Ideas clave
- Clasifica primero cada caso de uso de IA: prohibido, alto riesgo, riesgo limitado (transparencia) o riesgo mínimo.
- Las prácticas prohibidas, la alfabetización en IA y la transparencia del artículo 50 ya se aplican. Las obligaciones de alto riesgo del anexo III se aplican desde el 2 de diciembre de 2027 según el Reglamento (UE) 2026/1744.
- Los sistemas de alto riesgo necesitan gestión de riesgos, gobernanza de datos, registros, documentación técnica y supervisión humana, y esos controles son baratos de diseñar y caros de añadir después.
- Las pymes tienen un tope de multa más bajo y documentación simplificada, pero no una exención, y el RGPD se aplica en paralelo siempre que haya datos personales.
¿Por dónde empezar la revisión del Reglamento de IA?
Enumera todos los sistemas de IA que tu empresa desarrolla o utiliza. Registra para cada uno tu función, su finalidad, las personas afectadas y la clasificación de riesgo. Después asigna obligaciones, responsables y pruebas. Esta lista cubre la evaluación inicial. Las organizaciones grandes pueden consultar nuestra guía empresarial para coordinar compras y operaciones.
Si encargas un sistema a medida y lo explotas con tu marca, normalmente cuentas como proveedor, aunque el código lo haya escrito otra persona. La lista de abajo se te aplica entonces a ti. Nuestra guía sobre qué empresas deben cumplir explica los papeles con más detalle.
Paso 1: Clasifica cada caso de uso
La Ley se basa en el riesgo. Lo que debes depende de para qué se use el sistema, y el modelo que hay debajo importa mucho menos.
| Nivel de riesgo | Ejemplos | Qué significa | Se aplica desde |
|---|---|---|---|
| Prohibido | Puntuación social, técnicas de manipulación, extracción indiscriminada de imágenes faciales | No se permite en la UE | 2 de febrero de 2025 |
| Alto riesgo | IA en selección de personal, scoring de crédito, educación, acceso a servicios esenciales | Conjunto completo de obligaciones antes de la puesta en marcha | 2 de diciembre de 2027 (anexo III); 2 de agosto de 2028 (IA en productos regulados) |
| Riesgo limitado | Chatbots, agentes de voz, texto, imágenes o audio generados por IA | Transparencia: avisa de que se trata con una IA y marca el contenido generado | 2 de agosto de 2026 |
| Riesgo mínimo | Filtros de spam, búsqueda interna, corrector ortográfico | Sin obligaciones específicas. Códigos voluntarios | No procede |
Los controles siguientes describen requisitos para proveedores de sistemas de alto riesgo. Las obligaciones del responsable del despliegue son distintas. Define tu función antes de usarlos como lista de desarrollo.
- Un sistema de gestión de riesgos que cubra todo el ciclo de vida del sistema.
- Gobernanza de datos: datos de entrenamiento y evaluación pertinentes, representativos y documentados.
- Registro automático de eventos para poder rastrear los resultados.
- Documentación técnica e instrucciones de uso.
- Supervisión humana: una persona con nombre puede entender, anular o detener el sistema.
- Precisión, robustez y ciberseguridad adecuadas al caso de uso.
Paso 3: Integra los controles en el sistema
Define qué eventos auditar, quién accede a los registros y cuánto tiempo conservarlos. Limita los datos personales enviados al modelo y añade revisión humana cuando el uso lo requiera. Documenta finalidad, límites y fallos. Registrar íntegramente todos los mensajes puede crear riesgos de privacidad innecesarios.
Paso 4: Atiende la transparencia y la formación
- Chatbots y agentes de voz: avisa al principio de la interacción de que se habla con una IA, salvo que sea evidente.
- Audio, imágenes, vídeo o texto generados: márcalos de forma legible por máquina. Los proveedores de sistemas ya comercializados tienen hasta el 2 de diciembre de 2026 para este deber de marcado.
- Deepfakes: divúlgalos con claridad en la primera exposición.
- Personal: adopta medidas proporcionadas para fomentar la alfabetización en IA de quienes usan IA por ti, según el artículo 4.
Fechas clave tras el ómnibus digital
El Reglamento (UE) 2026/1744, el ómnibus digital sobre IA, se publicó el 24 de julio de 2026 y entró en vigor el 27 de julio de 2026. Comprueba las fechas en EUR-Lex antes de planificar con ellas.
- 1 de agosto de 2024: la Ley entró en vigor.
- 2 de febrero de 2025: empezaron a aplicarse las prohibiciones y los deberes de alfabetización en IA.
- 2 de agosto de 2025: empezaron a aplicarse las obligaciones de los modelos de IA de uso general.
- 2 de agosto de 2026: empezaron a aplicarse las obligaciones de transparencia del artículo 50.
- 2 de diciembre de 2026: deber de marcado de los sistemas generativos ya comercializados y dos nuevas prohibiciones.
- 2 de diciembre de 2027: obligaciones de alto riesgo de los sistemas del anexo III.
- 2 de agosto de 2028: obligaciones de alto riesgo de la IA en productos cubiertos por la legislación de seguridad del anexo I.
Un expediente de una página que puedes empezar hoy
- Una tabla de tus sistemas de IA: finalidad, responsable, papel, clase de riesgo y fecha de la última revisión.
- Para cada sistema de alto riesgo o de riesgo limitado: los controles que construiste y dónde está la prueba.
- Tus contratos con proveedores y las respuestas a tus preguntas a proveedores.
- Un registro de la formación en alfabetización en IA.
- El nombre de la persona que responde de todo ello.
Cuéntanos qué hace tu sistema de IA y qué datos trata. Te ayudamos a convertir los requisitos en controles de acceso, registros y pasos de revisión.
Planifica tus controles de IAFAQ
¿Se aplica la Ley de IA de la UE a empresas de fuera de la UE?
El artículo 2 cubre proveedores que introducen sistemas en el mercado de la UE y ciertos proveedores y responsables del despliegue externos cuyo resultado se usa en la Unión. Comprueba tu función, el uso previsto y las excepciones.
¿Es de alto riesgo un chatbot de atención al cliente?
Normalmente no. La mayoría de los chatbots son de riesgo limitado y requieren transparencia: los usuarios deben saber que hablan con una IA. Puede pasar a alto riesgo si se usa para algo del anexo III, como decidir el acceso a servicios esenciales.
¿Canceló el ómnibus digital el plazo de agosto de 2026?
Movió el plazo de alto riesgo de los sistemas del anexo III al 2 de diciembre de 2027 y el de la IA en productos regulados al 2 de agosto de 2028. Las obligaciones de transparencia del artículo 50 empezaron a aplicarse el 2 de agosto de 2026, con un periodo de gracia hasta el 2 de diciembre de 2026 para el marcado en los sistemas ya comercializados.
Fuentes
- Reglamento (UE) 2024/1689 (Ley de Inteligencia Artificial), Diario Oficial de la UE
- Reglamento (UE) 2026/1744 (ómnibus digital sobre IA), Diario Oficial de la UE, 24 de julio de 2026
- Comisión Europea, preguntas frecuentes sobre las obligaciones de transparencia del artículo 50 de la Ley de IA
- Reglamento (UE) 2016/679 (RGPD)
Sobre el autor
Artem Synytskyi · Cofundador · IA
Artem dirige la IA en ESADEX y desarrolla sistemas LLM, RAG y de voz a texto para entornos regulados.