0 Comentarios
Si en tu empresa alguien usa ChatGPT para redactar, tenéis un chatbot en la web o un asistente telefónico atendiendo llamadas, el Reglamento Europeo de Inteligencia Artificial ya os afecta. No porque tengáis necesariamente un sistema de alto riesgo, sino porque hay obligaciones que se aplican también a empresas que utilizan herramientas de IA corrientes: la alfabetización del personal, la transparencia en determinados usos y la prohibición de ciertas prácticas.
Las tres están en vigor. Además, el 2 de diciembre de 2026 vence un periodo transitorio para determinados proveedores de sistemas que generan contenido sintético y empiezan a aplicarse nuevas prohibiciones.
Conviene aclararlo de entrada porque circulan dos ideas opuestas y las dos son incorrectas. La primera, que el reglamento «solo afecta al alto riesgo», deja fuera obligaciones que ya alcanzan a una pyme normal. La segunda, que «todo entró en vigor en agosto de 2026», ignora que buena parte del alto riesgo se aplazó hasta 2027 y 2028.
El Reglamento (UE) 2024/1689 entró en vigor el 1 de agosto de 2024 con un calendario escalonado. Ese calendario se modificó en julio de 2026 mediante el Reglamento (UE) 2026/1744, conocido como AI Omnibus.
Este es el estado actual:
| Fecha | Qué empieza a aplicarse |
|---|---|
| 2 de febrero de 2025 | Prácticas prohibidas del artículo 5, con las excepciones incorporadas posteriormente, y obligación de alfabetización en IA del artículo 4 |
| 2 de agosto de 2025 | Normas de gobernanza y obligaciones para los modelos de IA de uso general |
| 2 de agosto de 2026 | Aplicación general del reglamento, con excepciones; entre ellas, las obligaciones de transparencia del artículo 50 |
| 2 de diciembre de 2026 | Nuevas prácticas prohibidas y fin del periodo transitorio de marcado para determinados proveedores de sistemas de IA |
| 2 de diciembre de 2027 | Obligaciones específicas para sistemas de alto riesgo del anexo III: biometría, infraestructuras críticas, educación, empleo, migración y otros ámbitos |
| 2 de agosto de 2028 | Obligaciones para sistemas de alto riesgo integrados en productos regulados, como ascensores o juguetes |
El AI Omnibus se presentó como propuesta el 19 de noviembre de 2025, se aprobó mediante el Reglamento (UE) 2026/1744 y entró en vigor el 27 de julio de 2026.
Es importante no confundir las dos cosas: se han retrasado las obligaciones específicas de buena parte de los sistemas de alto riesgo, no las obligaciones generales que ya estaban aplicándose.
El artículo 4 obliga tanto a los proveedores como a los responsables del despliegue —es decir, a quienes utilizan sistemas de IA bajo su autoridad— a adoptar medidas para favorecer la alfabetización en inteligencia artificial de su personal.
Está en vigor desde el 2 de febrero de 2025 y su supervisión comenzó en agosto de 2026. Pero hay un cambio importante: el AI Omnibus ha simplificado la obligación.
La redacción anterior exigía adoptar medidas para garantizar, en la medida de lo posible, un nivel suficiente de alfabetización. La versión vigente del artículo 4 ya no exige garantizar un nivel concreto. Lo que obliga es a tomar medidas que apoyen el desarrollo de los conocimientos necesarios, teniendo en cuenta la experiencia del personal y el contexto en el que se utiliza cada sistema.
Eso no significa que la formación haya dejado de importar. Significa que la norma no impone un curso obligatorio, una certificación ni un número mínimo de horas.
Dos precisiones que marcan la diferencia entre cumplir y creer que se cumple.
La primera, el alcance de las personas. No se limita a la plantilla: la Comisión incluye a empleados, contratistas, proveedores de servicios y, según el contexto, también a clientes, siempre que operen el sistema en nombre de la empresa. Si has externalizado la atención al cliente y el equipo externo maneja tu asistente conversacional, esas personas pueden entrar en el perímetro.
