Ley de la UE sobre la IA: plazos, obligaciones y qué hay que hacer ahora

Fecha: 31 de agosto de 2026. Se han incorporado las modificaciones del Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026.

El Reglamento sobre IA, más conocido como la Ley de IA de la UE, está en vigor desde el 1 de agosto de 2024, pero no se aplica de forma inmediata. Sus obligaciones se introducen de forma escalonada a lo largo de varios años, y el calendario se ha vuelto a retrasar recientemente, hasta julio de 2026. Por lo tanto, quien quiera saber hoy qué se aplica a su empresa debe distinguir entre dos cuestiones: qué establece el reglamento y a partir de cuándo hay que cumplirlo.

Este artículo responde a ambas preguntas. Explica la clasificación, sitúa los plazos actuales y describe las obligaciones a las que se enfrentan las empresas que no desarrollan la IA por sí mismas, sino que la adquieren. Y es que ese es el caso más habitual y, al mismo tiempo, el más subestimado.

¿Qué es la Ley de IA de la UE?

La Ley de IA de la UE, oficialmente la Reglamento (UE) 2024/1689, es la primera ley integral sobre IA a nivel mundial. Al tratarse de un reglamento, es directamente aplicable en todos los Estados miembros, sin que sea necesaria una ley nacional de transposición. Para las empresas con sedes en varios países de la UE, esto supone un marco jurídico único en lugar de 27 marcos diferentes.

Su esencia es un enfoque basado en el riesgo. No se regula la tecnología, sino el uso que se le da. Un mismo modelo de lenguaje puede estar sujeto a requisitos nulos, moderados o estrictos, dependiendo de su aplicación.

Prácticas prohibidas ocupan un lugar destacado. Entre ellas se incluyen la puntuación social por parte de organismos públicos y privados, el aprovechamiento selectivo de las vulnerabilidades de los grupos más desfavorecidos, el reconocimiento de emociones en el lugar de trabajo y en los centros educativos, así como determinadas formas de identificación biométrica a distancia. Estas prohibiciones ya están en vigor desde febrero de 2025.

Sistemas de alto riesgo constituyen el núcleo del Reglamento. El Reglamento distingue dos vías de acceso a esta categoría. El anexo III enumera las aplicaciones autónomas en ámbitos sensibles: biometría, infraestructuras críticas, educación, empleo, acceso a servicios esenciales como la concesión de créditos o las prestaciones sociales, la aplicación de la ley, la migración y la justicia. El anexo I abarca la IA integrada como componente de seguridad en productos ya regulados, como máquinas, ascensores, juguetes o productos sanitarios.

Sistemas con obligación de transparencia constituyen la tercera fase. Quien hable con un chatbot debe poder reconocer que no es una persona quien responde. Las imágenes, los vídeos, los audios y los textos generados sintéticamente o manipulados deben identificarse como tales de forma legible para las máquinas. Estas normas del artículo 50 entrarán en vigor en agosto de 2026. No obstante, en el caso de los sistemas que ya se encontraban en el mercado antes de esa fecha, la obligación de identificación prevista en el apartado 2 no se aplicará hasta el 2 de diciembre de 2026.

Todo lo demás queda, en gran medida, libre. Un filtro de spam, una función de recomendaciones en una tienda online o un sistema de reconocimiento de facturas no suelen estar sujetos a ninguna obligación específica.

Además, el reglamento regula los modelos de IA de uso general, denominados «GPAI» en la jerga administrativa. A partir de agosto de 2025, sus proveedores deberán facilitar documentación técnica, respetar los derechos de autor de los datos de entrenamiento y publicar un resumen de los contenidos de entrenamiento utilizados.

Plazos de la Ley de IA de la UE: qué se aplica y cuándo

El calendario inicial preveía que las obligaciones relacionadas con los riesgos elevados entraran en vigor en agosto de 2026. En noviembre de 2025, la Comisión propuso una flexibilización mediante el «Digital Omnibus»; en mayo de 2026 se alcanzó un acuerdo político y el 27 de julio de 2026 entró en vigor la modificación. No solo se aplazan los plazos: se ha restringido la clasificación como sistema de alto riesgo, se ha eliminado la doble regulación con respecto a la legislación sectorial sobre productos y se ha atenuado la obligación de contar con competencias en materia de IA. La estructura del Reglamento se mantiene.

Fecha límite: 31 de agosto de 2026, según el Reglamento (UE) 2026/1744. Por lo tanto, el próximo plazo es el 2 de diciembre de 2026 y no el año 2027.

Este aplazamiento supone un respiro para las empresas, pero no una carta blanca. Quienes utilicen un sistema de selección de personal o una verificación automatizada de la solvencia crediticia tienen hasta diciembre de 2027 para cumplir los requisitos. El esfuerzo que ello supone sigue siendo el mismo, y no se concentra en las últimas semanas antes de la fecha límite.

