Reglamento de la UE 2024/1689 que regula el uso de la inteligencia artificial (más conocido como IA ACT)

En este artículo:

• 1. Las 15 disposiciones principales de la normativa
• 2. Las 4 novedades que debemos tener en cuenta todas las empresas
• 3. Las novedades que afectan a sectores concretos
• 4. Las tres ideas erróneas más extendidas sobre la nueva normativa

1. Las 15 disposiciones principales de la normativa

Ya en vigor

• El Reglamento ya es ley de aplicación directa en nuestro país —como Reglamento europeo, no necesita ninguna transposición estatal. Entró en vigor en agosto de 2024, pero las obligaciones concretas se han ido activando progresivamente hasta 2028: no todo es exigible a la vez.
• Desde febrero de 2025: prácticas prohibidas. Quedan vetadas prácticas como la manipulación subliminal de personas o el «scoring social» —es decir, sistemas que puntúan o clasifican a las personas según su comportamiento o datos personales para decidir su acceso a servicios (por ejemplo, denegar un crédito, un seguro o un empleo basándose en una puntuación social generada por IA). Además, ya es obligatorio que el personal que trabaje con IA tenga una formación mínima.
• Desde agosto de 2025: obligaciones para los creadores de modelos de IA generativa (como los que hay detrás de herramientas como ChatGPT o Claude) — transparencia, documentación técnica y respeto de los derechos de autor. Esto afecta a los desarrolladores, no a las empresas que simplemente utilizan estas herramientas.
• Desde el 2 de agosto de 2026: aplicación general de la norma. Es la fecha clave para la mayoría de empresas, con las obligaciones de transparencia como gran novedad práctica.
• Obligación de transparencia (artículo 50): si una empresa utiliza un chatbot, un asistente de voz o genera contenido (texto, imágenes, vídeo) con IA, la persona debe saber que interactúa con una máquina o que aquello que ve ha sido generado artificialmente. Por ejemplo: un aviso en el chat («Le atiende un asistente virtual»), un mensaje de voz previo en una llamada automatizada, o una etiqueta visible en una imagen o vídeo generado por IA.
• El régimen sancionador ya está totalmente activo: hasta 35 millones de euros o el 7% de la facturación mundial por infracciones graves, y 15 millones o el 3% por otros incumplimientos.
• En España ya tenemos autoridad de control: la AESIA (Agencia Española de Supervisión de la Inteligencia Artificial) tiene, desde agosto de 2026, plenas competencias de inspección y sanción.
• Prohibición total de los llamados «nudifiers»: queda prohibido crear o difundir, con aplicaciones de IA, imágenes o vídeos de carácter íntimo o sexual de una persona real sin su consentimiento —por ejemplo, una app que «desnuda» digitalmente una fotografía real, o que inserta el rostro de alguien en contenido sexual (deepfakes íntimos)— así como la generación de material de abuso sexual infantil. Será de aplicación a partir del 2 de diciembre de 2026 (todavía no vigente).
• El sistema se basa en niveles de riesgo: inaceptable (prohibido), alto (obligaciones fuertes), limitado (transparencia) y mínimo. La gran mayoría de los usos habituales de una empresa caen en riesgo mínimo —por ejemplo, utilizar un asistente de IA para redactar correos o informes, resumir documentos, traducir textos, organizar datos en un CRM, o generar borradores de contenido para redes sociales— y no comportan obligaciones adicionales más allá de la alfabetización y la transparencia ya mencionadas.

Todavía pendiente de aplicarse

• La UE aprobó un «Reglamento Ómnibus» en junio–julio de 2026 que no deroga el AI Act, pero aplaza las obligaciones más exigentes para los sistemas de alto riesgo.
• Los sistemas de alto riesgo «de uso» (selección de personal, evaluación de solvencia, videovigilancia biométrica...) pasan de exigirse en 2026 al 2 de diciembre de 2027.
• Los sistemas de alto riesgo integrados en productos físicos (ascensores, juguetes, maquinaria) se aplazan hasta agosto de 2028.
• Los modelos de IA generativa comercializados antes de agosto de 2025 tienen de margen hasta agosto de 2027 para adaptarse plenamente.
• El aplazamiento NO afecta a las prohibiciones ni a la transparencia, que ya son plenamente exigibles desde ahora.
• La Comisión Europea todavía debe publicar directrices interpretativas sobre varios artículos clave, con plazo hasta agosto de 2027 — lo que genera, de momento, un cierto margen de incertidumbre práctica.

2. Las 4 novedades que debemos tener en cuenta todas las empresas

Son las que afectan a cualquier empresa que utilice IA, independientemente del sector:

1. La obligación de transparencia (artículo 50, vigente desde el 2 de agosto de 2026). Aplica siempre que una persona interactúa con un sistema de IA o se encuentra con contenido generado por IA:

• Chatbots y asistentes virtuales: cualquier herramienta de conversación automatizada (en la web, WhatsApp Business, teléfono) con la que un cliente hable sin saber de entrada que es una máquina.
• Contenido generado por IA: imágenes, textos, audios o vídeos creados o modificados sustancialmente con IA —por ejemplo, una imagen de producto generada digitalmente, un vídeo promocional con voz sintética, o un artículo redactado íntegramente por IA y publicado como propio.

¿Cómo debe comunicarse? De forma clara y antes o en el momento de la interacción, con medios sencillos: un aviso visible en el chat («Le atiende un asistente virtual»), un mensaje de inicio en una llamada automatizada («Esta llamada la gestiona un sistema automático»), o una etiqueta o marca visible en el contenido generado («Imagen generada con IA»). No hace falta ningún formato oficial: basta con que sea clara, visible y previa a la interacción.

