Reglamento de IA (AI Act): qué es y a quién afecta

En resumen

El AI Act es el Reglamento (UE) 2024/1689, el Reglamento de Inteligencia Artificial, al que muchos llaman la ley europea de IA. Entró en vigor el 1 de agosto de 2024 y se aplica por fases hasta agosto de 2028.
Afecta a quien desarrolla sistemas de IA y los comercializa (el proveedor) y a quien los usa en su actividad profesional (el responsable del despliegue). Una pyme que usa un chatbot, un asistente de redacción o un programa que criba currículos está en el segundo grupo.
Desde el 2 de febrero de 2025 hay prácticas de IA prohibidas, y toda empresa que use IA tiene que tomar medidas para que su plantilla sepa usarla. Desde el 2 de agosto de 2026 se aplican las normas de transparencia, como avisar de que un texto o un vídeo lo ha generado una IA.
Las normas para los sistemas de alto riesgo (selección de personal, crédito, educación, entre otros) se retrasaron con el Ómnibus digital sobre IA: se aplican a partir del 2 de diciembre de 2027, o del 2 de agosto de 2028 si la IA va integrada en productos.
El AI Act no sustituye al RGPD. Si el sistema de IA trata datos personales, hay que cumplir los dos.

Qué es el AI Act

El AI Act es un reglamento europeo que fija qué usos de la inteligencia artificial están prohibidos, cuáles son de alto riesgo y qué deberes tienen quienes crean estos sistemas y quienes los usan. Al ser un reglamento, se aplica directamente en todos los países de la UE, igual que el RGPD, sin necesidad de trasponerlo al Derecho nacional.

Su nombre oficial en español es Reglamento de Inteligencia Artificial. Se publicó en el Diario Oficial de la Unión Europea el 12 de julio de 2024 y entró en vigor el 1 de agosto de ese año. Desde el 27 de julio de 2026 lo modifica el Reglamento (UE) 2026/1744, el llamado Ómnibus digital sobre IA, que cambió varias fechas y añadió una prohibición.

La definición de “sistema de IA” es amplia: un sistema basado en una máquina, con cierto grado de autonomía, que a partir de la información que recibe genera predicciones, contenidos, recomendaciones o decisiones. Art. 3, punto 1 Un modelo de lenguaje que redacta respuestas a clientes entra en la definición. Una hoja de cálculo con fórmulas fijas, no.

Por qué se aprobó

El propio reglamento explica su objetivo: mejorar el funcionamiento del mercado interior con un marco jurídico uniforme para la IA, que promueva una IA centrada en el ser humano y fiable y que proteja la salud, la seguridad y los derechos fundamentales de las personas.

En la práctica responde a dos problemas. El primero, la fragmentación: sin normas comunes, cada país podía aprobar las suyas, y quien vende un producto con IA habría tenido que cumplir 27 leyes distintas. El segundo, el riesgo para las personas. Un sistema que decide a quién se llama a una entrevista, quién obtiene un crédito o a quién identifica una cámara puede discriminar o equivocarse sin que nadie sepa por qué.

Para ello, el reglamento clasifica la IA según el riesgo. Casi todo lo que las empresas usan a diario (filtros de spam, traductores, asistentes de redacción) queda fuera de las normas más exigentes. Las obligaciones aumentan a medida que el uso puede afectar a la vida de las personas, y algunos usos están prohibidos.

Los cuatro niveles de riesgo

Prácticas prohibidas

Desde el 2 de febrero de 2025 está prohibido comercializar o usar sistemas de IA que: Art. 5.1

manipulen a las personas con técnicas subliminales o engañosas que les causen perjuicios considerables;
se aprovechen de vulnerabilidades ligadas a la edad, a una discapacidad o a la situación social o económica;
hagan una puntuación ciudadana que lleve a un trato perjudicial o desproporcionado;
predigan que alguien va a cometer un delito basándose solo en perfiles o rasgos de personalidad;
extraigan de forma no selectiva imágenes faciales de internet o de cámaras de videovigilancia para crear bases de datos de reconocimiento facial;
infieran emociones en el lugar de trabajo o en centros educativos, salvo por motivos médicos o de seguridad;
deduzcan la raza, las opiniones políticas, la afiliación sindical, la religión o la orientación sexual a partir de datos biométricos;
hagan identificación biométrica remota en tiempo real en espacios públicos con fines policiales, salvo excepciones muy limitadas.

