¿Qué es el EU AI Act?
Regulación de la IA: conceptos, instituciones y normas
El EU AI Act es la ley de la Unión Europea sobre inteligencia artificial y la primera ley integral de este tipo en el mundo. No trata toda la IA de la misma manera. Un conjunto reducido de usos está prohibido de forma absoluta; un grupo definido de usos de mayor riesgo, como algunas herramientas de selección de personal, crédito y seguros, conlleva obligaciones estrictas; y ciertos chatbots y medios sintéticos deben simplemente ser transparentes sobre lo que son. Su alcance va más allá de Europa: una organización en Londres, Nueva York o Singapur puede quedar sujeta a él si coloca IA en el mercado de la UE, presta servicios a usuarios en la UE o produce resultados de IA que se utilizan allí. Por eso se ha convertido en un punto de referencia para la regulación de la IA en todo el mundo, independientemente del país de origen de una empresa.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
En esencia, el EU AI Act es una ley de mercado para la IA. Está diseñada para permitir el uso de la IA en el mercado único europeo, aplicando mayor control donde las consecuencias para las personas, la seguridad y los derechos son más elevadas. El principio es sencillo: regular en proporción al riesgo, en lugar de tratar todas las herramientas de IA como igualmente peligrosas.
Esto importa porque "IA" es un término demasiado amplio para gobernarlo con una sola norma. Un corrector ortográfico, un generador de imágenes, un modelo antifraude, un sistema de selección de candidatos y un componente de IA dentro de un dispositivo médico no son lo mismo y no merecen el mismo nivel de escrutinio. Por eso la ley funciona por capas. Algunos usos no están permitidos en absoluto. Otros solo lo están con controles sustanciales. Otros están permitidos siempre que se informe a las personas de lo que está ocurriendo. La gran mayoría de los usos cotidianos de bajo riesgo apenas añaden nada a lo que ya exige la legislación vigente y una gobernanza razonable.
La ley se aplica a lo que denomina un sistema de IA: software que opera con cierta autonomía e infiere a partir de sus entradas cómo generar resultados, como predicciones, contenidos, recomendaciones o decisiones que influyen en el entorno. En términos más sencillos, si un programa informático realiza inferencias y produce resultados que condicionan lo que ocurre a continuación, es probable que esté dentro del ámbito de aplicación. Determinar si un producto concreto cuenta como sistema de IA y en qué categoría de riesgo se encuadra es una de las primeras preguntas prácticas a las que se enfrenta cualquier organización.
La ley también trata los modelos de IA de propósito general, es decir, los modelos amplios capaces de realizar muchas tareas distintas e integrarse en innumerables productos derivados, como una categoría propia. La razón es práctica. La empresa que desarrolla un modelo de gran escala y la empresa que lo incorpora en un producto orientado al cliente no suelen ser la misma, por lo que la ley distribuye obligaciones a lo largo de la cadena: el proveedor del modelo documenta qué es el modelo y qué puede hacer, y la empresa que construye sobre él dispone de información suficiente para cumplir sus propias obligaciones.
Para la mayoría de las organizaciones, la forma más útil de entender todo esto no es como un muro de categorías jurídicas, sino como una secuencia de preguntas. ¿Qué IA estamos usando o desarrollando? ¿Dónde se usa y quién la usa? ¿Cuánto importa cuando falla? Las respuestas sitúan a una empresa en algún punto del espectro de la ley, y para la gran mayoría de los usos ese punto se encuentra cómodamente hacia el extremo más ligero.
Por qué es importante
La ley es importante porque no se detiene en las fronteras de Europa. Se aplica a las organizaciones que colocan IA en el mercado de la UE, a las que utilizan IA dentro de la UE y a las que están fuera de la UE pero cuyos resultados de IA se utilizan en ella. Alcanza a los proveedores, es decir, las empresas que desarrollan y suministran IA, y a los desplegadores, las empresas que la ponen en uso, junto con importadores, distribuidores y otros actores de la cadena. El lugar donde una empresa está constituida no es el factor determinante; lo que importa es dónde se coloca el sistema, dónde se usa y dónde llegan sus resultados.
Esto se aprecia con claridad en la vida comercial ordinaria. Una empresa de software que vende una herramienta de IA a clientes en Alemania o Francia está colocando ese sistema en el mercado de la UE. Una empresa de servicios que usa IA para filtrar candidatos para un cliente en la UE está produciendo resultados que se utilizan allí. Un minorista que emplea una herramienta de atención al cliente con IA para sus clientes europeos está generando puntos de contacto en la UE. Una entidad financiera que evalúa solicitantes en España o los Países Bajos está dentro del alcance de la ley, independientemente de dónde tenga su sede central. La misma lógica alcanza a organizaciones de todos los continentes, lo que explica en parte por qué la ley ha influido en el debate sobre la regulación de la IA mucho más allá de Europa.
Para la mayoría de las organizaciones, las obligaciones iniciales son más ligeras de lo que sugieren los titulares, y la respuesta adecuada no es la alarma. Muchas descubrirán que pocas de sus actividades caen en las categorías de mayor riesgo, y que sus obligaciones inmediatas se centran en comprender su propio uso de la IA, ser transparentes cuando se requiera y estar atentas al calendario. Las empresas que operan en ámbitos que la ley considera de mayor riesgo, como la selección de personal, el crédito, la fijación de precios de seguros o los servicios públicos, necesitan un plan más preciso. En todos los casos, el trabajo es más sencillo cuando se afronta con antelación, antes de que un contrato, el lanzamiento de un producto o un cuestionario de contratación conviertan una regulación lejana en una inmediata.
