¿Qué es la regulación de la IA?
Regulación de la IA: conceptos, instituciones y normas
La regulación de la IA es el conjunto combinado de leyes, orientaciones de los reguladores, normas técnicas y prácticas de aplicación que rigen el modo en que los sistemas de IA se diseñan, construyen, adquieren, despliegan, supervisan y retiran. Abarca todo el ciclo de vida de la IA, no solo los modelos de frontera ni el entrenamiento de modelos. En la práctica, la regulación de la IA suele combinar nuevas normas específicas para la IA con legislación preexistente sobre protección de datos, consumo, seguridad de productos, empleo y derechos, además de marcos que ayudan a las organizaciones a demostrar un control disciplinado.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
Con frecuencia se habla de la regulación de la IA como si fuera una gran ley única. Por lo general, no lo es. En la mayoría de los lugares, se trata de un entorno normativo por capas compuesto de leyes, orientaciones de los reguladores, normas sectoriales, principios internacionales, estándares y decisiones de aplicación.
Esto significa que un mismo sistema de IA puede estar sujeto a varios conjuntos de normas a la vez. Una herramienta de selección de personal, por ejemplo, puede plantear preguntas sobre equidad, transparencia, uso de datos, derechos de los trabajadores, contratación pública y conservación de registros, incluso antes de que alguien pregunte si existe una ley específica sobre IA.
También conviene distinguir la regulación de la IA de conceptos cercanos. La gobernanza de la IA es la forma en que una organización dirige y controla su propio uso de la IA. La política de IA es la agenda de política pública más amplia. La regulación de la IA es el entorno normativo externo, junto con los deberes, salvaguardias y evidencias que ese entorno genera.
Por qué importa
La regulación de la IA importa porque decide algo más que si un proyecto de IA está "permitido". Condiciona el diseño del producto, la selección de proveedores, los términos contractuales, las decisiones sobre datos, las pruebas, los avisos a los usuarios, la supervisión humana, el seguimiento y la respuesta ante incidentes. También determina qué usos tienen poca fricción, cuáles requieren salvaguardias y cuáles pueden estar restringidos o prohibidos.
Para las organizaciones, las consecuencias son prácticas. La regulación afecta al acceso al mercado, la credibilidad en la contratación pública, la garantía ante los órganos de gobierno, la confianza de los clientes y la velocidad con la que una herramienta puede pasar de piloto a uso real. Si un equipo trata la regulación de la IA como una revisión legal de último momento, puede pasar por alto decisiones de diseño anteriores que son mucho más difíciles de corregir después, como el uso ilícito de datos, una documentación deficiente, pruebas insuficientes, una responsabilidad poco clara o un caso de uso que pertenece a una categoría de mayor riesgo.
Las consecuencias negativas no son solo sanciones económicas. Según el régimen y los hechos, las organizaciones pueden enfrentarse a restricciones de uso, órdenes de añadir salvaguardias, rediseño forzado, obligaciones de información, vigilancia del mercado, críticas públicas, bloqueo de ventas o la obligación de dejar de utilizar un sistema por completo. Por eso, la regulación de la IA no es solo un tema jurídico. Es también un tema de producto, riesgo, contratación y liderazgo.
Cómo funciona
Sigue el ciclo de vida de la IA
La regulación de la IA se aplica generalmente a lo largo del ciclo de vida de un sistema de IA, no en un único momento. Los marcos internacionales y los basados en estándares describen ese ciclo de vida en términos cada vez más similares: planificación y diseño, recopilación y tratamiento de datos, construcción o adaptación del modelo, pruebas y validación, lanzamiento, despliegue, operación, seguimiento y retirada. Esto importa porque distintas obligaciones se vinculan a distintos momentos. Las cuestiones de datos y derechos pueden surgir durante el entrenamiento o las pruebas. La transparencia y los avisos a los usuarios pueden surgir en el despliegue. El seguimiento, el registro y la gestión de incidentes continúan tras el lanzamiento. En otras palabras, un sistema no queda regulado solo cuando llega a los clientes.
