¿Qué es la regulación de la IA en Europa?
Regulación de la IA: países y regiones
La regulación de la IA en Europa es escalonada, no unitaria. La UE aplica el AI Act vinculante y basado en riesgos junto con el GDPR en materia de datos y un régimen revisado de responsabilidad por productos. Los estados no pertenecientes a la UE difieren: el Reino Unido adopta un enfoque basado en principios y liderado por los reguladores, Suiza mantiene un modelo sectorial y Noruega incorpora el AI Act a través del EEA. Por encima de todo ello se sitúa el tratado del Council of Europe, un instrumento de derechos humanos abierto más allá de Europa. Este hub mapea esas capas y le dirige al detalle por país.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
No existe una única "ley europea de IA". En cambio, hay varias capas superpuestas. La más detallada es el AI Act de la Unión Europea, un reglamento vinculante que clasifica la IA según el riesgo y se aplica en los 27 estados miembros de la UE. A su lado se encuentran el GDPR, que regula los datos personales, y un régimen revisado de responsabilidad por productos que ahora trata el software y la IA como productos.
Una segunda capa abarca los estados fuera de la UE. El Reino Unido ha optado por no adoptar un único estatuto de IA y, en su lugar, pide a los reguladores existentes que apliquen principios comunes. Suiza mantiene su enfoque sector por sector mientras prepara cambios legales específicos. Noruega, Islandia y Liechtenstein no son miembros de la UE, pero están vinculados al mercado único a través del EEA, por lo que el AI Act les llega por una vía separada.
Una tercera capa es el Convenio Marco del Council of Europe sobre IA, el primer tratado internacional sobre la materia. Es un instrumento de derechos humanos, no un manual de seguridad de productos, y está abierto a países de todo el mundo. Esta página explica cómo encajan estas piezas y le remite a los artículos dedicados a cada instrumento y país.
Por qué importa
Si desarrolla, vende o despliega IA que afecta a personas en Europa, más de un régimen puede aplicarse al mismo sistema al mismo tiempo. Una herramienta de IA para la contratación puede ser un sistema de alto riesgo bajo el EU AI Act, una operación de datos personales bajo el GDPR y un "producto" bajo las normas revisadas de responsabilidad, todo a la vez. Las capas también divergen por país: lo que es principio y orientación en Londres puede ser obligación vinculante en Dublín o Roma. Leer Europa como un bloque único genera lagunas de cumplimiento. Leerla como un mapa de capas relacionadas es la forma práctica de planificar.
Cómo funciona
La capa de la UE: el AI Act
El EU AI Act (Reglamento (UE) 2024/1689) es la pieza central. Entró en vigor el 1 de agosto de 2024 y se aplica por fases. Las prohibiciones sobre un conjunto de prácticas de "riesgo inaceptable", junto con las obligaciones de alfabetización en IA, se aplicaron desde el 2 de febrero de 2025. Las normas de gobernanza y las obligaciones para los modelos de IA de uso general se aplicaron desde el 2 de agosto de 2025. Las obligaciones más exigentes, para los sistemas de alto riesgo, estaban fijadas originalmente para el 2 de agosto de 2026, con los sistemas de alto riesgo integrados en productos siguiendo en 2027. No se reproduce aquí el contenido del AI Act en detalle; véase la página dedicada al EU AI Act.
El calendario está cambiando. El 19 de noviembre de 2025, la Comisión Europea propuso un "Ómnibus Digital" para simplificar la implementación, y el 7 de mayo de 2026 el Consejo y el Parlamento alcanzaron un acuerdo provisional. Si se adopta tal como se acordó, las obligaciones para los sistemas de alto riesgo autónomos (Anexo III) se trasladan del 2 de agosto de 2026 al 2 de diciembre de 2027, y los sistemas de alto riesgo integrados en productos (Anexo I) se trasladan al 2 de agosto de 2028. El acuerdo también añade una nueva práctica prohibida relativa a imágenes íntimas no consensuales generadas por IA y material de abuso sexual infantil. En la fecha de redacción de este texto, se trata de un acuerdo político provisional, aún no adoptado como ley, por lo que las fechas originales siguen siendo la base legal hasta que la enmienda se publique en el Diario Oficial. Las nuevas fechas deben tratarse como esperadas, no como definitivas.