Hay también un punto más amplio. La mayoría de los países aún no cuentan con una ley integral única sobre IA, y muchas organizaciones navegan simultáneamente entre un mosaico de normas de protección de datos, regulación sectorial y el EU AI Act. Una empresa con exposición europea puede estar sujeta de facto a más de un régimen al mismo tiempo. La respuesta razonada no es asumir que la distancia otorga exención, sino poder indicar con claridad dónde operan sus sistemas, a quién afectan y si alguno de los supuestos de la ley les resulta aplicable. Esa claridad tiene valor por sí misma, sea cual sea el clima regulatorio.
Cómo funciona
La ley se articula en torno a roles, y determinar el rol correcto es el punto de partida de todo lo demás. Un proveedor es la organización que desarrolla un sistema de IA o un modelo de IA de propósito general, o encarga su desarrollo, y lo coloca en el mercado o lo pone en servicio bajo su propio nombre o marca comercial. Un desplegador es la organización que utiliza el sistema bajo su propia responsabilidad en el ejercicio de su actividad. La ley también define importadores, distribuidores, representantes autorizados y fabricantes de productos. La distinción importa más de lo que parece a primera vista, porque una empresa que se considera un simple usuario puede convertirse en proveedor a efectos legales si pone su marca en un sistema, lo modifica sustancialmente o cambia su finalidad.
Un número reducido de usos está prohibido de forma absoluta. Estas prácticas prohibidas incluyen la IA que manipula o engaña de maneras que distorsionan materialmente el comportamiento y causan daños significativos, la IA que explota vulnerabilidades vinculadas a la edad, la discapacidad o la situación económica, la puntuación social que conduce a un trato perjudicial injustificado, ciertos sistemas de predicción policial basados exclusivamente en perfiles, la recopilación masiva e indiscriminada de imágenes faciales para crear bases de datos de reconocimiento, el reconocimiento de emociones en entornos laborales y educativos fuera de razones médicas o de seguridad, la categorización biométrica que infiere características sensibles como la raza o la opinión política, y la mayoría de los sistemas de identificación biométrica remota en tiempo real en espacios públicos por parte de las fuerzas del orden. Las enmiendas acordadas añaden una prohibición adicional que cubre la IA que genera imágenes íntimas no consensuadas o material de abuso sexual infantil, con un puerto seguro para los sistemas que cuenten con salvaguardias preventivas eficaces. Para estas categorías, la respuesta no es un documento de política, sino la decisión de no hacerlo. La mayoría de las organizaciones ordinarias no se acercarán a los límites biométricos de las fuerzas del orden, pero el reconocimiento de emociones en el lugar de trabajo y las técnicas de manipulación del consumidor están más cerca de la práctica cotidiana de lo que los directivos a veces suponen.
La categoría operativa más amplia es la de la IA de alto riesgo, y hay dos vías para encuadrarse en ella. La primera abarca la IA que es un componente de seguridad de, o que en sí misma constituye, un producto regulado ya sujeto a evaluación por terceros en virtud de la legislación europea de productos vigente: cierta maquinaria, dispositivos médicos, juguetes, ascensores, vehículos y similares. La segunda abarca la IA utilizada en los contextos sensibles enumerados en el Anexo III: biometría, infraestructuras críticas, educación, empleo, acceso a servicios esenciales, aplicación de la ley, migración y control fronterizo, y administración de justicia y procesos democráticos.
El Anexo III es donde muchas empresas de servicios se reconocerán. En el ámbito del empleo, menciona la IA utilizada para reclutar o seleccionar personas, filtrar solicitudes y evaluar candidatos, y para tomar o apoyar decisiones sobre condiciones laborales, promoción, asignación de tareas o despido. En los servicios privados esenciales, menciona la IA utilizada para evaluar la solvencia crediticia o establecer una puntuación de crédito, salvo para la detección de fraude, y la IA utilizada para la evaluación de riesgos y la fijación de precios en seguros de vida y salud. Para una organización con actividad de contratación, préstamo o seguros orientada a la UE, estos no son casos marginales; están escritos en la propia ley.
No todo lo que toca un sector sensible es automáticamente de alto riesgo. La ley excluye los sistemas que no presentan un riesgo significativo de daño y no influyen materialmente en una decisión, por ejemplo cuando la IA realiza una tarea procedimental limitada, mejora el resultado de un trabajo que una persona ya ha realizado, detecta patrones sin sustituir el juicio humano, o gestiona únicamente un paso preparatorio. Hay un límite claro, sin embargo: un sistema que elabora perfiles de personas siempre se considera de alto riesgo. Dado que el límite es genuinamente difuso en algunos puntos, los casos fronterizos merecen una justificación escrita en lugar de una suposición confiada, y la orientación adicional sobre clasificación ha sido objeto de consulta.
Para los proveedores de sistemas de alto riesgo, las obligaciones son sustanciales y se extienden a lo largo de toda la vida del producto. Antes de que un sistema de alto riesgo salga al mercado de la UE, el proveedor debe cumplir los requisitos obligatorios de la ley y completar una evaluación de la conformidad. Esos requisitos abarcan la gestión de riesgos, la calidad y gobernanza de los datos, la documentación y la trazabilidad, la transparencia, la supervisión humana, la precisión, la ciberseguridad y la robustez, respaldados por un sistema de gestión de la calidad, registros conservados, una declaración de conformidad de la UE y la responsabilidad continua sobre el sistema en uso. Se trata de un régimen de diseño, documentación y pruebas, no de una sola página de política.
