Guía ejecutiva · Actualizada el 12 de octubre de 2026 · Lectura 10 min
Reglamento de IA (AI Act): qué te afecta y cuándo
El Reglamento Europeo de Inteligencia Artificial (Reglamento (UE) 2024/1689, llamado también AI Act o Ley de IA) se aplica por fases desde febrero de 2025 hasta agosto de 2028, con el calendario retocado en julio de 2026 por el Reglamento (UE) 2026/1744. La mayoría de pymes aún no saben si les aplica, en qué nivel ni qué deben hacer. Esta guía lo aclara con lenguaje sencillo, las fechas tal como aparecen en el Diario Oficial de la UE y una hoja de ruta accionable.
Contenido revisado el
En resumen
El Reglamento de IA es la norma de la Unión Europea que regula el desarrollo y el uso de sistemas de inteligencia artificial según su nivel de riesgo. Entró en vigor el 1 de agosto de 2024 y se aplica por fases: prohibiciones y alfabetización en IA desde el 2 de febrero de 2025; modelos de IA de uso general, gobernanza y multas desde el 2 de agosto de 2025; aplicación general, incluida la transparencia, desde el 2 de agosto de 2026; y, tras el Reglamento (UE) 2026/1744, obligaciones de alto riesgo desde el 2 de diciembre de 2027 (anexo III) y el 2 de agosto de 2028 (anexo I).
Fechas leídas en EUR-Lex el 29 de septiembre de 2026 (Reglamentos (UE) 2024/1689 y 2026/1744).
Importante: Esta guía es información formativa y orientativa. No es asesoramiento jurídico individual ni una evaluación de la conformidad. Para un caso concreto, conviene consultar con un despacho especializado.
Qué es el AI Act y a quién aplica
El Reglamento de IA (Reglamento (UE) 2024/1689, conocido como AI Act, Ley de IA o RIA) es la primera norma integral del mundo sobre inteligencia artificial. Se publicó en el Diario Oficial el 12 de julio de 2024, entró en vigor el 1 de agosto de 2024 y se aplica progresivamente hasta agosto de 2028. En julio de 2026, el Reglamento (UE) 2026/1744 («Ómnibus digital sobre IA») retrasó las obligaciones de alto riesgo y añadió dos prácticas prohibidas.
Aplica a cualquier empresa que desarrolle, comercialice o use sistemas de IA dentro de la Unión Europea, incluye proveedores fuera de la UE si el resultado de su IA se usa dentro de la UE. No importa el tamaño de la empresa: una PYME catalana de 20 empleados está igualmente obligada que una multinacional.
Lo que cambia según el tamaño y el sector es el nivel de obligaciones: las prácticas prohibidas lo son para todos; las obligaciones estrictas solo aplican a los sistemas de IA clasificados como de alto riesgo; la mayoría de usos cotidianos (chatbots, ChatGPT) tienen solo obligaciones de transparencia.
Los 4 niveles de riesgo
El AI Act clasifica los sistemas por nivel de riesgo. Saber dónde te encuentras es el primer paso.
Nivel 1 · Prohibido
Prácticas prohibidas (Art. 5)
Sistemas de IA prohibidos por ser incompatibles con derechos fundamentales. No se pueden comercializar ni utilizar en la UE bajo ninguna circunstancia.
Ejemplos: Reconocimiento facial masivo en espacios públicos, puntuación social, inferencia de emociones en el trabajo, manipulación subliminal.
Nivel 2 · Alto riesgo
Sistemas de alto riesgo (Anexo III)
Sistemas que afectan significativamente derechos fundamentales o la seguridad. Permitidos pero con obligaciones estrictas: gestión de riesgos, documentación técnica, supervisión humana, marcado CE.
Ejemplos: IA para selección de personal, scoring crediticio, diagnóstico médico, evaluación de estudiantes, gestión de infraestructura crítica.
Nivel 3 · Riesgo limitado
Obligaciones de transparencia
Sistemas con riesgo bajo pero que requieren que el usuario sepa que está interactuando con una IA o viendo contenido generado artificialmente.
Ejemplos: Chatbots de atención al cliente, generadores de imágenes, deepfakes (etiquetados), asistentes conversacionales.
Nivel 4 · Riesgo mínimo
Sin obligaciones específicas
La mayoría de usos cotidianos de IA. No hay obligaciones vinculantes, pero se recomiendan buenas prácticas voluntarias.
Ejemplos: Filtros de spam, recomendaciones de productos, motores de búsqueda, traducciones automáticas, corrección gramatical.
Calendario de aplicación 2024-2028
El Reglamento de IA no se aplica todo de golpe: entró en vigor en 2024 y sus obligaciones se aplican por fases, con el calendario modificado en julio de 2026 y algunos regímenes transitorios. Estas son las fechas principales tal como figuran en el DOUE.
