El Reglamento (UE) 2024/1689, conocido como AI Act o Reglamento de IA, es la norma europea que regula los sistemas de inteligencia artificial según el riesgo que suponen. Se aplica directamente en toda la UE, sin necesidad de ley española, y ya obliga a casi cualquier empresa que use IA en su trabajo, no solo a las que la desarrollan. En julio de 2026 se modificó con el llamado Ómnibus Digital sobre IA, que aplazó la parte más exigente. Aquí tienes lo que está en vigor a octubre de 2026 y lo que viene después.
Qué es el Reglamento de IA y a quién se aplica
El Reglamento de IA fija normas comunes para comercializar y usar sistemas de IA en la UE, con obligaciones que crecen según el riesgo del uso. Entró en vigor el 1 de agosto de 2024 y se aplica por fases (art. 113).
Lo primero es saber qué papel tiene tu empresa, porque las obligaciones dependen de él. El art. 3 distingue sobre todo dos figuras:
- Proveedor: quien desarrolla un sistema o modelo de IA, o lo encarga, y lo introduce en el mercado o lo pone en servicio con su propio nombre o marca. OpenAI y Anthropic son proveedores de sus modelos y de ChatGPT o Claude.
- Responsable del despliegue: quien utiliza un sistema de IA bajo su propia autoridad, salvo que sea un uso personal no profesional. Es el caso de una empresa cuyos empleados usan ChatGPT, Claude o Copilot en su trabajo.
La mayoría de las pymes son responsables del despliegue. Pero ojo: si encargas un agente de IA a medida y lo pones en servicio con tu marca, por ejemplo en tu web, la definición de proveedor puede alcanzarte para ese sistema concreto. Y el art. 25 convierte en proveedor a quien pone su marca en un sistema de alto riesgo, lo modifica sustancialmente o cambia su finalidad hasta convertirlo en alto riesgo.
Los niveles de riesgo, con ejemplos
El Reglamento clasifica los usos de la IA en cuatro niveles; cuanto mayor es el riesgo, más obligaciones. La Comisión Europea los resume así:
| Nivel | Qué incluye | Ejemplos |
|---|---|---|
| Riesgo inaceptable (prohibido) | Prácticas del art. 5 | Puntuación social, reconocimiento de emociones en el trabajo o en centros educativos, extracción masiva no selectiva de imágenes faciales, técnicas manipuladoras |
| Alto riesgo | Anexo I (IA en productos regulados) y Anexo III (usos sensibles) | Filtrado de currículos y decisiones sobre trabajadores, evaluación de solvencia, puntuación de exámenes, componentes de seguridad |
| Riesgo de transparencia | Art. 50 | Chatbots, contenido sintético, ultrasuplantaciones (deepfakes) |
| Riesgo mínimo | Sin obligaciones específicas | Filtros de spam, videojuegos con IA |
Un asistente que redacta correos, resume documentos o responde preguntas sobre tus manuales suele quedar en riesgo mínimo o de transparencia. Usar IA para seleccionar candidatos o decidir sobre empleados, en cambio, es alto riesgo según el Anexo III.
Calendario: qué obliga ya y qué viene después
El calendario original del art. 113 cambió con el Reglamento (UE) 2026/1744, el Ómnibus Digital sobre IA, publicado en el DOUE el 24 de julio de 2026 y en vigor desde el 27 de julio de 2026. Las fechas vigentes son estas:
| Fecha | Qué se aplica | Fuente |
|---|---|---|
| 1 ago 2024 | Entrada en vigor del Reglamento | Art. 113 RIA |
| 2 feb 2025 | Disposiciones generales, alfabetización en IA (art. 4) y prácticas prohibidas (art. 5) | Art. 113.a RIA |
| 2 ago 2025 | Modelos de IA de uso general (GPAI), gobernanza y régimen de sanciones | Art. 113.b RIA |
| 2 ago 2026 | Aplicación general, incluidas las obligaciones de transparencia (art. 50) | Art. 113 RIA |
| 2 dic 2026 | Nuevas prohibiciones (imágenes íntimas no consentidas y material de abuso sexual infantil) y fin de la transición del marcado de contenido sintético (art. 50.2) para sistemas comercializados antes del 2 ago 2026 | Arts. 113.a y 111.4, redacción del Reglamento 2026/1744 |
| 2 dic 2027 | Alto riesgo del Anexo III (empleo, educación, crédito, biometría…) | Art. 113.c.i, redacción del Reglamento 2026/1744 |
| 2 ago 2028 | Alto riesgo del Anexo I (IA en productos regulados) | Art. 113.c.ii, redacción del Reglamento 2026/1744 |
| 2 ago 2030 | Adaptación de sistemas de alto riesgo usados por autoridades públicas ya en servicio | Art. 111.2, redacción del Reglamento 2026/1744 |
Mucho contenido publicado antes de julio de 2026 sigue diciendo que el alto riesgo se aplica desde agosto de 2026. Ya no es así: esa parte se ha retrasado, pero la alfabetización, las prohibiciones y la transparencia siguen en pie.