La supervisión humana es el requisito que con más frecuencia se malinterpreta. La ley exige que los sistemas de alto riesgo se diseñen de modo que personas reales puedan supervisarlos eficazmente durante su uso, y que quienes tengan asignada esa función cuenten con la competencia, la formación y la autoridad para actuar. No se satisface con una afirmación vaga de que alguien está en el circuito, ni con la capacidad teórica de anular una decisión a posteriori. La prueba práctica es si la organización ha dotado genuinamente a una persona de los medios para comprender la herramienta, observarla, interpretarla correctamente e intervenir cuando sea necesario.
Comprar un sistema en lugar de desarrollarlo no elimina las obligaciones. Los desplegadores de sistemas de alto riesgo deben utilizarlos conforme a las instrucciones, asignar una supervisión humana competente, garantizar que los datos de entrada bajo su control sean pertinentes y representativos, supervisar el funcionamiento, notificar incidentes graves y riesgos a los proveedores y las autoridades, y conservar los registros bajo su control, generalmente durante al menos seis meses. Cuando un sistema de alto riesgo se utiliza en el lugar de trabajo, los empleadores deben informar a los representantes de los trabajadores y al personal afectado antes de su puesta en marcha, y cuando un sistema del Anexo III toma o apoya decisiones sobre personas, estas deben ser informadas de que están sujetas a él. La contratación, en otras palabras, no sustituye a la gobernanza.
En algunos casos, los desplegadores deben ir más lejos y completar una evaluación de impacto sobre los derechos fundamentales antes del primer uso. Esto se aplica a los organismos públicos, los proveedores privados de servicios públicos y los desplegadores de los sistemas de alto riesgo utilizados para la evaluación de la solvencia crediticia y la fijación de precios en seguros de vida y salud. La evaluación describe cómo y con qué frecuencia se utilizará el sistema, quiénes pueden verse afectados, los riesgos probables, la supervisión establecida y qué ocurrirá si esos riesgos se materializan. Cuando se tratan datos personales, una evaluación de impacto sobre la protección de datos suele acompañarla, lo que explica en parte por qué la ley está conectada con la legislación de protección de datos sin ser lo mismo.
La ley también otorga a las personas el derecho a una explicación. Cuando se toma una decisión con efectos jurídicos o igualmente significativos sobre una persona basándose en el resultado de un sistema de alto riesgo, esa persona puede solicitar una explicación clara y significativa del papel del sistema en la decisión y de los principales factores implicados. Para cualquier organización que tome decisiones de consecuencias orientadas a la UE con IA, esto tiene implicaciones prácticas en cuanto a cómo se registran las decisiones y cómo se diseñan los procesos.
Una categoría más ligera, a menudo denominada de riesgo limitado, se refiere principalmente a la transparencia. Las personas que interactúan directamente con un sistema de IA deben ser informadas de que están tratando con IA, salvo que sea obvio. El audio, las imágenes, el vídeo o el texto sintéticos deben marcarse, cuando sea factible, como generados artificialmente. Los sistemas de reconocimiento de emociones y de categorización biométrica requieren que se notifique a las personas expuestas a ellos, los deepfakes deben divulgarse, y el texto generado por IA publicado para informar al público sobre asuntos de interés público debe identificarse como tal, con las excepciones previstas. En la mayoría de los casos ordinarios, esto exige avisos claros y una divulgación honesta, más que un aparato de cumplimiento completo.
La mayoría de los usos de la IA se encuadran en un espacio de riesgo mínimo que la ley deja en gran medida a la legislación vigente. Esto no debe interpretarse como que no hay nada que hacer. Una obligación general de alfabetización en IA se aplica a proveedores y desplegadores en general, y otras normas, incluidas las de protección de datos, consumo, empleo, igualdad y regulación sectorial, siguen siendo aplicables. Riesgo mínimo significa que la ley no está construyendo un régimen específico para esa herramienta, no que la gobernanza desaparezca.
La alfabetización en IA es fácil de pasar por alto y merece destacarse. Los proveedores y desplegadores deben adoptar medidas razonables para garantizar que las personas que utilizan IA en su nombre tengan una comprensión suficiente de ella: qué es la IA, qué utiliza la organización, qué oportunidades y riesgos crea, y qué papel desempeña la organización. Decirle al personal que lea el manual rara vez es suficiente, especialmente en el caso de sistemas de mayor riesgo. Esta obligación es de las primeras en aplicarse, lo que convierte la alfabetización en una preocupación presente, no futura, para cualquier organización en el ámbito de aplicación.
