Normativa y seguridad

Normas y derechos cuando usas modelos de lenguaje en Europa

La Unión Europea regula estos sistemas, y las normas alcanzan ya a las personas y empresas que solo usan chatbots y modelos, no solo a quienes las construyen. Las guías de esta sección explican qué exige el Reglamento (UE) 2024/1689 y desde cuándo, qué significa su artículo de transparencia para una web con un chatbot o con contenido escrito con un modelo, y qué puedes controlar y reclamar cuando usas ChatGPT. Cada afirmación enlaza al texto primario, como el reglamento en EUR-Lex, las orientaciones de la Comisión Europea o las páginas de privacidad de OpenAI, y lleva la fecha en que la comprobamos. No somos abogados y nada de esto es asesoramiento jurídico: es un mapa de lo que dicen las fuentes.

Por dónde empezar

1. Reglamento (UE) 2024/1689 es la mejor visión de conjunto. La ley se aplica por fases: las prácticas prohibidas y la alfabetización del personal desde el 2 de febrero de 2025, las reglas de los modelos de uso general desde el 2 de agosto de 2025 y casi todo lo demás, incluida la transparencia, desde el 2 de agosto de 2026. El Ómnibus digital de 2026 (Reglamento (UE) 2026/1744) retrasó las obligaciones de alto riesgo al 2 de diciembre de 2027 para los sistemas del anexo III y al 2 de agosto de 2028 para los del anexo I. La guía recoge también las multas: hasta 35 millones de euros o el 7 % del volumen de negocio por las prácticas prohibidas y hasta 15 millones de euros o el 3 % por la mayoría de las demás obligaciones.
2. Artículo 50 del Reglamento trata de los deberes que afectan a la mayoría de las webs. Los proveedores deben diseñar los chatbots para que las personas sepan que hablan con una máquina salvo que sea evidente, y deben marcar los resultados de los modelos generativos en un formato legible por máquina. Los responsables del despliegue deben revelar las ultrasuplantaciones (deepfakes) y etiquetar el texto generado por un modelo que se publica para informar al público sobre asuntos de interés público, salvo que tenga revisión humana o control editorial y alguien asuma la responsabilidad editorial. Los sistemas ya comercializados antes del 2 de agosto de 2026 tienen hasta el 2 de diciembre de 2026 para el deber de marcado.
3. ¿Es seguro ChatGPT? trata la privacidad en la práctica: en los planes individuales OpenAI dice que puede usar tus conversaciones para entrenar sus modelos salvo que desactives «Improve the model for everyone», el contenido de Business, Enterprise, Edu y la API no se usa para entrenar por defecto y los chats borrados desaparecen en un máximo de 30 días. Para las personas del EEE, el responsable es OpenAI Ireland Limited, y la guía enumera los derechos que puedes ejercer.

• Qué es la inyección de prompts explica el ataque que encabeza la lista de OWASP de 2025 para aplicaciones de modelos de lenguaje, la diferencia entre inyección directa e indirecta y por qué el NCSC británico dice que solo se puede reducir, no eliminar.
• Licencias de modelos abiertos: Gemma, Qwen, Muse y Llama compara las licencias de Gemma 4, gpt-oss, Qwen3.8, DeepSeek V4, Muse y Llama 4, con sus umbrales de ingresos y la cláusula europea de Llama 4.

Qué normas te afectan

Piensa en tres situaciones. Si eres una persona que usa un asistente, tus preguntas principales son sobre datos: qué se conserva, qué se usa para entrenar y cómo borrarlo. Nuestra guía de ChatGPT lo responde, y las guías de precios anotan los ajustes de datos de cada plan, por ejemplo en el precio de Claude. Si gestionas una web, una tienda o un boletín, tus preguntas son sobre transparencia: si tu chatbot debe decir que es una máquina y si el contenido que publicas necesita una etiqueta. Si incorporas un modelo a un producto o a un proceso de negocio, necesitas además saber cuál es tu papel (proveedor o responsable del despliegue), si alguno de tus usos entra en una categoría de alto riesgo y qué formación se espera de tu personal. El deber de alfabetización del personal ya se aplica a las organizaciones que usan sistemas: desde el 2 de febrero de 2025, proveedores y responsables del despliegue deben tomar medidas para apoyar la alfabetización de su personal, y la modificación de 2026 aclara que eso no exige garantizar un nivel concreto a ninguna persona.

Lo que las normas no te dicen

La ley fija deberes, y los detalles de cómo cumplirlos se siguen aclarando en orientaciones y normas técnicas. Por eso separamos lo que dice el reglamento de lo que dicen las orientaciones de la Comisión y de nuestra propia lectura, y señalamos los puntos en que las fuentes callan. No damos un veredicto sobre si un producto concreto cumple la ley, y no resumimos las leyes nacionales, que varían entre Estados miembros. Cuando una decisión tenga peso jurídico para ti, como una multa, un contrato o un sector regulado, consulta a un profesional cualificado y usa estas guías para preparar la conversación.

Cómo mantenemos las guías al día

Es uno de los temas que más rápido se mueven en este sitio. El Ómnibus digital cambió el calendario en 2026 y las orientaciones de la Comisión siguen llegando. Cada guía tiene una fecha de revisión y lista lo que puede cambiar, y corregimos una guía en cuanto lo hace una fuente primaria. Si encuentras un punto desactualizado, avísanos a través de la página de contacto y lo comprobaremos con la fuente.

Qué leer después

Si vas a desplegar un asistente que habla con clientes, lee agentes para empresas, que une el análisis de costes y riesgos con los deberes de la UE. Para entender por qué existen los deberes de etiquetado y verificación, mira por qué ocurren las alucinaciones de los modelos.