Por José Leonel Colmenares Rodriguez · 5 de septiembre de 2026

EU AI Act: la Ley de IA de la UE para empresas

La Ley de Inteligencia Artificial de la Unión Europea (EU AI Act) es el primer marco legal integral del mundo para regular la IA. Fue adoptada en junio de 2024, publicada el 12 de julio de 2024 y entró en vigor el 1 de agosto de 2024. La ley se aplica de forma escalonada hasta 2028, con obligaciones ya activas desde febrero de 2025.

¿Qué es el EU AI Act?

Es un reglamento europeo (Reglamento (UE) 2024/1689) que establece reglas armonizadas para el desarrollo, comercialización y uso de sistemas de IA en toda la UE. Su objetivo principal es promover una IA segura, confiable y centrada en el ser humano, protegiendo los derechos fundamentales, la salud y la seguridad.

Enfoque basado en riesgos

La ley clasifica los sistemas de IA en cuatro niveles de riesgo:

Riesgo inaceptable: prohibido

Prácticas prohibidas desde febrero de 2025: manipulación subliminal, puntuación social por gobiernos, identificación biométrica en tiempo real en espacios públicos (con excepciones limitadas) y categorización biométrica para inferir orientación política o religiosa.

Alto riesgo: requisitos estrictos

Sistemas que afectan a derechos fundamentales o seguridad: IA en reclutamiento, educación, servicios esenciales, aplicación de la ley o dispositivos médicos. Exigen documentación, evaluación de conformidad y supervisión humana.

Riesgo limitado: transparencia

Sistemas que interactúan con personas o generan contenido: chatbots, deepfakes y reconocimiento de emociones. Obligación de informar de que se trata de IA.

Riesgo mínimo: sin obligaciones específicas

La mayoría de sistemas de IA: filtros de spam, videojuegos, herramientas de productividad. Su uso queda libre.

Cronología de aplicación (fechas clave)

1 agosto 2024: entrada en vigor.
2 febrero 2025: aplican las prohibiciones de prácticas de riesgo inaceptable.
2 agosto 2025: obligaciones para modelos de IA de propósito general (GPAI) y gobernanza.
2 agosto 2026: aplicación general; obligaciones de transparencia activas (chatbots, deepfakes).
2 diciembre 2026: nuevas prohibiciones (imágenes íntimas sin consentimiento, material de abuso sexual infantil).
2 diciembre 2027: obligaciones completas para sistemas de alto riesgo independientes.
2 agosto 2028: sistemas de alto riesgo que son componentes de productos regulados.

Nota: en julio de 2026 se aprobó el Digital Omnibus on AI (Reglamento (UE) 2026/1744), que retrasó las obligaciones de alto riesgo de agosto de 2026 a diciembre de 2027 para dar más tiempo a las empresas.

Sanciones por incumplimiento

€35 millones o 7% del volumen de negocio anual mundial: prácticas prohibidas.
€15 millones o 3%: otras violaciones de obligaciones.
€7,5 millones o 1%: proporcionar información incorrecta.

Primeros pasos si tu empresa ya usa IA

Haz un inventario de todos los sistemas de IA que usas.
Clasifica cada uno por nivel de riesgo.
Elimina o modifica cualquier práctica prohibida inmediatamente.
Cumple con las obligaciones de transparencia (etiquetar chatbots y contenido generado).
Prepara un plan de cumplimiento para sistemas de alto riesgo (plazo: diciembre de 2027).

Enlaces oficiales

Fuentes

Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo (EUR-Lex)
European Commission — Digital Strategy
Fidem Praxis — EU AI Act Interactive Reference
Dastra — AI Act: complete guide to official resources
EU AI Act FAQ (euai-act.com)
Regulation-AI.eu — EU AI Act overview

En IA2Net desplegamos IA con la disciplina que exige este marco: agentes que informan de que son IA, documentación desde el día uno y supervisión humana donde corresponde. Hablemos de tu caso.

Preguntas frecuentes

¿A quién aplica la ley?

A cualquier empresa que coloque sistemas de IA en el mercado de la UE, los ponga en servicio en la UE o use IA en la UE. También aplica a empresas fuera de la UE si sus sistemas producen resultados que se usan dentro de la UE.