Los modelos de IA de propósito general tienen su propio apartado en la ley. Los proveedores de estos modelos deben mantener actualizada la documentación técnica, proporcionar a los desarrolladores posteriores información suficiente para comprender las capacidades y limitaciones del modelo y cumplir sus propias obligaciones, mantener una política de cumplimiento de la legislación sobre derechos de autor y publicar un resumen de los datos de entrenamiento conforme a una plantilla oficial. Una empresa que consume APIs de modelos de frontera o integra un modelo amplio en su propio producto depende de que esta información fluya por la cadena, aunque no sea el propio proveedor del modelo. Los modelos más capaces, aquellos que se considera que conllevan un riesgo sistémico, tienen obligaciones adicionales en materia de evaluación, pruebas adversariales, mitigación de riesgos, notificación de incidentes y ciberseguridad. Esa capa está dirigida más a los desarrolladores de modelos que a una organización que utiliza un asistente estándar, pero sigue siendo comercialmente relevante, porque las empresas que operan en capas inferiores dependen de esos proveedores para la documentación y las garantías contractuales.
El código abierto merece una nota de cautela, porque a menudo se malinterpreta como una exención general. Algunas versiones de código abierto gratuitas están excluidas, pero no cuando el sistema es de alto riesgo o está sujeto a las normas de prohibición o transparencia, y algunas facilidades documentales para modelos abiertos desaparecen cuando un modelo conlleva riesgo sistémico. El código abierto modifica el análisis; no lo concluye. Las mismas preguntas siguen siendo aplicables: qué hace el sistema, qué papel desempeña la organización y quién en la UE se ve afectado.
Una norma sobre la cadena de valor sorprende a las empresas más que casi cualquier otra parte de la ley. Un distribuidor, importador, desplegador u otra parte puede convertirse en proveedor de un sistema de alto riesgo si pone su propio nombre o marca en el sistema, realiza una modificación sustancial o cambia la finalidad de un sistema que anteriormente no era de alto riesgo de modo que pase a serlo. La personalización profunda, la marca blanca o la reutilización pueden desplazar a una organización de la posición más ligera de usuario a la más exigente de proveedor. Para cualquier empresa que integre un modelo de terceros en su propia oferta de marca orientada a la UE, esta es una de las líneas comercialmente más importantes de la ley.
La aplicación es compartida. Una Oficina Europea de IA dentro de la Comisión supervisa la implementación y controla los modelos de propósito general más potentes, mientras que las autoridades nacionales de vigilancia del mercado supervisan y hacen cumplir las normas para los sistemas de IA, incluidas las prohibiciones y el régimen de alto riesgo. Los Estados miembros designan las autoridades que supervisan los organismos que gestionan ciertos trabajos de conformidad previos a la comercialización, y estructuras consultivas y científicas ayudan a orientar el sistema. En la práctica, una organización debe esperar supervisión a nivel de la UE para los modelos más grandes e interacción con las autoridades nacionales para la mayoría de las obligaciones a nivel de sistema.
Las sanciones son significativas y vale la pena leerlas con precisión. El incumplimiento de las prácticas prohibidas puede acarrear multas de hasta 35 millones de euros o el 7 por ciento del volumen de negocios anual mundial total, la cifra que sea mayor. Un amplio conjunto de otras obligaciones, incluidas las de proveedores y desplegadores y las normas de transparencia, puede alcanzar hasta 15 millones de euros o el 3 por ciento. Suministrar información incorrecta, incompleta o engañosa a las autoridades puede alcanzar hasta 7,5 millones de euros o el 1 por ciento. Para las empresas más pequeñas y las startups, la multa está limitada a la menor de las dos cifras, la cantidad fija o el porcentaje, en lugar de la mayor. Los proveedores de modelos de IA de propósito general se enfrentan a una vía separada de multas de hasta 15 millones de euros o el 3 por ciento del volumen de negocios mundial.
El calendario requiere atención, porque es tanto escalonado como recientemente revisado. El Reglamento entró en vigor en 2024. Las primeras obligaciones, sobre alfabetización en IA y las prácticas prohibidas, se aplicaron desde febrero de 2025. Las obligaciones para los modelos de IA de propósito general, la gobernanza y las sanciones siguieron en agosto de 2025. Un acuerdo político alcanzado a principios de mayo de 2026, parte de un paquete de simplificación más amplio conocido como el Ómnibus Digital, desplazó varias de las fechas posteriores. Las obligaciones de alto riesgo para las categorías de uso del Anexo III, como empleo, crédito, biometría e infraestructuras críticas, están ahora previstas para aplicarse a partir del 2 de diciembre de 2027, en lugar de agosto de 2026. Las obligaciones de alto riesgo para la IA integrada en productos regulados, como dispositivos médicos y maquinaria, se trasladan al 2 de agosto de 2028. Las obligaciones de transparencia para el contenido sintético y generado por IA están previstas a partir del 2 de diciembre de 2026, tras acortarse el período de gracia. Los entornos de pruebas regulatorios nacionales se trasladan a agosto de 2027.
De esto se derivan tres advertencias. En primer lugar, a mediados de 2026 este acuerdo es provisional y solo tiene efecto jurídico tras su adopción formal y publicación. Hasta entonces, la fecha original del 2 de agosto de 2026 para las obligaciones de alto riesgo basadas en el uso sigue siendo técnicamente la vigente, razón por la cual las instituciones han manifestado su intención de completar la adopción antes de esa fecha. Trate las fechas revisadas como la línea de base operativa de planificación, pero tenga en cuenta que la fecha anterior sigue siendo la posición jurídica hasta que se publique la enmienda. En segundo lugar, las fechas revisadas son un límite máximo, no un suelo fijo: el acuerdo permite a las autoridades adelantar las obligaciones, aproximadamente seis meses después de que se confirmen las normas y orientaciones necesarias, por lo que el 2 de diciembre de 2027 es la fecha más tardía en que comenzarían las obligaciones del Anexo III, no una garantía de ese día exacto. En tercer lugar, la postura razonable no es ni "nada se aplica hasta 2027" ni "todas las normas de alto riesgo comienzan en agosto de 2026", porque ninguna de las dos es exacta. Algunas partes de la ley ya están en vigor, otras son inminentes, y el calendario de alto riesgo se ha ampliado para dar tiempo a que maduren las normas y orientaciones. Una comprensión precisa y fechada vale más aquí que un único plazo recordado.
