Ley de inteligencia artificial de la UE: qué exige y desde cuándo

La «ley de inteligencia artificial» que se aplica en España es el Reglamento (UE) 2024/1689, conocido como Reglamento de Inteligencia Artificial o AI Act. Es un reglamento europeo: se aplica directamente, sin que haga falta una ley española que lo trasponga. Entró en vigor el 1 de agosto de 2024, pero sus obligaciones llegan por fases, y en julio de 2026 la UE cambió varias fechas con el «Ómnibus digital sobre IA», el Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026. Esta guía resume qué se aplica ya y qué falta, artículo por artículo, a partir de los textos del Diario Oficial consultados el 1 de octubre de 2026.

Es información general, no asesoramiento jurídico. Si tu empresa desarrolla o vende sistemas de IA que podrían ser de alto riesgo, consulta con un abogado especializado.

Calendario: qué se aplica y desde cuándo

Lo que cambió el Ómnibus son sobre todo las dos últimas fechas. Antes eran el 2 de agosto de 2026 (anexo III) y el 2 de agosto de 2027 (anexo I). Según el propio Reglamento, mantener la fecha inicial suponía un aumento significativo de los costes de aplicación porque las normas técnicas y herramientas de apoyo no estaban listas.

¿Qué papel tiene tu empresa?

El Reglamento reparte las obligaciones por papeles:

• Proveedor: quien desarrolla un sistema o modelo de IA y lo comercializa con su nombre. Carga con la mayoría de las obligaciones.
• Responsable del despliegue: quien usa un sistema de IA bajo su autoridad en una actividad profesional. Una empresa que usa ChatGPT, Copilot o un chatbot para atender a sus clientes es responsable del despliegue.
• Importadores y distribuidores, con obligaciones propias más ligeras.

La mayoría de pymes españolas que usan herramientas de IA son responsables del despliegue, no proveedoras.

Qué tiene que hacer hoy una empresa que usa IA

Alfabetización en materia de IA (art. 4). Tras el Ómnibus, proveedores y responsables del despliegue deben adoptar medidas para apoyar la alfabetización en IA de su personal y de quienes usan sistemas de IA en su nombre, teniendo en cuenta sus conocimientos, su experiencia y el contexto de uso. El texto aclara que eso no obliga a garantizar un nivel concreto de cada persona. En la práctica: formación y pautas proporcionadas a cómo usa la IA cada equipo.

Transparencia (art. 50), desde el 2 de agosto de 2026:

• Chatbots: el proveedor debe diseñarlos para que la persona sepa que habla con una IA, salvo que sea evidente por el contexto.
• Contenido generado: los proveedores de sistemas que generan audio, imagen, vídeo o texto sintéticos deben marcar ese contenido en un formato legible por máquina.
• Ultrasuplantaciones (deepfakes): quien genere o manipule imagen, audio o vídeo que constituya una ultrasuplantación debe decirlo. En obras claramente artísticas, satíricas o de ficción basta con indicarlo sin estropear la obra.
• Textos sobre asuntos de interés público: quien publique texto generado por IA para informar al público sobre asuntos de interés público debe indicarlo, salvo que el texto haya pasado por revisión humana o control editorial y una persona física o jurídica asuma la responsabilidad editorial.
• Reconocimiento de emociones y categorización biométrica: hay que informar a las personas expuestas.

La información debe darse de forma clara y distinguible, como tarde en la primera interacción.

Prácticas prohibidas

Desde el 2 de febrero de 2025, el artículo 5 prohíbe los sistemas de IA que:

1. usan técnicas subliminales, manipuladoras o engañosas que alteran de forma sustancial el comportamiento y causan perjuicios considerables;
2. explotan vulnerabilidades por edad, discapacidad o situación social o económica;
3. puntúan a las personas por su comportamiento social o sus rasgos, con un trato perjudicial injustificado o en contextos ajenos;
4. predicen el riesgo de que alguien cometa un delito basándose solo en su perfil o su personalidad;
5. crean bases de datos de reconocimiento facial extrayendo imágenes de forma no selectiva de internet o de cámaras de vigilancia;
6. infieren emociones en el trabajo o en centros educativos, salvo por motivos médicos o de seguridad;
7. clasifican a las personas por datos biométricos para deducir su raza, opiniones políticas, afiliación sindical, creencias, vida sexual u orientación sexual;
8. usan identificación biométrica remota en tiempo real en espacios públicos con fines policiales, salvo excepciones tasadas.

Desde el 2 de diciembre de 2026, el Ómnibus añade dos: los sistemas que generan o manipulan imágenes, vídeo o audio íntimos o sexuales realistas de una persona identificable sin su consentimiento explícito, y los que generan material de abuso sexual infantil.

Sanciones

Cada Estado fija las sanciones dentro de los límites del Reglamento. Incumplir las prohibiciones puede costar hasta 35 millones de euros o el 7 % del volumen de negocio mundial anual, lo que sea mayor. Incumplir la mayoría de las demás obligaciones, incluidas las de transparencia del artículo 50 y las de los responsables del despliegue, hasta 15 millones o el 3 %. El Reglamento exige que las sanciones tengan en cuenta los intereses y la viabilidad económica de las pymes.

¿Quién vigila en España?

España creó la Agencia Española de Supervisión de Inteligencia Artificial (AESIA), cuyo estatuto aprobó el Real Decreto 729/2023. Las normas españolas que concreten el régimen sancionador y las autoridades competentes pueden cambiar: conviene revisar el BOE.

Lista rápida para una pyme

1. Haz inventario de dónde usas IA y si en cada caso eres proveedor o responsable del despliegue.
2. Revisa el artículo 5 si algo puntúa, perfila, vigila emociones o usa datos biométricos.
3. Pon en marcha medidas de alfabetización en IA: pautas y formación según el uso de cada equipo.
4. Identifica los chatbots y el contenido generado desde el 2 de agosto de 2026 y guarda cómo lo haces.
5. Comprueba si algún uso es de alto riesgo según el anexo III (por ejemplo, selección de personal, educación, solvencia o acceso a servicios esenciales). Si lo es, planifica para el 2 de diciembre de 2027.

Si tu empresa está valorando un asistente o un agente de IA, lee también qué es un agente de IA.