¿Mi empresa está obligada a cumplir aunque sea pequeña?

Sí. No hay exención para PYMES o startups. Sin embargo, las multas se calculan considerando el tamaño de la empresa (se aplica el menor entre el monto absoluto o el porcentaje).

¿Los chatbots como ChatGPT están regulados?

Sí. Los modelos de IA de propósito general (GPAI) como GPT-4 o Claude deben cumplir obligaciones de documentación técnica, resumen del contenido de entrenamiento y respeto al copyright. Si superan cierto umbral de capacidad computacional (10²⁵ FLOPs), tienen obligaciones adicionales de evaluación de riesgos.

¿Necesito registrar mi sistema de IA?

Solo si es de alto riesgo (listado en el Anexo III) o si eres una autoridad pública que despliega IA. El registro se hace en la base de datos de la UE antes de comercializar o poner en servicio el sistema.

¿Qué pasa con la IA de código abierto?

Los modelos liberados bajo licencias de código abierto con parámetros públicos están parcialmente exentos de algunas obligaciones de documentación, pero no si tienen riesgo sistémico o se comercializan como sistemas de alto riesgo.

¿Cómo interactúa con el GDPR (protección de datos)?

Ambas leyes aplican simultáneamente. El GDPR regula el procesamiento de datos personales; el AI Act regula el diseño y la seguridad del sistema de IA. Si tu IA procesa datos personales, debes cumplir con ambas.

¿Cuándo debo etiquetar contenido generado por IA?

Desde el 2 de agosto de 2026, los sistemas que generen contenido sintético (texto, imágenes, audio, vídeo) deben incluir marcas legibles por máquina que indiquen que fue creado por IA. Los chatbots deben informar a los usuarios de que están interactuando con una IA.

¿Qué sistemas están prohibidos?

Desde febrero de 2025: manipulación subliminal, explotación de vulnerabilidades, puntuación social por gobiernos, identificación biométrica remota en tiempo real en espacios públicos (salvo excepciones para búsqueda de víctimas o prevención de terrorismo con autorización judicial) y categorización biométrica para inferir orientación política o religiosa.

¿Mi sistema de recomendación es de alto riesgo?

Generalmente no. Los sistemas de recomendación de productos, música o contenido son de riesgo mínimo o limitado. Solo serían de alto riesgo si se usan para asignar acceso a servicios esenciales o en casos específicos (educación, empleo).

¿Qué documentación necesito para un sistema de alto riesgo?

Descripción general del sistema, arquitectura y algoritmos, datos de entrenamiento, plan de gestión de riesgos, medidas de supervisión humana, métricas de rendimiento, medidas de ciberseguridad y declaración de conformidad de la UE. Esta documentación debe estar disponible durante 10 años.

¿Necesito un responsable de cumplimiento de IA?

La ley no exige un *Chief AI Officer*, pero sí requiere que alguien sea responsable de las obligaciones (representante autorizado si estás fuera de la UE, responsable de supervisión humana, etc.). En la práctica, las empresas designan un responsable interno.

¿La ley aplica a sistemas de IA para defensa o seguridad nacional?

No. Los sistemas desarrollados exclusivamente para fines militares, de defensa o seguridad nacional están excluidos. Pero si un sistema se usa después para fines civiles, sí aplica.

¿Hay algún periodo de gracia para sistemas ya existentes?

Sí. Modelos GPAI en el mercado antes de agosto de 2025: tienen hasta agosto de 2027 para cumplir. Sistemas de alto riesgo en el mercado antes de agosto de 2026: generalmente no necesitan cumplir, a menos que sufran cambios significativos. Sistemas generativos anteriores a agosto de 2026: tienen hasta diciembre de 2026 para cumplir con el marcado de contenido sintético.

¿Quién hace cumplir la ley?

El AI Office de la Comisión Europea supervisa los modelos GPAI. Las autoridades nacionales de vigilancia de mercado, en cada país miembro. Y la Junta Europea de IA coordina la implementación entre países.

← Volver al blog