La segunda, el contenido. No basta con entregar el manual de la herramienta y dar el asunto por resuelto. Las medidas deben tener en cuenta los conocimientos de quienes utilizan la IA, los riesgos concretos de los sistemas y el contexto de uso.
La Comisión pone un ejemplo muy concreto en sus preguntas y respuestas: una empresa cuyos empleados utilizan ChatGPT para escribir textos publicitarios o traducir documentos debe informarles de los riesgos específicos, como las alucinaciones.
Traducido a una pyme de veinte personas, eso se parece bastante a esto: saber qué herramientas usa cada equipo, explicar los riesgos de las suyas y adaptar las medidas a quienes trabajan con ellas. Administración no necesita exactamente los mismos conocimientos que el departamento técnico.
También conviene dejar constancia de las medidas adoptadas y de quién ha participado. El registro no es un requisito literal del artículo 4, pero es una forma razonable de acreditar lo que se ha hecho si una autoridad lo solicita.
En IAGRUP abordamos esta parte desde la formación en IA para empresas, precisamente porque muchas organizaciones necesitan pasar del uso informal de estas herramientas a unas pautas de trabajo que su equipo pueda aplicar.
El artículo 50 se aplica desde el 2 de agosto de 2026 y afecta de forma directa a empresas que desarrollan sistemas de IA para terceros, los utilizan para interactuar con personas o publican determinados contenidos generados artificialmente.
Las preguntas y respuestas de la Comisión sobre el artículo 50, recogidas también por AESIA, distinguen las obligaciones según el papel que desempeña cada empresa.
Como proveedor del sistema
Informar cuando el sistema esté diseñado para interactuar directamente con personas (artículo 50.1). Es el caso de los chatbots y asistentes conversacionales y de los asistentes telefónicos que mantienen una conversación con el usuario: el sistema debe estar diseñado para que la persona sepa que interactúa con IA, salvo que resulte evidente por el contexto.
Marcar los contenidos sintéticos de audio, imagen, vídeo o texto generados o manipulados por el sistema en un formato legible por máquina, de forma que puedan detectarse como artificiales (artículo 50.2), con las excepciones previstas en la norma.
Como responsable del despliegue
Informar a las personas expuestas a sistemas de reconocimiento de emociones o categorización biométrica (artículo 50.3), cuando corresponda.
Revelar con claridad los contenidos que constituyan deepfakes y determinados textos generados o manipulados mediante IA que se publiquen para informar al público sobre asuntos de interés público (artículo 50.4).
Sobre los deepfakes, las directrices manejan tres criterios acumulativos: semejanza elevada con una persona, objeto, lugar o acontecimiento real o plausible; apariencia de autenticidad; y capacidad de inducir a error sobre esa autenticidad. No es necesario que exista una grabación o fotografía original identificable.
Además, fijan el momento de la revelación: como muy tarde, cuando la persona se expone al contenido por primera vez. Y el aviso tiene que ser comprensible sin herramientas especiales. Un metadato oculto en el archivo no sustituye esa comunicación.
Si produces avatares con IA que reproducen a una persona real y pueden confundirse con una grabación auténtica, este es tu apartado.
No. Y conviene explicarlo porque afecta especialmente a empresas que publican contenidos en su web.
El artículo 50.4 se refiere a textos generados o manipulados mediante IA que se publican con la finalidad de informar al público sobre asuntos de interés público. No establece una obligación general de etiquetar cualquier artículo de blog, ficha de producto o texto comercial elaborado con ayuda de ChatGPT.
Incluso cuando el contenido entra en ese ámbito, existe una excepción: no es necesario revelar que el texto se ha generado con IA si ha pasado por una revisión humana o un proceso de control editorial y una persona física o jurídica asume la responsabilidad editorial de la publicación.
