Ley de Inteligencia Artificial de la UE. Cómo entender la regulación europea sobre IA

 

La Ley de Inteligencia Artificial de la UE es el Reglamento (UE) 2024/1689, la primera norma del mundo que regula de forma vinculante el uso de la IA.

Y lo más importante, no es papel mojado para pymes. Si tu empresa usa un chatbot, genera contenido con IA o automatiza procesos con herramientas de terceros, ya tiene obligaciones concretas de transparencia, supervisión y formación.

El incumplimiento conlleva multas de hasta 35 millones de euros o el 7% de la facturación mundial.

 

La Ley de IA de la UE obliga a identificar los sistemas de inteligencia artificial que utilizas, clasificarlos según su riesgo, informar a los usuarios cuando corresponda, formar al personal y documentar su uso. 

Qué es la Ley de Inteligencia Artificial de la UE, AI Act y a quién obliga

La Ley de Inteligencia Artificial de la UE (AI Act) es el Reglamento (UE) 2024/1689, la primera norma europea que regula de forma directa el uso de la inteligencia artificial.

Obliga a cualquier empresa que desarrolle, comercialice o utilice sistemas de IA dentro de la Unión Europea, sin importar su tamaño.

• Afecta a proveedores, distribuidores e importadores de sistemas de IA.
• Afecta también a empresas que usan IA a diario, como responsables del despliegue.
• Se aplica aunque el sistema se haya desarrollado fuera de la UE, si sus resultados se usan dentro.
• Su entrada en vigor es progresiva entre 2025 y 2027.

Si usas ChatGPT, un chatbot de atención al cliente o herramientas de generación de contenido, entras en su ámbito de aplicación.

¿Me afecta la ley de IA si solo uso ChatGPT en mi empresa?

Sí. No hace falta que desarrolles IA propia para tener obligaciones.

Basta con que uses una herramienta de IA generativa, un chatbot o un asistente automatizado dentro de tu actividad para convertirte en responsable del despliegue y asumir las obligaciones que le corresponden a ese papel.

Niveles de riesgo de la IA según el Reglamento (UE) 2024/1689

El Reglamento clasifica cada sistema de IA según su nivel de riesgo: inaceptable, alto, limitado o mínimo.

De esta clasificación depende qué obligaciones tiene tu empresa, por eso es el primer paso antes de plantear cualquier acción de cumplimiento.

• Riesgo inaceptable: prácticas prohibidas sin excepción.
• Riesgo alto: sistemas sujetos a requisitos estrictos de control.
• Riesgo limitado: obligaciones de transparencia frente al usuario.
• Riesgo mínimo: la mayoría de asistentes de IA generativa de uso general.

Por eso, si tu equipo todavía no domina el uso práctico de la IA, una formación en Inteligencia Artificial para tu empresa te ayuda a identificar qué herramientas usáis y en qué categoría encajan antes de abordar el cumplimiento.

Puedes consultar el texto oficial completo en el Diario Oficial de la Unión Europea.

Prácticas de IA prohibidas según el artículo 5

El artículo 5 del Reglamento prohíbe de forma directa aquellos usos de IA que manipulan el comportamiento humano, explotan vulnerabilidades o generan puntuaciones sociales.

Ninguna empresa, sea pyme o gran corporación, puede introducir ni utilizar estos sistemas en la Unión Europea.

• Técnicas subliminales o manipuladoras que alteren decisiones de forma perjudicial.
• Explotación de vulnerabilidades por edad, discapacidad o situación económica.
• Sistemas de puntuación ciudadana (scoring social) que generen trato desfavorable.
• Evaluación de riesgo de criminalidad basada únicamente en perfiles de personalidad.
• Bases de datos de reconocimiento facial creadas con rastreo masivo de internet.
• Inferencia de emociones en el puesto de trabajo o en centros educativos.

Estas prohibiciones no dependen del tamaño de la empresa ni de la intención con la que se use el sistema.