Qué supone la Ley de IA de la UE para la economía europea

Rara vez se habla de la Ley de IA de forma neutral, y el «Digital Omnibus» ha agudizado la polémica. La Comisión justifica la flexibilización con la reducción de la burocracia y un mayor margen para la innovación. Más de 120 organizaciones de la sociedad civil, entre ellas noyb, dirigida por Max Schrems, ya advirtieron antes de la presentación oficial, en una carta abierta del 13 de noviembre de 2025, que esto supondría „el mayor retroceso para los derechos fundamentales digitales en la historia de la UE“. Su crítica se dirige contra el conjunto de medidas y, sobre todo, contra los cambios previstos en el RGPD, no solo contra la parte relativa a la IA.

Para las empresas, la cuestión es más práctica: ¿este marco resulta beneficioso o perjudicial? Es una pregunta que se plantean cada vez más empresas. Según un encuesta representativa de Bitkom De las 604 empresas con 20 o más empleados, el 36 % utilizaba la inteligencia artificial en septiembre de 2025, frente al 20 % del año anterior. Otro 47 % tenía previsto o estaba barajando su uso. Así pues, la adopción casi se ha duplicado en el plazo de un año, mientras que la normativa al respecto no entrará en vigor de forma escalonada hasta más adelante.

Ambas partes del debate tienen algo de razón, y ambos argumentos se pueden fundamentar en puntos concretos.

Un mercado en lugar de 27. Antes de la entrada en vigor del Reglamento, se corría el riesgo de que se creara un mosaico de legislaciones nacionales sobre la inteligencia artificial. Para una empresa que ofrece su software en varios Estados miembros, un catálogo de requisitos uniforme resulta más económico que siete distintos, aunque dicho catálogo sea exigente. Ahí radica precisamente el núcleo económico del argumento a favor del mercado interior.

La confianza como vía de acceso al mercado. En ámbitos como la medicina, la gestión de recursos humanos o la concesión de créditos, el cuello de botella no es la capacidad de los modelos, sino la disposición de los organismos de supervisión, los comités de empresa y los clientes a dejar que estos tomen las decisiones. Un marco jurídico demostrable reduce este obstáculo. Los proveedores que puedan acreditar su conformidad obtienen acceso a clientes que, sin esa acreditación, ni siquiera convocarían una licitación.

El efecto Bruselas. Al igual que ocurrió con el RGPD, los proveedores globales suelen ajustarse al mercado más estricto, ya que mantener líneas de productos diferenciadas resulta más caro que aplicar un estándar único. De este modo, la normativa europea tiene repercusiones más allá de Europa. Para los proveedores europeos, esto puede suponer una ventaja, ya que, de todos modos, deben cumplir los requisitos y este esfuerzo no supone para ellos un negocio adicional, sino que es la norma.

Los costes son reales. La evaluación de la conformidad, la documentación técnica, la gestión de riesgos y las obligaciones de acreditación requieren personal del que los pequeños proveedores a menudo carecen. El «Digital Omnibus» es la respuesta directa a esta constatación. Proporciona más tiempo, reduce la clasificación de alto riesgo y alivia la carga administrativa para los pequeños proveedores. Esto supone un reconocimiento de que el calendario original era demasiado ajustado y, al mismo tiempo, es el punto en el que se centra la crítica: quienes ya han invertido se encuentran en peor situación que quienes han esperado.

Para la economía alemana, la verdadera oportunidad no reside tanto en la normativa en sí misma como en su combinación con los puntos fuertes ya existentes. Quienes automatizan procesos en los sectores de los seguros, la fabricación o la administración trabajan, de todos modos, en entornos muy regulados y están acostumbrados a las obligaciones de rendición de cuentas. Esta rutina supone una ventaja inicial frente a los proveedores para los que la documentación y la auditabilidad son aspectos nuevos.

Qué supone el Reglamento sobre IA para cada empresa

La cuestión más importante desde el punto de vista práctico no es si una empresa utiliza la IA, sino en qué función. El reglamento distingue principalmente entre dos.

Proveedor Desarrollan un sistema de inteligencia artificial o encargan su desarrollo y lo comercializan bajo su propio nombre. Asumen la mayor parte de la responsabilidad: gestión de riesgos, calidad de los datos, documentación técnica, registro, evaluación de la conformidad y marcado CE.

Operador utilizan un sistema ajeno bajo su propia responsabilidad. Sus obligaciones son menores, pero no insignificantes. Deben utilizar el sistema de acuerdo con su finalidad, garantizar la supervisión humana, comprobar que los datos introducidos sean adecuados, conservar los registros e informar a las personas afectadas en el caso de aplicaciones de alto riesgo.

Esta distinción entraña un riesgo. Quien modifique sustancialmente un sistema adquirido, lo comercialice bajo su propio nombre o lo utilice para un fin distinto al previsto, se convierte él mismo en proveedor y asume todas las obligaciones que ello conlleva. En la práctica, esto afecta sobre todo a las empresas que entrenan un modelo estándar con sus propios datos e incorporan el resultado a un producto propio.

