Reglament de la UE 2024/1689 que regula l'ús de la intel·ligència artificial (més conegut com a IA ACT)

En aquest article:

• 1. Les 15 disposicions principals de la normativa
• 2. Les 4 novetats que hem de tenir en compte totes les empreses
• 3. Les novetats que afecten a sectors concrets
• 4. Les tres idees errònies més esteses sobre la nova normativa

1. Les 15 disposicions principals de la normativa

Ja en vigor

• El Reglament ja és llei d'aplicació directa al nostre país —com a Reglament europeu, no necessita cap transposició estatal. Va entrar en vigor l'agost de 2024, però les obligacions concretes s'han anat activant progressivament fins al 2028: no tot és exigible alhora.
• Des de febrer de 2025: pràctiques prohibides. Queden vetades pràctiques com la manipulació subliminal de persones o el «scoring social» —és a dir, sistemes que puntuen o classifiquen persones segons el seu comportament o dades personals per decidir-ne l'accés a serveis (per exemple, denegar un crèdit, una assegurança o una feina basant-se en una puntuació social generada per IA). A més, ja és obligatori que el personal que treballi amb IA tingui una formació mínima.
• Des d'agost de 2025: obligacions per als creadors de models d'IA generativa (com els que hi ha darrere d'eines com ChatGPT o Claude) — transparència, documentació tècnica i respecte dels drets d'autor. Això afecta els desenvolupadors, no les empreses que simplement fan servir aquestes eines.
• Des del 2 d'agost de 2026: aplicació general de la norma. És la data clau per a la majoria d'empreses, amb les obligacions de transparència com a gran novetat pràctica.
• Obligació de transparència (article 50): si una empresa fa servir un xatbot, un assistent de veu o genera contingut (text, imatges, vídeo) amb IA, la persona ha de saber que interactua amb una màquina o que allò que veu ha estat generat artificialment. Per exemple: un avís al xat («Ets atès per un assistent virtual»), un missatge de veu previ en una trucada automatitzada, o una etiqueta visible en una imatge o vídeo generat per IA.
• El règim sancionador ja està totalment actiu: fins a 35 milions d'euros o el 7% de la facturació mundial per infraccions greus, i 15 milions o el 3% per altres incompliments.
• A Espanya ja tenim autoritat de control: l'AESIA (Agència Espanyola de Supervisió de la Intel·ligència Artificial) té, des d'agost de 2026, plenes competències d'inspecció i sanció.
• Prohibició total dels anomenats «nudifiers»: queda prohibit crear o difondre, amb aplicacions d'IA, imatges o vídeos de caràcter íntim o sexual d'una persona real sense el seu consentiment —per exemple, una app que «despulla» digitalment una fotografia real, o que hi insereix el rostre d'algú en contingut sexual (deepfakes íntims)— així com la generació de material d'abús sexual infantil. Serà d'aplicació a partir del 2 de desembre de 2026 (encara no vigent).
• El sistema es basa en nivells de risc: inacceptable (prohibit), alt (obligacions fortes), limitat (transparència) i mínim. La gran majoria dels usos habituals d'una empresa cauen en risc mínim —per exemple, fer servir un assistent d'IA per redactar correus o informes, resumir documents, traduir textos, organitzar dades en un CRM, o generar esborranys de contingut per a xarxes socials— i no comporten obligacions addicionals més enllà de l'alfabetització i la transparència ja esmentades.

Encara pendent d'aplicar-se

• La UE va aprovar un «Reglament Òmnibus» el juny–juliol de 2026 que no deroga l'AI Act, però ajorna les obligacions més exigents per als sistemes d'alt risc.
• Els sistemes d'alt risc «d'ús» (selecció de personal, avaluació de solvència, videovigilància biomètrica...) passen d'exigir-se el 2026 al 2 de desembre de 2027.
• Els sistemes d'alt risc integrats en productes físics (ascensors, joguines, maquinària) s'ajornen fins a l'agost de 2028.
• Els models d'IA generativa comercialitzats abans d'agost de 2025 tenen de marge fins a l'agost de 2027 per adaptar-se plenament.
• L'ajornament NO afecta les prohibicions ni la transparència, que ja són plenament exigibles des d'ara.
• La Comissió Europea encara ha de publicar directrius interpretatives sobre diversos articles clau, amb termini fins a l'agost de 2027 — cosa que genera, de moment, un cert marge d'incertesa pràctica.

2. Les 4 novetats que hem de tenir en compte totes les empreses

Són les que afecten qualsevol empresa que faci servir IA, independentment del sector:

1. L'obligació de transparència (article 50, vigent des del 2 d'agost de 2026). Aplica sempre que una persona interactua amb un sistema d'IA o es troba amb contingut generat per IA:

• Xatbots i assistents virtuals: qualsevol eina de conversa automatitzada (a la web, WhatsApp Business, telèfon) amb la qual un client parli sense saber d'entrada que és una màquina.
• Contingut generat per IA: imatges, textos, àudios o vídeos creats o modificats substancialment amb IA —per exemple, una imatge de producte generada digitalment, un vídeo promocional amb veu sintètica, o un article redactat íntegrament per IA i publicat com a propi.

Com s'ha de comunicar? De forma clara i abans o en el moment de la interacció, amb mitjans senzills: un avís visible al xat («Ets atès per un assistent virtual»), un missatge d'inici en una trucada automatitzada («Aquesta trucada la gestiona un sistema automàtic»), o una etiqueta o marca visible en el contingut generat («Imatge generada amb IA»). No cal cap format oficial: n'hi ha prou que sigui clara, visible i prèvia a la interacció.