Si tu negocio usa una herramienta de IA para analizar el estado de ánimo de tus empleados, por ejemplo en videollamadas, estás ante un supuesto prohibido, salvo finalidad médica o de seguridad reconocida.

Práctica prohibida (artículo 5)	En qué consiste
Técnicas subliminales o manipuladoras	Alteran decisiones de forma perjudicial sin que la persona lo perciba
Explotación de vulnerabilidades	Aprovecha la edad, discapacidad o situación económica del usuario
Puntuación ciudadana (scoring social)	Genera trato desfavorable a partir de una valoración global de la persona
Evaluación de riesgo de criminalidad	Se basa únicamente en perfiles de personalidad, sin hechos objetivos
Reconocimiento facial masivo	Bases de datos creadas mediante rastreo indiscriminado de internet
Inferencia de emociones	Detecta estados emocionales en el trabajo o en centros educativos

La identificación biométrica remota en tiempo real en espacios públicos también está prohibida con carácter general, aunque el propio artículo recoge excepciones muy tasadas para las fuerzas de seguridad, sujetas a autorización judicial previa.

Sistemas de IA de alto riesgo según el artículo 6

Un sistema de IA se considera de alto riesgo cuando su finalidad prevista puede afectar de forma significativa a la salud, la seguridad o los derechos fundamentales de las personas.

El artículo 6 remite a una lista de ámbitos concretos donde esta clasificación se aplica de forma automática.

• Selección y evaluación de candidatos en procesos de contratación.
• Evaluación de solvencia o calificación crediticia de clientes.
• Sistemas usados en educación para evaluar o admitir alumnos.
• Triaje de pacientes en servicios de emergencia sanitaria.
• Evaluación del desempeño o promoción de trabajadores.

Muchas pymes usan sin saberlo herramientas de IA en recursos humanos que entran en esta categoría, por ejemplo un software que filtra currículums de forma automática.

Si tu empresa usa un sistema así, aunque lo hayas comprado a un proveedor externo, tienes obligaciones como responsable del despliegue:

• supervisión humana
• uso conforme a las instrucciones del proveedor
• y conservación de registros durante al menos seis meses.

La clasificación de alto riesgo no depende de si programaste el sistema, sino de para qué lo usas dentro de tu empresa.

IA de riesgo limitado y obligaciones de transparencia

Los sistemas de riesgo limitado son los más comunes en el día a día de una pyme: chatbots, asistentes virtuales o herramientas que generan contenido de texto, imagen o vídeo.

Su obligación principal no es técnica, sino informativa, que la persona sepa que interactúa con una IA.

• Chatbots de atención al cliente en la web o en redes sociales.
• Asistentes de voz que resuelven consultas de forma automatizada.
• Generadores de imágenes, vídeos o textos publicados públicamente.
• Sistemas que crean contenido sintético indistinguible de una persona real.

Esta categoría cubre la mayoría de los casos reales de las empresas que nos preguntan si la ley les afecta.

No necesitas una auditoría técnica compleja, pero sí revisar cómo y cuándo informas a tus usuarios de que están hablando, leyendo o viendo algo generado por IA.

 

Proveedor y responsable del despliegue: qué es tu empresa según la ley

El Reglamento distingue entre proveedor (quien desarrolla o comercializa el sistema de IA) y responsable del despliegue (quien lo usa dentro de su propia actividad).

La mayoría de las pymes son responsables del despliegue, no proveedoras, y eso determina qué obligaciones concretas les corresponden.

• Proveedor: diseña, entrena o comercializa el sistema de IA bajo su nombre.
• Responsable del despliegue: utiliza el sistema ya desarrollado por otro dentro de su empresa.
• Una misma empresa puede ser ambas cosas si personaliza o re-entrena un sistema externo.
• Importadores y distribuidores tienen obligaciones intermedias de verificación documental.

Si tu empresa contrata un software de IA ya existente, como un CRM con IA integrada o una herramienta de generación de contenido, normalmente asumes el papel de responsable del despliegue.

