Actualizado: noviembre de 2026 · Lectura: 13 min
La Unión Europea fue la primera en aprobar una ley integral sobre inteligencia artificial: el Reglamento (UE) 2024/1689, conocido en inglés como AI Act. Afecta a las empresas que desarrollan o usan IA en Europa, a las que la ofrecen desde fuera y, en última instancia, a cualquier persona que interactúe con estos sistemas. Te explicamos lo esencial de forma clara y con las fechas actualizadas.
- El Reglamento (UE) 2024/1689 es la primera gran ley integral de IA del mundo. Entró en vigor el 1 de agosto de 2024.
- Clasifica la IA por niveles de riesgo: inaceptable (prohibida), alto, limitado y mínimo.
- Tras la reforma publicada en julio de 2026, los requisitos para la IA de alto riesgo se retrasan a diciembre de 2027 y agosto de 2028.
- Afecta también a empresas de fuera de la UE que ofrezcan IA en el mercado europeo.
Qué es el Reglamento europeo de IA
Es una norma que establece reglas comunes para que la IA que se comercializa y se usa en la UE sea segura, transparente y respete los derechos fundamentales. Al ser un reglamento, se aplica directamente en los 27 países miembros, sin necesidad de leyes nacionales que lo trasladen.
Su objetivo es doble: proteger a las personas frente a los riesgos de la IA y dar seguridad jurídica a las empresas para que puedan innovar con reglas claras.
A quién afecta (también fuera de Europa)
- Proveedores: quienes desarrollan sistemas o modelos de IA y los comercializan en la UE, aunque estén establecidos fuera (por ejemplo, en Estados Unidos o Latinoamérica).
- Responsables del despliegue: empresas y organismos que usan sistemas de IA en su actividad profesional.
- Importadores y distribuidores de sistemas de IA.
- Proveedores y usuarios de fuera de la UE cuando los resultados del sistema se utilizan dentro de la UE.
No se aplica, por ejemplo, al uso puramente personal y no profesional, ni a la IA desarrollada exclusivamente con fines militares o de investigación científica.
La clave: cuanto más riesgo, más normas
| Nivel de riesgo | Qué implica | Ejemplos |
|---|---|---|
| Inaceptable | Prohibido | Puntuación social de ciudadanos, manipulación que cause daño |
| Alto | Requisitos estrictos: gestión de riesgos, calidad de datos, documentación, supervisión humana | IA para seleccionar personal, conceder créditos, en educación o en dispositivos médicos |
| Limitado | Obligaciones de transparencia | Chatbots, contenido generado por IA, deepfakes |
| Mínimo | Sin obligaciones específicas | Filtros de spam, IA en videojuegos |
Prácticas de IA prohibidas
Desde el 2 de febrero de 2025 están prohibidos en la UE, entre otros:
- Los sistemas de puntuación social de personas.
- La IA que manipula el comportamiento con técnicas subliminales o se aprovecha de vulnerabilidades (edad, discapacidad, situación económica) causando daño.
- El reconocimiento de emociones en el trabajo y en centros educativos, salvo por motivos médicos o de seguridad.
- La creación de bases de datos de reconocimiento facial mediante la recopilación masiva e indiscriminada de imágenes de internet o de cámaras.
- La predicción de delitos basada únicamente en el perfil o los rasgos de personalidad.
- La categorización biométrica para deducir datos sensibles como la religión o la orientación sexual.
- La identificación biométrica remota en tiempo real en espacios públicos por parte de la policía, salvo excepciones muy concretas.
La reforma de 2026 añade una nueva prohibición, aplicable desde el 2 de diciembre de 2026: el uso de IA para generar material de abuso sexual infantil e imágenes íntimas no consentidas.
Obligaciones para los modelos de IA de uso general
Los modelos de uso general, como los que hay detrás de ChatGPT, Claude o Gemini, tienen obligaciones propias desde el 2 de agosto de 2025: elaborar documentación técnica, respetar los derechos de autor de la UE y publicar un resumen de los datos usados para su entrenamiento. Los modelos más potentes, considerados de riesgo sistémico, deben además evaluar y mitigar esos riesgos y notificar incidentes graves.
Obligaciones de transparencia
- Los chatbots deben informar de que no estás hablando con una persona.
- Los deepfakes y otros contenidos generados o manipulados con IA deben identificarse como tales.
- El contenido sintético generado por modelos de uso general debe llevar un marcado que permita detectarlo (aplicable desde el 2 de diciembre de 2026 tras la reforma).
Calendario actualizado (tras el Ómnibus digital de 2026)
La ley se aplica por fases. La reforma conocida como «Ómnibus digital» se publicó en el Diario Oficial de la UE el 24 de julio de 2026 y retrasó varias obligaciones:
Entrada en vigor del Reglamento
Prácticas prohibidas y obligación de alfabetización en IA
Normas para modelos de IA de uso general, gobernanza y sanciones
Obligaciones generales de transparencia
Marcado del contenido sintético de modelos de uso general y nueva prohibición sobre material de abuso sexual infantil e imágenes íntimas no consentidas
Requisitos para la IA de alto riesgo del anexo III (empleo, educación, crédito…). Antes previsto para agosto de 2026
Requisitos para la IA de alto riesgo integrada en productos regulados (anexo I). Antes previsto para agosto de 2027
Qué deben hacer las empresas
- Inventariar los sistemas de IA que usan o desarrollan.
- Clasificarlos según su nivel de riesgo.
- Formar a su personal: la obligación de alfabetización en IA se aplica desde febrero de 2025.
- Revisar la transparencia de sus chatbots y contenidos generados.
- Preparar la documentación si usan o desarrollan IA de alto riesgo.
Multas
| Infracción | Multa máxima |
|---|---|
| Usar prácticas prohibidas | 35 millones de euros o el 7 % de la facturación mundial anual (lo que sea mayor) |
| Incumplir otras obligaciones | 15 millones de euros o el 3 % de la facturación mundial anual |
| Dar información incorrecta a las autoridades | 7,5 millones de euros o el 1 % de la facturación mundial anual |
Para pymes y empresas emergentes se aplica la cantidad menor de cada par.
Qué cambia para ti como usuario
- Derecho a saber que hablas con una IA.
- Contenidos falsos identificados: los deepfakes deben estar señalados.
- Más protección cuando una IA interviene en decisiones importantes sobre ti, como una selección de personal o un crédito.
Quién vigila el cumplimiento
A nivel europeo, la Oficina Europea de IA de la Comisión supervisa los modelos de uso general. Cada país designa sus autoridades nacionales; en España es la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña.
Preguntas frecuentes
¿La ley prohíbe ChatGPT o herramientas similares?
No. Los modelos de uso general están permitidos, pero sus proveedores deben cumplir obligaciones de transparencia, documentación y derechos de autor.
¿Afecta a empresas de Latinoamérica o Estados Unidos?
Sí, si ofrecen sistemas de IA en el mercado europeo o si los resultados de sus sistemas se usan en la UE.
¿Desde cuándo se aplica?
Entró en vigor el 1 de agosto de 2024 y se aplica por fases hasta 2028. Consulta el calendario más arriba.
¿Qué pasa con mis datos personales?
La protección de datos sigue regulada por el RGPD. Te damos consejos prácticos en cómo proteger tu privacidad al usar la IA.
Fuentes: Reglamento (UE) 2024/1689 de Inteligencia Artificial (Diario Oficial de la UE); Future of Privacy Forum, «The AI Act implementation timeline: what changes under the AI Omnibus?» (agosto de 2026). Este artículo es informativo y no constituye asesoramiento jurídico.