Combina derecho vinculante, derecho indicativo y estándares
La capa jurídica es la capa de derecho vinculante: leyes, reglamentos, obligaciones derivadas de tratados y deberes exigibles ante los tribunales. Ahí es donde se encuentran las prohibiciones vinculantes, las salvaguardias obligatorias, las obligaciones de información y las sanciones. Junto a ello existe el derecho indicativo: orientaciones de los reguladores, códigos de práctica, recomendaciones de política y principios internacionales. Estos no siempre son vinculantes por sí solos, pero con frecuencia explican cómo interpretan los reguladores el derecho vigente, qué aspecto tiene la buena práctica y qué evidencias debe conservar una organización responsable. Los estándares y marcos se sitúan cerca de esa capa de derecho indicativo. Por lo general no sustituyen a las obligaciones legales, pero ayudan a traducir requisitos amplios como equidad, trazabilidad, supervisión humana o seguridad en procesos, registros y controles reproducibles.
Distintas instituciones regulan distintas partes
No existe un regulador global único de la IA. Los parlamentos aprueban leyes. Los gobiernos y los ministerios emiten políticas y aplican las leyes. Los reguladores sectoriales supervisan ámbitos como la protección de datos, la protección de los consumidores, las finanzas, la salud, el empleo o la seguridad de los productos. Los organismos de normalización definen las expectativas técnicas y de los sistemas de gestión. Las autoridades de vigilancia del mercado y los tribunales aplican las normas a casos reales. Los organismos de contratación pública también pueden condicionar el comportamiento cuando exigen a los proveedores que presenten documentación, controles de riesgo o material de garantía. Esta dispersión institucional es una de las razones por las que la regulación de la IA puede parecer fragmentada. A menudo es una red de autoridades, no una única puerta de entrada.
La mayoría de los regímenes regulan por uso, riesgo y contexto
En la práctica, la regulación de la IA suele depender menos de si un sistema está de moda y más del contexto, la capacidad y el daño potencial. Un motor de recomendación musical y un sistema de IA que filtra candidatos a un puesto de trabajo son ambos IA, pero no generan la misma preocupación jurídica. Un ejemplo actual destacado es el EU AI Act, que utiliza una estructura basada en riesgos. Algunos usos están prohibidos, otros se tratan como de alto riesgo y conllevan obligaciones estrictas, otros activan obligaciones de transparencia, y muchos quedan sujetos al derecho general con requisitos específicos de IA más ligeros. Otras jurisdicciones se apoyan más en la legislación tecnológicamente neutra existente, con orientaciones específicas sobre IA añadidas encima. La lógica común es similar: cuanto más puede un sistema afectar a derechos, seguridad, acceso, dignidad o confianza pública, mayor escrutinio atrae.
La regulación genera evidencias, no solo normas
Una forma útil de entender la regulación de la IA es preguntarse qué evidencias espera que existan. La regulación madura de la IA rara vez se satisface con una simple declaración de política. Busca registros y pruebas: evaluaciones de impacto, material de pruebas, registros, documentación, controles sobre conjuntos de datos, avisos, mecanismos de revisión humana, aprobaciones de gobernanza, contratos con proveedores, procedimientos ante incidentes y seguimiento posterior al lanzamiento. Los marcos oficiales recientes refuerzan este punto. El AI RMF de NIST ofrece a las organizaciones una estructura práctica para gobernar, mapear, medir y gestionar el riesgo de la IA. ISO/IEC 42001 hace algo similar a nivel de sistema de gestión, al exigir políticas, objetivos, procesos y mejora continua en torno al uso de la IA. El valor operativo de la regulación reside con frecuencia en el rastro de evidencias que obliga a generar.
