Revisión normativa: .
La ley de inteligencia artificial de la Unión Europea es el Reglamento (UE) 2024/1689, el famoso AI Act. Se aplica en España igual que en el resto de la UE y pone reglas para comercializar, poner en servicio y usar sistemas de IA. ¿Qué le toca a tu empresa? Depende de tres cosas: qué sistema usa, para qué lo usa y qué papel tiene.
Un ejemplo rápido. Dos equipos de tu empresa usan el mismo modelo. Marketing lo usa para el borrador de la newsletter. Recursos humanos lo mete en un proceso que puntúa candidaturas y recomienda a quién entrevistar.
La tecnología de base es la misma. La finalidad, las personas afectadas y las obligaciones que tienes que revisar, no.
En esta guía te explicamos cómo orientarte sin leerte el Reglamento entero. Tienes el calendario ya revisado con el Ómnibus digital sobre IA y un método para bajar la norma a un caso concreto.
Qué es la ley de inteligencia artificial de la UE
Respuesta corta: el Reglamento (UE) 2024/1689 es el marco común de la Unión Europea para la IA. Dice quién tiene que cumplir qué, prohíbe algunas prácticas y pide medidas distintas según el tipo de sistema, para qué se usa y qué riesgos tiene ese uso. También pone reglas a los proveedores de modelos de IA de uso general.
Aquí la llamamos «ley de IA» porque es como la busca todo el mundo. Técnicamente es un reglamento europeo.
¿Hay que esperar a que España apruebe una ley que lo copie? No. Ya se aplica. Eso sí, conviene mirar las fuentes españolas para saber qué autoridades, guías y procedimientos hay aquí.
En 2026 llegó el Reglamento (UE) 2026/1744, el llamado Ómnibus digital sobre IA. Cambió partes del AI Act, fechas incluidas. Si lees una guía que solo cita la versión de 2024, revisa sobre todo su calendario y la redacción de los artículos que vayas a usar.
Qué cambia si usas IA en el trabajo
El Reglamento te obliga a mirar el proceso, no solo la herramienta. Estas son las preguntas:
- ¿Para qué se usa?
- ¿A quién afecta?
- ¿De dónde salen los datos?
- ¿Quién revisa el resultado?
- ¿Hay alguien que pueda intervenir si el sistema se equivoca?
Algunas sirven para saber qué obligación legal tienes. Otras, para montar controles internos con sentido.
El equipo de marketing que redacta borradores y el de recursos humanos que ordena candidaturas deberían hacer inventario por separado, aunque paguen la misma licencia. Lo que se analiza es el caso de uso.
A quién afecta el AI Act
¿Tu empresa usa IA en su trabajo y está en la UE? Entonces tienes que mirarlo.
El artículo 2 del Reglamento marca quién está dentro. Entre otros, los proveedores que ponen sistemas de IA o modelos de uso general en el mercado de la Unión y las empresas que usan esos sistemas y están establecidas o situadas en la UE. También alcanza, en algunos casos, a operadores de fuera de la UE cuando los resultados del sistema se usan aquí.
Hay una exclusión para el uso personal y no profesional de una persona física: no carga con las obligaciones de quien usa el sistema. Ojo, esa exclusión no se extiende sin más al trabajo de un autónomo ni a los empleados que usan una herramienta en la empresa.
Proveedor o empresa que usa la herramienta: la diferencia práctica
El proveedor desarrolla un sistema o un modelo, o lo encarga, y lo comercializa o lo pone en servicio con su nombre o su marca, en los términos que define la norma.
La empresa que usa un sistema bajo su autoridad es la otra figura (el «responsable del despliegue», como la llama la ley). ¿Has comprado una licencia para usar un producto? Lo normal es que estés en este segundo papel respecto a ese uso. La cosa cambia si creas una solución propia, la distribuyes con tu marca o cambias para qué sirve.
Una misma empresa puede tener los dos papeles en procesos distintos. Por ejemplo, usa una aplicación externa para sus comunicaciones y a la vez vende un producto propio con IA.
Y cuidado con pensar que poner algo en producción solo para uso propio te deja siempre fuera del papel de proveedor. La definición incluye algunos casos de puesta en servicio.
En ciertos casos, el artículo 25 puede pasarte obligaciones de proveedor si cambias la marca de un sistema, le haces una modificación sustancial o cambias su finalidad, en las condiciones que fija ese artículo. Antes de decidir quién responde de qué, apunta qué hace exactamente tu empresa con la herramienta.
Modelo y sistema: qué estás evaluando
Un modelo de uso general sirve de base para muchas tareas. El sistema es el conjunto: el modelo, las instrucciones, el contexto, las conexiones y la lógica con la que entrega un resultado.