Eso exige algo más que corregir faltas de ortografía. La Comisión entiende la revisión humana como un examen del contenido realizado por alguien con conocimientos suficientes para valorar su exactitud. Comprobar los datos, contrastar las fuentes y tener capacidad real para modificar o rechazar el texto son ejemplos de ese control.
Las excepciones también afectan a otros usos. El marcado técnico no se exige para funciones de asistencia a la edición estándar que no alteren sustancialmente el contenido, ni para determinados resultados como secuencias breves de caracteres, código fuente o comunicaciones exclusivamente entre máquinas.
Las obras artísticas, satíricas o de ficción tienen un tratamiento específico cuando contienen deepfakes: deben revelar su naturaleza artificial, pero pueden hacerlo de una manera que no perjudique la experiencia de la obra.
Tampoco existe una obligación general de etiquetar retroactivamente el contenido generado antes del 2 de agosto de 2026.
Aquí está el matiz que más importa para no interpretar mal el calendario.
El periodo de gracia hasta el 2 de diciembre de 2026 se aplica exclusivamente a proveedores de sistemas de IA introducidos en el mercado antes del 2 de agosto de 2026, y únicamente respecto a las obligaciones de marcado y detección de contenido sintético del artículo 50.2.
Los sistemas introducidos a partir del 2 de agosto ya deben cumplir esas obligaciones. Y las empresas que utilizan sistemas para publicar deepfakes o determinados textos de interés público no disponen de una prórroga general hasta diciembre para etiquetarlos.
El plazo tampoco retrasa las exigencias relativas a la interacción directa con personas. Por tanto, una empresa que ya ofrece un chatbot al público no debería interpretar diciembre como una fecha hasta la que puede posponer cualquier aviso sobre el uso de IA.
Existe además un código de buenas prácticas sobre transparencia del contenido generado por IA, publicado en junio de 2026 y valorado favorablemente por la Comisión Europea en julio. La adhesión es voluntaria y facilita demostrar cómo se cumplen las obligaciones de marcado y etiquetado, aunque firmarlo no constituye una prueba concluyente de cumplimiento.
Hay una decisión práctica que conviene resolver cuanto antes: quién es el proveedor de tu chatbot. Si lo habéis construido sobre un modelo de terceros mediante un desarrollo a medida, hay que determinar qué responsabilidades corresponden a cada parte.
No basta con escribir en el contrato que el proveedor es quien ha desarrollado la herramienta. La condición legal depende de cómo se desarrolla, comercializa y utiliza el sistema. El contrato sí debería establecer quién implementa los avisos, quién aporta los mecanismos técnicos de marcado y cómo se verifica su funcionamiento.
Las prácticas del artículo 5 están prohibidas desde el 2 de febrero de 2025, salvo las nuevas prohibiciones incorporadas por el AI Omnibus, que empiezan a aplicarse en diciembre de 2026.
La Comisión publicó sus directrices sobre prácticas prohibidas el 4 de febrero de 2025. La lista incluye la manipulación perjudicial, la puntuación social y el rastreo indiscriminado de imágenes faciales para crear bases de datos de reconocimiento facial, entre otras prácticas. También restringe la identificación biométrica remota en tiempo real en espacios públicos para fines policiales, con excepciones muy concretas.
Una de las prohibiciones que más puede afectar a una empresa corriente es la inferencia de emociones en el lugar de trabajo y en centros educativos mediante sistemas de IA basados en datos biométricos, salvo por motivos médicos o de seguridad.
Eso deja fuera de juego determinados productos que se han comercializado en los últimos años: sistemas que analizan características biométricas de la voz de los agentes de un centro de llamadas para deducir su estado emocional, o herramientas que intentan medir el «entusiasmo» o la «implicación» de un candidato a partir de sus expresiones faciales durante una entrevista.