Los instrumentos internacionales condicionan los enfoques nacionales
No toda la regulación de la IA comienza en los parlamentos nacionales. Los instrumentos internacionales suelen aportar el vocabulario, los principios y las expectativas de referencia que los regímenes nacionales adoptan o adaptan posteriormente. El marco de la OECD sobre IA es especialmente influyente porque ofrece una definición ampliamente utilizada de sistema de IA, una visión del ciclo de vida y temas comunes como transparencia, responsabilidad, supervisión humana, solidez y gestión sistemática del riesgo. El convenio del Council of Europe sobre IA funciona de manera diferente. Es un modelo de tratado centrado en los derechos humanos, la democracia y el estado de derecho, y espera que las Partes adopten medidas legales e institucionales para abordar los riesgos y los impactos. Estos instrumentos no eliminan las diferencias nacionales, pero sí ayudan a explicar por qué muchos sistemas nacionales hablan ahora en términos similares sobre ciclo de vida, rol, riesgo, derechos y responsabilidad.
La IA generativa añade una capa más específica
La IA generativa no ha sustituido a la regulación general de la IA, pero ha añadido expectativas más específicas. Las orientaciones oficiales se centran ahora en cuestiones como el etiquetado de contenido sintético, la procedencia, la transparencia relacionada con los derechos de autor, la divulgación de incidentes, el riesgo de componentes de terceros, la integridad de la información, la privacidad y el sesgo perjudicial. El Perfil de IA Generativa de NIST es un buen ejemplo de esta capa regulatoria más flexible pero igualmente práctica. No crea derecho vinculante, pero muestra cómo las instituciones están traduciendo los principios generales de la IA en pasos de gobernanza y gestión del riesgo específicos para la tecnología, dirigidos a las organizaciones que construyen o utilizan sistemas generativos.
La aplicación es donde el concepto se hace real
La regulación de la IA no está completa hasta que las normas se aplican a los hechos. La aplicación muestra qué fallos consideran graves los reguladores, qué esperan que las organizaciones hayan hecho antes y qué remedios utilizarán. Esos remedios pueden incluir restricciones de uso, salvaguardias obligatorias, vigilancia del mercado, acciones correctoras y avisos públicos. Por eso, la aplicación debe leerse como parte de la propia regulación, no como algo secundario. Convierte ideas abstractas como equidad, transparencia, supervisión y salvaguardias razonables en expectativas concretas para sistemas reales en funcionamiento.
Ejemplos
Ejemplo actual: un proveedor quiere comercializar en el mercado de la UE un sistema de IA para la selección de candidatos. No es solo una cuestión de lanzamiento de software. Bajo el modelo basado en riesgos de la UE, la selección de personal es un área de alto riesgo, por lo que el proveedor debe preparar controles de riesgo, documentación, registros, medidas de calidad de los datos, mecanismos de supervisión humana y seguimiento posterior a la comercialización. El desplegador tiene a su vez su propio papel de seguimiento y supervisión. El efecto práctico es que el trabajo regulatorio comienza antes de la venta y continúa tras el despliegue.
Un segundo ejemplo es el de un empleador que adquiere una herramienta de IA de terceros para filtrar currículos o puntuar material de entrevistas. Comprar la herramienta no sitúa el problema fuera de la regulación. Si se utilizan datos personales para entrenar, probar o desplegar el sistema, la ley de protección de datos puede seguir siendo aplicable. Las orientaciones de los reguladores exigen equidad, transparencia, análisis de la base jurídica, minimización de datos y evaluación del riesgo. En la práctica, esto significa que los equipos de contratación, recursos humanos, privacidad y legal deben plantear preguntas antes de que la herramienta entre en funcionamiento.
Un tercer ejemplo proviene de la aplicación. La acción de la FTC contra Rite Aid por el uso de reconocimiento facial mediante IA demostró que la regulación de la IA en algunas jurisdicciones llega a través de los poderes existentes de protección del consumidor y vigilancia biométrica, en lugar de una ley específica sobre IA. La orden no solo criticó la práctica. Impuso una prohibición de cinco años sobre el uso de vigilancia por reconocimiento facial y exigió salvaguardias en torno a sistemas biométricos automatizados similares. Es un recordatorio claro de que la aplicación puede restringir el propio despliegue.
