Lo que ha cambiado — y lo que muchos aún no saben.
El Reglamento (UE) 2024/1689 sobre Inteligencia Artificial — conocido como AI Act — es la primera legislación integral sobre IA en el mundo. Europa se ha adelantado a Estados Unidos, a China y a cualquier otra jurisdicción. Y eso tiene consecuencias directas para cualquier empresa que opere en territorio europeo o que ofrezca servicios a ciudadanos europeos.
La norma no regula la IA como concepto abstracto. Regula sistemas concretos: herramientas de software que toman decisiones, generan contenido, clasifican personas o predicen comportamientos. Si tu empresa usa un chatbot para atender clientes, un sistema de scoring para evaluar riesgos, una herramienta de IA para filtrar currículos o un generador de textos para marketing — estás dentro del ámbito de aplicación.
Y aquí viene la sorpresa para muchos: no importa si has desarrollado tú la herramienta o si simplemente la usas. El Reglamento establece obligaciones tanto para proveedores como para implementadores de sistemas de IA.
Los cuatro niveles de riesgo: dónde está tu empresa.
El AI Act clasifica los sistemas de IA en cuatro categorías según su nivel de riesgo. Entender en cuál cae cada herramienta que usas es el primer paso para cumplir la normativa.
Riesgo inaceptable (prohibido). Son sistemas que la UE considera incompatibles con los derechos fundamentales. Quedan prohibidos: la manipulación subliminal del comportamiento, la explotación de vulnerabilidades de grupos específicos (ancianos, menores), el scoring social por parte de autoridades públicas y la identificación biométrica remota en tiempo real en espacios públicos (con excepciones muy limitadas para seguridad). Si tu empresa no opera en vigilancia masiva ni en manipulación conductual, probablemente no te afecta esta categoría. Pero conviene saberlo.
Riesgo alto. Esta es la categoría que más empresas va a afectar. Incluye sistemas de IA utilizados en: selección de personal y gestión de recursos humanos, evaluación crediticia y scoring financiero, acceso a servicios esenciales (seguros, prestaciones), educación y formación profesional, gestión de infraestructuras críticas, administración de justicia y procesos democráticos. Las obligaciones aquí son exhaustivas: evaluación de conformidad, documentación técnica detallada, supervisión humana obligatoria, sistemas de gestión de riesgos, registros de actividad y transparencia hacia los usuarios.
Riesgo limitado. Aquí entran los chatbots, los generadores de contenido, los deepfakes y cualquier sistema que interactúe directamente con personas. La obligación principal es de transparencia: el usuario debe saber que está interactuando con una IA o que el contenido ha sido generado por una IA. Si tu empresa usa un chatbot de atención al cliente, debe informar claramente de que es una máquina. Si generas imágenes o textos con IA para fines comerciales, debes etiquetarlos como contenido generado artificialmente.
Riesgo mínimo. La mayoría de aplicaciones de IA de uso cotidiano caen aquí: filtros de spam, sistemas de recomendación, herramientas de productividad. No tienen obligaciones específicas bajo el Reglamento, aunque las buenas prácticas y los códigos de conducta voluntarios siempre son recomendables.
Lo que significa esto en tu día a día.
Vamos a ser concretos. ¿Usas ChatGPT o Claude en tu empresa para redactar emails, crear propuestas o resumir documentos? Eso cae en riesgo limitado — deberías informar a tus clientes si el contenido que les envías ha sido generado con IA, especialmente en contextos contractuales o regulados.
¿Usas una herramienta de IA para filtrar candidatos en procesos de selección? Riesgo alto. Necesitas documentación técnica, evaluación de sesgos, supervisión humana en las decisiones finales y un sistema de reclamación para los candidatos descartados.
¿Tienes un sistema automatizado que evalúa la solvencia de clientes para concederles crédito o seguros? Riesgo alto. Las mismas obligaciones, más la trazabilidad completa de las decisiones del sistema.
¿Usas IA para generar imágenes publicitarias? Riesgo limitado. Debes etiquetar las imágenes como generadas por IA.
La mayoría de PYMEs que conozco usan herramientas de IA sin haberse planteado nunca en qué categoría de riesgo caen. No es negligencia — es desconocimiento. Y el desconocimiento de la ley, como dicen los juristas, no exime de su cumplimiento.