Transparencia: chatbots y contenido generado con IA
Las obligaciones de transparencia del art. 50 se aplican desde el 2 de agosto de 2026 y son las que más afectan a una pyme con un agente de IA o que publica contenido generado. El Ómnibus no cambió el fondo de estas obligaciones; solo retocó el apartado 7 sobre códigos de buenas prácticas y añadió una transición para el apartado 2.
- Chatbots y agentes (art. 50.1): los sistemas que interactúan con personas deben diseñarse para que estas sepan que hablan con una IA, salvo que sea evidente para una persona razonablemente informada. Recae en el proveedor del sistema.
- Contenido sintético (art. 50.2): los proveedores de sistemas que generan audio, imagen, vídeo o texto deben marcar los resultados en un formato legible por máquina. Es obligación de OpenAI, Anthropic o quien desarrolle el sistema generativo.
- Ultrasuplantaciones (art. 50.4): si tu empresa usa IA para generar o manipular imágenes, audio o vídeo que parecen reales y podrían pasar por auténticos, debe hacer público que son artificiales. En obras creativas o satíricas basta con indicarlo sin estropear la obra.
- Textos de interés público (art. 50.4): si publicas texto generado con IA para informar al público sobre asuntos de interés público, debes indicarlo, salvo que haya pasado revisión humana o control editorial y alguien asuma la responsabilidad editorial.
La información debe darse de forma clara y distinguible, como muy tarde en la primera interacción o exposición (art. 50.5).
Qué tiene que hacer una pyme que usa ChatGPT, Claude o un agente en su web
Si tu empresa solo usa asistentes comerciales para el trabajo diario, tus obligaciones como responsable del despliegue son, sobre todo, tres: no usar la IA para prácticas prohibidas, apoyar la alfabetización en IA de tu equipo y cumplir la transparencia cuando publiques ultrasuplantaciones o textos de interés público. La Comisión lo dice expresamente en sus preguntas y respuestas sobre alfabetización: una empresa cuyos empleados usan ChatGPT para redactar anuncios o traducir textos debe cumplir el art. 4 e informarles de riesgos como las alucinaciones. Lo desarrollamos en la guía sobre formación en IA obligatoria para empresas.
Si además tienes un agente de IA en tu web o en WhatsApp:
- Avisa de que es una IA al inicio de la conversación, de forma visible.
- Revisa tu papel. Si el agente se ha desarrollado para ti y lo explotas con tu marca, trátalo como si fueras su proveedor a efectos del art. 50.1.
- Limita lo que decide. Si el agente empezara a intervenir en decisiones de empleo, crédito o acceso a servicios esenciales, podría entrar en alto riesgo; analízalo antes de que llegue el 2 de diciembre de 2027.
- Cuida los datos personales, porque el RGPD se aplica a todo lo que el agente recoja (lo vemos más abajo).
Si te planteas un agente propio, en qué es un agente de IA explicamos cómo funciona y qué controles conviene poner.
Relación con el RGPD
El Reglamento de IA no sustituye al RGPD ni lo modifica: su art. 2.7 deja claro que la normativa de protección de datos sigue aplicándose a los datos personales tratados con sistemas de IA. En la práctica, si tu chatbot o tu herramienta de IA trata datos de clientes o empleados necesitas:
- Una base jurídica para el tratamiento e informar a los interesados.
- Un contrato de encargado del tratamiento con el proveedor de IA y control de las transferencias internacionales.
- Una evaluación de impacto en protección de datos cuando el tratamiento sea de alto riesgo. El Reglamento de IA permite reutilizarla: el art. 26.9 remite a ella y, tras el Ómnibus, el art. 27.4 permite remitirse a sus secciones en la evaluación de impacto en derechos fundamentales.