Para evaluar un proceso de tu empresa, describe lo que hace el sistema completo. Saber quién es el proveedor del modelo ayuda, pero no te dice por sí solo quién usa el resultado ni para qué decisión.
Cómo clasifica los riesgos la ley de inteligencia artificial
La forma más práctica de leerla es en tres comprobaciones:
- ¿Hay alguna práctica prohibida?
- ¿El sistema puede ser de alto riesgo?
- En paralelo, ¿hay obligaciones de transparencia?
Son comprobaciones distintas. Que tengas que avisar de algo no convierte por sí solo tu sistema en alto riesgo.
Prácticas prohibidas
El artículo 5 recoge prohibiciones concretas. Un ejemplo: usar sistemas para inferir emociones en el trabajo o en centros educativos, salvo la excepción prevista para ciertos fines médicos o de seguridad.
¿Te ofrecen una herramienta que promete detectar el estado emocional de tus empleados? Antes de comprarla, pide que te expliquen qué infiere, a partir de qué señales y para qué.
Sistemas de alto riesgo
El artículo 6 tiene dos vías principales:
- Productos regulados: ciertos productos o componentes de seguridad sujetos a la normativa del anexo I, con las condiciones de evaluación de conformidad del propio artículo.
- Usos del anexo III: incluye, entre otros, ciertos usos en empleo, educación y acceso a servicios esenciales.
El anexo III se lee por finalidad. Tener un chatbot en la web no es lo mismo que usarlo para evaluar la solvencia de personas.
Dentro del anexo hay condiciones, excepciones y matices que tienes que comprobar. Que el producto lleve la etiqueta «IA» o el nombre de tu sector no resuelven la clasificación.
Transparencia y otros usos
El artículo 50 reparte deberes de transparencia entre proveedores y empresas que usan la IA, en casos distintos. Por ejemplo, avisar a la persona de que está interactuando directamente con una IA, salvo que sea evidente por el contexto, y obligaciones específicas para ciertos contenidos sintéticos. Quién responde y qué excepciones hay depende de cada apartado.
¿Y el día a día, como preparar borradores internos con ChatGPT o Copilot? Muchos de esos usos no encajan, solo por esa finalidad, en las categorías de alto riesgo.
Pero eso no te da permiso para tratar cualquier dato ni para difundir cualquier información. Sigue teniendo sentido definir qué herramientas se permiten, revisar los resultados y separar lo que se puede meter en ellas de lo que debe quedarse en los sistemas internos.
Qué queda fuera de una primera revisión del AI Act
Un inventario de IA puede servir a varios equipos, pero cada norma responde a preguntas distintas. El AI Act te ayuda a identificar papeles, prácticas prohibidas, categorías de alto riesgo y obligaciones de transparencia.
¿El proceso usa datos personales? Entonces toca un análisis de protección de datos aparte: cómo se recogen, con qué base se tratan y qué información se da a las personas.
Pasa lo mismo con un sistema integrado en un producto regulado. Su clasificación como IA puede depender de la normativa del producto, y el calendario del AI Act no sustituye a las obligaciones del sector.
Guarda la referencia de cada revisión y el nombre de quien toma la decisión. Así nadie confunde el resultado de una sola comprobación con el visto bueno a todo el proceso.
Un buen resultado de esta primera vuelta es una lista de temas concretos que se pueden cerrar: confirmar con el proveedor el uso previsto, revisar qué información se muestra al usuario o comprobar qué datos se envían a la herramienta.
Cuándo se aplica la ley europea de IA
Respuesta rápida: la fecha general de aplicación fue el 2 de agosto de 2026. Pero el Reglamento entra por fases. El calendario oficial de la Comisión Europea ya incluye los cambios del Ómnibus.
- 1 de agosto de 2024: entra en vigor el Reglamento original.
- 2 de febrero de 2025: empiezan a aplicarse las disposiciones generales, incluida la alfabetización en IA, y las prohibiciones originales.
- 2 de agosto de 2025: empiezan a aplicarse, entre otras, las reglas para proveedores de modelos de uso general, con disposiciones transitorias.
- 2 de agosto de 2026: aplicación general, incluidas las obligaciones de transparencia del artículo 50, con excepciones y transitorios.
- 2 de diciembre de 2027: se aplican las reglas para los sistemas de alto riesgo del anexo III.
- 2 de agosto de 2028: se aplican las reglas de alto riesgo para los sistemas del artículo 6.1.
¿Quieres saber qué fecha le toca a un proyecto? Primero identifica el artículo y el caso concreto.
Si el sistema ya estaba en el mercado o en servicio antes de una fecha clave, mira las reglas transitorias. La fecha general no te ahorra esa comprobación.