Ejemplos
Un ejemplo de selección de personal hace la ley más concreta. Una empresa que utiliza una plataforma de contratación con IA de un tercero para clasificar candidatos, incluidos los que solicitan empleo desde Irlanda y Alemania, opera en la categoría de empleo que el Anexo III considera de alto riesgo. El proveedor de la plataforma suele ser el proveedor a efectos legales; la empresa contratante suele ser el desplegador. Comprar la herramienta no cierra el asunto. El empleador sigue teniendo que pensar en seguir las instrucciones de uso, asignar una supervisión humana real, la calidad de los datos de entrada que controla, informar a los candidatos afectados y conservar registros.
Si se cambian los hechos un poco, el rol puede cambiar. Si esa misma empresa no se limita a usar la plataforma, sino que la personaliza en profundidad, añade su propia lógica de puntuación, la presenta bajo su propia marca o convierte una herramienta general en un motor de decisión de contratación, puede verse arrastrada a la condición de proveedor. Esa es una posición más exigente, que conlleva obligaciones de gestión de la calidad, documentación y conformidad a lo largo de la vida del sistema. Por eso "solo usamos una herramienta de un proveedor" merece contrastarse con lo que la empresa está haciendo realmente, porque la marca blanca y la modificación profunda cambian el rol jurídico.
Un chatbot ordinario de atención al cliente se sitúa en un lugar más ligero. Un minorista que gestiona un chatbot en sus sitios web francés y neerlandés principalmente necesita asegurarse de que se informe a las personas de que están tratando con IA cuando no sea ya obvio, y de marcar el contenido sintético cuando corresponda. La atención al cliente rutinaria no es un uso de alto riesgo del Anexo III, por lo que el punto de partida es la transparencia, no un programa de cumplimiento completo. Eso mantiene la respuesta proporcionada: identificar la interacción, añadir avisos claros y comprobar que el bot no ha derivado silenciosamente hacia decisiones de consecuencias.
No sigue siendo trivial si cambia de función. Si ese mismo chatbot comienza a tomar decisiones que importan, denegando servicios, priorizando reclamaciones o derivando a clientes vulnerables sin una revisión significativa, entran en juego otras normas y la gobernanza interna, y un nuevo análisis de riesgos es razonable. El primer paso rara vez es un régimen de cumplimiento de alto riesgo; es detectar cuándo una herramienta ha sido empujada a un rol para el que no fue diseñada.
Una entidad financiera o aseguradora que trata con personas en la UE se encuentra en un territorio de alto riesgo más claro. Una fintech que evalúa la solvencia crediticia de solicitantes particulares en España, o una aseguradora que fija el precio de seguros de vida o salud para personas en la UE, opera en casos de uso que el Anexo III nombra directamente. Los desplegadores de estos sistemas específicos también deben completar una evaluación de impacto sobre los derechos fundamentales antes del primer uso y, en muchos casos, una evaluación de impacto sobre la protección de datos junto a ella. Aquí "solo estamos usando una herramienta" claramente no es suficiente, porque el propio proceso de negocio está regulado en virtud de lo que el sistema hace a las personas.
La IA de propósito general dentro de un producto de software muestra la cadena de valor en acción. Una empresa que desarrolla un producto de revisión de contratos orientado a la UE sobre la base de un modelo amplio depende de que el proveedor del modelo aguas arriba asuma las obligaciones a nivel de modelo y transmita información suficiente sobre capacidades y limitaciones para que la empresa aguas abajo pueda cumplir sus propias obligaciones. Si el producto se vende luego para un uso de alto riesgo, como empleo o crédito, la capa aguas abajo importa mucho más, y si la empresa modifica materialmente la finalidad del sistema o presenta un sistema de alto riesgo bajo su propia marca, puede asumir las obligaciones de proveedor.
El ejemplo más silencioso es el uso interno cotidiano. El personal que utiliza un asistente de IA general para redactar textos, resumir documentos o traducir textos para trabajos orientados a la UE es poco probable que se encuentre en un escenario de alto riesgo, pero sí está firmemente en uno de gobernanza. La respuesta proporcionada es orientación al personal, alfabetización básica en IA, controles razonables sobre datos confidenciales y un registro claro de qué herramientas están en uso, en lugar de pretender que estas herramientas están fuera del ámbito de la empresa.
Malentendidos frecuentes
El primer malentendido es que la ley, por ser legislación de la UE, no afecta a las organizaciones de otros países. Alcanza a los proveedores que colocan sistemas o modelos de propósito general en el mercado de la UE, independientemente de dónde estén establecidos, y a los proveedores y desplegadores fuera de la UE cuyos resultados de IA se utilizan en ella. La pregunta real no es si una empresa tiene una oficina europea, sino si tiene exposición al mercado o a los resultados europeos.
