¿Qué es la regulación de la IA en la Unión Europea?
Regulación de la IA: países y regiones
La regulación de la IA en la Unión Europea gira en torno al EU AI Act, un Reglamento de aplicación directa que regula la IA según el nivel de riesgo. Prohíbe un conjunto limitado de prácticas inaceptables, impone obligaciones estrictas a los sistemas de IA de alto riesgo, establece normas de transparencia para algunos otros usos de la IA y crea un régimen específico para los modelos de IA de uso general. La aplicación se reparte entre las autoridades nacionales, los organismos notificados, la Oficina de IA de la Comisión Europea y, para las instituciones y organismos de la UE, el Supervisor Europeo de Protección de Datos.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
Cuando se habla de regulación de la IA en la UE, generalmente se hace referencia al AI Act, no solo al GDPR. El Reglamento es un marco de mercado y gobernanza para los sistemas de IA y algunos modelos de uso general. Indica a las organizaciones qué está prohibido, qué requiere controles y documentación previos a la comercialización, y qué debe supervisarse tras el lanzamiento.
La idea central es que no todos los usos de la IA merecen el mismo tratamiento. La mayoría de los usos rutinarios quedan fuera del conjunto principal de obligaciones. Los sistemas utilizados en ámbitos como la contratación, la educación, el crédito, los seguros, las infraestructuras críticas, la migración, la policía y la justicia pueden activar el régimen de alto riesgo, mientras que algunos usos de chatbots y contenido sintético activan principalmente obligaciones de transparencia.
El Reglamento se está aplicando por etapas. Las prácticas prohibidas y las obligaciones de alfabetización en IA ya son aplicables. También lo son las normas de gobernanza y el régimen para los modelos de IA de uso general. Según el texto vigente en EUR-Lex, el cuerpo principal se aplica a partir del 2 de agosto de 2026, con algunas obligaciones de alto riesgo relacionadas con productos en fechas posteriores, aunque un acuerdo político de mayo de 2026 en el marco del Ómnibus Digital aplazaría varias de estas fechas (véase Riesgos y límites).
Por qué es importante
Para las organizaciones, el AI Act transforma la IA de un tema ético difuso en una función empresarial regulada. Afecta al diseño de productos, la contratación, la selección de modelos, los contratos con proveedores, la documentación, la dotación de personal, la gestión de reclamaciones, la respuesta a incidentes y la supervisión por parte de los órganos de gobierno. Además, su relevancia es anterior al lanzamiento, no solo posterior a que se produzca un daño, ya que los sistemas de alto riesgo pueden requerir trabajo de conformidad, registro y supervisión antes de su comercialización o primer uso.
También modifica el comportamiento de los compradores. Una empresa que únicamente despliega IA de terceros no queda fuera del ámbito de aplicación. Los compradores deben saber si son meros desplegadores, si el proveedor ha completado el trabajo previo a la comercialización exigido, si el uso se encuadra en una categoría prohibida o de alto riesgo, y si la organización podría convertirse en proveedor al cambiar la marca, modificar sustancialmente o reutilizar un sistema. La exposición a sanciones es significativa, pero también lo son los retrasos en la contratación, el riesgo de retirada del mercado y el daño a la reputación.
Cómo funciona
El AI Act es el instrumento central de la UE
El AI Act es el Reglamento (UE) 2024/1689. Al ser un Reglamento, se aplica directamente en toda la UE sin necesidad de transposición nacional, a diferencia de lo que ocurriría con una Directiva. Abarca a los proveedores que comercializan sistemas de IA o modelos de IA de uso general en el mercado de la UE, a los desplegadores en la UE, y a determinados proveedores y desplegadores de terceros países cuando el resultado del sistema de IA se utiliza en la Unión. Esto le otorga un alcance extraterritorial significativo.