Quién lo gestiona: la Comisión, la Oficina de IA y los comités
La aplicación es de dos niveles. La Oficina Europea de IA, dentro de la Comisión Europea, supervisa los modelos de IA de uso general y coordina el enfoque a escala de la UE. Las autoridades nacionales supervisan la mayoría de los demás sistemas de IA en su territorio. Tres órganos consultivos apoyan el sistema: el Consejo Europeo de Inteligencia Artificial (representantes de los estados miembros), un Panel Científico de expertos independientes y un Foro Consultivo de partes interesadas. El Consejo coordina las autoridades nacionales; el Panel Científico puede emitir alertas sobre riesgos sistémicos derivados de modelos de uso general.
Cómo lo implementan los estados miembros
Un reglamento se aplica directamente, pero el AI Act deja igualmente a los estados miembros la designación de autoridades nacionales competentes, al menos una autoridad de vigilancia del mercado y una autoridad notificante, antes del 2 de agosto de 2025. Muchos incumplieron el plazo y la designación ha sido desigual. Italia fue más lejos, adoptando la Ley n.º 132/2025, la primera ley nacional de IA en la UE, que designa a AgID y a la Agencia Nacional de Ciberseguridad como sus autoridades. España creó AESIA (Agencia Española de Supervisión de la Inteligencia Artificial) mediante el Real Decreto 729/2023, de 22 de agosto de 2023, operativa desde junio de 2024 y descrita como la primera agencia supervisora de IA dedicada en la UE, con sede en A Coruña. Varios estados grandes seguían ultimando sus designaciones en 2026. El detalle por país se encuentra en los artículos individuales de cada país enlazados a continuación.
La capa del GDPR
El GDPR (Reglamento (UE) 2016/679) no es una ley de IA, pero regula cualquier IA que trate datos personales. El artículo 22 restringe las decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos o igualmente significativos. El Tribunal de Justicia confirmó en SCHUFA Holding (Scoring), Asunto C-634/21, sentencia de 7 de diciembre de 2023 (OQ contra Land Hessen), que la puntuación crediticia automatizada constituye "toma de decisiones individual automatizada" en el sentido del artículo 22 cuando un tercero al que se transmite ese valor de probabilidad se apoya en él de forma determinante para establecer, ejecutar o resolver una relación contractual. El 18 de diciembre de 2024, el Comité Europeo de Protección de Datos adoptó el Dictamen 28/2024 "sobre determinados aspectos de la protección de datos relacionados con el tratamiento de datos personales en el contexto de los modelos de IA", solicitado por la Comisión Irlandesa de Protección de Datos en virtud del artículo 64(2) del GDPR, que aborda cuándo un modelo es anónimo y cuándo el interés legítimo puede justificar el entrenamiento con datos personales. El AI Act y el GDPR se aplican de forma acumulativa: un sistema de alto riesgo que tome decisiones individuales debe cumplir ambos.
La capa de responsabilidad
El panorama cambió en 2025. La propuesta de Directiva sobre responsabilidad en materia de IA, que habría aliviado la carga de la prueba para las personas perjudicadas por la IA, fue retirada por la Comisión, confirmado formalmente en 2025, alegando la ausencia de un acuerdo previsible. Lo que subsiste es la Directiva revisada sobre responsabilidad por productos (Directiva (UE) 2024/2853), que los estados miembros deben transponer antes del 9 de diciembre de 2026. Trata el software y los sistemas de IA como "productos" sujetos a responsabilidad objetiva y facilita las normas probatorias para los demandantes. Con la Directiva sobre responsabilidad en materia de IA retirada, esta directiva junto con el derecho de daños nacional asume ahora la responsabilidad civil por daños causados por la IA. Véase la página sobre responsabilidad en materia de IA.
Europa no perteneciente a la UE: el Reino Unido, Suiza, Noruega y el EEA
El Reino Unido no cuenta con un AI Act único. Su marco descansa en los cinco principios transectoriales del Libro Blanco de marzo de 2023, aplicados por los reguladores existentes como la ICO, la FCA, la CMA y Ofcom. El AI Safety Institute pasó a denominarse Instituto de Seguridad de la IA en febrero de 2025. Los ministros han señalado la posibilidad de legislación específica para los modelos "frontera" más potentes, pero ningún proyecto de ley gubernamental ha sido aprobado aún.
Suiza no tiene una ley horizontal de IA. El 12 de febrero de 2025, el Consejo Federal decidió ratificar el Convenio del Council of Europe y realizar cambios específicos, en su mayoría sectoriales, en el derecho suizo, con normas transversales amplias limitadas a ámbitos como la protección de datos. Suiza firmó el Convenio en marzo de 2025; se espera un borrador de consulta para finales de 2026.
