El EU AI Act ya es una realidad. Desde el 1 de agosto de 2024 está en vigor la primera ley integral de inteligencia artificial del mundo, y en agosto de 2026 entran en aplicación las obligaciones más importantes: las que afectan a los sistemas de IA de alto riesgo. Si tu empresa desarrolla, distribuye o utiliza IA en Europa — o si tus productos llegan a usuarios europeos desde fuera de la UE — necesitas entender esta regulación. En esta guía práctica te explicamos todo: clasificación de riesgos, fechas clave, obligaciones concretas, multas y cómo prepararte paso a paso.
Qué es el EU AI Act y por qué importa
El Reglamento Europeo de Inteligencia Artificial (EU AI Act, Reglamento UE 2024/1689) es el primer marco legal integral del mundo diseñado específicamente para regular la inteligencia artificial. Fue adoptado el 21 de mayo de 2024 y entró en vigor el 1 de agosto de 2024, con una aplicación progresiva que culminará en agosto de 2027.
¿Por qué debería importarte? Por tres razones fundamentales:
- Alcance extraterritorial: Afecta a cualquier empresa del mundo cuyos sistemas de IA lleguen a usuarios en la Unión Europea, similar al efecto del GDPR
- Multas millonarias: Hasta 35 millones de euros o el 7% de la facturación global anual por las infracciones más graves
- Agosto de 2026 es la fecha crítica: Las obligaciones para sistemas de IA de alto riesgo entran en aplicación plena, y la Comisión Europea comienza a ejercer sus poderes sancionadores sobre modelos de IA de propósito general
La ley adopta un enfoque basado en riesgos: cuanto mayor sea el riesgo que un sistema de IA represente para los derechos fundamentales y la seguridad de las personas, más estrictas serán las obligaciones. Esto significa que no toda la IA está regulada de la misma manera — un chatbot de atención al cliente no tiene las mismas exigencias que un sistema de diagnóstico médico.
Cronología de implementación: fechas clave
El EU AI Act no se aplica de golpe. Su implementación es escalonada para dar tiempo a empresas y organismos a adaptarse:
| Fecha | Hito | Qué implica |
|---|---|---|
| 1 agosto 2024 | Entrada en vigor | El reglamento se convierte en ley, pero la mayoría de obligaciones aún no son exigibles |
| 2 febrero 2025 | Prohibiciones activas | Se prohíben los sistemas de IA de riesgo inaceptable (scoring social, manipulación subliminal, etc.) |
| 2 agosto 2025 | Gobernanza + GPAI | Entran en vigor las reglas de gobernanza y las obligaciones para modelos de IA de propósito general (GPAI) |
| 2 febrero 2026 | Guías de la Comisión | Publicación de directrices con lista práctica de sistemas de alto riesgo y no alto riesgo |
| 2 agosto 2026 | Aplicación plena | Obligaciones para sistemas de alto riesgo, poderes sancionadores de la Comisión sobre GPAI, marcado CE obligatorio |
| 2 agosto 2027 | Productos regulados | Periodo de transición ampliado para sistemas de IA de alto riesgo integrados en productos ya regulados por normativa sectorial de la UE |
Clasificación por niveles de riesgo
El corazón del EU AI Act es su pirámide de riesgos, que clasifica los sistemas de IA en cuatro categorías según su potencial impacto negativo:
Nivel 1: Riesgo inaceptable (PROHIBIDO)
Estos sistemas están completamente prohibidos desde febrero de 2025. La UE los considera una amenaza directa a los derechos fundamentales:
- Scoring social gubernamental: Sistemas que puntúan a ciudadanos por su comportamiento social (como el sistema de crédito social chino)
- Manipulación subliminal: IA que explota vulnerabilidades psicológicas o cognitivas para alterar el comportamiento de personas
- Identificación biométrica remota en tiempo real en espacios públicos por parte de fuerzas de seguridad (con excepciones muy limitadas: terrorismo, secuestros, delitos graves)
- Categorización biométrica basada en raza, orientación sexual, creencias religiosas o políticas
- Scraping masivo de imágenes faciales de internet o CCTV para crear bases de datos de reconocimiento facial
- Reconocimiento de emociones en el trabajo y en centros educativos
- Policía predictiva basada exclusivamente en perfiles o rasgos de personalidad
Nivel 2: Alto riesgo
Los sistemas de alto riesgo son el foco principal del reglamento. Están permitidos, pero sujetos a obligaciones estrictas. Incluyen IA utilizada en:
| Dominio | Ejemplos de sistemas de alto riesgo |
|---|---|
| Biometría | Identificación biométrica remota (diferida), verificación de identidad, categorización biométrica |
| Infraestructuras críticas | Gestión de redes eléctricas, suministro de agua, sistemas de tráfico |
| Educación | Evaluación de estudiantes, acceso a instituciones educativas, detección de plagio con IA |
| Empleo y RRHH | Algoritmos de contratación, filtrado de CV, evaluación de rendimiento, decisiones de despido |
| Servicios esenciales | Scoring crediticio, evaluación de seguros, acceso a prestaciones públicas |