Entró en vigor el 1 de agosto de 2024. Según el texto legal publicado actualmente en EUR-Lex, el Reglamento se aplica con carácter general a partir del 2 de agosto de 2026, con los capítulos I y II aplicables desde el 2 de febrero de 2025, las normas de gobernanza y las relativas a los modelos de IA de uso general desde el 2 de agosto de 2025, y el artículo 6, apartado 1, junto con las obligaciones vinculadas desde el 2 de agosto de 2027. En la práctica, esto significa que algunas obligaciones ya están vigentes, mientras que el régimen de alto riesgo más amplio aún está entrando en plena aplicación, y un acuerdo del Ómnibus Digital de mayo de 2026 aplazaría varias fechas de alto riesgo (detalladas en Riesgos y límites).
Las categorías de riesgo determinan la profundidad de la regulación
El Reglamento no regula la IA como una clase única. Clasifica los usos en diferentes categorías jurídicas.
En el extremo más estricto se encuentran las prácticas prohibidas. Entre ellas figuran la manipulación perjudicial, la explotación de vulnerabilidades vinculadas a la edad, la discapacidad o la situación social o económica, la puntuación social, determinadas predicciones de riesgo delictivo basadas exclusivamente en perfiles o rasgos personales, la recopilación masiva de imágenes faciales para crear bases de datos de reconocimiento, la inferencia de emociones en entornos laborales y educativos salvo por razones médicas o de seguridad, determinadas categorizaciones biométricas, y la identificación biométrica remota en tiempo real en espacios públicos con fines policiales, salvo en condiciones y con salvaguardias legales estrictas.
El siguiente nivel principal es la IA de alto riesgo. Este abarca dos grandes grupos. En primer lugar, la IA utilizada como componente de seguridad de productos, o los propios productos de IA, cuando la normativa sectorial de la UE ya exige una evaluación por terceros. En segundo lugar, los usos de IA enumerados en el Anexo III, como la biometría, las infraestructuras críticas, la educación, el empleo, los servicios esenciales como el crédito y determinados usos en seguros, la aplicación de la ley, la migración y el asilo, y la administración de justicia y los procesos democráticos.
Existe también un nivel de transparencia para determinadas IA que no están prohibidas ni son necesariamente de alto riesgo. Los usuarios deben saber, en general, cuándo interactúan con un sistema de IA, salvo que resulte evidente. Los resultados sintéticos de audio, imagen, vídeo o texto deben marcarse de manera técnicamente adecuada, y los deepfakes o determinados usos de texto de interés público deben divulgarse. La mayoría de los usos de IA de bajo riesgo, como las herramientas de asistencia cotidiana o de gestión interna, no reciben su propio conjunto de obligaciones pesadas del AI Act, aunque otras normativas pueden seguir siendo aplicables.
La IA de alto riesgo activa obligaciones previas a la comercialización y durante todo el ciclo de vida
La clasificación de alto riesgo es donde el Reglamento se vuelve operativamente exigente. Los proveedores de sistemas de IA de alto riesgo deben ejecutar un proceso de gestión de riesgos, gestionar adecuadamente la calidad y la gobernanza de los datos, preparar documentación técnica, habilitar el registro de eventos, proporcionar instrucciones de uso claras, diseñar el sistema con supervisión humana y cumplir los requisitos de exactitud, robustez y ciberseguridad. También necesitan un sistema de gestión de la calidad.
Antes de que un sistema de alto riesgo se comercialice o entre en servicio, el proveedor debe completar la vía de evaluación de la conformidad correspondiente, elaborar una declaración UE de conformidad y, cuando sea necesario, colocar el marcado CE. Para la mayoría de los sistemas del Anexo III, el registro en la base de datos de la UE también forma parte del proceso. Tras el lanzamiento, los proveedores deben supervisar el sistema, investigar los incidentes graves y adoptar medidas correctoras cuando sea necesario.
Los desplegadores tienen sus propias obligaciones. Deben utilizar los sistemas de alto riesgo conforme a las instrucciones del proveedor, asignar supervisión humana competente, supervisar el funcionamiento, conservar los registros bajo su control durante un período adecuado y escalar los riesgos o incidentes graves. Cuando el sistema se utilice en el trabajo, los desplegadores que sean empleadores deben informar a los trabajadores y sus representantes antes de su uso. Las autoridades públicas, las entidades privadas que presten servicios públicos y los desplegadores de determinados casos de uso financiero, como la evaluación de la solvencia crediticia y la evaluación y fijación de precios del riesgo en seguros de vida o salud, también deben realizar una evaluación de impacto sobre los derechos fundamentales antes del primer uso.