Hay que distinguirlo del análisis de sentimiento aplicado al contenido de un texto. No toda clasificación de comentarios como positivos o negativos es reconocimiento de emociones prohibido. La diferencia depende de los datos utilizados, de lo que infiere el sistema y del contexto en el que se aplica.
Cuando una herramienta entra en la prohibición del artículo 5, no basta con añadir supervisión humana o informar de su funcionamiento. Su uso está prohibido.
El AI Omnibus incorpora otras dos prohibiciones que comenzarán a aplicarse el 2 de diciembre de 2026.
La primera afecta a los sistemas de IA que generan o manipulan imágenes, vídeos, audios u otros materiales realistas de contenido íntimo o sexual explícito de personas identificables sin su consentimiento válido.
La segunda se refiere a sistemas que generan o manipulan material de abuso sexual infantil, con las condiciones y excepciones legales previstas en el reglamento.
Estas nuevas restricciones forman parte del artículo 5 consolidado. Por tanto, diciembre de 2026 no es únicamente una fecha relacionada con la transparencia: también amplía el catálogo de prácticas prohibidas.
Un caso muy relevante para una pyme española es el cribado automático de currículos y las herramientas de IA que intervienen de forma significativa en la selección de personal, la promoción profesional o la evaluación del rendimiento.
Estos usos pueden entrar en el ámbito de empleo del anexo III y clasificarse como sistemas de alto riesgo, con las excepciones previstas para determinados usos que no plantean un riesgo significativo. Las obligaciones específicas del reglamento para esos sistemas comenzarán a aplicarse el 2 de diciembre de 2027.
Eso no deja el terreno libre, por dos motivos.
El primero es que el RGPD sigue aplicándose al tratamiento de datos personales. Utilizar IA para evaluar candidaturas exige respetar las normas sobre protección de datos y, cuando corresponda, las restricciones a las decisiones individuales automatizadas.
El segundo es específicamente español y anterior al reglamento europeo: la Ley 12/2021, de 28 de septiembre, añadió una letra d) al artículo 64.4 del Estatuto de los Trabajadores que reconoce al comité de empresa el derecho a recibir información sobre los parámetros, reglas e instrucciones en los que se basan los algoritmos o sistemas de IA que afectan a decisiones sobre las condiciones de trabajo, el acceso o el mantenimiento del empleo.
Está en vigor desde el 30 de septiembre de 2021.
Dicho claro: si utilizas IA para cribar candidaturas y existe representación legal de los trabajadores, la obligación de informar sobre esos sistemas, cuando afectan a las decisiones previstas en la norma, no empieza en 2027. Existe desde hace cinco años.
Cuando llegue diciembre de 2027, a quienes utilicen sistemas de alto riesgo del anexo III les corresponderán además obligaciones específicas: utilizarlos conforme a las instrucciones del proveedor, vigilar su funcionamiento, encomendar la supervisión humana a personas competentes, asegurar la pertinencia de los datos de entrada que controlen e informar a trabajadores y personas afectadas en los supuestos previstos.
También se aplicará el derecho a obtener una explicación de determinadas decisiones basadas en sistemas de alto riesgo, cuando produzcan efectos jurídicos o afecten de forma igualmente significativa a una persona y se cumplan las condiciones del artículo 86.
Es trabajo de gobernanza, no simplemente de instalar software, y conviene no dejarlo para el último trimestre de 2027.
Los topes del reglamento, recogidos en el artículo 99, son de hasta 35 millones de euros o el 7 % del volumen de negocio anual mundial del ejercicio anterior para las prácticas prohibidas; hasta 15 millones o el 3 % para el incumplimiento de determinadas obligaciones, entre ellas las de transparencia del artículo 50; y hasta 7,5 millones o el 1 % por facilitar información incorrecta, incompleta o engañosa a las autoridades en los supuestos previstos.