| Justicia y ley | Evaluación de pruebas, predicción de reincidencia, asistencia en sentencias |
| Migración | Evaluación de solicitudes de asilo, detección en fronteras, verificación de documentos |
| Procesos democráticos | Sistemas que influyen en resultados electorales |
Nivel 3: Riesgo limitado (transparencia)
Estos sistemas no requieren evaluaciones de conformidad, pero sí obligaciones de transparencia:
- Chatbots: Deben informar al usuario de que está interactuando con una IA
- Deepfakes: El contenido generado o manipulado por IA debe estar claramente etiquetado
- Generación de texto: Los textos generados por IA sobre asuntos de interés público deben estar identificados como tales
- Sistemas de reconocimiento de emociones: Deben informar a las personas de que están siendo analizadas (fuera del trabajo y la educación, donde están prohibidos)
Nivel 4: Riesgo mínimo
La gran mayoría de sistemas de IA. Filtros de spam, videojuegos con IA, recomendadores de contenido, asistentes virtuales genéricos... No tienen obligaciones específicas bajo el EU AI Act, aunque se anima a las empresas a seguir códigos de conducta voluntarios.
Obligaciones para empresas según su rol
El EU AI Act distingue varios roles en la cadena de valor de la IA, y cada uno tiene obligaciones diferentes:
Proveedores (developers/creadores)
Los proveedores son quienes desarrollan un sistema de IA y lo comercializan o ponen en servicio. Soportan la mayor carga regulatoria:
- Sistema de gestión de riesgos: Implementar, documentar y mantener un proceso continuo de identificación, análisis y mitigación de riesgos durante todo el ciclo de vida del sistema
- Gobernanza de datos: Garantizar que los datos de entrenamiento, validación y prueba sean representativos, relevantes, lo más completos posible y libres de errores
- Documentación técnica: Mantener documentación exhaustiva que demuestre el cumplimiento del reglamento
- Supervisión humana: Diseñar el sistema para que pueda ser supervisado de forma efectiva por personas
- Precisión, robustez y ciberseguridad: Garantizar niveles adecuados de rendimiento y protección
- Evaluación de conformidad: Completar la evaluación antes de comercializar, con marcado CE obligatorio
- Registro en base de datos UE: Registrar el sistema y la empresa en la base de datos pública de la UE antes de su puesta en servicio
- Sistema de gestión de calidad: Implementar y documentar un QMS que cubra todo lo anterior
Desplegadores (deployers/usuarios empresariales)
Los desplegadores son las empresas que utilizan sistemas de IA de alto riesgo en sus operaciones (por ejemplo, un banco que usa un sistema de scoring crediticio de terceros):
- Supervisión humana: Asignar personas competentes para supervisar el funcionamiento del sistema
- Monitorización: Vigilar el rendimiento del sistema y reportar incidentes graves al proveedor y las autoridades
- Evaluación de impacto: Realizar evaluaciones de impacto sobre derechos fundamentales (obligatorio para entidades públicas y ciertas empresas privadas)
- Conservación de logs: Mantener los registros automáticos generados por el sistema durante un mínimo de 6 meses
- Transparencia: Informar a las personas afectadas de que están sujetas a decisiones tomadas o asistidas por IA de alto riesgo
Importadores y distribuidores
Quienes introduzcan en el mercado de la UE sistemas de IA desarrollados fuera de Europa deben verificar que el proveedor ha cumplido con las evaluaciones de conformidad, que existe documentación técnica adecuada y que el sistema lleva el marcado CE.
IA de propósito general (GPAI): reglas específicas
Los modelos de IA de propósito general (General Purpose AI o GPAI) — como GPT-5, Claude, Gemini o Llama — tienen un régimen regulatorio propio que entró en vigor en agosto de 2025:
Obligaciones para todos los proveedores de GPAI
- Proporcionar documentación técnica actualizada
- Ofrecer instrucciones de uso claras para proveedores downstream que integren el modelo
- Cumplir con la Directiva de Derechos de Autor de la UE
- Publicar un resumen detallado sobre los datos utilizados para el entrenamiento
Obligaciones adicionales para GPAI con riesgo sistémico
Un modelo GPAI presenta riesgo sistémico cuando ha sido entrenado con más de 1025 FLOPs (operaciones de coma flotante). Estos modelos deben además:
- Realizar evaluaciones de modelo incluyendo pruebas adversariales para identificar riesgos sistémicos
- Evaluar y mitigar riesgos sistémicos potenciales, incluyendo sus fuentes
- Reportar incidentes graves a la Oficina de IA y las autoridades nacionales competentes sin demora
- Garantizar un nivel adecuado de protección en ciberseguridad
Si utilizas modelos GPAI en tus proyectos, te recomendamos nuestra guía de herramientas de IA gratuitas para entender qué modelos y servicios están disponibles en 2026.