En la cadena de valor existe una trampa práctica. Si un importador, distribuidor, desplegador u otro tercero cambia la marca de un sistema de alto riesgo, realiza una modificación sustancial o cambia el propósito previsto de modo que el sistema pase a ser de alto riesgo, ese actor puede convertirse en el proveedor legal. En otras palabras, el Reglamento no permite a una empresa eludir su responsabilidad simplemente porque comenzó adquiriendo la herramienta de otra persona.
Los modelos de IA de uso general tienen su propio conjunto de normas
El AI Act no solo regula los sistemas terminados. También cuenta con un capítulo específico para los modelos de IA de uso general, dado que los proveedores de modelos pueden configurar el riesgo muy por encima de la aplicación final.
Los proveedores de modelos de IA de uso general deben mantener documentación técnica, proporcionar a los proveedores de sistemas intermedios la información necesaria para comprender las capacidades y limitaciones del modelo, mantener una política de cumplimiento de los derechos de autor y derechos afines de la UE, y publicar un resumen suficientemente detallado del contenido utilizado para el entrenamiento. Algunas de las obligaciones de documentación se flexibilizan para los modelos publicados bajo una licencia de código abierto libre con acceso público a los pesos e información relacionada con el modelo, pero esta excepción no se extiende a los modelos con riesgo sistémico.
Para los modelos de IA de uso general con riesgo sistémico, el Reglamento añade un nivel más estricto. Esos proveedores deben realizar evaluaciones del modelo, llevar a cabo y documentar pruebas de adversario, evaluar y mitigar los riesgos sistémicos a escala de la Unión, notificar los incidentes graves sin demora indebida y garantizar un nivel adecuado de ciberseguridad. La Comisión puede considerar que un modelo presenta riesgo sistémico no solo mediante una presunción basada en el umbral de cómputo, sino también a través de una vía de designación basada en alertas de expertos y criterios de riesgo.
Este es el ámbito donde la Oficina de IA desempeña el papel más visible en primera línea. Para muchas empresas, esto significa que la pregunta de cumplimiento ya no es solo "¿Es mi producto de alto riesgo?", sino también "¿Qué régimen de modelo subyace a él y qué evidencia puedo obtener del proveedor del modelo aguas arriba?"
La aplicación se comparte entre los organismos de la UE y los nacionales
La arquitectura de aplicación del Reglamento está deliberadamente distribuida. La Comisión Europea desarrolla su capacidad técnica a través de la Oficina de IA, que desempeña el papel principal en relación con los modelos de IA de uso general. También apoya la aplicación coherente en los Estados miembros y proporciona herramientas, plantillas y apoyo operativo.
El Consejo Europeo de Inteligencia Artificial, compuesto por representantes de los Estados miembros y apoyado por la Oficina de IA, contribuye a coordinar la práctica nacional. El Foro Consultivo incorpora conocimientos externos de la industria, las empresas emergentes, la sociedad civil y el mundo académico. El Panel Científico de expertos independientes apoya la aplicación, especialmente en materia de IA de uso general, y puede emitir alertas cualificadas sobre posibles riesgos sistémicos.
A nivel nacional, cada Estado miembro debe designar al menos una autoridad de vigilancia del mercado y al menos una autoridad notificante. Las autoridades de vigilancia del mercado aplican las normas relativas a los sistemas de IA, incluidas las prohibiciones, las obligaciones de transparencia y el cumplimiento de los requisitos de alto riesgo, en el marco más amplio de vigilancia del mercado de la UE. Las autoridades notificantes supervisan a los organismos notificados, que realizan el trabajo de conformidad por terceros cuando la ley lo exige. En algunos sectores, como el financiero o el de seguridad de productos, un regulador sectorial puede actuar como autoridad de vigilancia del mercado competente.
