Reglamento de IA (AI Act): qué cambia y cómo prepararse

El Reglamento de Inteligencia Artificial de la Unión Europea, conocido como Reglamento de IA o AI Act, crea un marco común para desarrollar, comercializar y utilizar sistemas de IA en la UE. Su enfoque es proporcional al riesgo: cuanto mayor sea el posible daño para las personas, más exigentes son las obligaciones.

Para un equipo de tecnología, cumplir no consiste únicamente en revisar modelos. También exige saber qué herramientas de IA utiliza la organización, qué datos procesan, quién las suministra, para qué decisiones se emplean y qué controles humanos existen.

Qué es el Reglamento de IA y a quién afecta

El texto oficial es el Reglamento (UE) 2024/1689. Puede afectar a proveedores que desarrollan o comercializan sistemas de IA, responsables del despliegue que los utilizan profesionalmente, importadores, distribuidores y fabricantes que integran IA en sus productos.

Su alcance puede llegar a empresas establecidas fuera de la UE cuando introducen sistemas en el mercado europeo o cuando la información de salida se utiliza en la Unión. La función concreta de cada organización importa: comprar una herramienta, modificarla sustancialmente o comercializarla bajo marca propia puede generar responsabilidades distintas.

Esta guía es formativa y no sustituye un análisis jurídico. El inventario técnico, el contrato con el proveedor y el caso de uso deben revisarse conjuntamente con las funciones de seguridad, privacidad, riesgos y asesoría legal.

El modelo de riesgo del AI Act

Prácticas de IA prohibidas

El Reglamento prohíbe determinados usos considerados incompatibles con los derechos fundamentales. El artículo 5 incluye, bajo condiciones concretas, técnicas manipulativas o engañosas que causen daños significativos, explotación de vulnerabilidades, ciertas formas de puntuación social y algunos usos de identificación biométrica o categorización sensible.

No conviene decidir por intuición si un caso está prohibido: hay excepciones y definiciones precisas. Cualquier uso que pueda aproximarse a estas categorías necesita revisión especializada antes de pilotarse.

Sistemas de alto riesgo

Un sistema puede ser de alto riesgo por formar parte de un producto regulado o por utilizarse en ámbitos enumerados en el anexo III, como empleo, educación, acceso a determinados servicios esenciales, infraestructuras críticas, aplicación de la ley, migración o justicia.

Estos sistemas están sujetos a requisitos reforzados: gestión de riesgos, calidad y gobernanza de datos, documentación técnica, registros, transparencia, supervisión humana, precisión, robustez y ciberseguridad. Proveedor y responsable del despliegue tienen obligaciones diferentes.

Obligaciones de transparencia y riesgo limitado

Algunos sistemas deben informar de que el usuario interactúa con IA. También existen reglas para contenido sintético o manipulado y para determinados sistemas de reconocimiento de emociones o categorización biométrica. El objetivo es evitar que una persona confunda una interacción automatizada o un contenido artificial con uno humano o auténtico.

Modelos de IA de propósito general

Los modelos de propósito general pueden utilizarse en numerosos sistemas posteriores. El Reglamento establece obligaciones sobre documentación, información para integradores, política de derechos de autor y resumen del contenido utilizado para el entrenamiento. Los modelos con riesgo sistémico afrontan controles adicionales.

Calendario de aplicación del Reglamento de IA

El AI Act entró en vigor el 1 de agosto de 2024. Su aplicación es escalonada:

• 2 de febrero de 2025: comenzaron a aplicarse las prohibiciones del artículo 5 y las obligaciones de alfabetización en IA del artículo 4.
• 2 de agosto de 2025: empezaron a aplicarse, entre otras, reglas de gobernanza y obligaciones para modelos de propósito general.
• 2 de agosto de 2026: el Reglamento pasó a ser aplicable con carácter general, con excepciones y disposiciones transitorias.
• 2027 y fechas posteriores: determinados sistemas de alto riesgo y obligaciones vinculadas a productos regulados siguen calendarios específicos.

La Comisión Europea ha publicado además propuestas de simplificación que pueden modificar ciertos plazos. Antes de fijar un proyecto de cumplimiento, consulta siempre el calendario oficial actualizado de la Comisión Europea y el texto consolidado.