Alojar la solución en la UE y elegir bien qué datos se envían al modelo simplifica mucho este punto. Es el enfoque de la IA privada para empresas.
Sanciones y autoridad en España
El art. 99 del Reglamento fija los importes máximos de las multas, aunque cada Estado debe establecer su régimen sancionador:
- Prácticas prohibidas: hasta 35 millones de euros o el 7 % del volumen de negocios mundial del ejercicio anterior, si es mayor.
- Otras obligaciones (proveedores, responsables del despliegue de alto riesgo, transparencia del art. 50…): hasta 15 millones o el 3 %.
- Información inexacta o engañosa a las autoridades: hasta 7,5 millones o el 1 %.
- Pymes: se aplica la cifra menor de las dos (art. 99.6). El Ómnibus extiende un trato parecido a las pequeñas empresas de mediana capitalización.
El art. 4 de alfabetización no está en esa lista. Según la Comisión Europea, las autoridades nacionales de vigilancia del mercado supervisan su cumplimiento desde agosto de 2026 y pueden sancionarlo con arreglo a la ley nacional, de forma proporcionada.
En España, la AESIA (Agencia Española de Supervisión de la Inteligencia Artificial, con estatuto aprobado por el Real Decreto 729/2023) es el organismo creado para supervisar la IA. El Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA iba a designar a las autoridades de vigilancia y a concretar infracciones y multas, pero el Congreso lo da por caducado desde el 6 de octubre de 2026, tras la disolución de las Cortes por el Real Decreto 806/2026 y la convocatoria de elecciones para el 29 de noviembre. Para que salga adelante tendrá que volver a presentarse y tramitarse en la nueva legislatura. Mientras tanto, el Reglamento europeo sigue siendo obligatorio y el RGPD, que supervisa la AEPD, se aplica igual.
Checklist práctico para tu empresa
Estos son los pasos que recomendamos a una pyme para ordenar su uso de la IA ahora:
- Inventario: lista qué herramientas de IA se usan, quién las usa, para qué y con qué datos.
- Papel: marca en cada caso si eres responsable del despliegue o proveedor (agentes propios con tu marca).
- Clasificación: descarta usos prohibidos e identifica cualquier uso que pueda ser de alto riesgo (selección de personal, evaluación de trabajadores, solvencia).
- Alfabetización: forma a cada perfil según lo que hace con la IA y guarda registro.
- Política de uso: herramientas autorizadas, datos que no se pueden introducir, revisión humana obligatoria.
- Transparencia: aviso de IA en chatbots y agentes; etiqueta las ultrasuplantaciones y los textos de interés público generados.
- RGPD: contratos de encargado, información a interesados y evaluaciones de impacto cuando toque.
- Proveedores: pide documentación de cumplimiento a quien te suministra la IA.
- Revisión: repasa el inventario cada pocos meses y antes del 2 de diciembre de 2027 si tienes algún uso cercano al alto riesgo.
Cómo te ayudamos en Hive Mind Solutions
En Hive Mind Solutions te ayudamos a aplicar el Reglamento de IA de forma práctica: inventario de usos, clasificación del riesgo, política interna, transparencia en tus agentes y encaje con el RGPD. No sustituimos a tu asesoría jurídica, pero sí traducimos la norma a medidas técnicas y organizativas concretas, y diseñamos los agentes y automatizaciones con esos controles desde el principio, alojados en la UE.
Conoce nuestro servicio de seguridad y cumplimiento en IA (AI Act y RGPD), la formación en IA para equipos o cuéntanos cómo usa la IA tu empresa.
Este artículo es informativo y no constituye asesoramiento jurídico. Recoge la normativa publicada a 12 de octubre de 2026.
Fuentes
- Reglamento (UE) 2024/1689 de Inteligencia Artificial (DOUE, 12-07-2024, copia en BOE)
- Reglamento (UE) 2026/1744, Ómnibus digital sobre IA (DOUE, 24-07-2026, copia en BOE)
- Comisión Europea: AI Act, marco regulador y calendario
- Comisión Europea: preguntas y respuestas sobre alfabetización en IA
- Congreso de los Diputados: Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA (121/000096)
- Real Decreto 806/2026, de disolución del Congreso y del Senado (BOE, 06-10-2026)
- Real Decreto 729/2023, Estatuto de la AESIA (BOE)
- Agencia Española de Supervisión de la Inteligencia Artificial (AESIA)
- CMS: claves del Proyecto de Ley Orgánica de inteligencia artificial (16-06-2026)