Malentendidos frecuentes
"La regulación de la IA significa un único reglamento global." No. Es un mosaico de derecho nacional, orientaciones de los reguladores, compromisos derivados de tratados, estándares y aplicación, con diferencias importantes entre jurisdicciones.
"Si no existe una ley específica sobre IA, no hay regulación de la IA." También es incorrecto. Muchas organizaciones ya están reguladas mediante legislación tecnológicamente neutra sobre privacidad, protección de los consumidores, seguridad de los productos, igualdad, empleo, derecho público y supervisión sectorial.
"Solo los desarrolladores de modelos necesitan preocuparse." No es cierto. Los proveedores, los desplegadores, los compradores, los operadores, los distribuidores y las autoridades públicas pueden tener obligaciones, según el régimen y el papel que desempeñen en el ciclo de vida.
"Los marcos voluntarios no importan." Importan mucho, porque ayudan a convertir las expectativas jurídicas amplias en controles, registros y prácticas de gobernanza aplicables.
"La regulación de la IA trata solo de los modelos de frontera." A menudo son los usos ordinarios de alto impacto, como la selección de personal, el crédito, la biometría, la educación, los servicios públicos y los sistemas críticos para la seguridad, los que atraen el mayor escrutinio.
Riesgos y límites
La regulación de la IA tiene límites. No es un modelo operativo completo para una organización, ni equivale a la gobernanza interna de la IA. La regulación indica qué obligaciones externas y expectativas de supervisión existen. La gobernanza es la forma en que la organización asigna responsables, aprobaciones, vías de escalada y garantías en torno a esas obligaciones. Una no sustituye a la otra.
También es fácil sobreestimar el grado de consolidación del campo. Las definiciones de "sistema de IA", las categorías de riesgo y las etiquetas de rol como proveedor o desplegador no son idénticas en todos los regímenes. Un sistema puede recibir un tratamiento en una jurisdicción y otro diferente en otra. Lo mismo ocurre con el estatus jurídico. Algunos instrumentos son plenamente vinculantes. Otros son orientaciones. Algunos estándares son voluntarios, salvo que la ley, el contrato o la contratación pública los hagan prácticamente necesarios.
Los detalles de implementación actuales pueden cambiar incluso cuando el marco básico es estable. En la UE, la arquitectura central del AI Act está fijada, pero el material de apoyo detallado, las orientaciones, los códigos y los plazos de algunas obligaciones siguen desarrollándose. En el Reino Unido, la ICO señala que algunas orientaciones sobre IA están siendo revisadas tras cambios en la legislación de datos subyacente. Esto significa que los equipos deben utilizar conceptos perennes como ciclo de vida, rol, riesgo, evidencia y responsabilidad, pero verificar el material vigente de los reguladores antes de basarse en cualquier supuesto de cumplimiento vinculado a una fecha concreta.
Por último, la regulación de la IA no debe extenderse para cubrir cada decisión de diseño interno. Rige las obligaciones externas y la lógica de control defendible. Por sí sola, no indica a una empresa exactamente cómo estructurar cada comité, equipo o flujo de trabajo. Esas decisiones corresponden al diseño de la gobernanza.
Este artículo explica el concepto. No constituye asesoramiento jurídico para un sistema, contrato o jurisdicción concretos.
Qué hacer a continuación
Elaborar un inventario actualizado de los usos de la IA, incluidas las herramientas de terceros, las funciones de modelos integrados y los pilotos experimentales.
Clasificar cada uso por jurisdicción, sector, tipo de datos, personas afectadas y riesgo probable, en lugar de tratar toda la IA como una única categoría.
Separar los roles con claridad. Determinar cuándo la organización actúa como proveedor, desplegador, comprador, operador o autoridad pública, y reflejarlo en los contratos y las líneas de responsabilidad.
Crear un paquete de evidencias estándar para los sistemas importantes: evaluación de impacto, registro de pruebas, avisos, registros, plan de supervisión humana, vía de gestión de incidentes y garantías de los proveedores.
