Saltar a contenido

Lo que ya es obligatorio

En resumen

  • Si en vuestra empresa se usa IA en el trabajo, aunque sea una herramienta de uso general como un asistente de chat, el Reglamento Europeo de IA ya os afecta. No importa el tamaño de la empresa.
  • Hoy hay tres bloques de obligaciones en vigor: formar a quien usa IA, no recurrir a prácticas prohibidas y ser transparentes con el contenido generado.
  • La ley española que fija las sanciones está en tramitación, pero las obligaciones ya se aplican. Lo sensato es cumplir y poder demostrarlo.

Situación verificada a 17 de septiembre de 2026, tras el Reglamento Ómnibus Digital sobre IA (Reglamento (UE) 2026/1744).

A quién se aplica

El Reglamento distingue entre quien desarrolla un sistema de IA (proveedor) y quien lo usa en su actividad profesional (responsable del despliegue). La mayoría de las empresas están en el segundo grupo, y eso no les quita obligaciones.

No hay umbral de empleados ni exención para pymes. Una empresa de veinte personas que usa IA para redactar ofertas o responder a clientes tiene las mismas obligaciones de base que una gran empresa.

1. Formar a las personas que usan IA (art. 4)

Qué exige. Adoptar medidas para apoyar la alfabetización en IA del personal y de quien use sistemas de IA en vuestro nombre. Esas medidas deben tener en cuenta sus conocimientos, su experiencia y el contexto en el que usan la IA. Es aplicable desde febrero de 2025.

Qué cambió en 2026. El texto original hablaba de garantizar un nivel suficiente de alfabetización. El Ómnibus lo ha suavizado: ahora se trata de poner los medios, sin obligación de certificar el nivel de cada persona. La obligación se mantiene: hay que hacer algo, y hay que poder demostrarlo.

Qué no exige. No hay temario oficial ni títulos acreditados. La formación tiene que ser proporcionada al puesto: quien usa IA en decisiones sobre clientes o empleados necesita más formación que quien la usa para resumir documentos internos.

Lo que conviene tener. Un registro de qué formación se ha dado, a quién, cuándo y con qué contenido.

2. No recurrir a prácticas prohibidas (art. 5)

El Reglamento prohíbe algunos usos de la IA por el daño que pueden causar. Los que más pueden tocar a una empresa son:

  • Reconocer emociones de empleados o candidatos en el trabajo o en procesos de selección, salvo por motivos médicos o de seguridad.
  • Manipular a las personas o aprovecharse de sus vulnerabilidades (edad, discapacidad, situación social o económica) de forma que les cause un perjuicio importante.
  • Puntuar a las personas por su comportamiento o sus rasgos personales y tratarlas peor por ello en contextos que no tienen relación.
  • Deducir rasgos sensibles (origen étnico, ideas políticas, afiliación sindical, orientación sexual…) a partir de datos biométricos.

Desde el 2 de diciembre de 2026 se añade una prohibición nueva, introducida por el Ómnibus: usar IA para generar contenido íntimo o sexual de personas reales sin su consentimiento o material de abuso sexual infantil.

Casi ninguna empresa hace esto a propósito. El riesgo real está en las herramientas de terceros: un software de selección que "analiza la actitud" del candidato en una videoentrevista, o una plataforma de centralita que evalúa a vuestros agentes por el tono emocional de su voz, pueden caer aquí sin que nadie se haya dado cuenta.

Es la infracción más grave del Reglamento: hasta 35 millones de euros o el 7 % de la facturación mundial. En pymes se aplica la menor de las dos cantidades.

3. Ser transparentes (art. 50, aplicable desde el 2 de agosto de 2026)

  • Imágenes, audio o vídeo generados o alterados con IA que parezcan reales (deepfakes): hay que indicarlo de forma visible o perceptible. Una marca técnica invisible no basta. En obras claramente creativas, satíricas o de ficción, el aviso puede ser más discreto.
  • Textos generados con IA que se publican para informar al público sobre asuntos de interés general: hay que indicarlo, salvo que una persona los haya revisado de verdad y alguien asuma la responsabilidad editorial.
  • Reconocimiento de emociones o categorización biométrica de clientes o del público (fuera del ámbito laboral, donde está prohibido): hay que informar a las personas afectadas.
  • Chatbots y asistentes de cara al público: la persona tiene que saber que habla con una IA, salvo que sea evidente. La obligación recae sobre todo en quien proporciona el sistema, pero si lo ofrecéis con vuestra marca, aseguraos de que avisa.

El aviso debe darse como tarde en el primer contacto y ser claro. La Comisión Europea publicó en julio de 2026 directrices sobre cómo aplicarlo.

Para cumplir aquí basta un criterio escrito de cuándo y cómo se etiqueta, que conozcan quienes publican contenido (web, redes sociales, comunicaciones).

¿Quién vigila y qué sanciones hay en España?

  • La autoridad es la AESIA (Agencia Española de Supervisión de la IA), junto con la AEPD en lo que afecta a datos personales.
  • El régimen sancionador español se fija en el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA. El Gobierno lo aprobó el 26 de mayo de 2026 y, según la información disponible a septiembre de 2026, sigue en tramitación en el Congreso.
  • Las cuantías máximas las marca el Reglamento europeo:
    • Hasta 35 M€ o el 7 % por prácticas prohibidas.
    • Hasta 15 M€ o el 3 % por el resto de las obligaciones, incluida la transparencia.
    • Hasta 7,5 M€ o el 1 % por dar información incorrecta a las autoridades.

Que la ley española esté pendiente no es motivo para esperar

Las obligaciones europeas ya se aplican. La ley puede aprobarse en cualquier momento, y las evidencias (formación, inventario, criterios) llevan tiempo. Además, si hay datos personales de por medio, la AEPD ya puede sancionar por el RGPD.

Lo que todavía no es obligatorio

Las obligaciones de los sistemas de alto riesgo se han aplazado a diciembre de 2027. Ahí entra la IA usada para seleccionar o evaluar a empleados o para conceder crédito. El detalle está en Calendario y Digital Omnibus.

Cómo se demuestra

Obligación Evidencia mínima
Formación Registro de acciones formativas: asistentes, fecha, contenido y a qué puestos va dirigida
Prácticas prohibidas Inventario de las herramientas de IA en uso, incluidas las que el equipo usa por su cuenta, revisado frente a la lista de prohibiciones
Transparencia Criterio de etiquetado aprobado y avisos visibles en chatbots y contenido generado

El inventario es la pieza central: si no sabéis qué herramientas se usan, no podéis asegurar que ninguna incumple.

Qué se espera del comité

  • ¿Sabemos qué herramientas de IA se usan hoy en la empresa, incluidas las gratuitas que cada persona usa por su cuenta?
  • ¿Hemos revisado si alguna herramienta de terceros analiza emociones o perfila a personas?
  • ¿Tenemos registro de la formación impartida y un plan para quien se incorpore?
  • ¿Tenemos un criterio aprobado de etiquetado y avisos en los chatbots?
  • ¿Está claro quién responde si una autoridad o un cliente nos pide evidencias?

Si alguna respuesta es "no" o "no lo sabemos", ese es el primer punto del orden del día.

Fuentes oficiales