Esto no te exime de obligaciones, simplemente cambia cuáles te aplican frente a las que tendría el fabricante del sistema.

Obligaciones de una pyme como responsable del despliegue de IA

El artículo 26 del Reglamento detalla qué debe hacer una empresa que usa un sistema de IA de alto riesgo desarrollado por terceros.

Estas obligaciones son operativas, no burocráticas y se centran en supervisar el uso real de la herramienta dentro de tu negocio.

• Usar el sistema conforme a las instrucciones de uso del proveedor.
• Asignar la supervisión humana a personal con formación y autoridad suficiente.
• Verificar que los datos de entrada sean representativos y adecuados.
• Vigilar el funcionamiento del sistema y notificar incidentes graves al proveedor.
• Conservar los registros automáticos generados por el sistema, al menos seis meses.
• Informar a los trabajadores expuestos al sistema antes de ponerlo en marcha.

Estas obligaciones no exigen conocimientos técnicos de programación, pero sí un mínimo de gobernanza interna:

• alguien en tu empresa debe hacerse responsable de revisar cómo funciona la IA que usáis
• detectar fallos y documentar su uso.

Para muchas pymes, esto implica designar a una persona de referencia, aunque sea a tiempo parcial, que centralice estas tareas de supervisión.

Cuando el sistema de alto riesgo se usa en el lugar de trabajo, la ley añade una obligación adicional, que es informar a los trabajadores y a sus representantes antes de ponerlo en marcha.

La transparencia interna hacia el propio equipo forma parte del cumplimiento tanto como la supervisión técnica del sistema.

Calendario de aplicación del Reglamento AI Act

El Reglamento no entra en vigor de golpe. El artículo 113 establece una aplicación escalonada entre 2025 y 2027, según el tipo de obligación.

Conocer estas fechas te permite priorizar qué acciones son urgentes y cuáles puedes planificar con más margen.

• Las prácticas prohibidas se aplican desde febrero de 2025.
• Las obligaciones de transparencia y gobernanza llegan en agosto de 2025.
• El grueso del Reglamento entra en aplicación general el 2 de agosto de 2026.
• Las obligaciones de alto riesgo más exigentes se retrasan hasta agosto de 2027.

Esta escalada progresiva busca dar tiempo a las empresas para adaptarse, pero también significa que algunas obligaciones, como la prohibición de prácticas de IA inaceptables, llevan ya tiempo en vigor.

Fechas clave entre 2025 y 2027

Las fechas del Reglamento no son simbólicas, pues determinan desde cuándo una autoridad de vigilancia del mercado puede sancionar a tu empresa.

Tener claro este calendario evita sorpresas y permite planificar la adaptación por fases.

• 2 de febrero de 2025: entran en vigor las prácticas prohibidas del artículo 5.
• 2 de agosto de 2025: aplican las reglas sobre modelos de IA de uso general.
• 2 de agosto de 2026: fecha de aplicación general de todo el Reglamento.
• 2 de agosto de 2027: entran en vigor las obligaciones más estrictas de alto riesgo.

Para una pyme, la fecha más relevante en la práctica es agosto de 2026, pues a partir de ese momento, la mayoría de las obligaciones de transparencia, supervisión humana y registro documental descritas en este artículo son plenamente exigibles.

Esperar a esa fecha para empezar a actuar, sin embargo, deja muy poco margen de maniobra si tu empresa todavía no ha revisado qué sistemas de IA usa ni cómo los ha implantado.

¿Desde cuándo se aplica de verdad la ley de IA en España?

Depende de la obligación. Las prácticas prohibidas y la alfabetización en materia de IA ya son exigibles desde febrero de 2025.

La mayoría de las obligaciones que afectan a una pyme, como la transparencia frente a clientes o la supervisión de sistemas de alto riesgo, son exigibles a partir del 2 de agosto de 2026.

Transparencia si usas chatbots o generas contenido con IA

La obligación de transparencia del artículo 50 es probablemente la que más pymes deben cumplir, porque afecta a usos muy extendidos: chatbots, generación automática de textos o creación de imágenes con IA generativa.