El Reglamento también otorga derechos especiales de acceso y cooperación a las autoridades que protegen los derechos fundamentales, de modo que la aplicación no recae únicamente en la supervisión de tipo producto. Para las instituciones, organismos, oficinas y agencias de la UE, el Supervisor Europeo de Protección de Datos actúa como autoridad competente, autoridad de vigilancia del mercado y, cuando proceda, organismo notificado.
Las normas, los expedientes técnicos y las vías de conformidad lo hacen operativo
El AI Act está redactado como un Reglamento marco. Establece los requisitos legales a un nivel relativamente general y se apoya en normas, documentación técnica y vías de conformidad para convertir esos requisitos en evidencia.
Las normas europeas armonizadas son voluntarias, pero una vez que sus referencias se publican en el Diario Oficial de la Unión Europea otorgan una presunción de conformidad. Esto es relevante porque los proveedores pueden utilizarlas como vía práctica para demostrar el cumplimiento. Si no existen normas adecuadas, se retrasan o no abordan suficientemente los requisitos legales, la Comisión puede adoptar especificaciones comunes como alternativa.
Para los sistemas de alto riesgo, las vías de conformidad difieren. Determinados sistemas pueden basarse en el control interno. Otros requieren la intervención de un organismo notificado, especialmente cuando el Reglamento así lo establece o cuando faltan normas armonizadas o especificaciones comunes, o no se aplican. La IA vinculada a productos del Anexo I sigue la vía de conformidad sectorial pertinente, con los requisitos del AI Act integrados en ese proceso.
A 4 de junio de 2026, este nivel operativo aún está madurando. La Comisión ha publicado orientaciones sobre las prácticas prohibidas, la definición de sistema de IA, la alfabetización en IA y el alcance de las obligaciones relativas a los modelos de IA de uso general, y ha publicado orientaciones preliminares sobre la clasificación de alto riesgo. Sin embargo, las orientaciones no equivalen a la ley, y las normas armonizadas aún están en desarrollo. Por eso, el trabajo serio de cumplimiento sigue comenzando por el propio Reglamento, al que se añaden orientaciones, normas sectoriales y estándares a medida que están disponibles.
Ejemplos
Software de contratación. Un proveedor que vende software de filtrado de currículums o evaluación de candidatos en la UE probablemente se enfrenta a un uso de alto riesgo en el ámbito del empleo. Antes de la comercialización, el proveedor necesita el paquete de cumplimiento de alto riesgo. El empleador que lo despliega debe utilizar la herramienta conforme a las instrucciones, asignar supervisión humana formada, supervisar el uso, conservar los registros bajo su control cuando proceda e informar a los trabajadores si el sistema se utiliza en el lugar de trabajo. Si el empleador modifica sustancialmente la herramienta o cambia su propósito previsto, puede asumir el papel legal de proveedor.
Crédito y seguros. Un prestamista que utiliza IA para evaluar la solvencia crediticia de una persona física, o una aseguradora que utiliza IA para la evaluación y fijación de precios del riesgo en seguros de vida o salud, se encuentra en un área de alto riesgo expresamente nombrada. Estos usos requieren más que la garantía del proveedor. Dependiendo de la categoría del desplegador, puede ser necesaria una evaluación de impacto sobre los derechos fundamentales antes del primer uso, y la organización debe organizar la supervisión, el seguimiento, el mantenimiento de registros y la escalada de incidentes en torno al sistema.
Proveedor de modelos de uso general. Un proveedor de un modelo de IA de uso general que supera el umbral de riesgo sistémico, o que es designado por la Comisión tras una alerta de expertos, pasa al nivel más estricto de los modelos de IA de uso general. Esto implica la evaluación del modelo, pruebas de adversario documentadas, evaluación y mitigación del riesgo sistémico a escala de la Unión, notificación de incidentes graves a la Oficina de IA y controles de ciberseguridad en torno al modelo y su infraestructura.
Malentendidos frecuentes
"La UE ha prohibido la IA." No. El Reglamento prohíbe una lista limitada de prácticas y regula con mayor rigor algunos otros usos.