Multas y sanciones: lo que te juegas
El EU AI Act establece un sistema de multas en tres niveles, proporcionales a la gravedad de la infracción:
| Nivel | Infracción | Multa máxima |
|---|---|---|
| Nivel 1 | Uso de prácticas de IA prohibidas (riesgo inaceptable) | Hasta 35 millones de euros o el 7% de la facturación mundial anual (lo que sea mayor) |
| Nivel 2 | Incumplimiento de obligaciones del reglamento (alto riesgo, GPAI, etc.) | Hasta 15 millones de euros o el 3% de la facturación mundial anual |
| Nivel 3 | Proporcionar información incorrecta, incompleta o engañosa a las autoridades | Hasta 7,5 millones de euros o el 1% de la facturación mundial anual |
¿Quién sanciona?
- Autoridades nacionales de supervisión: Cada Estado miembro debe designar al menos una autoridad competente para supervisar y hacer cumplir el reglamento a nivel nacional
- Oficina Europea de IA (AI Office): Tiene poderes de ejecución directa sobre los modelos GPAI, pudiendo investigar, sancionar y exigir medidas correctivas a los proveedores de estos modelos a partir de agosto de 2026
- Comité Europeo de IA (AI Board): Coordina la aplicación uniforme entre los 27 Estados miembros
Guía paso a paso para cumplir con el EU AI Act
Si tu empresa desarrolla o utiliza sistemas de IA, estos son los pasos prácticos para garantizar el cumplimiento antes de agosto de 2026:
Paso 1: Inventario de sistemas de IA
Identifica y cataloga todos los sistemas de IA que tu organización desarrolla, distribuye o utiliza. Incluye herramientas de terceros, modelos integrados en productos y automatizaciones basadas en IA. Si usas plataformas como n8n para automatización con IA, asegúrate de documentar todos los workflows que incluyan componentes de inteligencia artificial.
Paso 2: Clasificación de riesgo
Para cada sistema identificado, determina en qué nivel de la pirámide de riesgos se sitúa. Consulta la lista de la Comisión Europea publicada en febrero de 2026 con ejemplos prácticos de sistemas de alto riesgo y no alto riesgo. La clasificación depende del uso concreto, no de la tecnología subyacente.
Paso 3: Verificar prácticas prohibidas
Asegúrate de que ninguno de tus sistemas entra en la categoría de riesgo inaceptable. Las prohibiciones ya están activas desde febrero de 2025. Si detectas algún sistema prohibido, debes cesarlo inmediatamente.
Paso 4: Implementar requisitos de alto riesgo
Para cada sistema clasificado como alto riesgo:
- Establece un sistema de gestión de riesgos documentado
- Implementa medidas de gobernanza de datos
- Prepara la documentación técnica completa
- Diseña mecanismos de supervisión humana
- Asegura niveles adecuados de precisión, robustez y ciberseguridad
- Implanta un sistema de gestión de calidad (QMS)
Paso 5: Evaluación de conformidad y marcado CE
Completa la evaluación de conformidad correspondiente. Para la mayoría de sistemas de alto riesgo, es una autoevaluación basada en estándares armonizados. Para sistemas biométricos de alto riesgo, se requiere evaluación por un organismo notificado independiente. Tras aprobar la evaluación, afija el marcado CE.
Paso 6: Registro en la base de datos de la UE
Registra tu empresa y cada sistema de alto riesgo en la base de datos pública de la Unión Europea antes de su puesta en el mercado o en servicio.
Paso 7: Monitorización continua
El cumplimiento no es un evento puntual. Establece procesos de monitorización post-comercialización, reporta incidentes graves y actualiza la documentación cuando el sistema cambie significativamente.