2. La alfabetización en IA del personal (vigente desde febrero de 2025). El personal que utiliza herramientas de IA debe tener una comprensión mínima adecuada a su uso. No es una recomendación: es una obligación legal real, y a menudo la más desconocida por las pymes.

3. Ya hay una autoridad activa que puede inspeccionar (AESIA, desde agosto de 2026). Para una empresa, lo que importa no es tanto la cifra máxima de sanción (pensada para grandes tecnológicas), sino que ahora ya existe un organismo con competencia real para revisar el cumplimiento.

4. Saber si tu uso cae en «riesgo mínimo» (y, por tanto, sin obligaciones adicionales). La gran mayoría de usos habituales de una empresa —asistentes de redacción, CRM, IA generativa de uso interno— se clasifican como riesgo mínimo. Es la novedad más tranquilizadora: no todas las empresas necesitan un proyecto de compliance complejo.

3. Las novedades que afectan a sectores concretos

Sistemas de alto riesgo de uso (relevante solo si tu actividad encaja en ellos)

5. Selección de personal, evaluación de crédito/seguros o videovigilancia biométrica. Si tu empresa utiliza IA para alguno de estos usos (RRHH, financieras, aseguradoras, seguridad), conviene saber que estas obligaciones más exigentes se han aplazado hasta el 2 de diciembre de 2027 — un margen de tiempo adicional que conviene aprovechar para prepararse, no para olvidarse.

6. Prohibición de «nudifiers» y material de abuso sexual infantil generado por IA (aplicable a partir del 2 de diciembre de 2026, todavía no vigente). Relevante sobre todo para empresas que gestionan plataformas con contenido generado por usuarios, redes sociales propias o aplicaciones de retoque de imagen.

Otras novedades sectoriales (contexto, menos relevantes para el día a día de una pyme generalista)

7. Obligaciones para los creadores de modelos de IA generativa (GPAI). Afectan a quien desarrolla modelos fundacionales (como Anthropic, OpenAI o Mistral), no a las empresas que simplemente contratan estas herramientas como clientes.

8. Sistemas de alto riesgo integrados en productos físicos, aplazados hasta agosto de 2028. Afecta a fabricantes de productos sujetos a normativa de seguridad de producto (marcado CE) que incorporen IA como componente de seguridad: ascensores, juguetes, dispositivos médicos, maquinaria industrial, equipos de protección individual o instrumentos de navegación, entre otros. Solo relevante para este tipo de fabricantes, no para empresas de servicios.

9. Directrices interpretativas pendientes de la Comisión Europea (plazo agosto de 2027). Información de fondo, útil para despachos especializados en compliance, pero que todavía no aporta certezas definitivas para casos concretos.

4. Las tres ideas erróneas más extendidas sobre la nueva normativa

Idea errónea 1: «Todas las empresas deben informar a sus clientes de que trabajan con IA»

Es el bulo más extendido, y conviene explicarlo bien para que se entienda: la obligación de transparencia (artículo 50) solo se activa cuando una persona interactúa directamente con un sistema de IA — no cuando la empresa simplemente lo utiliza internamente.

Ejemplos prácticos:

• Si un cliente escribe a un chatbot de tu web, debe saber que habla con una máquina (y no con una persona). Aquí sí aplica.
• Si tu empresa utiliza IA internamente para redactar informes, resumir documentos o dar apoyo a la gestión, no hace falta informar de ello a los clientes, porque no hay interacción directa de una persona externa con el sistema.
• Si publicas una imagen o un vídeo generado por IA, hay que etiquetarlo como contenido sintético. Aquí sí aplica.

En resumen: no es una declaración corporativa genérica («en nuestra empresa utilizamos IA»), sino una obligación puntual y contextual, ligada al momento concreto de interacción.

Idea errónea 2: «Hay que obtener un certificado oficial de formación (tipo ISO o UNE) para cumplir la alfabetización en IA»

Falso. La norma (artículo 4, vigente desde febrero de 2025) no exige ninguna certificación oficial ni un curso homologado. Basta con una formación sencilla —una sesión interna, un taller breve o una guía práctica— que consiga que el personal comprenda realmente cómo y por qué utiliza la IA en su puesto de trabajo.

Lo que sí hace falta es poder demostrar que la empresa actúa de manera periódica: mantener un registro de quién se ha formado, cuándo y con qué contenido, y revisarlo a medida que cambian las herramientas utilizadas. El objetivo es la comprensión real del personal, no un diploma.

Idea errónea 3: «El AI Act solo afecta a las grandes tecnológicas (OpenAI, Google, Microsoft), no a las pymes»

Falso, y es quizás el malentendido más extendido. La mayoría de obligaciones de la norma no recaen solo sobre quien desarrolla la IA, sino también sobre quien la utiliza en su actividad (el llamado «desplegador»). Miles de pymes españolas ya están afectadas, muchas sin saberlo.

Y un matiz relacionado, igual de importante: que la herramienta de IA que utilizas ya cumpla la ley no significa que tu empresa quede automáticamente cubierta. El Reglamento distingue entre el proveedor (quien desarrolla y comercializa el sistema) y la empresa usuaria (quien lo utiliza): cada uno tiene sus propias obligaciones, y la de la empresa usuaria no desaparece por el simple hecho de contratar una herramienta «conforme».