informar al usuario antes de utilizar determinadas funcionalidades de IA y mostrar un aviso junto al resultado para indicar que ha sido generado con ayuda de esta tecnología y que debe verificarse antes de utilizarlo. Para los contenidos generados por IA, SAP contempla mecanismos como metadatos, marcas de agua, registros u otros controles técnicos y distingue entre contenidos generados por IA y aquellos elaborados con su asistencia.

También es importante la supervisión humana. Dependiendo del caso de uso, las soluciones de SAP contemplan mecanismos human-in-the-loop, human-on-the-loop y human-in-command. Para determinados casos, incluidos los sistemas de alto riesgo, los clientes pueden configurar el nivel y la forma de supervisión humana apropiados.

El modelo es de responsabilidad compartida. SAP, como proveedor, incorpora capacidades de transparencia, controles técnicos y opciones de configuración y proporciona la documentación necesaria. Los clientes, como responsables del despliegue, deben analizar sus casos de uso frente a los requisitos que les sean aplicables, configurar y activar los controles correspondientes y cumplir sus obligaciones de información frente a los usuarios.

 

Ante el choque regulatorio ente la Cloud Act de EE.UU. y la AI Act de Europa en materia de soberanía del dato, ¿esperan que aumente la demanda de soluciones de IA basadas en nubes soberanas europeas?

Más que plantearlo como un choque directo entre ambas regulaciones, desde SAP abordamos esta cuestión desde una perspectiva más amplia de soberanía digital. Para nosotros, la soberanía digital es la capacidad de una organización, un sector o un país de mantener un control efectivo sobre sus activos, tecnologías y operaciones digitales cuando utiliza servicios cloud, de acuerdo con los requisitos legales y estratégicos aplicables. Y comprende cuatro dimensiones interdependientes: soberanía del dato, operativa, técnica y legal.

Desde SAP entendemos que la soberanía va mucho más allá de dónde esté ubicada físicamente la infraestructura. También hay que considerar quién controla el software, quién opera las plataformas y quién asume la responsabilidad jurídica y operativa. Una soberanía efectiva requiere poder verificar dónde se procesan los datos, quién opera los sistemas críticos, qué marco jurídico se aplica y quién es responsable en cada nivel.

Al mismo tiempo, soberanía no significa aislamiento tecnológico ni la exclusión de proveedores globales. SAP defiende la integración de tecnologías globales dentro de marcos europeos legales y operativos, con responsabilidades claras y controles auditables.

Este planteamiento se materializa en EU AI Cloud de SAP, que proporciona a las empresas europeas y al sector público entornos cloud seguros y conformes para desarrollar y ejecutar IA, con acceso gobernado a modelos auditables de SAP y partners. Los datos permanecen en Europa; la infraestructura, administración y soporte son gestionados por equipos locales de SAP; y los clientes pueden elegir modelos y centros de datos y cambiar de opción cuando evolucionen sus necesidades técnicas o regulatorias. Además, con SAP los datos se mantienen protegidos y cifrados y no se utilizan para entrenar modelos de terceros.

 

¿Cómo creen en SAP que la obligación de aportar más explicabilidad y transparencia a la IA afectará a la competitividad de los fabricantes de software y proveedores de cloud europeos?

En SAP no vemos la transparencia y la explicabilidad como elementos contrapuestos a la competitividad. Al contrario, consideramos que son fundamentales para generar la confianza necesaria para que las empresas adopten la inteligencia artificial, especialmente cuando empieza a incorporarse a procesos críticos de negocio. Nuestra propia Política Global de Ética de la IA señala que una IA ética y responsable contribuirá a acelerar su adopción, reducir riesgos legales y operativos y generar una ventaja competitiva a largo plazo.

De hecho, como anteriormente hemos comentado, SAP comenzó a trabajar en estos principios mucho antes de que fueran una exigencia del reglamento europeo de IA. Publicamos nuestros primeros principios rectores para la IA en 2018 y establecimos nuestra Política Global de Ética de la IA en 2022. Transparencia y explicabilidad forman parte de ese marco y hoy nuestra política establece que las capacidades, el uso previsto y las limitaciones de los sistemas deben comunicarse y documentarse, y que el nivel de transparencia y explicabilidad debe ser adecuado y significativo para el usuario en cada contexto.

Esto adquiere todavía mayor importancia con la IA agéntica. A medida que aumenta la autonomía de estos sistemas, también aumenta la necesidad de trazabilidad para comprender cómo evolucionan los datos y las decisiones a través de múltiples agentes y procesos. Cuando corresponde, nuestra política contempla poder explicar cómo se ha generado un resultado, indicar las fuentes de datos en las que se fundamenta e identificar los datos o comportamientos del modelo que más han influido en él.

