10 de septiembre de 2026

La Ley IA de la UE, un manual de riesgo que toda empresa debería conocer si la usa

Si tu web tiene un chatbot, desde el 2 de agosto de 2026 quien escribe en él tiene derecho a saber que le responde una máquina. Es una de las obligaciones de la Ley de Inteligencia Artificial de la UE que ya se pueden exigir, y alcanza también a las empresas que se limitan a usar herramientas de terceros. El calendario que circulaba hasta este verano ya no sirve, porque en julio el Ómnibus digital sobre IA retrasó las obligaciones de alto riesgo.

Qué regula la Ley de IA y cuándo te obliga

La Ley de IA es el Reglamento (UE) 2024/1689, que puedes leer entero en EUR-Lex. Obliga a quien desarrolla o usa sistemas de inteligencia artificial en la Unión, y a empresas de otros países cuando venden aquí sus sistemas o cuando lo que produce su IA se usa en territorio europeo.

Su lógica se parece a la de las normas de tráfico, donde una bicicleta no pasa la ITV y un camión de mercancías peligrosas necesita permisos especiales. El reglamento ordena la IA de la misma forma, desde los usos prohibidos hasta los de riesgo mínimo, que son la mayoría. Entre medias están los sistemas de alto riesgo, con muchas obligaciones, y los que solo deben cumplir reglas de transparencia.

Los modelos de uso general más grandes, entrenados con más de 10²⁵ operaciones de coma flotante, tienen un régimen propio de riesgo sistémico que afecta a un puñado de grandes laboratorios.

La ley entró en vigor el 1 de agosto de 2024 y se aplica por fases. Las prohibiciones y la alfabetización en IA rigen desde el 2 de febrero de 2025, y las obligaciones de los modelos de uso general, desde el 2 de agosto de 2025. Las de transparencia llegaron el 2 de agosto de 2026. En julio de 2026, el Ómnibus digital sobre IA retrasó las de alto riesgo.

Los sistemas que no van integrados en un producto, como los de selección de personal, tienen hasta el 2 de diciembre de 2027, y los integrados en productos regulados, hasta el 2 de agosto de 2028. El Ómnibus añadió también una prohibición que se aplicará desde diciembre de 2026, la de los sistemas que generan desnudos de personas reales.

Proveedor o responsable del despliegue: en qué lado está tu empresa

La Ley de Inteligencia Artificial reparte las obligaciones según el papel de cada uno. El proveedor desarrolla el sistema y lo pone en el mercado. El responsable del despliegue lo usa en su actividad profesional. Si una empresa crea una herramienta que criba currículos y un banco la usa para contratar, la primera es proveedora y el banco, responsable del despliegue.

La mayor parte de las obligaciones recae en el proveedor. El de la herramienta de cribado, un sistema de alto riesgo, tendrá que documentarla y superar una evaluación de conformidad a partir del 2 de diciembre de 2027. Quien ofrece un modelo de IA de uso general, como los que hay detrás de Copilot, debe publicar desde agosto de 2025 un resumen del contenido con el que lo entrenó y aplicar una política de derechos de autor.

Los sistemas con licencia libre y de código abierto quedan fuera del reglamento salvo que sean de alto riesgo o estén prohibidos, y siguen sujetos a las reglas de transparencia. Los modelos de uso general abiertos se libran de parte de la documentación técnica, pero no del resumen de datos de entrenamiento ni de la política de derechos de autor. Con riesgo sistémico no hay exención.

¿Y si tu empresa solo usa la herramienta? Como responsable del despliegue, pide al proveedor la documentación que acredite que el sistema cumple. Pasas a ser proveedor, con todas sus obligaciones, si le pones tu marca a un sistema de alto riesgo o lo modificas a fondo. También si le cambias la finalidad a una herramienta generalista hasta convertirla en alto riesgo, algo tan habitual como usar un asistente de propósito general para filtrar candidatos.