El Ómnibus sobre IA, la parte del Digital Omnibus que ya se ha aprobado, añadió una prohibición que se aplica a partir del 2 de diciembre de 2026: los sistemas que generan imágenes, vídeo o audio íntimos o sexualmente explícitos de una persona identificable sin su consentimiento, y los que generan material de abuso sexual infantil.

En una pyme, el caso más frecuente es el reconocimiento de emociones. Un programa que analiza la voz de los teleoperadores para medir su estado de ánimo, o unas cámaras que “leen” el humor de la plantilla, entran en la prohibición.

Alto riesgo

Son de alto riesgo los sistemas de IA que funcionan como componente de seguridad de productos ya regulados (máquinas, juguetes, productos sanitarios, entre otros) y los que se usan en las ocho áreas del anexo III: Art. 6 y anexo III

biometría;
infraestructuras críticas;
educación y formación profesional;
empleo, gestión de trabajadores y acceso al autoempleo;
acceso a servicios privados esenciales y a servicios y prestaciones públicos esenciales, como el crédito y los seguros de vida y de salud;
garantía del cumplimiento del Derecho (ámbito policial);
migración, asilo y control fronterizo;
administración de justicia y procesos democráticos.

Hay una excepción. Un sistema del anexo III no es de alto riesgo si solo hace una tarea de procedimiento limitada, mejora el resultado de una actividad humana ya terminada, detecta patrones sin sustituir la valoración humana o prepara una evaluación. Si elabora perfiles de personas, en cambio, siempre lo es. Art. 6.3

Si su empresa no desarrolla IA, el caso que más probablemente le afecte es la selección de personal: un programa que ordena candidaturas o evalúa a candidatos entra en el área 4.

Transparencia

Otros sistemas no son de alto riesgo, pero exigen avisar a las personas. Estas normas se aplican desde el 2 de agosto de 2026: Art. 50

el proveedor de un chatbot debe diseñarlo para que la gente sepa que está hablando con una máquina, salvo que resulte evidente;
el proveedor de una IA que genera texto, imagen, audio o vídeo debe marcar esos contenidos en un formato legible por máquina. Los sistemas que ya estaban en el mercado antes del 2 de agosto de 2026 tienen un periodo transitorio de cuatro meses, hasta el 2 de diciembre de 2026;
quien usa reconocimiento de emociones o categorización biométrica (donde no está prohibido) debe informar a las personas expuestas;
quien publica ultrasuplantaciones (deepfakes) debe decir que el contenido lo ha generado o manipulado una IA. La misma obligación tiene quien publica texto generado por IA con el fin de informar al público sobre asuntos de interés público, salvo que haya revisión humana y alguien asuma la responsabilidad editorial.

Riesgo mínimo

Todo lo demás. No hay obligaciones específicas para estos sistemas, aparte de la alfabetización en materia de IA, que se aplica a todos (véase más abajo).

¿Y los modelos como GPT o Gemini?

Los modelos de IA de uso general, los grandes modelos en los que se basan herramientas como ChatGPT, tienen normas propias desde el 2 de agosto de 2025. Esas normas son para quien desarrolla los modelos, no para la empresa que usa la herramienta.

Qué empresas tienen que cumplir

El AI Act se aplica a toda la cadena, y lo que debe hacer su empresa depende del papel que tenga en ella. Art. 2.1

Proveedor: quien desarrolla un sistema de IA, o encarga su desarrollo, y lo introduce en el mercado o lo pone en servicio con su nombre o marca, de pago o gratis. Art. 3, punto 3 Aquí recae la mayor parte de las obligaciones de los sistemas de alto riesgo.
Responsable del despliegue: quien usa un sistema de IA bajo su propia autoridad, salvo en una actividad personal no profesional. Art. 3, punto 4 Es el caso de la mayoría de las empresas: compran o contratan la herramienta y la usan en el trabajo.
Importadores, distribuidores y representantes autorizados de sistemas de IA que vienen de fuera de la UE.