Noruega, Islandia y Liechtenstein son estados EFTA del EEA. El AI Act está marcado como relevante para el EEA y se está evaluando su incorporación al Acuerdo EEA; los tres participan como observadores en las reuniones del Consejo de IA. Noruega publicó un borrador de AI Act nacional (KI-loven) para consulta a mediados de 2025, proponiendo al regulador de comunicaciones Nkom como supervisor coordinador, con entrada en vigor alineada con la UE en 2026.
La capa del Council of Europe
El Convenio Marco del Council of Europe sobre IA (CETS n.º 225) es el primer tratado internacional jurídicamente vinculante en la materia. Fue adoptado por el Comité de Ministros del Council of Europe el 17 de mayo de 2024 y abierto a la firma el 5 de septiembre de 2024 en Vilna. Según el Council of Europe, entrará en vigor el primer día del mes siguiente a la expiración de un período de tres meses desde la fecha en que cinco signatarios, incluidos al menos tres estados miembros del Council of Europe, lo hayan ratificado. A diferencia del AI Act, es un instrumento de derechos humanos: tecnológicamente neutro, centrado en los derechos humanos, la democracia y el Estado de derecho, y abierto a estados de todo el mundo. Su membresía se extiende, por tanto, mucho más allá de la UE. Ambos son complementarios: la UE implementa el Convenio en gran medida a través del AI Act.
Ejemplos
1. Herramienta de selección de personal por IA utilizada en toda la UE. El mismo sistema puede ser de alto riesgo bajo el AI Act (el empleo es un uso del Anexo III), estar regulado por el artículo 22 del GDPR en cuanto a decisiones automatizadas, y ser un "producto" bajo la Directiva revisada de responsabilidad por productos a partir de diciembre de 2026. Tres capas, una sola herramienta.
2. Un modelo de IA generativa de imágenes ofrecido en la UE. Las obligaciones de transparencia del artículo 50 (marcado del contenido generado por IA) se mantienen en gran medida en el calendario original, con el marcado de agua para los sistemas ya en el mercado aplazado al 2 de diciembre de 2026 en virtud del acuerdo provisional del Ómnibus. El mismo acuerdo añade una prohibición sobre imágenes íntimas no consensuales.
3. Un operador noruego. Una empresa en Oslo no está en la UE, pero una vez que el AI Act se incorpore al Acuerdo EEA y el AI Act nacional de Noruega entre en vigor, se aplicarán en términos generales las mismas obligaciones basadas en riesgos, supervisadas a nivel nacional en lugar de por Bruselas.
Malentendidos frecuentes
1. "Europa tiene una sola ley de IA." No es así. El EU AI Act es la capa más destacada, pero el GDPR, la responsabilidad por productos, las leyes nacionales y el tratado del Council of Europe son instrumentos separados.
2. "El EU AI Act y el Convenio del Council of Europe son lo mismo." No lo son. El AI Act es un reglamento vinculante de la UE de tipo seguridad de productos; el Convenio es un tratado de derechos humanos abierto a estados no europeos.
3. "Las obligaciones de alto riesgo están plenamente en vigor en agosto de 2026." Bajo la legislación vigente muchas lo estaban, pero el acuerdo provisional del Ómnibus Digital trasladaría las obligaciones de alto riesgo autónomas a diciembre de 2027. La situación está en proceso de cambio.
4. "Existe una Directiva de la UE sobre responsabilidad en materia de IA." No existe. Esa propuesta fue retirada. La responsabilidad civil se canaliza a través de la Directiva revisada de responsabilidad por productos y el derecho nacional.
5. "El Reino Unido tiene un AI Act como el de la UE." No es así. El Reino Unido se apoya en principios aplicados por los reguladores existentes, con una posible legislación sobre modelos frontera aún pendiente.
Riesgos y límites
Este es un ámbito en rápida evolución y una página de orientación general, no asesoramiento jurídico. Las fechas y los estados se indican a la fecha de redacción y se espera que varios cambien, en particular el calendario de alto riesgo del AI Act bajo el Ómnibus Digital. Las designaciones de los estados miembros y las leyes nacionales siguen ultimándose. La entrada en vigor del Convenio del Council of Europe depende de ratificaciones que aún se están acumulando. Para obtener información vinculante, recurra a las fuentes primarias y a las páginas dedicadas, y verifique la situación actual antes de actuar.
Qué hacer a continuación
Comience por identificar qué capas afectan a cada sistema de IA: nivel de riesgo bajo el AI Act, tratamiento de datos bajo el GDPR y exposición a la responsabilidad por productos. Elabore y mantenga un inventario de IA ahora, porque el trabajo de clasificación no se simplifica con el tiempo. Siga el Ómnibus Digital hasta su publicación en el Diario Oficial antes de basarse en las fechas posteriores. Para operaciones en varios países, identifique la autoridad nacional competente en cada mercado y esté atento a leyes nacionales como la de Italia. Si opera en el Reino Unido, Suiza o Noruega, siga el enfoque nacional correspondiente en lugar de asumir que el régimen de la UE se aplica directamente. Utilice las páginas dedicadas a continuación para profundizar.