Utilizar un marco de gobernanza común, como NIST AI RMF o ISO/IEC 42001, para traducir las obligaciones jurídicas amplias en prácticas reproducibles.
Mantener el seguimiento del entorno normativo vigente. La regulación de la IA cambia a través de orientaciones, aplicación y estándares, además de mediante nuevas leyes.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactar con nosotros.
Preguntas frecuentes
¿Es lo mismo la regulación de la IA que la gobernanza de la IA?
No. La regulación de la IA es el entorno normativo externo. La gobernanza de la IA es el sistema interno que una organización utiliza para cumplir esas obligaciones y tomar decisiones responsables sobre la IA.
¿Necesito una ley específica sobre IA antes de actuar?
No. La legislación vigente puede ya ser aplicable al uso de datos, la transparencia, la equidad, la seguridad, la protección de los consumidores, el empleo, la contratación pública o el cumplimiento de los requisitos de los productos.
¿Son jurídicamente vinculantes los estándares voluntarios?
Por lo general, no por sí solos. Pero suelen ser la forma más práctica de organizar las evidencias, las pruebas y la gobernanza en torno a las expectativas legales y de supervisión.
¿La regulación de la IA cubre solo el despliegue?
No. Muchas obligaciones surgen antes, durante la planificación, la recopilación de datos, el desarrollo del modelo, las pruebas y la contratación, y continúan a través del seguimiento y la retirada.
Si adquiero un producto de IA a un proveedor, ¿es el proveedor responsable de todo?
No. Las responsabilidades suelen ser compartidas. Los compradores y los desplegadores pueden seguir teniendo obligaciones legales y operativas, especialmente cuando deciden la finalidad, el contexto de uso o el trato a las personas.
¿Se regula la IA generativa de forma separada al resto de la IA?
En ocasiones existen obligaciones adicionales de transparencia, procedencia, derechos de autor o seguridad para los sistemas generativos, pero la legislación general sobre IA y las orientaciones de los reguladores siguen siendo relevantes.
¿La IA de bajo riesgo está sin regular?
No necesariamente. Puede estar sujeta a menos obligaciones específicas de IA, pero la legislación general sobre privacidad, seguridad, veracidad de las afirmaciones, contratos y normas sectoriales puede seguir siendo aplicable.
Fuentes
Artificial Intelligence Risk Management Framework (AI RMF 1.0) (National Institute of Standards and Technology). Explains that the AI RMF is a practical, voluntary resource for organisations that design, develop, deploy or use AI, and frames lifecycle wide AI risk management through the govern, map, measure and manage functions.
Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile (National Institute of Standards and Technology). Shows how generative AI adds more specific governance and risk issues, and how soft law guidance can become more technology specific without becoming a statute.
Revised Recommendation of the Council on Artificial Intelligence (Organisation for Economic Co-operation and Development). Provides an influential definition of an AI system, the AI lifecycle, AI actors and core principles such as transparency, accountability and systematic risk management.
The Framework Convention on Artificial Intelligence (Council of Europe). Establishes the legally binding treaty model focused on human rights, democracy and the rule of law, including risk and impact assessment, safeguards and possible bans or moratoria.
AI Act (European Commission). Sets out the EU's current risk based legal framework, the main institutions involved, duties for high risk systems and general purpose AI, transparency rules and phased application.
ISO/IEC 42001:2023 (International Organization for Standardization). Shows the standards dimension of AI regulation through an AI management system standard that requires policies, processes, traceability and continual improvement.
Guidance on AI and data protection (Information Commissioner's Office). Illustrates how a regulator applies technology neutral data protection law to AI through fairness, transparency, accountability and lifecycle wide risk assessment expectations.
Rite Aid Banned from Using AI Facial Recognition After FTC Says Retailer Deployed Technology without Reasonable Safeguards (Federal Trade Commission). Provides a concrete enforcement example showing that AI regulation can arrive through existing consumer protection and biometric surveillance powers, including deployment bans and mandatory safeguards.