2. L'alfabetització en IA del personal (vigent des de febrer de 2025). El personal que fa servir eines d'IA ha de tenir una comprensió mínima adequada al seu ús. No és una recomanació: és una obligació legal real, i sovint la més desconeguda per les pimes.

3. Ja hi ha una autoritat activa que pot inspeccionar (AESIA, des d'agost de 2026). Per a una empresa, el que importa no és tant la xifra màxima de sanció (pensada per a grans tecnològiques), sinó que ara ja existeix un organisme amb competència real per revisar el compliment.

4. Saber si el teu ús cau en «risc mínim» (i, per tant, sense obligacions addicionals). La gran majoria d'usos habituals d'una empresa —assistents de redacció, CRM, IA generativa d'ús intern— es classifiquen com a risc mínim. És la novetat més tranquil·litzadora: no totes les empreses necessiten un projecte de compliance complex.

3. Les novetats que afecten a sectors concrets

Sistemes d'alt risc d'ús (rellevant només si la teva activitat hi encaixa)

5. Selecció de personal, avaluació de crèdit/assegurances o videovigilància biomètrica. Si la teva empresa fa servir IA per a algun d'aquests usos (RRHH, financeres, asseguradores, seguretat), cal saber que aquestes obligacions més exigents s'han ajornat fins al 2 de desembre de 2027 — un marge de temps addicional que convé aprofitar per preparar-se, no per oblidar-se'n.

6. Prohibició de «nudifiers» i material d'abús sexual infantil generat per IA (aplicable a partir del 2 de desembre de 2026, encara no vigent). Rellevant sobretot per a empreses que gestionen plataformes amb contingut generat per usuaris, xarxes socials pròpies o aplicacions de retoc d'imatge.

Altres novetats sectorials (context, menys rellevants per al dia a dia d'una pime generalista)

7. Obligacions per als creadors de models d'IA generativa (GPAI). Afecten qui desenvolupa models fundacionals (com Anthropic, OpenAI o Mistral), no pas les empreses que simplement contracten aquestes eines com a clients.

8. Sistemes d'alt risc integrats en productes físics, ajornats fins a agost de 2028. Afecta fabricants de productes subjectes a normativa de seguretat de producte (marcatge CE) que incorporin IA com a component de seguretat: ascensors, joguines, dispositius mèdics, maquinària industrial, equips de protecció individual o instruments de navegació, entre altres. Només rellevant per a aquest tipus de fabricants, no per a empreses de serveis.

9. Directrius interpretatives pendents de la Comissió Europea (termini agost de 2027). Informació de fons, útil per a despatxos especialitzats en compliance, però que encara no aporta certeses definitives per a casos concrets.

4. Les tres idees errònies més esteses sobre la nova normativa

Idea errònia 1: «Totes les empreses han d'informar els seus clients que treballen amb IA»

És el bulo més estès, i cal explicar-lo bé perquè s'entengui: l'obligació de transparència (article 50) només s'activa quan una persona interactua directament amb un sistema d'IA — no quan l'empresa simplement l'utilitza internament.

Exemples pràctics:

• Si un client escriu a un xatbot de la teva web, cal que sàpiga que parla amb una màquina (i no amb una persona). Aquí sí que aplica.
• Si la teva empresa fa servir IA internament per redactar informes, resumir documents o donar suport a la gestió, no cal informar-ne els clients, perquè no hi ha interacció directa d'una persona externa amb el sistema.
• Si publiques una imatge o un vídeo generat per IA, cal etiquetar-lo com a contingut sintètic. Aquí sí que aplica.

En resum: no és una declaració corporativa genèrica («a la nostra empresa fem servir IA»), sinó una obligació puntual i contextual, lligada al moment concret d'interacció.

Idea errònia 2: «Cal obtenir un certificat oficial de formació (tipus ISO o UNE) per complir l'alfabetització en IA»

Fals. La norma (article 4, vigent des de febrer de 2025) no exigeix cap certificació oficial ni un curs homologat. N'hi ha prou amb una formació senzilla —una sessió interna, un taller breu o una guia pràctica— que aconsegueixi que el personal comprengui realment com i per què fa servir la IA en el seu lloc de treball.

El que sí cal és poder demostrar que l'empresa hi actua de manera periòdica: mantenir un registre de qui s'ha format, quan i amb quin contingut, i revisar-ho a mesura que canvien les eines utilitzades. L'objectiu és la comprensió real del personal, no un diploma.

Idea errònia 3: «L'AI Act només afecta les grans tecnològiques (OpenAI, Google, Microsoft), no les pimes»

Fals, i és potser el malentès més estès. La majoria d'obligacions de la norma no recauen només sobre qui desenvolupa la IA, sinó també sobre qui la fa servir en la seva activitat (l'anomenat «desplegador»). Milers de pimes espanyoles ja hi estan afectades, moltes sense saber-ho.

I un matís relacionat, igual d'important: que l'eina d'IA que fas servir ja compleixi la llei no vol dir que la teva empresa quedi automàticament coberta. El Reglament distingeix entre el proveïdor (qui desenvolupa i comercialitza el sistema) i l'empresa usuària (qui l'utilitza): cadascun té les seves pròpies obligacions, i la de l'empresa usuària no desapareix pel simple fet de contractar una eina «conforme».