Explore las entradas individuales: Regulación de la IA en Albania, Regulación de la IA en Andorra, Regulación de la IA en Austria, Regulación de la IA en Bielorrusia, Regulación de la IA en Bélgica, Regulación de la IA en Bosnia y Herzegovina, Regulación de la IA en Bulgaria, Regulación de la IA en Croacia, Regulación de la IA en Chipre, Regulación de la IA en la República Checa, Regulación de la IA en Dinamarca, Regulación de la IA en Estonia, Regulación de la IA en la Unión Europea, Regulación de la IA en Finlandia, Regulación de la IA en Francia, Regulación de la IA en Georgia, Regulación de la IA en Alemania, Regulación de la IA en Grecia, Regulación de la IA en Hungría, Regulación de la IA en Islandia, Regulación de la IA en Irlanda, Regulación de la IA en Italia, Regulación de la IA en Letonia, Regulación de la IA en Liechtenstein, Regulación de la IA en Lituania, Regulación de la IA en Luxemburgo, Regulación de la IA en Malta, Regulación de la IA en Moldavia, Regulación de la IA en Mónaco, Regulación de la IA en Montenegro, Regulación de la IA en los Países Bajos, Regulación de la IA en Macedonia del Norte, Regulación de la IA en Noruega, Regulación de la IA en Polonia, Regulación de la IA en Portugal, Regulación de la IA en Rumanía, Regulación de la IA en Rusia, Regulación de la IA en San Marino, Regulación de la IA en Serbia, Regulación de la IA en Eslovaquia, Regulación de la IA en Eslovenia, Regulación de la IA en España, Regulación de la IA en Suecia, Regulación de la IA en Suiza, Regulación de la IA en Turquía, Regulación de la IA en Ucrania, Regulación de la IA en el Reino Unido.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿Existe una única ley de IA para toda Europa?
No. El EU AI Act cubre a los miembros de la UE, pero la protección de datos, la responsabilidad, las leyes nacionales y el tratado del Council of Europe son capas separadas, y los estados no pertenecientes a la UE tienen sus propios enfoques.
¿Cuándo se aplican las normas de alto riesgo del EU AI Act?
Según la legislación vigente, el 2 de agosto de 2026 para los sistemas de alto riesgo autónomos. Un acuerdo provisional del Ómnibus Digital de 7 de mayo de 2026 trasladaría esa fecha al 2 de diciembre de 2027, pero aún no es ley adoptada.
¿Qué ocurrió con la Directiva sobre responsabilidad en materia de IA?
La Comisión la retiró, confirmado en 2025, alegando la ausencia de un acuerdo previsible. La Directiva revisada de responsabilidad por productos, que debe transponerse antes del 9 de diciembre de 2026, asume ahora gran parte de la cuestión de la responsabilidad en materia de IA junto con el derecho nacional.
¿Cómo se relaciona el GDPR con el AI Act?
Se aplican de forma acumulativa. El GDPR regula los datos personales y las decisiones automatizadas (artículo 22); el AI Act regula el propio sistema de IA. Un sistema de alto riesgo que tome decisiones individuales debe cumplir ambos.
¿Se aplica el EU AI Act en el Reino Unido?
No directamente. Pero puede alcanzar a los proveedores del Reino Unido cuyos sistemas se comercialicen en el mercado de la UE o cuyos resultados se utilicen en la UE. A nivel interno, el Reino Unido utiliza un enfoque basado en principios y liderado por los reguladores.
¿Se aplica el AI Act en Noruega?
Se espera que sí, a través del Acuerdo EEA, una vez incorporado, con supervisión nacional. Noruega ha elaborado su propio AI Act para implementarlo.
¿En qué se diferencia el Convenio del Council of Europe del EU AI Act?
El Convenio es un tratado internacional de derechos humanos, tecnológicamente neutro y abierto a estados no europeos. El AI Act es un reglamento vinculante de la UE con normas detalladas de productos basadas en riesgos.
¿Ha entrado ya en vigor el Convenio del Council of Europe?
No en la fecha de redacción de este texto. Necesita cinco ratificaciones, incluidas tres de estados miembros del Council of Europe. La UE ratificó el 15 de mayo de 2026 en la 135.ª Sesión del Comité de Ministros en Chisinau, Moldavia, pero el umbral aún no se había alcanzado.