"Es básicamente el GDPR para algoritmos." No. El GDPR sigue regulando los datos personales, mientras que el AI Act añade normas separadas sobre clasificación, documentación, transparencia, supervisión, conformidad y vigilancia del mercado.
"Solo el desarrollador original tiene obligaciones." No. Los desplegadores, importadores, distribuidores, representantes autorizados y algunos modificadores pueden tener obligaciones directas.
"El código abierto implica exención." No. No existe una exención general, y los modelos de uso general con riesgo sistémico siguen estando dentro del ámbito de aplicación.
"Si una herramienta no es de alto riesgo, el AI Act no tiene ningún efecto." No siempre. Algunos sistemas siguen activando obligaciones de transparencia, y muchos otros regímenes jurídicos pueden seguir siendo aplicables.
Riesgos y límites
La parte más difícil suele ser la clasificación, no la norma principal. Si un software cumple la definición de sistema de IA del Reglamento, si un uso está incluido en el Anexo III, si existe una derogación del estatus de alto riesgo y si un cambio es sustancial pueden ser cuestiones que dependan de los hechos concretos. Las orientaciones de la Comisión ayudan, pero no son vinculantes y pueden evolucionar con el tiempo.
El AI Act tampoco es una ley de IA completa en el sentido cotidiano. No sustituye al GDPR, al derecho laboral, a la normativa de seguridad de productos, a la regulación financiera, a las normas antidiscriminación, a la protección de los consumidores ni a las obligaciones de ciberseguridad. En muchos casos, las organizaciones deben cumplir varios regímenes simultáneamente. Por eso, un proyecto de trabajo sobre el AI Act no puede recaer únicamente en el área jurídica ni únicamente en ingeniería.
La principal incertidumbre a corto plazo es el calendario de algunas obligaciones de alto riesgo. A 4 de junio de 2026, el texto del AI Act en EUR-Lex sigue señalando el 2 de agosto de 2026 como fecha general de aplicación y el 2 de agosto de 2027 para el artículo 6, apartado 1, y las obligaciones vinculadas. Sin embargo, un acuerdo político provisional alcanzado en mayo de 2026 en el marco del paquete de simplificación del Ómnibus Digital aplazaría varias de estas fechas: las obligaciones de alto riesgo del Anexo III basadas en el uso se trasladarían al 2 de diciembre de 2027, las obligaciones para la IA integrada en productos regulados al 2 de agosto de 2028, y las obligaciones de transparencia al 2 de diciembre de 2026. A 4 de junio de 2026, ese acuerdo es provisional y solo tiene efecto jurídico tras su adopción formal y publicación, por lo que la fecha original del 2 de agosto de 2026 sigue siendo técnicamente la vigente hasta entonces. Al mismo tiempo, las páginas de aplicación de la Comisión ya describen fechas posteriores vinculadas a una iniciativa de simplificación y al acuerdo político alcanzado en 2026. Hasta que un acto modificativo quede formalmente reflejado en el texto legal, las organizaciones prudentes deben tomar el Reglamento vigente como referencia y seguir de cerca las actualizaciones oficiales.
Próximos pasos
Elaborar un inventario único de sistemas de IA, modelos y casos de uso, incluidas las herramientas de terceros, las funcionalidades integradas y los desarrollos internos. Registrar el papel jurídico de cada uno: proveedor, desplegador, importador, distribuidor o proveedor intermediario.
Realizar ahora una revisión de prácticas prohibidas, especialmente en lo relativo a usos biométricos, inferencia de emociones en entornos laborales o educativos, interfaces manipuladoras y construcción de bases de datos faciales mediante recopilación masiva.
Identificar los usos probablemente de alto riesgo y preparar el expediente de evidencias: memorando de clasificación, revisión de la documentación del proveedor, plan de supervisión humana, registro de eventos, escalada de incidentes, controles de gobernanza de datos, cláusulas de contratación y, cuando sea necesario, una evaluación de impacto sobre los derechos fundamentales.
