Saltar a contenido

Reglamento de IA de la Unión Europea

Contexto

El Reglamento (UE) 2024/1689, conocido como Reglamento de IA o EU AI Act, es el primer marco regulatorio integral sobre inteligencia artificial adoptado en el mundo. Entró en vigor el 1 de agosto de 2024 y su aplicación es progresiva hasta 2027.

El Reglamento aplica a cualquier organización que desarrolle, distribuya o use sistemas de IA dentro de la Unión Europea, o cuyos sistemas de IA afecten a personas en la UE, independientemente de dónde esté establecida la organización.

¿Qué significa esto para mí? Guía por perfil

Antes de entrar en el detalle técnico, esta tabla resume lo que el Reglamento implica según tu rol en la organización.

Perfil Lo más importante Primera acción
Dirección general / CEO La organización puede ser sancionada por sistemas de IA que no cumplan con el Reglamento. Las multas alcanzan el 7% del volumen de negocio mundial. Verificar que existe un Comité de IA que supervisa el cumplimiento y un responsable designado.
Responsable legal / DPO Las obligaciones son inmediatas: las prácticas prohibidas (Art. 5) ya están en vigor desde febrero 2025. Los sistemas de RRHH (criba de CVs, evaluación de rendimiento) probablemente son de alto riesgo. Completar la clasificación de todos los sistemas de IA activos en la organización antes de agosto de 2026.
Responsable de RRHH o negocio Si la empresa usa IA para selección de personal, evaluación de rendimiento o asignación de tareas, esos sistemas probablemente son de alto riesgo bajo el Reglamento, con requisitos específicos. Revisar con el DPO todos los sistemas de IA que afectan a decisiones sobre empleados o candidatos.
Responsable de IT o sistemas Los sistemas de IA deben generar logs, tener documentación técnica y permitir supervisión humana. Esto afecta a cómo se configuran y despliegan las herramientas. Verificar que los sistemas de IA en producción generan registros de actividad y que existe documentación técnica actualizada.
Empleado que usa IA Debes informar a las personas cuando interactúan con un chatbot o sistema de IA, y revisar siempre los resultados antes de usarlos en decisiones que afecten a otras personas. La empresa está obligada a garantizar que recibes formación suficiente en IA (Art. 4). Completar la formación en IA asignada, seguir la Política de Uso Aceptable y reportar cualquier uso de IA que pueda afectar a personas.

Alfabetización en IA (Art. 4): la obligación que afecta a todos

A diferencia de la mayoría de los requisitos del Reglamento —que dependen del nivel de riesgo del sistema—, el Artículo 4 establece una obligación transversal que aplica con independencia del riesgo: tanto los proveedores como los responsables del despliegue (las organizaciones que usan IA) deben garantizar un nivel suficiente de alfabetización en IA de su personal y de quienes operan los sistemas en su nombre.

Conviene no confundir esta obligación con la supervisión humana del Art. 14 (que se refiere al diseño de los sistemas de alto riesgo): el Art. 4 se refiere a la competencia de las personas que usan IA en su trabajo.

Lo esencial:

  • En vigor desde el 2 de febrero de 2025. Aplica a toda organización y a autónomos, sin umbral mínimo de empleados y sin exención para pymes.
  • No impone un temario cerrado ni un título oficial. El Reglamento fija cinco criterios para valorar si la formación es "suficiente": el contexto técnico de uso, el propósito de las herramientas, la formación previa del personal, su posición en la organización y el perfil de las personas afectadas por las decisiones de la IA.
  • Debe documentarse. Como el resto del Reglamento, exige poder demostrar el cumplimiento. La formación impartida, su temario y la asistencia se conservan como evidencia (ver más abajo).
  • En España lo supervisa la AESIA, y su incumplimiento queda dentro del régimen sancionador general del Reglamento (ver Sanciones).

Cómo cumplirlo con este marco: el programa de formación por niveles está definido en Formación y habilitación; el Nivel 1 — Conciencia (2 h, todos los empleados) cubre el mínimo exigible para la mayoría de la plantilla. La evidencia se documenta con la plantilla de Registro de formación en IA, y cada empleado dispone de la Guía rápida de uso responsable como referencia permanente.

Calendario de aplicación

[!IMPORTANT] Situación a junio de 2026: Dos de los cuatro plazos ya han pasado. El tercero, el más relevante para la mayoría de las empresas, vence en menos de dos meses.