1 de agosto de 2024
Entrada en vigor
El Reglamento (UE) 2024/1689 entra en vigor veinte días después de su publicación en el DOUE (12 de julio de 2024). Empieza el periodo transitorio: la mayoría de obligaciones todavía no se aplican.
2 de febrero de 2025
Prácticas prohibidas y alfabetización en IA
Se aplican los capítulos I y II: las prohibiciones del artículo 5 y la alfabetización en IA del artículo 4. Desde la reforma de julio de 2026, el artículo 4 pide adoptar medidas adaptadas que apoyen la alfabetización en IA del personal y de quien use los sistemas por cuenta de la organización, sin fijar un nivel individual concreto.
2 de agosto de 2025
Modelos de IA de uso general, gobernanza y multas
Se aplican las obligaciones del capítulo V a los proveedores de modelos de IA de uso general (documentación, información a quien los integra, política de derechos de autor), con obligaciones adicionales para los modelos con riesgo sistémico. Los modelos que ya estaban en el mercado tienen hasta el 2 de agosto de 2027 para adaptarse. También se aplican la gobernanza (Oficina de IA, autoridades nacionales) y el régimen de sanciones del artículo 99; las multas del artículo 101 a proveedores de modelos de uso general, desde agosto de 2026.
27 de julio de 2026
Entra en vigor el Reglamento (UE) 2026/1744 (Ómnibus digital sobre IA)
Publicado en el DOUE el 24 de julio de 2026, retrasa las obligaciones de alto riesgo, añade dos prácticas prohibidas, da un plazo transitorio para el marcado del contenido generado por IA y aplica desde este día los artículos 102 a 110 (adaptación de otras normas de la UE).
2 de agosto de 2026
Aplicación general del Reglamento
Fecha general de aplicación, incluidos el artículo 50 y las multas del artículo 101. La transparencia reparte obligaciones: los proveedores deben avisar de que se habla con una IA y marcar el contenido sintético; los responsables del despliegue deben, entre otros casos, indicar las ultrasuplantaciones (deepfakes). Los sistemas generativos que ya estaban en el mercado tienen un plazo especial para el marcado. Las obligaciones de alto riesgo tienen fechas posteriores.
2 de diciembre de 2026
Nuevas prohibiciones y fin del plazo para el marcado
Se aplican dos prácticas prohibidas añadidas al artículo 5, con sus condiciones: sistemas que generan o manipulan representaciones realistas íntimas o sexualmente explícitas de una persona identificable sin su consentimiento, y material de abuso sexual infantil. Termina también el plazo especial para el marcado del artículo 50.2 de los sistemas generativos introducidos en el mercado antes del 2 de agosto de 2026.
2 de diciembre de 2027
Alto riesgo del anexo III
Se aplican las obligaciones de alto riesgo a los sistemas del anexo III: determinados usos en recursos humanos, educación, solvencia de personas físicas, servicios esenciales y otros ámbitos, con excepciones. Los proveedores cumplen requisitos como gestión de riesgos y documentación técnica; quienes los usan, las obligaciones del artículo 26 (supervisión humana, seguimiento, registros).
2 de agosto de 2028
Alto riesgo del anexo I
Se aplican las obligaciones de alto riesgo a los sistemas del artículo 6.1 vinculados a productos regulados del anexo I, como juguetes, ascensores o productos sanitarios. Tras la reforma, las máquinas pasan a un régimen sectorial propio (sección B del anexo I).
Fechas principales, a quién afectan y calendario descargable
Qué te aplica según tu sector
Cinco casos típicos de PYMES catalanas y cómo las afecta el AI Act.
Gestoría / consultoría de RRHH
Alto riesgo (Anexo III, punto 4)
Si usas IA para filtrar CVs, evaluar candidatos, decidir promociones o terminaciones, tu sistema es de alto riesgo. Debes garantizar ausencia de sesgos discriminatorios, transparencia en las decisiones automatizadas, y supervisión humana efectiva. Exigible desde el 2 de diciembre de 2027.
Centro médico privado
Alto riesgo (Anexo III, punto 9)
Si usas IA para diagnóstico, soporte a decisiones clínicas o triaje, alto riesgo. Además del AI Act, te aplica el Reglamento de Productos Sanitarios (MDR). Hay que certificación CE específica y registro del sistema.
Despacho fiscal o asesoría financiera
Alto riesgo (Anexo III, punto 5)
Si haces scoring crediticio o evaluaciones de solvencia automatizadas, alto riesgo. Las solicitudes deben incluir explicación inteligible al cliente (derecho a no ser objeto de una decisión puramente automatizada, también RGPD).
Academia o centro formativo
Alto riesgo (Anexo III, punto 3)
Si usas IA para evaluar estudiantes, decidir admisiones o detectar trampas en exámenes, alto riesgo. Debes garantizar que la IA no introduce sesgos contra grupos vulnerables y permite revisión humana.