Y si desarrollas un sistema propio, aunque solo lo uses dentro de la empresa y esté alojado en tu cloud privado, la ley también te considera proveedor.

Del chatbot a la selección de personal: casos concretos

Si pones un chatbot a atender a clientes, las personas tienen que saber que hablan con una IA, salvo que sea evidente. La obligación recae en quien desarrolla el sistema. Si lo contratas a un tercero, por ejemplo integrado en una plataforma de atención omnicanal, comprueba que el aviso aparece, si lo has desarrollado tú, te toca a ti.

Si usas IA para generar textos o imágenes, el marcado técnico corre a cargo de quien te da la herramienta. Los proveedores tienen que marcar lo que producen sus sistemas generativos en un formato que otras máquinas puedan detectar, con un periodo de gracia hasta el 2 de diciembre de 2026. Tu obligación empieza al publicar. Tienes que avisar cuando difundes una ultrasuplantación (una imagen, un audio o un vídeo que imita a personas o hechos reales y puede pasar por auténtico) o un texto sobre asuntos de interés público que nadie ha revisado ni asumido editorialmente. La Comisión publicó en junio un código de buenas prácticas con iconos oficiales para señalarlo, y en este blog ya contamos cómo se reparten estas obligaciones.

La obligación que más empresas tienen encima es formar a quien usa la IA. Rige desde febrero de 2025 y el Ómnibus la suavizó en julio. Ahora basta con demostrar que has tomado medidas para que tu equipo entienda qué hace la herramienta y dónde falla, sin tener que asegurar un nivel concreto de conocimientos. Si tu plantilla ya trabaja con Copilot en Microsoft 365, esa es la herramienta con la que empezar.

Los sistemas que evalúan la solvencia de una persona para darle crédito, o que fijan el riesgo y el precio de un seguro de vida o de salud, son de alto riesgo. Desde diciembre de 2027, quien los use tendrá que hacer una evaluación de impacto relativa a los derechos fundamentales antes de ponerlos en marcha. La puntuación social de personas es otra cosa y está prohibida.

Usar IA para seleccionar candidatos o decidir ascensos también es de alto riesgo. Con el mismo plazo, tendrás que informar a los candidatos de que la usas y mantener supervisión humana sobre lo que decide el sistema. Si se aplica a tu plantilla, antes de activarlo debes avisar a los representantes de los trabajadores y a las personas afectadas.

Desde febrero de 2025 está prohibido usar IA para reconocer las emociones de tus trabajadores, salvo por motivos médicos o de seguridad. Detectar si un conductor profesional se está durmiendo queda fuera de esta prohibición, porque el reglamento no considera la fatiga una emoción.

Sanciones y quién vigila en España

Las multas más altas, de hasta 35 millones de euros o el 7 % del volumen de negocios anual mundial del ejercicio anterior, se reservan para las prácticas prohibidas. El tramo que afecta a la mayoría de empresas usuarias llega a 15 millones o el 3 % y castiga incumplir las obligaciones del responsable del despliegue o las de transparencia. En ambos se aplica la cifra más alta, salvo a pymes y empresas emergentes, que pagan la más baja.

Tras el Ómnibus, las autoridades pueden recurrir a advertencias y medidas no económicas, y deben tener en cuenta la viabilidad de las pymes y de las pequeñas empresas de mediana capitalización. Cada Estado tiene que habilitar también al menos un espacio controlado de pruebas, donde las empresas pueden probar sus sistemas antes de lanzarlos sin riesgo de multa si siguen las indicaciones del supervisor. El plazo para crearlo se retrasó al 2 de agosto de 2027, aunque España se adelantó con un sandbox propio.

En España, el organismo central de supervisión es la Agencia Española de Supervisión de Inteligencia Artificial (AESIA), con sede en A Coruña. El proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, aprobado por el Consejo de Ministros el 26 de mayo de 2026 y en tramitación en el Congreso, reparte la vigilancia entre la AESIA, la AEPD, el Banco de España y el CGPJ según el ámbito.