Otra cuestión diferente es cómo se aplica la regulación. Como ha señalado en varias ocasiones nuestro CEO, Christian Klein, Europa ya cuenta con unas bases regulatorias sólidas, entre ellas el RGPD y el reglamento europeo de IA, pero es necesario evitar que distintas interpretaciones nacionales y una excesiva complejidad regulatoria generen incertidumbre y ralenticen la adopción de la nube, la IA y otros servicios digitales críticos. Por eso SAP defiende una aplicación armonizada y práctica de las normas europeas que permita llevar la innovación a escala.

 

A finales del año que viene entran en vigor restricciones adicionales para entornos de IA de alto riesgo. ¿Cómo creen en SAP que esto afectará la demanda de soluciones on-premise frente a la IA basada en cloud?

De nuevo, desde SAP no planteamos la soberanía digital como una elección binaria entre on-premise y cloud. Desde siempre nuestro enfoque ha sido ofrecer al cliente la opción que mejor se adecúe a sus necesidades con diferentes alternativas en cuanto a arquitectura tecnológica. En este caso, creemos que las mayores exigencias de control van a requerir diferentes modelos de despliegue y niveles de soberanía, en función de la sensibilidad de los datos, el caso de uso y los requisitos regulatorios y operativos de cada organización. Un punto crítico y fundamental será armonizar los sistemas de IA de alto riesgo y alinearlos lo máximo posible con los estándares internacionales.

Para el sector público y las industrias altamente reguladas, la cuestión ya no es simplemente si utilizar o no la nube, sino cómo aprovechar sus capacidades manteniendo el cumplimiento, la seguridad y el control necesarios en su día a día. Por eso, SAP contempla diferentes alternativas de arquitectura que se adaptan a sus necesidades caso a caso.

En este contexto se enmarca EU AI Cloud de SAP, que es la oferta de nube soberana para Europa, adicional a las que ya existentes junto a nuestros partners, permitiendo a las organizaciones acceder de forma gobernada a modelos de IA de SAP y de terceros sobre infraestructura europea. La propuesta ofrece distintas opciones de infraestructura y despliegue para responder a diferentes necesidades de soberanía, manteniendo el control sobre los datos y los recursos de IA.

Para los entornos que requieren los niveles más elevados de control, SAP ofrece además SAP Sovereign Cloud On-Site, que permite desplegar infraestructura operada por SAP en un centro de datos propiedad del cliente o seleccionado por este, proporcionando los niveles más altos de soberanía de datos, operativa, técnica y legal.

En definitiva, se trata de ofrecer a cada organización la capacidad de elegir el modelo de despliegue y el nivel de soberanía que mejor responda a sus necesidades, desde la nube pública a la nube soberana.

 

¿Cómo abordan en SAP el cumplimiento con la Ley europea de IA?

Como hemos señalado más arriba, nuestro enfoque parte de una trayectoria que precede al propio AI Act. SAP estableció sus primeros principios rectores para la IA en 2018 y su Política Global de Ética de la IA en 2022. La versión actual, de junio de 2026, incorpora los desarrollos regulatorios y tecnológicos posteriores y tiene en cuenta expresamente el AI Act europeo, junto con otros marcos internacionales.

La política no se limita a principios generales. SAP dispone de una estructura específica de gobernanza que incluye el SAP Global AI Ethics Steering Committee, un comité específico de revisión de casos de alto riesgo y la SAP AI Ethics Office. Además, cada caso de uso de IA desarrollado, desplegado, comercializado o utilizado por SAP se somete a una evaluación ética de impacto.

Nuestra política establece asimismo que la intervención humana debe ser siempre posible, incluida la capacidad de revisar o anular los resultados del sistema. En función del caso de uso, se aplican mecanismos human-in-the-loop, human-on-the-loop o human-in-command.

A ello se añaden las medidas específicamente desarrolladas en relación con las obligaciones de transparencia del artículo 50: avisos sobre el uso de IA, identificación del contenido generado mediante esta tecnología, supervisión humana y gobernanza de tecnologías y modelos de terceros. SAP aplica procesos de gobernanza y diligencia debida a los proveedores externos que utiliza en sus soluciones, incluidos compromisos contractuales sobre transparencia, tratamiento de datos y cumplimiento regulatorio.

Además, SAP cuenta con la certificación ISO/IEC 42001 para su sistema de gestión de IA, dentro del cual operan estas medidas de transparencia. Por tanto, más que adaptar ahora nuestro enfoque a la regulación, hemos ido evolucionando un marco de gobernanza pionero de la IA que comenzó años antes del AI Act y que hoy incorpora sus requisitos a nuestros procesos, controles y soluciones.