El Reglamento (UE) 2024/1689, la Ley de IA, entró en vigor el 1 de agosto de 2024 y se aplica por fases. Es un reglamento, así que se aplica directamente y por igual en toda la Unión, sin transposición, aunque cada Estado designa sus autoridades y concreta el régimen sancionador. Alcanza también a empresas de fuera de la UE cuando sus sistemas se comercializan en la Unión o el resultado que producen se utiliza en ella. No regula la IA en abstracto: regula usos concretos según el riesgo que suponen para la salud, la seguridad y los derechos fundamentales. Por eso, antes de pensar en obligaciones, hay que clasificar cada caso de uso.
Los cuatro niveles de riesgo
Prácticas prohibidas (artículo 5), aplicables desde el 2 de febrero de 2025: puntuación social, manipulación que explota vulnerabilidades, reconocimiento de emociones en el trabajo y en centros educativos salvo por razones médicas o de seguridad, extracción masiva de imágenes faciales para crear bases de datos, entre otras. Ningún proyecto legítimo de automatización empresarial debería acercarse a esta lista, pero conviene revisarla.
Alto riesgo (artículo 6 y anexos I y III): sistemas que son componentes de seguridad de productos regulados, y sistemas usados en ámbitos sensibles como el empleo (filtrado de candidatos, evaluación de trabajadores, decisiones de promoción o despido), la evaluación de solvencia de personas físicas, el acceso a servicios públicos y privados esenciales, la educación, la migración o la administración de justicia. Aquí están las obligaciones pesadas.
Riesgo limitado: obligaciones de transparencia del artículo 50. Quien interactúa con un sistema de IA, como un asistente conversacional, debe saberlo, salvo que sea evidente, y los contenidos sintéticos deben poder identificarse como tales.
Riesgo mínimo: todo lo demás, sin obligaciones específicas más allá de la alfabetización en IA. Aquí cae la mayor parte de la automatización de procesos: extracción de datos de facturas, clasificación de correos, conciliaciones, generación de borradores revisados por una persona.
Cómo clasificar un caso de automatización
La pregunta clave no es qué tecnología usas, sino qué decide o prepara el sistema y sobre quién. Un modelo que extrae importes de facturas de proveedores es de riesgo mínimo. El mismo tipo de modelo, usado para puntuar y descartar currículos, entra en el anexo III y es de alto riesgo. Un asistente que responde a clientes es de riesgo limitado: tiene que identificarse como IA. Si el asistente además decide quién accede a un servicio esencial, la clasificación cambia.
El artículo 6.3 prevé cuatro supuestos en los que un sistema del anexo III no se considera de alto riesgo: cuando realiza una tarea procedimental limitada; cuando mejora el resultado de una actividad humana ya realizada; cuando detecta patrones de decisión o desviaciones respecto de patrones anteriores sin sustituir ni influir en la evaluación humana sin la revisión adecuada; o cuando realiza una tarea preparatoria de una evaluación que hace una persona. En todos los casos, siempre que no elabore perfiles de personas físicas. Quien se acoja a esa excepción debe documentar su evaluación antes de comercializar o poner en servicio el sistema, registrarlo en la base de datos de la UE y facilitar esa documentación a las autoridades si la piden.
Proveedor o responsable del despliegue
La ley distingue entre el proveedor, que desarrolla un sistema y lo comercializa con su nombre, y el responsable del despliegue, que lo usa bajo su autoridad en su actividad profesional. La mayoría de las empresas que automatizan sus procesos son responsables del despliegue. Pero ojo: si construyes un sistema propio de alto riesgo, aunque sea para uso interno, asumes las obligaciones del proveedor.
Para sistemas de alto riesgo, el proveedor carga con lo más pesado: sistema de gestión de riesgos, gobernanza de los datos de entrenamiento, documentación técnica, registros automáticos, supervisión humana por diseño, exactitud y solidez, evaluación de la conformidad, marcado CE y registro en la base de datos de la UE. El responsable del despliegue debe usarlo conforme a las instrucciones, asignar supervisión humana a personas competentes, vigilar su funcionamiento, conservar los registros que estén bajo su control durante al menos seis meses, salvo que otra norma fije otro plazo, e informar a los representantes de los trabajadores y a los trabajadores afectados antes de usarlo en el entorno laboral. Deben además realizar una evaluación de impacto sobre los derechos fundamentales (artículo 27) los organismos de Derecho público, las entidades privadas que prestan servicios públicos y quien despliegue sistemas de evaluación de solvencia de personas físicas o de fijación de precios y evaluación de riesgos en seguros de vida y salud.