El segundo es que la ley prohíbe la IA. No es así. Prohíbe una lista definida de prácticas y establece obligaciones más estrictas para un conjunto limitado de usos de alto riesgo, mientras que la mayoría de los sistemas continúan bajo la legislación vigente sin nuevas obligaciones del AI Act más allá de las generales. Por eso un programa sensato comienza con la clasificación, no con la alarma: un chatbot, un resumidor, una herramienta de previsión y un motor de contratación no pertenecen al mismo compartimento jurídico.
El tercero es que esto es legislación de protección de datos con otro nombre. No lo es. La legislación de protección de datos regula cómo se tratan los datos personales, con sus propios principios y derechos individuales. La ley plantea preguntas distintas, a veces superpuestas, sobre clasificación, prácticas prohibidas, conformidad, supervisión humana, transparencia y gobernanza del mercado. Muchos sistemas tendrán que satisfacer ambas, y cumplir una no implica automáticamente cumplir la otra.
El cuarto es que las organizaciones pequeñas están fuera del ámbito de aplicación. El tamaño afecta a la proporcionalidad y a algunos aspectos de las sanciones, y existe cierto alivio en forma de documentación más ligera y un límite de multa inferior para las empresas más pequeñas, pero no es una exención general. Una pequeña empresa de selección de personal que utiliza IA para candidatos en la UE puede seguir siendo el desplegador de un sistema de alto riesgo, y un pequeño proveedor de software puede seguir colocando un sistema en el mercado de la UE. El tamaño puede aligerar la carga; no elimina la necesidad de clasificar y gobernar.
El quinto es que usar herramientas de IA en lugar de desarrollarlas traslada toda la responsabilidad al proveedor. La ley regula tanto a los proveedores como a los desplegadores. Los desplegadores de sistemas de alto riesgo tienen sus propias obligaciones en materia de uso correcto, supervisión humana, seguimiento, registros y, en algunos casos, informar a las personas y completar evaluaciones de impacto. Comprar una herramienta sigue requiriendo comprender qué es y qué implica su uso.
El sexto es que el código abierto significa exención. A veces, en parte, pero ni mucho menos siempre. Las exclusiones desaparecen cuando un sistema es de alto riesgo o está sujeto a las normas de prohibición o transparencia, y algunas facilidades para los modelos abiertos no se aplican cuando un modelo conlleva riesgo sistémico. El código abierto reformula el análisis sin concluirlo; las mismas preguntas sobre finalidad, rol y exposición a la UE siguen siendo aplicables.
Riesgos y límites
Conviene ser claros sobre lo que la ley no hace. No exige aprobación para cada uso de la IA. No sustituye a la legislación sectorial, la legislación de protección de datos ni la legislación laboral. No impide a las organizaciones utilizar IA convencional de bajo riesgo. Y no ofrece una respuesta única para cada caso fronterizo, porque la posición depende del rol, la finalidad, el grado de modificación, quién se ve afectado y dónde se utiliza el sistema o sus resultados. Se lee tanto como un marco jurídico como un ejercicio de clasificación.
Este artículo no constituye asesoramiento jurídico. Es un documento explicativo de apoyo a la toma de decisiones para altos directivos no especialistas, elaborado a partir de la propia ley, materiales oficiales de la Comisión Europea, orientaciones regulatorias nacionales y análisis jurídico de fuentes reputadas. Puede ayudar a formular las preguntas correctas, pero no puede resolver todos los casos límite. Una organización próxima a un límite de clasificación, que lanza un producto de IA orientado a la UE, o que utiliza IA en selección de personal, crédito, fijación de precios de seguros, supervisión en el lugar de trabajo, biometría o cualquier actividad adyacente a las fuerzas del orden, debería obtener asesoramiento especializado, especialmente cuando un paso contractual, de marca blanca o de modificación pudiera desplazarla de desplegador a proveedor.
Existe un riesgo real en ambas direcciones. El incumplimiento por defecto implica asumir que la ley es irrelevante por la ubicación de la empresa, comprar una herramienta sin comprender el rol o el caso de uso, o no registrar por qué un sistema es o no de alto riesgo. El incumplimiento por exceso implica tratar cada función de IA como un motor de decisión regulado y paralizar actividades útiles sin necesidad jurídica. La respuesta es una clasificación disciplinada, no el miedo, lo que también explica por qué vale la pena seguir las orientaciones y consultas en curso sobre los límites más finos.
Un último límite es el tiempo. Las fechas son escalonadas y, tras el acuerdo de mayo de 2026, están parcialmente en movimiento. Algunas partes ya se aplican, otras son inminentes, y varias fechas de alto riesgo se han pospuesto pero aún no se han adoptado definitivamente. Cualquier declaración a nivel de consejo de administración o dirigida a clientes sobre el calendario debe estar fechada y ser precisa. Una formulación como "a fecha de hoy, tratamos el Reglamento publicado como línea de base y estamos siguiendo las enmiendas pendientes" es mucho más segura que presentar el calendario como congelado o plenamente establecido.
Qué hacer a continuación
Comience con un inventario, no con teoría jurídica. Enumere los sistemas de IA y los modelos amplios que la organización utiliza, compra, integra, personaliza u ofrece, incluidas las herramientas de uso interno, las herramientas orientadas al cliente, las herramientas de proveedores y cualquier IA no oficial que haya entrado en las operaciones. Sin esa imagen, cada paso posterior es una suposición.