No hay exención para pymes: una empresa de diez personas que usa un asistente de IA también es responsable del despliegue. Lo que cambia para las pymes es el tope de las multas y algunas simplificaciones en la documentación.

El reglamento también alcanza a empresas de fuera de la UE cuando el resultado de su sistema de IA se usa en la Unión. Un proveedor estadounidense que vende software de selección de personal a empresas españolas tiene que cumplirlo.

Quedan fuera la IA usada solo con fines militares, de defensa o de seguridad nacional, la desarrollada solo para investigación científica, el uso personal no profesional y los sistemas de código abierto, salvo que sean de alto riesgo, estén prohibidos o entren en las normas de transparencia. Art. 2, apartados 3, 6, 10 y 12

Qué tiene que hacer hoy si solo usa IA

Alfabetización en IA, desde el 2 de febrero de 2025

Tome medidas para que la plantilla y las demás personas que usan IA en nombre de la empresa sepan usarla con conocimiento de causa, teniendo en cuenta sus conocimientos, el contexto y las personas afectadas. Art. 4 El Ómnibus sobre IA suavizó el texto: la empresa debe apoyar el desarrollo de esa alfabetización, pero no tiene que garantizar un nivel concreto en cada persona. La Comisión y los Estados miembros quedan obligados a ayudar, sobre todo a las pymes.

En la práctica: averigüe qué herramientas de IA se usan en la empresa, escriba unas normas de uso sencillas (qué datos no se pegan nunca en un chatbot, quién revisa lo que sale) y dé una formación breve a quien las usa. Guarde constancia de todo.

Transparencia, desde el 2 de agosto de 2026

Si la empresa publica imágenes, vídeos o audios generados por IA que parezcan reales, o textos generados por IA sobre asuntos de interés público sin revisión editorial, dígalo. Si tiene un chatbot en la web, confirme con el proveedor que el sistema avisa a la gente de que está hablando con una IA.

Alto riesgo, a partir del 2 de diciembre de 2027

Si usa IA en una de las áreas del anexo III, como la selección de personal o la evaluación de trabajadores, le queda un año más para prepararse. A partir de esa fecha, como responsable del despliegue, tendrá que: Art. 26

usar el sistema según las instrucciones del proveedor;
encargar su supervisión a personas con la competencia y la autoridad necesarias;
asegurarse de que los datos de entrada son pertinentes y representativos, cuando los controle;
vigilar el funcionamiento y suspender el uso si hay riesgo, avisando al proveedor y a la autoridad;
conservar los registros que genera el sistema durante al menos seis meses;
informar a los representantes de los trabajadores y a los trabajadores afectados antes de usar el sistema en el lugar de trabajo;
informar a las personas sobre las que el sistema toma decisiones o ayuda a tomarlas.

Los organismos públicos, las empresas privadas que prestan servicios públicos y quienes usan IA para evaluar la solvencia o fijar precios de seguros de vida y de salud tienen además que hacer una evaluación de impacto relativa a los derechos fundamentales antes del primer uso. Art. 27

El AI Act y el RGPD

El AI Act no modifica el RGPD. Art. 2.7 Si un sistema de IA trata datos personales, se aplican los dos: el tratamiento necesita una base jurídica, hay que informar a las personas, firmar un contrato con el proveedor y, a menudo, hacer una evaluación de impacto relativa a la protección de datos (EIPD). El propio AI Act obliga al responsable del despliegue a usar la información que le da el proveedor para hacer la EIPD. Art. 26.9

Si va a dar a una IA acceso a datos de clientes y empleados, en el artículo Agentes de IA y RGPD encontrará la lista de lo que conviene revisar antes, desde el punto de vista del RGPD. Sirve también para herramientas de IA que no son agentes.

El Ómnibus sobre IA añadió una norma que afecta al RGPD: permite, de forma excepcional y cuando sea estrictamente necesario, tratar categorías especiales de datos para detectar y corregir sesgos en sistemas de IA. Las condiciones son estrictas: que esos datos no puedan sustituirse por datos sintéticos o anonimizados, que no se compartan con terceros y que se borren en cuanto se corrija el sesgo. Art. 4 bis

Los cambios al propio RGPD que propone el Digital Omnibus van en un texto aparte y siguen en negociación; le contamos en qué punto están en el artículo sobre el Digital Omnibus.