Alfabetización en IA: una obligación que ya está en marcha

El artículo 4 exige que proveedores y responsables del despliegue adopten medidas para asegurar un nivel suficiente de conocimientos sobre IA entre su personal y otras personas que operen los sistemas por su cuenta. Deben considerarse los conocimientos técnicos, la experiencia, la formación, el contexto de uso y las personas afectadas.

Una formación útil no se limita a explicar qué es la IA generativa. Debe enseñar a reconocer límites, validar resultados, proteger información, detectar sesgos, aplicar supervisión humana y escalar incidentes. Puedes empezar con el curso gratuito Fundamentos del Reglamento de IA para TI.

Qué debe hacer un equipo de TI: ocho pasos prácticos

1. Crear un inventario de IA. Incluye servicios adquiridos, funciones incorporadas en software, pruebas internas, automatizaciones y herramientas gratuitas usadas por empleados.
2. Definir propietario y finalidad. Registra quién responde del caso de uso, qué problema resuelve, quién recibe la salida y qué decisiones influye.
3. Identificar el rol regulatorio. Documenta proveedor, responsable del despliegue, importador o distribuidor y revisa si una modificación cambia ese papel.
4. Clasificar el riesgo. Comprueba prácticas prohibidas, alto riesgo, transparencia y modelos de propósito general. Conserva el razonamiento y las fuentes.
5. Evaluar datos y proveedores. Revisa origen de datos, localización, retención, entrenamiento, subencargados, propiedad intelectual y condiciones de salida.
6. Diseñar supervisión humana. Determina quién valida, puede detener el sistema, corrige errores y atiende reclamaciones.
7. Aplicar seguridad durante todo el ciclo de vida. Controla accesos, secretos, dependencias, registros, integridad, abuso de interfaces y respuesta ante incidentes.
8. Medir y actualizar. Vigila precisión, deriva, impactos, cambios del proveedor, nuevos usos y modificaciones regulatorias.

Relación con RGPD y ciberseguridad

El Reglamento de IA no sustituye al RGPD, a la normativa de ciberseguridad ni a las reglas sectoriales. Si el sistema trata datos personales, siguen siendo relevantes la base jurídica, la minimización, los derechos de las personas, los plazos de conservación, las transferencias y, cuando proceda, una evaluación de impacto.

Desde seguridad, una aplicación de IA amplía la superficie de ataque: instrucciones maliciosas, fuga de información, integraciones con permisos excesivos, dependencias vulnerables, manipulación de datos y respuestas incorrectas que activan acciones. El control debe abarcar datos, modelo, aplicación, infraestructura, identidad y procesos humanos.

Documentación mínima que conviene conservar

• Inventario de sistemas, versiones, proveedores e integraciones.
• Finalidad autorizada, usos no permitidos y población afectada.
• Clasificación de riesgo y justificación.
• Fuentes de datos, controles de calidad, privacidad y seguridad.
• Pruebas, métricas, limitaciones conocidas y criterios de aceptación.
• Procedimiento de supervisión, incidentes, cambios y retirada.
• Evidencias de formación y alfabetización en IA.

Preguntas frecuentes sobre el Reglamento de IA

¿Usar ChatGPT o un copiloto convierte siempre a la empresa en proveedor?

No necesariamente. Depende de cómo se integre, modifique y comercialice la solución. Una organización que simplemente utiliza un servicio suele actuar como responsable del despliegue, pero el análisis cambia si lo reetiqueta, modifica sustancialmente o lo incorpora a un producto propio.

¿Todo sistema de IA es de alto riesgo?

No. La clasificación depende de su función, contexto y encaje en los artículos y anexos del Reglamento. Un uso aparentemente sencillo puede ser sensible si participa en una decisión sobre empleo, educación o un servicio esencial.

¿Basta con incluir una cláusula contractual?

No. El contrato es una pieza, pero también hacen falta inventario, clasificación, controles técnicos, supervisión, documentación, formación y seguimiento.

Fuentes oficiales revisadas

• EUR-Lex: texto consolidado del Reglamento (UE) 2024/1689.
• Comisión Europea: marco regulador y calendario del AI Act.

Contenido revisado el 23 de agosto de 2026. Comprueba las fuentes oficiales antes de tomar decisiones de cumplimiento.