Agencia de marketing
Riesgo limitado o mínimo
Los usos típicos (ChatGPT para copy, generador de imágenes, análisis predictivo de campañas) son riesgo limitado o mínimo. Sí hay: etiquetar deepfakes/contenido generado, cumplir RGPD para datos de clientes, y formar al equipo en alfabetización IA.
Hoja de ruta para cumplirlo
Cinco pasos prácticos para empezar hoy.
- 01
1. Inventariar
Identifica todos los sistemas de IA que usa o ofrece tu empresa, incluidos los integrados en herramientas de terceros.
- 02
2. Clasificar
Determina el nivel de riesgo de cada sistema según el Anexo III y el Art. 5. Documenta la clasificación.
- 03
3. Documentar
Para sistemas de alto riesgo, prepara documentación técnica, registros automáticos y procedimientos de gestión de riesgos.
- 04
4. Formar
Garantiza alfabetización IA del personal (obligatorio desde feb 2025). Cursos formales o sesiones internas sirven.
- 05
5. Gobernar
Designa un responsable de conformidad IA, establece revisiones periódicas y colabora con autoridades si hace falta.
Preguntas frecuentes sobre el Reglamento de IA
¿Cuándo entra en vigor el Reglamento de IA?
Entró en vigor el 1 de agosto de 2024, pero se aplica por fases: prohibiciones y alfabetización en IA desde el 2 de febrero de 2025; modelos de IA de uso general, gobernanza y multas desde el 2 de agosto de 2025; aplicación general desde el 2 de agosto de 2026; alto riesgo del anexo III desde el 2 de diciembre de 2027 y del anexo I desde el 2 de agosto de 2028, según la modificación del Reglamento (UE) 2026/1744.
¿Qué reglamento regula la inteligencia artificial en Europa?
El Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, publicado en el Diario Oficial el 12 de julio de 2024. Es de aplicación directa en los 27 Estados miembros, sin necesidad de una ley nacional que lo transponga. En julio de 2026, el Reglamento (UE) 2026/1744 modificó su calendario y varios artículos.
¿Reglamento de IA, Ley de IA y AI Act son lo mismo?
Sí. Son tres nombres de la misma norma: «AI Act» es el nombre en inglés, «Ley de IA» es la traducción habitual en prensa y «Reglamento de IA» (o RIA) es la denominación jurídica en español, porque es un reglamento europeo y no una ley nacional.
¿Cuáles son las normas para el uso de la IA según el Reglamento?
Dependen del nivel de riesgo. Algunas prácticas están prohibidas (manipulación subliminal, puntuación social, reconocimiento de emociones en el trabajo, ultrafalsificaciones sexuales no consentidas). Los sistemas de alto riesgo (selección de personal, crédito, educación, sanidad) tienen obligaciones de gestión de riesgos, documentación, supervisión humana y registro. Los sistemas de riesgo limitado tienen obligaciones de transparencia: avisar de que se habla con una IA y marcar el contenido generado. El resto no tiene obligaciones específicas, más allá de las medidas de alfabetización en IA del artículo 4.
¿Quién regula y supervisa la IA en Europa y en España?
En la UE, la Oficina Europea de IA (dentro de la Comisión Europea) supervisa los modelos de IA de uso general y coordina la aplicación del Reglamento con los Estados miembros. En España, la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña, es la autoridad prevista para la vigilancia del mercado y el punto de contacto con la UE, junto con otras autoridades sectoriales como la AEPD en protección de datos.
¿Qué obligaciones tiene una pyme que solo usa ChatGPT, Copilot, Claude o Gemini?
En la mayoría de casos, usar un asistente de IA para redactar, resumir o analizar documentos es riesgo mínimo o limitado: adoptar medidas de alfabetización en IA para el personal que lo usa (artículo 4, aplicable desde el 2 de febrero de 2025), avisar a las personas cuando interactúan con una IA y marcar el contenido generado si puede confundirse con real (artículo 50), y respetar el RGPD con los datos que se introducen. Si la IA se usa para decidir sobre personas (contratar, evaluar, conceder crédito), puede ser alto riesgo y cambian las obligaciones.
¿Qué multas prevé el Reglamento de IA?
Hasta 35 millones de euros o el 7 % del volumen de negocios mundial anual por prácticas prohibidas; hasta 15 millones o el 3 % por infringir otras obligaciones; y hasta 7,5 millones o el 1 % por dar información inexacta a las autoridades. Para las pymes y empresas emergentes se aplica el menor de los dos importes (artículo 99). El régimen de multas se aplica desde el 2 de agosto de 2025, y para los proveedores de modelos de uso general desde el 2 de agosto de 2026.
Fuentes
Los textos que hemos leído para escribir esta guía. Ante cualquier duda, manda la norma.
¿Quieres saber exactamente qué te aplica?
Haz el diagnóstico interactivo de 5 minutos o habla con IAescola de tu caso concreto.