El Reglamento (UE) 2024/1689 de inteligencia artificial (AI Act o RIA) afecta a cualquier empresa que desarrolle, venda o use sistemas de IA en la Unión Europea, incluido el uso de chatbots o herramientas generativas por la plantilla. En julio de 2026 lo modificó el Reglamento (UE) 2026/1744, el llamado Ómnibus de IA, que retrasó algunas fechas. Resumimos qué tienes que hacer y cuándo.
¿A qué empresas se aplica el AI Act?
- Proveedores: desarrollan un sistema de IA o lo comercializan con su marca.
- Responsables del despliegue: usan IA en su actividad profesional (atención al cliente, selección de personal, scoring, marketing…).
- Importadores y distribuidores.
- Empresas de fuera de la UE cuyos sistemas se comercializan en la UE o cuyos resultados se usan en la UE (art. 2).
Obligaciones por nivel de riesgo
Riesgo inaceptable: prácticas prohibidas
Manipulación subliminal, explotación de vulnerabilidades, puntuación social, reconocimiento de emociones en el trabajo y la educación (salvo excepciones) y otras del art. 5. Prohibidas desde el 2 de febrero de 2025.
Alto riesgo
Sistemas de los ámbitos del Anexo III (empleo, educación, crédito, servicios esenciales, etc.) y componentes de seguridad de productos del Anexo I. Exigen gestión de riesgos, calidad de datos, documentación, registros, supervisión humana y, para los responsables del despliegue, seguir las instrucciones de uso e informar a los trabajadores afectados.
Riesgo de transparencia
Avisar de que se interactúa con una IA, marcar los contenidos sintéticos y etiquetar los deepfakes (art. 50).
Riesgo mínimo
Sin obligaciones específicas más allá de la alfabetización en IA.
Calendario del AI Act tras el Ómnibus
- 2 de febrero de 2025: prácticas prohibidas y alfabetización en IA.
- 2 de agosto de 2025: modelos de IA de uso general y gobernanza.
- 2 de agosto de 2026: transparencia del art. 50 y comienzo de la supervisión y las sanciones.
- 2 de diciembre de 2026: prohibición de los sistemas destinados a generar deepfakes sexuales no consentidos o material de abuso sexual infantil.
- 2 de diciembre de 2027: sistemas de alto riesgo del Anexo III.
- 2 de agosto de 2028: sistemas de alto riesgo integrados en productos del Anexo I.
Alfabetización en IA tras el Ómnibus
El art. 4 sigue obligando a proveedores y responsables del despliegue a adoptar medidas para formar a quienes usan la IA en su nombre, pero ya no exige garantizar un nivel concreto de conocimientos. Una política interna de uso de IA y una formación documentada son la forma más sencilla de acreditarlo.
Multas del AI Act
- Prácticas prohibidas: hasta 35 millones de euros o el 7 % del volumen de negocios mundial.
- Otras obligaciones: hasta 15 millones o el 3 %.
- Información incorrecta a las autoridades: hasta 7,5 millones o el 1 %.
- Pymes y startups: se aplica la cifra menor de cada par.
En España supervisa la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), junto con otras autoridades sectoriales y la AEPD en lo relativo a los datos personales.
Checklist rápida para tu empresa
- Haz un inventario de los sistemas y herramientas de IA que se usan, incluidas las gratuitas.
- Determina tu papel (proveedor, responsable del despliegue…) en cada uno.
- Clasifica el riesgo y descarta prácticas prohibidas.
- Aplica la transparencia: avisos de chatbot y etiquetado de contenidos.
- Aprueba una política de uso de IA y forma a la plantilla.
- Revisa los contratos con los proveedores de IA y el cumplimiento del RGPD.
- Prepara el alto riesgo con tiempo si usas IA en recursos humanos o en decisiones sobre clientes.
¿Necesitas ayuda?
Te ayudamos con la adaptación al AI Act y con la protección de datos en proyectos de IA. Si usas IA en la gestión de personal, consulta también IA en el trabajo. Atendemos online a empresas de toda España y de fuera de la UE.
Preguntas frecuentes
¿Tiene que cumplir el AI Act una pyme que solo usa ChatGPT?
Sí, con obligaciones limitadas: alfabetización en IA, uso conforme a las instrucciones, transparencia cuando proceda y cumplimiento del RGPD.
¿El Ómnibus ha eliminado obligaciones del AI Act?
No las ha eliminado: ha aplazado las de alto riesgo, simplificado algunas (como la alfabetización) y añadido una nueva prohibición sobre deepfakes sexuales no consentidos.
¿Quién sanciona el AI Act en España?
La AESIA y las autoridades de vigilancia del mercado que correspondan según el sector, con competencias de la AEPD en materia de datos personales.
¿Un chatbot de atención al cliente es de alto riesgo?
Normalmente no, pero tiene obligaciones de transparencia: informar a la persona de que habla con una IA.
Este artículo es informativo y no sustituye el asesoramiento sobre tu caso. Fuentes: Reglamento (UE) 2024/1689, Reglamento (UE) 2026/1744 y AI Act Service Desk de la Comisión Europea.