Revisar las dependencias de modelos de uso general. Si se construye sobre el modelo de otra empresa, establecer contractualmente la documentación y la cooperación necesarias. Si se proporciona un modelo, mapear las obligaciones del Capítulo V y cualquier activador de riesgo sistémico.
Tratar la alfabetización en IA como un control operativo, no como un curso puntual. El Reglamento ya espera que los proveedores y desplegadores adopten medidas proporcionadas para que el personal y los contratistas relevantes comprendan los sistemas que gestionan.
Seguir las orientaciones oficiales de la UE, las normas armonizadas, las especificaciones comunes, los contactos de las autoridades nacionales competentes y cualquier modificación formalmente adoptada del calendario.
Relacionado: Regulación de la IA en África.
Relacionado: Regulación de la IA en Europa.
Relacionado: Regulación de la IA en las Américas.
Relacionado: Regulación de la IA en Asia-Pacífico.
Relacionado: Regulación de la IA en Oriente Medio.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿Es el AI Act simplemente el GDPR para la IA?
No. El GDPR regula los datos personales y la privacidad. El AI Act es un régimen de la UE independiente para los sistemas de IA y algunos proveedores de modelos, centrado en la clasificación de riesgos, el cumplimiento de tipo producto, la transparencia, la gobernanza y la aplicación.
¿Se aplica el AI Act a empresas fuera de la UE?
Sí, en algunos casos. Alcanza a los proveedores que comercializan sistemas de IA o modelos de IA de uso general en el mercado de la UE, y también puede alcanzar a proveedores y desplegadores fuera de la UE cuando el resultado del sistema de IA se utiliza en la Unión.
¿Son todos los sistemas de IA de alto riesgo?
No. Solo determinada IA relacionada con productos y los usos enumerados en el Anexo III son de alto riesgo. Algunos otros sistemas solo están sujetos a obligaciones de transparencia, y muchos usos ordinarios de la IA no reciben su propio conjunto de obligaciones pesadas del AI Act.
¿Cuándo se aplican las partes principales del Reglamento?
El Reglamento entró en vigor el 1 de agosto de 2024. Las prácticas prohibidas y las obligaciones de alfabetización en IA se aplican desde el 2 de febrero de 2025. Las normas de gobernanza y el régimen de modelos de IA de uso general se aplican desde el 2 de agosto de 2025. Según el texto vigente en EUR-Lex, el cuerpo principal se aplica desde el 2 de agosto de 2026, con el artículo 6, apartado 1, y las obligaciones vinculadas desde el 2 de agosto de 2027. Un acuerdo político provisional alcanzado en mayo de 2026 en el marco del Ómnibus Digital aplazaría varias de estas fechas, por lo que conviene tratar las fechas publicadas como no definitivas y seguir de cerca cualquier cambio formalmente adoptado en el calendario.
¿Quién aplica el AI Act?
La aplicación es compartida. Las autoridades nacionales de vigilancia del mercado aplican las normas relativas a los sistemas de IA. Las autoridades notificantes supervisan a los organismos notificados. La Oficina de IA lidera la aplicación en materia de modelos de IA de uso general y apoya una aplicación coherente en toda la UE. El Supervisor Europeo de Protección de Datos supervisa las instituciones, organismos, oficinas y agencias de la UE.
¿Siempre se necesita un organismo notificado?
No. No todos los sistemas de IA de alto riesgo requieren la intervención de un organismo notificado. Muchos sistemas del Anexo III utilizan una vía de control interno. Los organismos notificados son relevantes cuando el Reglamento exige una evaluación por terceros, especialmente en algunos contextos vinculados a productos o cuando faltan las normas pertinentes o no se aplican.
¿Queda la IA de código abierto fuera del régimen?
No del todo. El Reglamento sí contiene algunas excepciones limitadas, especialmente para determinadas obligaciones de documentación de modelos de IA de uso general cuando el modelo se publica bajo una licencia de código abierto libre que cumple los requisitos. Sin embargo, no existe una exención general, y los modelos de uso general con riesgo sistémico siguen sujetos al régimen más estricto.