Multas

Los importes máximos son estos (se aplica el más alto de los dos): Art. 99, apartados 3 a 5

prácticas prohibidas: hasta 35 millones de euros o el 7 % del volumen de negocios anual mundial;
otras obligaciones, incluidas las del responsable del despliegue y las de transparencia: hasta 15 millones de euros o el 3 %;
información incorrecta, incompleta o engañosa a las autoridades: hasta 7,5 millones de euros o el 1 %.

Para las pymes y las empresas emergentes se aplica el importe más bajo de los dos. Art. 99.6

Quién supervisa en España

Cada Estado miembro tiene que designar sus autoridades de vigilancia del mercado. España se adelantó con la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña, cuyo Estatuto aprobó el Real Decreto 729/2023, de 22 de agosto. La Comisión Europea la recoge como punto de contacto único de España, con la advertencia de que la designación nacional aún no se ha adoptado de forma definitiva.

La designación debía hacerse por ley. El 26 de mayo de 2026, el Consejo de Ministros aprobó el proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial (el anteproyecto se había aprobado el 11 de marzo de 2025). El texto repartía la vigilancia así:

la AESIA, como autoridad por defecto: sistemas que no tienen normativa de producto propia, como los de empleo, biometría o educación, y varias de las prácticas prohibidas, entre ellas el reconocimiento de emociones en el trabajo;
la AEPD y las autoridades autonómicas de protección de datos, para determinados sistemas biométricos y los de migración, asilo y control fronterizo;
el Consejo General del Poder Judicial, para los sistemas de la administración de justicia;
el Banco de España, la CNMV y la Dirección General de Seguros y Fondos de Pensiones, para la evaluación de solvencia y los seguros de vida y de salud en sus ámbitos;
las autoridades que ya vigilan cada producto regulado (máquinas, juguetes, productos sanitarios…), para la IA integrada en esos productos.

El proyecto se publicó en el Boletín Oficial de las Cortes Generales el 12 de junio de 2026 y seguía en el trámite de enmiendas cuando el Real Decreto 806/2026, de 5 de octubre, disolvió las Cortes y convocó elecciones generales para el 29 de noviembre de 2026. Con la disolución caducan todos los asuntos pendientes del Congreso, así que el proyecto no llegó a aprobarse. A 2 de noviembre de 2026, España no tiene una ley que designe las autoridades del AI Act ni que fije su régimen sancionador, y el Gobierno que salga de las elecciones tendrá que volver a presentarla. Actualizaremos este artículo cuando se publique en el BOE.

La AEPD sigue supervisando la parte de protección de datos de cualquier sistema de IA que trate datos personales, con el RGPD y la LOPDGDD.

Preguntas frecuentes

Mi empresa solo usa ChatGPT. ¿Le afecta el AI Act?

Sí, como responsable del despliegue. Hoy eso significa sobre todo la alfabetización en IA: normas de uso y formación para quien usa la herramienta. Si publica contenidos generados con ella en los casos que cubren las normas de transparencia, tendrá que indicarlo. Las obligaciones del modelo en sí corresponden a la empresa que lo desarrolla.

¿Se ha aplazado el AI Act?

Solo en parte. El Ómnibus sobre IA retrasó las normas de alto riesgo al 2 de diciembre de 2027 (áreas del anexo III) y al 2 de agosto de 2028 (IA en productos regulados). Las prohibiciones y la alfabetización en IA se aplican desde febrero de 2025, las normas de los modelos de uso general desde agosto de 2025 y las de transparencia desde agosto de 2026.

Uso IA para cribar currículos. ¿Qué hago ya?

Ese uso es de alto riesgo, con normas a partir del 2 de diciembre de 2027. Mientras tanto, el RGPD ya le obliga a informar a los candidatos, a tener una base jurídica y a evitar que una decisión con efectos significativos la tome solo la máquina sin una intervención humana real. Art. 22 RGPD Pida ya al proveedor las instrucciones de uso y la información que necesitará para la EIPD.

Fuentes

Actualizado: 2 de noviembre de 2026. Este artículo es información general y no sustituye al asesoramiento jurídico sobre un caso concreto.

Qué es el Reglamento de IA (AI Act) y qué empresas tienen que cumplirlo