Fecha Qué entra en vigor Estado (junio 2026)
2 de agosto de 2024 Entrada en vigor del Reglamento ✅ En vigor
2 de febrero de 2025 Prohibición de sistemas de IA de riesgo inaceptable (Art. 5): social scoring, manipulación subliminal, reconocimiento biométrico masivo, etc. Y obligación de alfabetización en IA del personal (Art. 4). ✅ En vigor — cumplimiento obligatorio
2 de agosto de 2025 Obligaciones para modelos de IA de uso general (GPAI) como los grandes modelos de lenguaje; requisitos de gobernanza y transparencia para sus proveedores. ✅ En vigor
2 de agosto de 2026 Obligaciones completas para sistemas de IA de alto riesgo (Anexo III): sistemas de RRHH, scoring crediticio, evaluación educativa, infraestructuras críticas, etc. ⚠️ Próximo — menos de 2 meses
2 de agosto de 2027 Aplicación completa de los requisitos para sistemas de alto riesgo en productos con marcado CE (maquinaria, dispositivos médicos, vehículos). 🔜 Futuro

[!WARNING] Si tu organización usa sistemas de IA en procesos de selección de personal, evaluación de rendimiento de empleados, scoring financiero o cualquier otra categoría del Anexo III, el plazo para cumplir con los Arts. 9-15 es el 2 de agosto de 2026. Si no se ha iniciado el proceso de adecuación, es urgente hacerlo.

Clasificación de riesgo

El Reglamento clasifica los sistemas de IA en cuatro categorías según el riesgo que representan para los derechos fundamentales y la seguridad de las personas.

Riesgo inaceptable (prohibido)

Los sistemas de la categoría de riesgo inaceptable están prohibidos en la UE. Son aquellos que representan una amenaza clara para los derechos fundamentales de las personas.

Prácticas prohibidas (Art. 5):

  • Sistemas de puntuación social (social scoring) realizados por autoridades públicas o privadas que traten a personas de forma perjudicial basándose en comportamientos o características personales.
  • Sistemas de manipulación subconsciente o subliminal que alteren el comportamiento de las personas de forma que no sean conscientes de ello.
  • Sistemas que exploten vulnerabilidades de grupos específicos (edad, discapacidad, situación social) para influir en su comportamiento de forma perjudicial.
  • Reconocimiento de emociones en contextos laborales o educativos (con algunas excepciones).
  • Reconocimiento biométrico en tiempo real en espacios públicos por autoridades policiales (con excepciones muy acotadas para amenazas terroristas).
  • Sistemas de categorización biométrica que infieran características sensibles (orientación sexual, etnia, opiniones políticas, etc.) a partir de datos biométricos.

Consecuencia del incumplimiento: Multa de hasta 35 millones de euros o el 7% del volumen de negocio mundial, lo que sea mayor.

Alto riesgo (Anexo III)

Los sistemas de alto riesgo están permitidos pero sujetos a requisitos estrictos antes de su despliegue y durante su operación. Un sistema es de alto riesgo si cae dentro de alguna de las ocho áreas del Anexo III y si supone un riesgo significativo para la salud, la seguridad o los derechos fundamentales de las personas.

Excepción importante: Un sistema dentro del Anexo III no se considerará de alto riesgo si no supone dicho riesgo significativo. Sin embargo, los sistemas que realizan perfilado de personas siempre se consideran de alto riesgo.

Las ocho categorías del Anexo III:

Categoría Ejemplos de sistemas incluidos
1. Identificación biométrica Sistemas de verificación de identidad, reconocimiento facial para control de acceso
2. Infraestructuras críticas IA en gestión de redes eléctricas, agua, tráfico
3. Educación y formación IA para selección de estudiantes, evaluación de exámenes, monitorización en formación
4. Empleo y gestión de trabajadores IA para criba de CVs, evaluación del rendimiento, asignación de turnos, monitorización
5. Acceso a servicios esenciales IA en concesión de créditos, seguros, prestaciones sociales, servicios públicos
6. Aplicación de la ley IA para análisis de riesgos de reincidencia, predicción de crimen, detección de personas
7. Gestión de migración y fronteras IA para evaluación de solicitudes de asilo, detección de documentos, control fronterizo
8. Justicia y procesos democráticos IA para investigación judicial, influencia en elecciones, sistemas de votación

Requisitos para sistemas de alto riesgo (Arts. 9-15):

Requisito Descripción
Sistema de gestión de riesgos (Art. 9) Proceso continuo de identificación, análisis y mitigación de riesgos a lo largo del ciclo de vida
Gobernanza de datos (Art. 10) Los datos de entrenamiento, validación y test son relevantes, representativos y libres de errores en la medida posible
Documentación técnica (Art. 11) Documentación completa del sistema antes de su puesta en servicio: descripción, datos usados, evaluación de conformidad
Registro de actividad (Art. 12) Capacidad de registro automático de eventos (logs) durante el ciclo de vida del sistema
Transparencia (Art. 13) Los usuarios reciben información suficiente para interpretar y usar el sistema de forma adecuada
Supervisión humana (Art. 14) Los sistemas se diseñan para permitir que los humanos intervengan, supervisen y, si es necesario, detengan el sistema
Exactitud, robustez y ciberseguridad (Art. 15) El sistema funciona con niveles apropiados de exactitud; es resiliente ante errores e intentos de manipulación

Riesgo limitado

Los sistemas de riesgo limitado son los que presentan riesgos específicos de transparencia. No están sujetos a los requisitos de los sistemas de alto riesgo, pero deben cumplir con obligaciones de notificación.