A continuación, compruebe la exposición a la UE sistema por sistema. ¿Estamos colocando esto en el mercado de la UE? ¿Lo utilizan o se ven afectados por él empleados, clientes, candidatos, prestatarios, asegurados u otras personas en la UE? ¿Se utilizan sus resultados en la UE? ¿Algún socio de la UE lo integra en un uso europeo? Registre la conclusión para cada sistema, incluidos los casos en que la posición se basa en la ausencia de cualquier uso en la UE.
A continuación, determine el rol jurídico para cada sistema en el ámbito de aplicación. Proveedor, desplegador, importador, distribuidor, fabricante de productos o una combinación. Si la empresa presenta un sistema bajo su propia marca, lo modifica sustancialmente o cambia su finalidad, compruebe si está derivando hacia la condición de proveedor. El rol determina qué obligaciones recaen sobre usted y cuáles recaen en otros puntos de la cadena.
Luego clasifique por riesgo. Separe las prácticas prohibidas, los sistemas de alto riesgo, los sistemas solo de transparencia, los problemas de modelos de propósito general y todo lo demás. Para el alto riesgo, examine primero las categorías del Anexo III y cualquier contexto de producto regulado. Para la transparencia, examine los chatbots, la categorización biométrica, el reconocimiento de emociones, los deepfakes y el texto sintético de interés público. Cuando una clasificación sea discutible, anote el razonamiento y márquelo para revisión jurídica en lugar de dejarlo pasar.
No espere a las fechas posteriores para abordar la alfabetización en IA y la gobernanza básica, porque la obligación de alfabetización ya se aplica. Desarrolle orientaciones para el personal basadas en roles, en lugar de presentaciones genéricas, adaptadas al rol de la persona, al riesgo del sistema y a las personas afectadas. Para los usos de mayor riesgo, esa orientación debe cubrir cómo funciona el sistema en la práctica, qué significa la supervisión en su proceso, qué señales de error hay que vigilar y cuándo se requiere escalar. Conserve un registro de la formación y orientación proporcionadas.
Si está desplegando un sistema que probablemente sea de alto riesgo, prepare los controles operativos ahora: identifique a las personas que lo supervisarán, compruebe los datos de entrada que controla, establezca procedimientos de incidentes y suspensión, planifique la conservación de registros y prepare los avisos a trabajadores, candidatos o clientes cuando corresponda. Cuando el uso implique la evaluación de la solvencia crediticia, la fijación de precios de seguros de vida o salud, o servicios públicos, planifique la evaluación de impacto sobre los derechos fundamentales con antelación y coordínela con cualquier evaluación de impacto sobre la protección de datos.
Si tiene usos de chatbot, contenido sintético o IA generativa orientados a la UE, planifique las obligaciones de transparencia en lugar de dejarlas para el final. La dirección ya está clara: las personas deben saber cuándo están tratando con IA, los deepfakes deben divulgarse y ciertos contenidos sintéticos conllevan obligaciones de marcado o divulgación. Este trabajo suele ser más ligero que el cumplimiento de alto riesgo, pero sigue necesitando un responsable, algunas decisiones de diseño y redacción orientada al cliente.
Refuerce la contratación y los contratos. Solicite a los proveedores su posición de clasificación, la finalidad prevista, las instrucciones de uso, evidencia de documentación, canales de incidentes y, para los modelos de propósito general, la información que le permita comprender las capacidades y limitaciones. Cuando integre modelos de terceros, haga que el contrato especifique quién proporciona qué información, quién gestiona los incidentes graves y qué ocurre si sus cambios alteran la clasificación.
Mantenga una lista de seguimiento fechada en lugar de un único plazo en la memoria. A mediados de 2026, las obligaciones de prácticas prohibidas y alfabetización en IA ya están en vigor, las normas de modelos de propósito general y gobernanza están en vigor, las obligaciones de transparencia se aproximan, y las fechas de alto riesgo se han prorrogado provisionalmente a la espera de la adopción formal. Asigne un responsable, generalmente en el área jurídica, de riesgos o de operaciones, para mantener una nota fechada de lo que está en vigor, lo que está propuesto y los supuestos con los que trabaja la empresa.
Si la conclusión es que el uso actual de la IA es doméstico sin ningún punto de contacto con la UE, no lo archive sin más de forma definitiva. Anote por qué la ley no es actualmente aplicable y establezca un desencadenante para la revisión. Un nuevo cliente en la UE, una nueva campaña de contratación en Irlanda o Francia, un nuevo acuerdo de revendedor o un nuevo producto habilitado con IA pueden cambiar la situación rápidamente. Para muchas organizaciones, esa revisión ligera y documentada es el siguiente paso más proporcionado.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿Se aplica el EU AI Act a empresas fuera de la UE?
Puede. Los criterios de aplicación no son el lugar de registro de una empresa, sino si coloca sistemas de IA o modelos de propósito general en el mercado de la UE, si los resultados del sistema se utilizan en la UE y si están implicados usuarios o personas afectadas en la UE. Una empresa sin ningún punto de contacto con la UE puede quedar fuera del ámbito directo de la ley, pero muchas organizaciones con clientes, candidatos, prestatarios, empleados o productos orientados a la UE no lo estarán.
¿Cuándo entra en vigor el EU AI Act?
