El Reglamento de Inteligencia Artificial de la UE (AI Act) es la primera normativa que regula la inteligencia artificial en el mundo, cuyo fin es garantizar que los sistemas de IA sean "seguros, éticos y fiables". Pero al Reglamento (UE) 2024/1689 se ha sumado otro este año 2026, el denominado 'Ómnibus Digital sobre IA', que no lo sustituye pero simplifica sus reglas. Ambos componen el AI Act, o RIA en español, que se aplica tanto a empresas desarrolladoras como a negocios que implementan herramientas de este tipo en sus operaciones diarias. Ambas "caras" del mercado quedan afectadas por la regulación europea, con un peligro real de sanción si no la respetan.
Cronología del Reglamento en 8 puntos
La Ley de AI de la UE, finalmente, se publicó en el Diario Oficial de la Unión Europea el 12 de julio de 2024, y comenzó a entrar en vigor el 1 de agosto de 2024. Pero fueron muchos los pasos dados hasta esa fecha.
A continuación, enumeramos los ocho más relevantes:
21 de abril de 2021: la Comisión publica una propuesta para regular la inteligencia artificial en la Unión Europea.
29 de noviembre de 2021: la Presidencia rotatoria del Consejo facilita un primer texto de compromiso sobre el proyecto de Ley de Inteligencia Artificial.
2 de marzo de 2022: la Comisión de Asuntos Jurídicos del Parlamento Europeo da a conocer sus enmiendas a la Ley de IA.
6 de diciembre de 2022: el Consejo adopta una posición común sobre la Ley.
9 de diciembre de 2023: el Parlamento y el Consejo alcanzan un acuerdo provisional.
13 de febrero de 2024: los 27 Estados miembros de la UE respaldan unánimemente la Ley de Inteligencia Artificial.
21 de febrero de 2024: se crea la Oficina Europea de Inteligencia Artificial.
21 de mayo de 2024: el Consejo Europeo adopta formalmente la Ley de IA de la UE: Reglamento (UE) 2024/1689.
¿Qué ha pasado en 2026? El 'Ómnibus Digital sobre IA'
7 de mayo de 2026: el Consejo y el Parlamento acuerdan simplificar las normas sobre IA.
29 de junio de 2026: el Consejo da luz verde definitiva a dicha simplificación.
24 de julio de 2026: en el n.º 1744 del Diario Oficial de la Unión Europea (DOUE) se publica la reforma, denominada "Ómnibus", a través del Reglamento 2026/1744, que matiza el (UE) 2024/1689.
La clave de la Ley de IA: los niveles de riesgo
Nivel de riesgo mínimo
No se regula. Es el caso de, por ejemplo, los filtros de spam, los videojuegos potenciados por IA, los correctores ortográficos o los algoritmos de recomendación simple.
Riesgo limitado
En esta categoría se engloban los sistemas que no representan un peligro estructural, pero que pueden inducir a engaño o manipulación. Por ello, en estos supuestos, debe informarse obligatoriamente al usuario de que está interactuando con una inteligencia artificial, y etiquetar digitalmente el contenido mediante marcas de agua o metadatos (obligaciones de transparencia).
Alto riesgo
El tercer nivel abarca sistemas empleados en sectores estratégicos, o con un impacto sustancial sobre la vida, empleo o salud de las personas. Pueden comercializarse, pero exigen auditorías y un cumplimiento técnico exhaustivo.
Ante todo, el alto riesgo está directamente relacionado, según el Anexo III, con: selección de personal/RRHH, biometría, gestión de infraestructuras críticas (agua, gas, electricidad), educación y formación profesional, evaluación de crédito, acceso a prestaciones, fijación de precios en seguros de vida y salud, migración, Justicia y aplicación de la ley por parte de las fuerzas y Cuerpos de seguridad.
Dentro de la calificación de alto riesgo, los requisitos principales son establecer un sistema de gestión de riesgos, elaborar documentación técnica para evaluaciones de conformidad y llevar a cabo una gobernanza de los datos, entre otros.
Riesgo inadmisible (prácticas prohibidas)
En este último nivel se integran los sistemas cuya utilización implica una amenaza directa a los derechos fundamentales. Su uso o comercialización está estrictamente prohibido dentro de la Unión Europea.
Entre los usos prohibidos se encuentran el reconocimiento facial y otros sistemas de identificación biométrica remota en tiempo real en zonas públicas por las autoridades (salvo excepciones concretas), junto con la puntuación ciudadana, el análisis de emociones en colegios y centros de trabajo, los sistemas de policía predictiva y la manipulación del comportamiento o la cognición.
A quién se aplica: el alcance del RIA
El alcance del Reglamento Europeo de Inteligencia Artificial sigue el principio de 'efecto extraterritorial' (similar al que rige el RGPD): no importa dónde esté ubicada la empresa u organización, sino dónde se desplieguen o impacten los sistemas de IA.