Sistemas incluidos:

  • Chatbots y agentes conversacionales: los usuarios deben ser informados de que están interactuando con un sistema de IA, salvo que sea obvio por el contexto.
  • Sistemas generativos y deepfakes: el contenido generado por IA (texto, imágenes, audio, vídeo) debe estar etiquetado como tal cuando sea razonablemente probable que la persona crea que es de origen humano.
  • Síntesis de emoción o contenido de sensibilización pública: obligaciones específicas de etiquetado.

Riesgo mínimo o sin riesgo

La mayoría de los sistemas de IA caen en esta categoría: filtros de spam, sistemas de recomendación de contenido en plataformas sin impacto en derechos, videojuegos con IA, algoritmos de optimización de rutas, etc.

No tienen requisitos obligatorios bajo el Reglamento, aunque los proveedores pueden adherirse voluntariamente a códigos de conducta.

Modelos de IA de uso general (GPAI)

Los modelos de IA de uso general (como los grandes modelos de lenguaje) tienen un tratamiento específico a partir del 2 de agosto de 2025. Los proveedores de estos modelos deben:

  • Publicar documentación técnica y política de uso.
  • Cumplir con la normativa de derechos de autor.
  • Para modelos con riesgo sistémico (capacidades de cómputo superiores a 10^25 FLOP): evaluaciones de riesgo adicionales, gestión de incidentes graves, pruebas de adversarial.

Para las empresas que usan modelos GPAI pero no los desarrollan, lo relevante es verificar que el proveedor del modelo cumple con estos requisitos y documentar esa verificación.

Implicaciones prácticas para organizaciones desplegadoras

Las organizaciones que usan sistemas de IA (sin desarrollarlos) son "desplegadores" bajo el Reglamento y tienen obligaciones específicas:

  1. Identificar si sus sistemas caen en el Anexo III. Especialmente en áreas de RRHH (criba de CVs, evaluación de rendimiento), finanzas (scoring de crédito), atención al cliente con IA que tome decisiones, y cualquier sistema que realice perfilado de personas.

  2. Para sistemas de alto riesgo: implementar los controles del fabricante, definir la supervisión humana, mantener los logs de actividad y registrar el sistema en la base de datos de la UE (EU AI Database) cuando sea aplicable.

  3. Para chatbots y sistemas generativos: implementar la notificación al usuario de que está interactuando con IA.

  4. Documentar. El Reglamento requiere que las organizaciones puedan demostrar su cumplimiento. Sin documentación, no hay cumplimiento demostrable.

Sanciones

Infracción Multa máxima
Violación de las prohibiciones del Art. 5 (sistemas de riesgo inaceptable) 35 millones de euros o 7% del volumen de negocio mundial
Incumplimiento de los requisitos para sistemas de alto riesgo o para desplegadores 15 millones de euros o 3% del volumen de negocio mundial
Información incorrecta a organismos reguladores 7,5 millones de euros o 1% del volumen de negocio mundial

Las multas para pymes y startups aplican los mismos porcentajes o importes máximos, pero se toma el que sea inferior (ventaja para pequeñas empresas frente al régimen general, donde se toma el que sea mayor).

Estado del sistema de supervisión (junio 2026)

La Comisión Europea ha designado a la Oficina de IA (AI Office) como autoridad supervisora central para los modelos GPAI y coordinadora del sistema de supervisión nacional. En España, la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña, es la autoridad nacional competente para supervisar el cumplimiento del Reglamento.

Las orientaciones de aplicación publicadas hasta la fecha incluyen: - Clasificación de sistemas de alto riesgo: La Comisión publicó en 2025 directrices sobre cómo aplicar la excepción del Art. 6.3 (sistemas en Anexo III que no son de alto riesgo). Es importante revisar estas directrices antes de concluir que un sistema queda fuera del ámbito del alto riesgo. - Normas técnicas: CENELEC y CEN trabajan en las normas técnicas armonizadas (EN) que especifican cómo demostrar cumplimiento de los Arts. 9-15. Su adopción facilita la conformidad pero no es obligatoria: existen rutas alternativas de demostración.

Referencia