No todas las obligaciones del reglamento aparecen en ese segundo tramo sancionador. Por ejemplo, el artículo 4 sobre alfabetización no figura entre las disposiciones enumeradas en el artículo 99.4, aunque eso no impide que su cumplimiento pueda ser supervisado ni excluye otras medidas previstas en la normativa aplicable.
Hay un matiz que cambia la lectura para una pyme: en cada tramo, a las pequeñas y medianas empresas y a las start-ups se les aplica la menor de las dos cantidades, mientras que para el resto rige, con carácter general, la mayor.
El AI Omnibus amplía además ese tratamiento favorable a determinadas pequeñas empresas de mediana capitalización, aunque únicamente en los tramos del 3 % y del 1 %.
No convierte el riesgo en anecdótico, pero evita la lectura alarmista de los «35 millones» aplicada a una empresa de quince personas.
En España, AESIA, la Agencia Española de Supervisión de la Inteligencia Artificial, tiene su sede en A Coruña y desempeña un papel central en la supervisión del reglamento. La vigilancia también corresponde a otras autoridades según el sector y el tipo de sistema.
La agencia ha participado en la publicación de dieciséis guías prácticas para facilitar el cumplimiento: dos introductorias, trece técnicas y un manual de diagnóstico con listas de comprobación. La propia documentación advierte de que no son vinculantes ni sustituyen a la norma.
El desarrollo legislativo español tampoco está cerrado. El Gobierno aprobó el 26 de mayo de 2026 el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial y lo remitió a las Cortes.
El proyecto identifica a AESIA como organismo central y contempla la distribución de funciones de supervisión entre diferentes autoridades, entre ellas el Banco de España, la Agencia Española de Protección de Datos y el Consejo General del Poder Judicial, según sus respectivos ámbitos de competencia.
A fecha de 3 de noviembre de 2026, el expediente parlamentario 121/000096 sigue en tramitación. Su contenido definitivo puede cambiar, de modo que conviene distinguir entre las obligaciones europeas que ya son aplicables y las disposiciones españolas pendientes de aprobación.
Un orden que funciona, de menos a más esfuerzo:
Inventario real de la IA que ya se usa. Incluido lo que el equipo utiliza por su cuenta sin que figure en ningún contrato. No puedes revisar obligaciones sobre herramientas cuya existencia desconoces.
Clasificar el papel en cada sistema: proveedor o responsable del despliegue. No es el mismo listado de obligaciones y cambia según el sistema, no simplemente según la empresa.
Resolver el artículo 4: adoptar medidas de alfabetización adaptadas a los equipos y a los riesgos reales, con constancia de lo que se ha hecho. No hace falta inventarse un programa de certificaciones para cumplir.
Revisar el artículo 50: comprobar los avisos de los chatbots y asistentes de voz, las obligaciones de marcado que correspondan al proveedor y el etiquetado de deepfakes o textos de interés público cuando resulte exigible. Si eres proveedor de un sistema anterior a agosto de 2026, comprueba si te afecta el plazo del 2 de diciembre.
Descartar lo prohibido, especialmente sistemas que infieran emociones mediante datos biométricos en el ámbito laboral, y revisar las nuevas prohibiciones que se aplican desde diciembre.
Llevar el reparto de responsabilidades a los contratos con desarrolladores y proveedores de herramientas, sin olvidar que las obligaciones legales dependen del papel real de cada parte y no únicamente de lo que diga el contrato.
No hace falta tener un sistema de alto riesgo para que este trabajo tenga sentido. Algunas de estas medidas responden a obligaciones ya exigibles y otras permiten detectar problemas antes de que acaben afectando al funcionamiento de la empresa.
El primer paso tampoco exige montar un departamento de cumplimiento normativo. Exige saber qué IA se utiliza, para qué se utiliza y quién responde de cada sistema.
Si necesitas ordenar ese inventario y convertir las obligaciones aplicables en un plan concreto, es exactamente el trabajo que hacemos en la consultoría de inteligencia artificial.
¿Qué te ha parecido este artículo?