AI Act europeo: qué cambia para quien desarrolla o usa IA

El Reglamento (UE) 2024/1689, conocido como AI Act o Reglamento europeo de IA, es la ley europea sobre inteligencia artificial. Entró en vigor el 1 de agosto de 2024 y se aplica por etapas: algunas normas rigen desde 2025, la mayor parte desde agosto de 2026 y las más exigentes, las de los sistemas de alto riesgo, se han aplazado a 2027 y 2028.

No afecta solo a quien desarrolla IA: también una empresa que usa un chatbot con sus clientes o un software que filtra currículums tiene obligaciones. Aquí resumimos cómo funciona y qué hacer ahora, a partir del texto publicado en EUR-Lex y de las indicaciones de la Comisión Europea y del Parlamento Europeo.

Este artículo es informativo y no constituye asesoramiento jurídico: para casos concretos conviene consultar a un profesional del derecho.

Un enfoque basado en el riesgo

El AI Act no regula la tecnología en sí, sino sus usos, agrupados por nivel de riesgo:

• Prácticas prohibidas: por ejemplo técnicas manipuladoras dañinas, puntuación social (social scoring), reconocimiento de emociones en el trabajo y en la escuela (salvo excepciones) y extracción indiscriminada de imágenes faciales para crear bases de datos de reconocimiento facial. Desde el 2 de diciembre de 2026 se suman los sistemas que generan material de abuso sexual infantil o imágenes íntimas de personas identificables sin su consentimiento.
• Alto riesgo: sistemas usados en ámbitos sensibles enumerados en el anexo III (selección y gestión de personal, educación, acceso al crédito y a servicios esenciales, infraestructuras críticas, justicia, migración) o componentes de seguridad de productos ya regulados, como productos sanitarios y máquinas (anexo I). Exigen gestión del riesgo, datos de calidad, documentación técnica, registro de eventos (logs), supervisión humana y ciberseguridad.
• Obligaciones de transparencia: avisar a las personas de que están interactuando con una IA, marcar los textos, imágenes, audios y vídeos generados de forma que también las máquinas puedan detectarlo, declarar las ultrafalsificaciones (deepfakes) e informar cuando se usan el reconocimiento de emociones o la categorización biométrica.
• Riesgo mínimo: la mayoría de las aplicaciones, como los filtros antispam o los videojuegos, sin obligaciones específicas.

Aparte están los modelos de IA de uso general, como los grandes modelos de lenguaje (LLM) en los que se basan chatbots y asistentes: quienes los desarrollan tienen obligaciones de documentación y de respeto de los derechos de autor.

El calendario a octubre de 2026

• 1 de agosto de 2024: entrada en vigor.
• 2 de febrero de 2025: prohibiciones y obligación de alfabetización en IA (formar a quienes usan o desarrollan los sistemas).
• 2 de agosto de 2025: normas sobre modelos de uso general, gobernanza y sanciones.
• 2 de agosto de 2026: se aplica la mayor parte del reglamento, incluidas las obligaciones de transparencia. Para los sistemas generativos que ya estaban en el mercado antes de esa fecha, el marcado de contenidos se exige desde el 2 de diciembre de 2026.
• 2 de diciembre de 2027: obligaciones para los sistemas de alto riesgo del anexo III (antes previstas para el 2 de agosto de 2026).
• 2 de agosto de 2028: obligaciones para los sistemas de alto riesgo integrados en productos regulados, anexo I (antes previstas para el 2 de agosto de 2027).

El aplazamiento procede del Digital Omnibus sobre IA, propuesto por la Comisión en noviembre de 2025, aprobado por el Parlamento Europeo y el Consejo en junio de 2026 y publicado en el Diario Oficial de la UE como Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026. También reformuló la alfabetización en IA: proveedores y responsables del despliegue deben adoptar medidas para favorecerla, sin tener que garantizar un nivel concreto. Un aplazamiento no es una cancelación, y las directrices y normas técnicas aún están en preparación.

Proveedor o responsable del despliegue: quién hace qué

El reglamento distingue roles. El proveedor desarrolla un sistema de IA, o encarga su desarrollo, y lo introduce en el mercado o lo pone en servicio con su propio nombre. El responsable del despliegue (deployer en la versión inglesa) lo utiliza bajo su propia autoridad en una actividad profesional.

Las obligaciones más pesadas recaen en el proveedor, pero quien usa un sistema de alto riesgo debe seguir sus instrucciones, encomendar la supervisión a personas competentes, conservar los logs e informar a los trabajadores afectados. Quien modifica de forma sustancial un sistema de alto riesgo, o lo comercializa con su propia marca, pasa a ser proveedor. En las aplicaciones a medida, quién es el proveedor, la empresa de software o el cliente, conviene dejarlo por escrito.

Un ejemplo cercano a nuestro trabajo: en un sistema de selección de personal como ATS, una función de IA que filtra o puntúa candidaturas entraría en los usos de alto riesgo del anexo III, mientras que el archivo de currículums o el proceso de entrevistas por fases no.

En Italia: la Ley 132/2025

En Italia está en vigor desde el 10 de octubre de 2025 la Ley n.º 132, de 23 de septiembre de 2025, que se aplica en coherencia con el AI Act. Designa a la Agencia para la Italia Digital (AgID) y a la Agencia Nacional de Ciberseguridad (ACN) como autoridades nacionales de IA, obliga al empleador a informar a los trabajadores sobre el uso de sistemas de IA e introduce el delito de difusión ilícita de contenidos generados o manipulados con IA. Algunas partes quedan en manos de decretos del Gobierno.

Qué hacer ahora en la empresa

1. Inventario: enumerar los sistemas de IA en uso o en desarrollo, incluidos los que van dentro de software comprado y servicios cloud. En Artika, la plataforma de streaming teatral que construimos en AWS, los subtítulos automáticos (Amazon Transcribe) y la moderación de vídeos (Amazon Rekognition) son servicios de IA de un proveedor cloud: también van al inventario.
2. Clasificación: para cada sistema, el nivel de riesgo y el rol de la empresa, proveedor o responsable del despliegue.
3. Alfabetización: formación adaptada al rol de quienes usan, desarrollan o supervisan los sistemas.
4. Documentación: finalidad, datos usados, proveedor, versión, responsable interno; para el alto riesgo, la documentación técnica prevista.
5. Supervisión humana: quién controla los resultados, cómo se corrige una decisión, cómo se detiene el sistema.
6. Transparencia: avisos en los chatbots y etiquetas en los contenidos generados.
7. Control de proveedores: documentación, cláusulas contractuales, lugar donde se tratan los datos y cumplimiento del RGPD.

Buena parte de este trabajo se apoya en lo ya hecho para el RGPD, como los registros de actividades y las evaluaciones de impacto.

Cuando diseñamos aplicaciones con componentes de IA, prevemos desde el principio los logs, la documentación y la supervisión humana, porque añadirlos después cuesta más. Si queréis revisar los sistemas que usáis, o estáis diseñando uno nuevo, hablemos.