• Informar de que se interactúa con un sistema de IA, salvo que sea evidente.
• Marcar como generado por IA el contenido sintético de audio, imagen o vídeo.
• Declarar el uso de IA en ultrasuplantaciones (deepfakes) de personas reales.
• Advertir cuando un texto publicado con fines informativos se genera con IA.

Esta obligación no exige software complejo, ya que en muchos casos basta con un aviso visible en la interfaz del chatbot o una etiqueta en el contenido generado.

Informar a tus clientes de que interactúan con una IA

El artículo 50.1 obliga a que las personas sepan cuándo están hablando con un sistema de IA, salvo que resulte evidente por el contexto.

Esta obligación aplica directamente a chatbots de atención al cliente, asistentes de voz o formularios conversacionales automatizados.

• Un aviso inicial al comenzar la conversación suele ser suficiente.
• No aplica si es obvio para una persona razonablemente atenta que habla con una IA.
• La información debe darse en la primera interacción, no después.
• No exime de esta obligación el hecho de que el bot use lenguaje natural avanzado.

En la práctica, esto se traduce en un mensaje breve como «Estás hablando con un asistente virtual» antes de iniciar la conversación, o un indicador visual permanente en la interfaz del chat.

La ley no exige un formato concreto, pero sí que la información llegue de forma clara y distinguible, sin necesidad de que el usuario la busque activamente entre condiciones legales o textos de letra pequeña.

Etiquetado de contenido generado o manipulado por IA

Cuando tu empresa publica contenido creado con IA generativa, texto, imagen, audio o vídeo, el artículo 50.2 exige que ese contenido pueda identificarse como generado o manipulado artificialmente, mediante un formato legible por máquina.

• Imágenes o vídeos generados con IA deben incluir marcado técnico detectable.
• Los textos informativos generados con IA deben declarar su origen artificial.
• No aplica si el contenido pasa por revisión editorial humana y responsabilidad clara.
• Las obras creativas, satíricas o de ficción tienen un régimen de transparencia más flexible.
• Si usas IA generativa para crear imágenes de producto, publicaciones en redes sociales o borradores de artículos, revisa qué parte de ese proceso pasa por supervisión humana real, porque de ello depende si aplica la obligación de etiquetado completo.

Alfabetización en materia de IA, la obligación menos conocida

El artículo 4 del Reglamento introduce una obligación que muchas pymes desconocen: garantizar que el personal que usa sistemas de IA tenga un nivel suficiente de alfabetización en materia de IA.

No es una recomendación, es una obligación legal desde febrero de 2025.

• Formar al personal según su nivel técnico, su función y el contexto de uso.
• Adaptar la formación a los sistemas de IA concretos que usa cada equipo.
• Documentar las acciones formativas realizadas dentro de la empresa.
• Extender esta obligación a cualquier persona que opere IA en nombre de la empresa.

Esta obligación no exige un curso masivo ni certificaciones oficiales.

Exige que las personas que usan IA en su trabajo diario entiendan, al menos, qué hace la herramienta, cuáles son sus límites y qué riesgos conlleva un uso incorrecto.

Para muchas empresas, esto se traduce en sesiones internas breves, guías de uso interno o formación específica por departamento, adaptada a cómo se usa realmente la IA en cada puesto de trabajo.

Qué pasa si tu empresa no cumple el Reglamento de IA

El incumplimiento del Reglamento de IA tiene consecuencias económicas directas, reguladas en el artículo 99.

Las sanciones varían según el tipo de infracción, y existen condiciones específicas que suavizan su impacto sobre pymes y empresas emergentes.

• Las multas se calculan como un porcentaje de la facturación mundial o un importe fijo.
• El importe aplicable es siempre el que resulte más favorable para la empresa.
• La gravedad de la sanción depende del tipo de obligación incumplida.
• Las autoridades valoran la cooperación y las medidas correctoras adoptadas.