De forma escalonada. Entró en vigor en 2024, con las prácticas prohibidas y la alfabetización en IA aplicándose desde febrero de 2025, y las normas sobre modelos de propósito general y gobernanza desde agosto de 2025. Un acuerdo político a principios de mayo de 2026 desplazó varias fechas posteriores: las principales obligaciones de alto riesgo para las categorías basadas en el uso al 2 de diciembre de 2027, las obligaciones de alto riesgo para la IA en productos regulados al 2 de agosto de 2028, y las obligaciones de transparencia para el contenido sintético al 2 de diciembre de 2026. A mediados de 2026, esas fechas revisadas están acordadas pero solo tienen efecto tras la adopción formal y la publicación, por lo que hasta entonces la fecha original del 2 de agosto de 2026 sigue siendo técnicamente la vigente, y las fechas revisadas son un límite máximo que podría adelantarse una vez que las normas estén listas. Vale la pena seguir la publicación definitiva en lugar de basarse en una sola cifra.
¿Cuáles son las sanciones?
El incumplimiento de las prácticas prohibidas puede acarrear multas de hasta 35 millones de euros o el 7 por ciento del volumen de negocios anual mundial, la cifra que sea mayor. Un amplio conjunto de otras obligaciones, incluidas las de los desplegadores y las normas de transparencia, puede alcanzar hasta 15 millones de euros o el 3 por ciento. Suministrar información incorrecta o engañosa a las autoridades puede alcanzar hasta 7,5 millones de euros o el 1 por ciento. Las empresas más pequeñas y las startups están limitadas a la menor de las dos cifras, la cantidad o el porcentaje. Los proveedores de modelos de propósito general se enfrentan a una vía separada de multas de hasta 15 millones de euros o el 3 por ciento.
¿Qué es un sistema de IA de alto riesgo?
En términos generales, bien un sistema de IA que forma parte de un producto regulado sujeto a evaluación por terceros, bien uno utilizado en un contexto sensible enumerado en la ley, como biometría, infraestructuras críticas, educación, empleo, solvencia crediticia, fijación de precios de seguros de vida y salud, aplicación de la ley, migración o justicia. No todo sistema en un sector sensible es automáticamente de alto riesgo, porque existen exclusiones para usos limitados o no influyentes, pero muchos sistemas de apoyo a decisiones de consecuencias claramente lo son.
¿Cómo se relaciona el AI Act con la legislación de protección de datos?
Están relacionadas pero son distintas, y a menudo se superponen cuando se tratan datos personales. La legislación de protección de datos regula cómo se tratan los datos personales, incluidos la licitud, la equidad, la transparencia, la seguridad, la minimización y los derechos individuales. El AI Act regula cuestiones específicas de la IA, como la clasificación, las prácticas prohibidas, la supervisión humana, la conformidad y la transparencia. Una empresa puede tener que satisfacer ambas en lugar de elegir entre ellas.
¿Qué es un modelo de IA de propósito general según la ley?
Un modelo con una generalidad significativa que puede realizar una amplia gama de tareas distintas e integrarse en muchos sistemas derivados. La ley regula a los proveedores de estos modelos por separado, exigiendo documentación, información para los desarrolladores posteriores, una política de derechos de autor y un resumen de los datos de entrenamiento, con obligaciones adicionales para los modelos que conllevan riesgo sistémico. Para la mayoría de las empresas, la pregunta práctica es si simplemente están usando un modelo dentro de una herramienta, o si están desarrollando y colocando un sistema de IA derivado en el mercado de la UE.
¿Necesitamos hacer algo si solo usamos herramientas de IA en lugar de desarrollarlas?
A menudo, sí. Si la ley alcanza a la organización, puede seguir siendo un desplegador aunque no haya desarrollado el sistema, y los desplegadores de sistemas de alto riesgo tienen sus propias obligaciones. La obligación de alfabetización en IA también se aplica ampliamente a proveedores y desplegadores, incluido el uso ordinario en el lugar de trabajo de asistentes generales. Usar en lugar de desarrollar reduce algunas obligaciones; no es una exención completa.
¿Necesitamos un representante en la UE?
Posiblemente, aunque no todas las organizaciones lo necesitarán. La ley prevé representantes autorizados de los proveedores no establecidos en la UE, y si se necesita uno depende del rol y de cómo se colocan los sistemas o modelos en el mercado de la UE. Un proveedor de un sistema o modelo en el ámbito de aplicación sin establecimiento en la UE debería verificar este punto con antelación, con asesoramiento jurídico y en sus contratos, y no después del lanzamiento.
Fuentes
Regulation (EU) 2024/1689 laying down harmonised rules on artificial intelligence (Official Journal of the European Union via EUR-Lex). Primary source for scope, definitions, prohibited practices, high-risk classification, Annex III use cases, transparency duties, general-purpose model obligations, value-chain provider rules, deployer duties, fundamental rights impact assessments, right to explanation, penalties and original application dates.
AI Act, regulatory framework for AI (European Commission). Commission overview of the risk-based framework, governance structure, mandatory requirements for high-risk systems, and the implementation timeline including the 2026 simplification position.
Navigating the AI Act, questions and answers (European Commission). Plain-language confirmation that most AI systems are minimal risk, deployer responsibilities, AI literacy expectations, and the general-purpose and systemic-risk model summaries.
AI Act, Shaping Europe's digital future (European Commission, AI Act page). Primary confirmation of the revised high-risk application dates: 2 December 2027 for use-based high-risk areas (biometrics, critical infrastructure, education, employment, migration, asylum, border control) and 2 August 2028 for AI integrated into regulated products.