A esto se suma una obligación que se aplica a todos, independientemente de la clase de riesgo, y que entrará en vigor ya en febrero de 2025: la competencia en materia de IA según el artículo 4. Los proveedores y operadores deben adoptar medidas que fomenten la comprensión por parte de sus empleados del funcionamiento y las limitaciones de los sistemas utilizados. La Directiva Ómnibus Digital ha suavizado este requisito: desde julio de 2026 queda claro que no es necesario garantizar un nivel de conocimientos concreto para cada persona. La obligación se mantiene, pero la exigencia de acreditación se reduce. Lo que esto implica en la práctica se describe en el artículo sobre La competencia en IA como asignatura obligatoria.

En caso de incumplimiento, se prevé Artículo 99 tres niveles. El uso de prácticas prohibidas puede sancionarse con hasta 35 millones de euros o el 7 % de la facturación anual mundial, según cuál de las dos cantidades sea mayor. Las infracciones de otras obligaciones, por ejemplo en el ámbito de alto riesgo, se sancionan con multas de hasta 15 millones de euros o el 3 %. La presentación de datos falsos o incompletos a las autoridades conlleva multas de hasta 7,5 millones de euros o el 1 %.

En el caso de las pequeñas y medianas empresas, se aplica el menor de los dos valores; la Ley Digital Omnibus ha ampliado esta facilidad a las pequeñas empresas de capitalización media, es decir, a aquellas con entre 250 y 750 empleados y con una facturación anual máxima de 150 millones de euros o un balance total máximo de 129 millones de euros.

Lo que las empresas deberían hacer ahora

El aplazamiento de los plazos lleva a posponer el tema. Esto es arriesgado, porque las etapas más laboriosas se encuentran al principio y no al final.

Hágase una idea general de dónde se utiliza la IA en la empresa y aclare cuál es su función en cada sistema. Puede parecer trivial, pero en la mayoría de las empresas es el paso más difícil. Hoy en día, la IA está presente en el software de gestión de candidatos, en las funciones de CRM, en las herramientas de traducción y en las funciones de asistencia de los productos de Office, a menudo sin que se la denomine así. Cada sistema que se encuentre plantea inmediatamente la cuestión de su función: ¿es usted proveedor u operador, y modifica el sistema de tal forma que se convierte en proveedor? Solo la combinación de ambos aspectos ofrece una visión clara, ya que un mismo software puede dar lugar a obligaciones totalmente diferentes en función del contrato y del uso que se le dé.

Asigne cada sistema a una clase de riesgo. La mayoría de las aplicaciones empresariales se clasifican en la categoría más baja. Lo fundamental es identificar los pocos casos en los que no es así. Un modelo lingüístico que lee facturas no reviste importancia. Ese mismo modelo, si se utiliza para preseleccionar solicitudes de empleo o para decidir sobre prestaciones de seguros, entra dentro del ámbito del anexo III y requiere una evaluación documentada.

Pon en práctica tus conocimientos sobre IA. Esta obligación ya está en vigor y, desde la entrada en vigor de la Directiva «Omnibus», ya no requiere un gran dispositivo administrativo. En muchos casos, basta con una formación documentada que se ajuste al ámbito de responsabilidades correspondiente.

Desarrolla la documentación y las competencias de forma paralela. Quien empieza a trabajar justo antes de una auditoría ya no puede reconstruir con qué datos se entrenó un modelo ni quién aprobó cada decisión. El registro, las versiones y los procesos de aprobación solo pueden documentarse de forma continua. Para que esto suceda, es necesaria una responsabilidad bien definida: la gobernanza de la IA se sitúa entre los departamentos de TI, jurídico, de protección de datos y el área de negocio; de lo contrario, queda en el limbo. Los puntos de contacto con la protección de datos son considerables, tal y como se explica en el artículo sobre IA y protección de datos espectáculos.

Aprovecha este tiempo para tomar decisiones sobre qué elegir. Si de todos modos va a adquirir un sistema, pregunte ahora mismo al proveedor cuál es su clasificación, su documentación y su calendario para alcanzar la conformidad. Estas preguntas son fáciles de plantear antes de firmar el contrato, pero difíciles de recuperar después.

Conclusión

La Ley de IA de la UE no regula la IA como tecnología, sino su uso en situaciones en las que las decisiones afectan a las personas. Para la gran mayoría de las aplicaciones empresariales, supone pocos cambios. En el caso de los pocos sistemas que intervienen en la toma de decisiones sobre solicitudes de empleo, créditos, prestaciones o seguridad, exige pruebas que no se pueden generar a posteriori.

El aplazamiento a diciembre de 2027 y agosto de 2028 da un respiro, pero no cambia en nada esta lógica. Quien empiece hoy a elaborar un inventario y a aclarar las competencias, podrá ocuparse con tranquilidad de las partes que requieren más tiempo. Quien espere, tendrá más adelante el mismo trabajo, pero bajo presión de tiempo. Un buen punto de partida es el propio panorama de procesos: cuando los documentos y las solicitudes se tramitan de forma automatizada, normalmente se puede aclarar rápidamente si una aplicación entra dentro del ámbito de alto riesgo o si, como en la gran mayoría de los casos, simplemente sustituye al trabajo manual.

El marco jurídico oficial, incluidas las directrices y las actualizaciones, lo publica la Comisión Europea. El artículo sobre la Competencias en IA en la empresa.