Comienza la aplicación del Reglamento de IA de la UE: lista de verificación de cumplimiento

El Reglamento de IA entra en vigor

El Reglamento de IA de la UE (AI Act), el primer marco jurídico integral del mundo para la inteligencia artificial, ha pasado de la legislación a la aplicación, por fases. La prohibición de determinadas prácticas de IA y la obligación de alfabetización en IA se aplican desde el 2 de febrero de 2025. Las obligaciones para los proveedores de modelos de IA de uso general llegaron el 2 de agosto de 2025, y desde el 2 de agosto de 2026 la Comisión puede hacerlas cumplir con multas; desde esa fecha se aplican también las obligaciones de transparencia para chatbots y contenidos generados por IA. Las normas centrales de alto riesgo, en cambio, se aplazaron: el Ómnibus Digital sobre IA, en vigor desde el 27 de julio de 2026, trasladó las obligaciones de los sistemas de alto riesgo independientes del anexo III (como selección de personal o evaluación de solvencia) del 2 de agosto de 2026 al 2 de diciembre de 2027, y las de la IA integrada en productos sujetos a la legislación de seguridad de la UE al 2 de agosto de 2028.

No se trata de una política abstracta. Si su empresa utiliza IA para decisiones de contratación, calificación crediticia, diagnóstico médico o cualquier sistema que afecte a los derechos y la seguridad de las personas, el Reglamento de IA se aplica directamente a sus operaciones.

Los niveles de riesgo

El Reglamento de IA clasifica los sistemas de IA en cuatro categorías de riesgo, cada una con requisitos normativos distintos:

Riesgo inaceptable (prohibido): Sistemas de IA para la puntuación social por parte de los gobiernos, identificación biométrica en tiempo real en espacios públicos (con excepciones limitadas para las fuerzas del orden), manipulación de grupos vulnerables y reconocimiento de emociones en el lugar de trabajo y en centros educativos. Están prohibidos sin más.

Riesgo alto: IA utilizada en infraestructuras críticas, educación, empleo, servicios esenciales, aplicación de la ley, migración y justicia. Estos sistemas deben someterse a evaluaciones de conformidad, mantener sistemas de gestión de riesgos, garantizar la calidad de los datos, ofrecer transparencia a los usuarios y permitir la supervisión humana.

Riesgo limitado: Sistemas como los chatbots y los generadores de ultrafalsificaciones (deepfakes), que deben cumplir obligaciones de transparencia: hay que informar a los usuarios de que están interactuando con una IA o viendo contenido generado por IA.

Riesgo mínimo: La mayoría de las aplicaciones de IA — filtros de spam, IA en videojuegos, gestión de inventarios — no están sujetas a requisitos normativos adicionales.

Su lista de verificación de cumplimiento

Para las empresas que suministran o despliegan sistemas de IA de alto riesgo, esto es lo que necesitan tener en marcha (para los sistemas independientes del anexo III, estas obligaciones se aplican desde el 2 de diciembre de 2027: tiempo para prepararse, no para esperar):

1. Inventario de sistemas de IA: Documente todos los sistemas de IA que su organización utiliza o despliega, clasificados por nivel de riesgo. No se pueden cumplir unas normas si no se sabe que le son aplicables.

2. Sistema de gestión de riesgos: Establezca un proceso continuo de gestión de riesgos que identifique, analice y mitigue los riesgos a lo largo de todo el ciclo de vida del sistema de IA.

3. Gobernanza de datos: Asegúrese de que los conjuntos de datos de entrenamiento, validación y prueba sean pertinentes, representativos y estén tan libres de sesgos como sea posible. Documente la procedencia de los datos y los métodos de preparación.

4. Documentación técnica: Mantenga registros detallados del diseño del sistema, la metodología de desarrollo, los procedimientos de entrenamiento y las métricas de rendimiento, antes de que el sistema se introduzca en el mercado.

5. Transparencia e información a los usuarios: Proporcione instrucciones claras a los responsables del despliegue, incluidos la finalidad prevista del sistema, su nivel de precisión, sus limitaciones conocidas y las medidas de supervisión humana.

6. Mecanismos de supervisión humana: Diseñe los sistemas de modo que las personas puedan supervisar eficazmente su funcionamiento, interpretar sus resultados e intervenir o detener el sistema cuando sea necesario.

7. Precisión, solidez y ciberseguridad: Demuestre que los sistemas funcionan de forma coherente y son resistentes a errores, fallos y ataques adversarios.

8. Evaluación de la conformidad: La mayoría de los sistemas de alto riesgo del anexo III — entre ellos infraestructuras críticas, empleo, educación y evaluación de solvencia — se someten a un control interno (autoevaluación) por parte del proveedor. La evaluación por un organismo notificado es obligatoria para los sistemas biométricos cuando no se han aplicado (plenamente) normas armonizadas, y para la IA integrada en productos que ya requieren una evaluación por terceros según la legislación sectorial, como los productos sanitarios.

Sanciones por incumplimiento

El Reglamento de IA tiene dientes. Las infracciones relacionadas con prácticas de IA prohibidas conllevan multas de hasta 35 millones de euros o el 7 % de la facturación anual mundial, si esta cifra es mayor. El incumplimiento de los requisitos para sistemas de alto riesgo puede acarrear multas de hasta 15 millones de euros o el 3 % de la facturación. Facilitar información incorrecta a las autoridades conlleva sanciones de hasta 7,5 millones de euros o el 1 % de la facturación.

Para las pymes y las startups, las multas tienen límites proporcionalmente más bajos, y existen espacios controlados de pruebas (sandboxes regulatorios) para probar sistemas de IA innovadores en condiciones supervisadas antes de su plena comercialización.

La brecha transatlántica

El contraste con Estados Unidos no podría ser mayor. A 2026, EE. UU. no tiene legislación federal sobre IA. Las órdenes ejecutivas se han dictado y revocado de una administración a otra, lo que ha dejado un mosaico de compromisos voluntarios y propuestas a nivel estatal. Las empresas estadounidenses que operan en Europa deben cumplir el Reglamento de IA de todos modos, lo que crea un estándar mundial de facto, como hizo el RGPD con la protección de datos.

Para las empresas europeas, el Reglamento de IA no es solo una carga de cumplimiento. Es un marco competitivo que genera confianza pública en los sistemas de IA, iguala las condiciones frente a competidores poco regulados y sitúa a la UE como referente mundial en la gobernanza responsable de la IA. Las empresas que logren el cumplimiento pronto se encontrarán por delante cuando otras jurisdicciones, inevitablemente, sigan el ejemplo de Europa.