Por este motivo, el AI Act se aplica a:
Proveedores: desarrolladores, tanto si están establecidos en la UE como en terceros países (EEUU, China, etc.), siempre que comercialicen sus herramientas en Europa.
Desplegadores: empresas, profesionales o entidades públicas que utilizan inteligencia artificial en su actividad. La norma se les aplica los resultados se utilizan en la UE.
Importadores y distribuidores: quienes comercializan o distribuyen IA's de terceros en el mercado comunitario.
Fabricantes de productos regulados: de dispositivos médicos, maquinaria, juguetes, vehículos u otros productos, si han sido manufacturados con componentes de inteligencia artificial.
Representantes autorizados: representantes de proveedores establecidos fuera de la Unión Europea -para gestionar sus obligaciones legales-.
Calendario de implementación actualizado: periodo 2025-2027
Conforme a la web oficial de la UE, el calendario que tienen que tener en cuenta las empresas es el siguiente, con los nuevos aplazamientos, que ya está muy avanzado.
CUMPLIMIENTOS Y PROHIBICIONES QUE EMPIEZAN A SER EXIGIBLES PARA LAS EMPRESAS, EN LA FECHA QUE SE SEÑALA
2 de febrero de 2025: disposiciones generales (definiciones y amplificación) y prohibiciones (manipulación subliminal, social scoring, biometría masiva...)
2 de agosto de 2025: normas para la IA de uso general, obligatoriedad de que los Estados miembros designen a las autoridades nacionales competentes (y adopten leyes nacionales sobre sanciones), y creación de una gobernanza europea.
2 de agosto de 2026: normas de transparencia -en chatbots, por ejemplo- y alfabetización en IA del personal de las empresas.
2 de diciembre de 2026: prohibiciones para los sistemas de IA que generan ultrafalsificaciones (deepfakes) sexuales no consentidas, y material de abuso sexual infantil. Junto a ello, se activa el cumplimiento del artículo 50(2), que dicta que el contenido sintético que se muestre sistemas de IA de uso general (GPAI) debe etiquetarse y ser detectable como artificial. Este último aspecto se tenía que haber implantado el 2 de agosto de 2026, pero hubo un aplazamiento.
2 de diciembre de 2027: normas relativas a los sistemas de IA de alto riesgo (anexo III, más arriba desarrollado en este artículo). La aplicación de estas normas estaba prevista para el 2 de agosto de 2026, pero también se aplazó.
Un vistazo a 2028
El 2 de agosto de 2028 se comenzará a aplicar la obligación de que los Estados miembros cuenten con entornos de prueba nacionales (sandboxes), y entrarán en vigor las exigencias para los 'productos regulados' del Anexo I: dispositivos médicos y otros, manufacturados con componentes de IA.
Hoja de ruta para empresas (2025-2027): cómo prepararse
Auditoría e inventario de sistemas de IA en la organización
Mapear y catalogar todas las herramientas de inteligencia artificial empleadas en la empresa, ya sean propias o de terceros. Este inventario permite clasificar cada uso según su nivel de riesgo, y así identificar brechas -legales o técnicas-.
Creación de un comité de gobernanza y cumplimiento normativo de IA (AI Compliance)
Estructurar un equipo multidisciplinar que supervise el uso ético de la tecnología. Este órgano ha de definir las políticas internas, coordinar la formación del personal y garantizar lo exigido por la normativa europea.
Integración de la evaluación de impacto en derechos fundamentales (FRIA)
Analizar formalmente, si es el caso, los efectos que un sistema de alto riesgo puede tener sobre la privacidad, la seguridad y la no discriminación de las personas. Esto sirve para que la empresa pueda aplicar medidas previas que eviten sesgos algorítmicos y aseguren el control humano.
Diseñar un plan de acción práctico para llegar a 2027 con total cumplimiento
Garantizar la alfabetización en IA del personal de la empresa e implementar avisos claros para los usuarios cuando interactúen con herramientas como chatbots o asistentes virtuales.
Añadir marcas de agua técnicas y metadatos detectables en todo el texto, audio, imagen o vídeo generado artificialmente por sistemas de IA.
Si la empresa utiliza sistemas clasificados en el Anexo III, implantar un sistema continuo de gestión de riesgos, garantizar la calidad de los datos sin sesgos y estructurar toda la documentación técnica requerida antes de diciembre de 2027.
Impacto reputacional y operativo para las empresas
Adaptarse al RIA es necesario para cumplir con la legalidad, ser competitivo y generar confianza en el cliente, además de un distintivo de ética y calidad. Ignorar el reglamento, no obstante, no solo afectaría a la reputación, sino que, como es sabido, conllevaría multas.
El régimen sancionador contempla multas escalonadas que van desde los 7,5 millones de euros (o el 1 % de la facturación global anual) hasta los 35 millones de euros (o el 7 % del volumen de negocio).
Lo cierto es que, al final, el dilema para las empresas no es si adaptarse o no a la Ley de IA, algo indiscutible, sino cómo hacerlo, y hacerlo a tiempo, para convertirlo en una ventaja competitiva.