Los plazos: el reloj ya está en marcha.
Nota de actualización (27 de julio de 2026): este apartado se ha reescrito tras la publicación del Reglamento (UE) 2026/1744 — el «Ómnibus digital sobre IA» —, publicado en el DOUE el 24 de julio de 2026 y en vigor desde el 27 de julio. El resto del artículo se mantiene como se publicó en febrero.
El Reglamento entró en vigor el 1 de agosto de 2024, pero su aplicación es escalonada — y el calendario acaba de cambiar. El Ómnibus aplaza el bloque de obligaciones de riesgo alto: hasta el 2 de diciembre de 2027 para los sistemas del Anexo III (selección de personal, crédito, educación, justicia, servicios esenciales) y hasta el 2 de agosto de 2028 para la IA integrada en productos ya regulados por otra normativa europea.
Pero conviene leer bien qué se ha aplazado y qué no, porque el titular fácil — «han pospuesto el AI Act» — es falso. Las prohibiciones siguen siendo aplicables desde febrero de 2025. Y el 2 de agosto de 2026 sigue siendo la fecha general de aplicación del Reglamento: ese día pasan a ser exigibles las obligaciones de transparencia — las del riesgo limitado, que son precisamente las que afectan a más empresas — con multas de hasta 15 millones de euros o el 3 % de la facturación mundial. El Ómnibus añade además dos nuevas prácticas prohibidas, aplicables desde el 2 de diciembre de 2026.
Esto significa que las empresas tienen un periodo de transición — pero ese periodo no es para esperar. Es para prepararse. Evaluar qué sistemas de IA se utilizan, clasificarlos por riesgo, identificar las obligaciones aplicables y empezar a documentar los procesos. Y ojo con interpretar el aplazamiento como un respiro: el motivo oficial que da el propio reglamento es el retraso en las normas técnicas armonizadas y en la puesta en marcha de las autoridades nacionales, no una rebaja de exigencia. Las que esperen al último momento se encontrarán con un problema de cumplimiento que podría haberse evitado con planificación.
Las sanciones: no son simbólicas.
El régimen sancionador del AI Act está diseñado para disuadir. Las multas pueden alcanzar: hasta 35 millones de euros o el 7 % de la facturación global anual (lo que sea mayor) por prácticas prohibidas; hasta 15 millones o el 3 % por incumplir las obligaciones de los operadores — ahí entran tanto los sistemas de alto riesgo como la transparencia del artículo 50 (art. 99.4); y hasta 7,5 millones o el 1 % por facilitar información incorrecta a las autoridades (art. 99.5).
Una matización que introdujo el Ómnibus digital en julio de 2026: los Estados miembros deben tener en cuenta los intereses de las pymes y de la nueva figura de «pequeña empresa de mediana capitalización», y para estas últimas la multa no puede exceder del menor de los dos límites — el porcentaje o el importe —, en lugar del mayor.
Para una PYME, incluso el tramo más bajo supone cantidades que pueden comprometer la viabilidad del negocio. Y más allá de las multas económicas, está el daño reputacional: ser la empresa que incumplió la normativa de IA no es el tipo de publicidad que nadie quiere.
La oportunidad detrás de la obligación.
Entiendo que todo esto pueda sonar abrumador. Pero quiero ser honesto: el Reglamento Europeo de IA no es solo un coste de cumplimiento. Es una oportunidad competitiva.
Las empresas que se adapten primero podrán certificar el uso responsable de la IA como un valor diferencial ante sus clientes. En un mundo donde la confianza digital es cada vez más escasa, demostrar que usas la IA de forma transparente, documentada y supervisada es un activo comercial real.
He visto a empresas que pasaron de ver la protección de datos como un fastidio a convertirla en argumento de venta. Con la regulación de la IA va a pasar exactamente lo mismo. La pregunta no es si te va a afectar — ya te afecta. La pregunta es si vas a esperar a que te pillen o vas a convertirlo en ventaja.
Mi formación como licenciado en Derecho y mi especialización en IA generativa me permiten ver ambos lados de esta ecuación. Y lo que veo es claro: las empresas que integren la regulación en su estrategia de IA desde el principio serán las que sobrevivan y lideren. Las demás irán siempre un paso por detrás.