Comparativa global: EU vs. EE. UU. vs. China
El EU AI Act no existe en el vacío. Las tres grandes potencias tecnológicas abordan la regulación de la IA desde enfoques muy diferentes:
| Aspecto | Unión Europea | Estados Unidos | China |
|---|---|---|---|
| Enfoque | Regulación integral basada en riesgos | Regulación sectorial y órdenes ejecutivas | Regulación por tecnología específica |
| Ley principal | EU AI Act (2024) | Sin ley federal integral; órdenes ejecutivas + leyes estatales | Múltiples regulaciones: algoritmos (2022), deepfakes (2023), IA generativa (2023) |
| Alcance | Todos los sectores, enfoque horizontal | Varía por sector y estado | Tecnologías específicas + control de contenido |
| Prioridad | Derechos fundamentales y seguridad | Innovación y competitividad | Control estatal y estabilidad social |
| Multas máximas | 35M euros / 7% facturación global | Varía por sector (FTC, SEC, etc.) | Multas + cierre de servicio + responsabilidad penal |
| Modelos base producidos | ~3 | ~40+ | ~15+ |
| Crítica principal | Puede frenar innovación | Fragmentación y falta de coherencia | Falta de transparencia y control sobre ciudadanos |
Europa lidera en regulación, pero se encuentra rezagada en capacidad de desarrollo de IA. Los 27 Estados miembros combinados han producido solo tres modelos base de IA, frente a más de 40 de Estados Unidos y 15 de China. El reto para la UE es demostrar que un marco regulatorio sólido puede coexistir con un ecosistema de innovación competitivo.
Impacto para usuarios y ciudadanos
El EU AI Act no solo afecta a empresas. Como ciudadano o usuario de servicios basados en IA, la ley te otorga nuevos derechos:
- Derecho a saber: Si una decisión que te afecta (crédito, empleo, servicios públicos) ha sido tomada o asistida por un sistema de IA de alto riesgo, deben informarte
- Derecho a explicación: Los desplegadores de sistemas de alto riesgo deben poder explicar cómo el sistema ha llegado a una decisión que te afecte significativamente
- Protección contra manipulación: Los sistemas diseñados para manipular tu comportamiento de forma subliminal están prohibidos
- Transparencia en chatbots: Siempre debes saber si estás hablando con una IA o con una persona
- Etiquetado de deepfakes: El contenido generado por IA (imágenes, vídeos, audio) debe estar claramente identificado
- Derecho a reclamar: Puedes presentar quejas ante las autoridades nacionales de supervisión si crees que un sistema de IA vulnera tus derechos
Si utilizas herramientas de IA en tu día a día — como las que cubrimos en nuestra guía de vibe coding para crear aplicaciones sin programar — es importante que conozcas tanto tus derechos como las responsabilidades que asumes al integrar IA en productos o servicios.
Preguntas Frecuentes
¿El EU AI Act afecta a empresas fuera de Europa?
Sí. El reglamento tiene alcance extraterritorial: se aplica a cualquier empresa del mundo que comercialice o ponga en servicio sistemas de IA en el mercado de la UE, o cuyos outputs se utilicen dentro de la Unión. Es similar al efecto del GDPR. Si tu IA llega a usuarios europeos, debes cumplir.
¿Mi chatbot necesita cumplir con el EU AI Act?
Depende del uso. Un chatbot genérico de atención al cliente se clasifica como riesgo limitado, y solo necesita informar al usuario de que está interactuando con una IA. Sin embargo, si el chatbot toma decisiones que afectan a derechos fundamentales (por ejemplo, evalúa solicitudes de crédito o filtra candidatos), podría clasificarse como alto riesgo con obligaciones mucho más estrictas.
¿Qué pasa con el software open source de IA?
Los modelos de IA distribuidos bajo licencias libres y de código abierto tienen exenciones parciales. Los proveedores de modelos GPAI open source solo deben cumplir con la normativa de derechos de autor y publicar un resumen de los datos de entrenamiento. Sin embargo, esta exención no aplica si el modelo presenta riesgo sistémico (entrenado con más de 1025 FLOPs).
¿Cuánto tiempo tengo para adaptarme?
Depende de la categoría de tu sistema. Las prohibiciones ya están activas (desde febrero 2025). Las obligaciones para GPAI están vigentes desde agosto 2025. Las de alto riesgo entran en aplicación el 2 de agosto de 2026. Para sistemas de alto riesgo en productos regulados sectorialmente, el plazo se extiende hasta agosto de 2027.
¿Existen ayudas o sandboxes regulatorios para empresas?
Sí. El EU AI Act establece que los Estados miembros deben crear sandboxes regulatorios de IA — entornos controlados donde empresas (especialmente PYMEs y startups) pueden desarrollar y probar sistemas de IA innovadores bajo supervisión regulatoria antes de su comercialización. Además, se prevén medidas de apoyo específicas para reducir la carga administrativa de las PYMEs.
Comentarios
Inicia sesion para dejar un comentario
Acceder