Antes de preocuparte por el importe de una posible multa, conviene entender qué tipo de infracción es más grave y cuál tiene mayor margen de flexibilidad para pymes.

Multas y sanciones según el artículo 99

El artículo 99 establece tres niveles de multa según la gravedad de la infracción.

Tipo de infracción	Importe fijo máximo	% facturación mundial
Prácticas prohibidas (artículo 5)	35.000.000 €	7%
Obligaciones de proveedores, importadores o responsables del despliegue	15.000.000 €	3%
Información inexacta o engañosa a las autoridades	7.500.000 €	1%

Siempre se aplica el importe superior entre porcentaje y cifra fija, salvo la excepción prevista para pymes que se explica en el siguiente apartado.

Para determinar el importe exacto, las autoridades tienen en cuenta la duración de la infracción, el número de personas afectadas, si hubo intencionalidad y el grado de cooperación de la empresa durante la investigación.

No es un sistema automático de multa fija, hay margen real para reducir el impacto si tu empresa actúa con transparencia desde el primer momento.

También se valora si el operador ya había sido sancionado antes por los mismos hechos y qué medidas concretas adoptó para corregir el problema una vez detectado.

¿Cuánto es la multa máxima por incumplir la ley de IA?

La multa más alta prevista es de 35 millones de euros o el 7% de la facturación mundial anual, la cifra que resulte superior, y se aplica exclusivamente a las prácticas de IA prohibidas del artículo 5.

El resto de infracciones tiene topes inferiores, de hasta el 3% o el 1% de la facturación según el tipo de obligación incumplida.

Condiciones especiales de reducción de multas para pymes

El propio Reglamento reconoce que aplicar los mismos criterios sancionadores a una multinacional y a una pyme sería desproporcionado.

Por eso incluye una cláusula específica pensada para proteger la viabilidad económica de las empresas más pequeñas.

• Para pymes y empresas emergentes se aplica el importe menor entre porcentaje y cifra fija.
• Las autoridades deben tener en cuenta la viabilidad económica de la empresa infractora.
• El régimen sancionador debe ser efectivo, proporcionado y disuasorio, no destructivo.
• Cada Estado miembro puede matizar estas condiciones en su normativa nacional de desarrollo.

Esto no significa que una pyme quede exenta de sanción, pero sí que el sistema está diseñado para no comprometer la continuidad del negocio por una infracción administrativa, especialmente si no hay intencionalidad ni daño grave a terceros.

Primeros pasos para adaptar tu empresa al Reglamento de IA

Adaptarse al Reglamento de IA no requiere un departamento legal propio ni una inversión desproporcionada.

Para la mayoría de pymes, se trata de ordenar procesos que probablemente ya existen de forma informal dentro de la empresa.

• Haz un inventario real de los sistemas de IA que usa tu empresa hoy.
• Clasifica cada sistema según su nivel de riesgo: prohibido, alto, limitado o mínimo.
• Revisa si informas correctamente a clientes cuando interactúan con un chatbot o IA generativa.
• Designa a una persona responsable de supervisar el uso de IA dentro del equipo.
• Documenta las acciones de formación en IA que ya realiza tu empresa.
• Revisa los contratos con proveedores de IA para entender qué obligaciones asumen ellos.

El primer paso más rentable suele ser el inventario, ya que muchas empresas descubren que usan más sistemas de IA de los que creían, integrados en el CRM, en el correo electrónico o en las redes sociales.

A partir de ahí, priorizar por nivel de riesgo permite dedicar tiempo y recursos a lo que realmente importa, en lugar de intentar cumplir todo a la vez sin criterio.

La documentación es tu mejor aliada frente a una posible inspección:

• un registro de qué sistemas usáis
• quién los supervisa
• y qué formación ha recibido el equipo

Esta información demuestra diligencia, aunque no hayáis completado toda la adaptación.

Ese orden interno, más que el gasto en consultoría externa, marca la diferencia entre una pyme preparada y una expuesta a sanciones evitables.