El calendario, tras la reforma de 2026
El calendario original se modificó con el Reglamento (UE) 2026/1744, conocido como «Digital Omnibus» sobre IA, publicado el 24 de julio de 2026 y en vigor desde el 27 de julio de 2026. Las fechas que rigen ahora son:
- 2 de febrero de 2025: prácticas prohibidas y alfabetización en IA del artículo 4. Tras la reforma, el artículo 4 obliga a proveedores y responsables del despliegue a adoptar medidas para fomentar la alfabetización en IA de su personal, sin exigir un nivel concreto.
- 2 de agosto de 2025: obligaciones de los modelos de IA de uso general, gobernanza y régimen sancionador.
- 2 de agosto de 2026: fecha general de aplicación, incluidas las obligaciones de transparencia del artículo 50: quien interactúa con una IA debe saberlo. La obligación de marcar los contenidos sintéticos tiene un periodo transitorio hasta el 2 de diciembre de 2026 para los sistemas comercializados antes del 2 de agosto de 2026.
- 2 de diciembre de 2027: sistemas de alto riesgo del anexo III (empleo, solvencia, servicios esenciales, educación y demás), aplazados desde agosto de 2026.
- 2 de agosto de 2028: sistemas de alto riesgo integrados en productos regulados del anexo I.
El aplazamiento da margen, pero no cambia el trabajo: clasificar tus casos de uso y documentar esa clasificación hay que hacerlo igualmente, y cuanto antes se diseña la supervisión humana, más barata sale.
Sanciones
Hasta 35 millones de euros o el 7 % del volumen de negocio mundial por prácticas prohibidas; hasta 15 millones o el 3 % por incumplir otras obligaciones, incluidas las de alto riesgo y transparencia; y hasta 7,5 millones o el 1 % por facilitar información inexacta a las autoridades. En España, la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) es la autoridad de referencia, pero la supervisión se reparte con autoridades sectoriales según el ámbito, como la AEPD, el Banco de España o la CNMV. Comprueba en la normativa nacional quién es competente en tu caso.
Qué hacer ahora
Haz un inventario de los sistemas de IA que usas o construyes, clasifica cada uno y deja constancia del razonamiento. Identifica dónde tienes un asistente o un contenido generado que deba identificarse como IA. Si algún caso roza el anexo III, trátalo como proyecto aparte, con supervisión humana real diseñada desde el principio. Y recuerda que la Ley de IA se suma al RGPD, no lo sustituye: nuestra guía sobre el RGPD en la automatización con IA cubre la otra mitad.
Preguntas que nos hacen sobre esto
Normalmente no. Un asistente que responde consultas es de riesgo limitado: la obligación principal es que el usuario sepa que habla con una IA, salvo que resulte evidente. Pasaría a otra categoría si decidiera, por ejemplo, el acceso de una persona a un servicio esencial o su solvencia.
Los del anexo III, como los que filtran candidatos o evalúan a trabajadores, evalúan la solvencia de personas físicas o deciden el acceso a servicios esenciales, y los que son componentes de seguridad de productos regulados. La automatización de facturas, conciliaciones o clasificación documental suele ser de riesgo mínimo.
Por fases: prohibiciones y alfabetización desde el 2 de febrero de 2025, modelos de uso general desde el 2 de agosto de 2025 y aplicación general, incluida la transparencia del artículo 50, desde el 2 de agosto de 2026. Tras la reforma del Reglamento (UE) 2026/1744, los sistemas de alto riesgo del anexo III se aplican desde el 2 de diciembre de 2027 y los integrados en productos regulados desde el 2 de agosto de 2028.
Si usas un sistema bajo tu autoridad en tu actividad profesional, eres responsable del despliegue. Si construyes un sistema propio sobre ese modelo y lo pones en servicio con tu nombre, puedes pasar a ser proveedor de ese sistema, con las obligaciones correspondientes si es de alto riesgo.
La Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) es la autoridad de referencia, junto con autoridades sectoriales según el ámbito, como la AEPD, el Banco de España o la CNMV. A nivel europeo, la Oficina de IA de la Comisión supervisa los modelos de uso general.
No. Se aplican a la vez. Si el sistema trata datos personales, el RGPD sigue exigiendo base jurídica, transparencia, minimización y, en muchos casos, una evaluación de impacto, además de las garantías frente a las decisiones exclusivamente automatizadas.
Tráenos el proceso por el que leías esto
Evaluación confidencial dirigida por ingenieros sénior. Sin compromiso.