Multas de la ley de inteligencia artificial
El artículo 99 del Reglamento fija los máximos de las multas administrativas. Si el infractor es una empresa, el tope es el importe fijo o el porcentaje de su volumen de negocios mundial del ejercicio anterior, lo que sea mayor:
- Prácticas prohibidas (artículo 5): hasta 35 millones de euros o el 7 % del volumen de negocios.
- Otras obligaciones: hasta 15 millones de euros o el 3 %. Aquí entran, entre otras, las de proveedores, importadores y distribuidores, las de las empresas que usan sistemas de alto riesgo (artículo 26) y las de transparencia (artículo 50).
- Dar información inexacta, incompleta o engañosa a las autoridades o a los organismos notificados: hasta 7,5 millones de euros o el 1 %.
¿Eres pyme o empresa emergente? Se aplica la cantidad menor de las dos. El Ómnibus amplió ese criterio a las pequeñas empresas de mediana capitalización para las multas de 15 y 7,5 millones.
Son máximos. La multa de cada caso depende de la gravedad y la duración de la infracción, de las personas afectadas, del tamaño de la empresa y de su cooperación, entre otras cosas.
El resto del régimen de sanciones lo fija cada Estado miembro, que tiene que cubrir cualquier infracción del Reglamento.
¿Y si no formas a tu equipo? La alfabetización del artículo 4 no aparece en esa lista de multas máximas, pero sigue siendo una obligación. Y la falta de formación suele estar detrás de los errores que sí tienen multa, como no avisar de que una persona está hablando con un chatbot.
Qué revisar si tu empresa ya usa IA
¿No tienes inventario? Empieza por los procesos que ya existen: redacción, análisis de documentos, atención al cliente, selección, automatización de tareas o creación de contenidos.
Pide a cada equipo que te cuente un uso real. Una lista de marcas sin decir para qué se usan sirve de poco.
1. Identifica el proceso y quién lo lleva
Apunta la herramienta, quién la usa, para qué, qué datos recibe y qué pasa con el resultado. ¿Se queda en borrador, se envía a un cliente o alimenta una decisión sobre una persona?
Pon al frente a alguien que sepa explicar el proceso y lo actualice cuando cambie.
2. Separa las obligaciones según el uso
Primero, prácticas prohibidas y categorías de alto riesgo. Después, transparencia, obligaciones ligadas a tu papel y requisitos de otras normas que se apliquen a la vez.
El chatbot que atiende al público y el generador de borradores internos no necesitan el mismo análisis.
3. Adapta la formación a cada tarea
El artículo 4, con la redacción modificada en 2026, pide a proveedores y empresas que usan IA tomar medidas para apoyar la alfabetización de quienes manejan o usan sistemas en su nombre. Hay que tener en cuenta sus conocimientos, el contexto y a quién puede afectar.
En la práctica, forma a cada equipo en sus propios usos: qué información puede meter, cómo comprobar una respuesta y cuándo tiene que escalar un problema.
Como evidencia interna, te puede venir bien guardar las instrucciones, los materiales y los registros de formación. Preséntalo como una forma de gestionar y demostrar lo que haces. La norma no exige ningún curso comercial concreto.
4. Decide quién puede actuar si hay un error
Una revisión humana que sirva de algo define quién revisa, qué comprueba y cómo puede parar el proceso. Si un asistente propone respuestas a clientes, quien revisa debería poder ver la fuente, corregir la respuesta y evitar el envío.
Si el sistema interviene en decisiones sobre personas, la supervisión pide un análisis más detallado.
¿Proceso interno sencillo? Empieza con un responsable, unas instrucciones breves y unas pruebas con casos conocidos. ¿Sistema que participa en decisiones importantes? Mete desde el diseño a quienes llevan la operación, el cumplimiento y la protección de datos.
Tres ejemplos de oficina para aplicar el criterio
Marketing prepara textos con IA
El equipo usa una herramienta externa para crear borradores, comprueba las fuentes y decide qué se publica. La primera pregunta: qué datos mete en la herramienta y quién revisa el resultado.
¿Genera materiales que se presentan como reales, o textos para informar al público sobre asuntos de interés público? Entonces revisa aparte los casos de transparencia del artículo 50 y sus condiciones. Y no te quedes en «se usó IA» como si fuera toda la conclusión.
El chatbot de la web atiende consultas
El asistente responde dudas sobre pedidos y pasa las reclamaciones a una persona. Mira si el usuario sabe que habla con una IA, qué sistema y qué proveedor hay detrás, qué información recibe y qué puede hacer por su cuenta.
¿Más adelante la empresa le deja aprobar devoluciones? Apunta el cambio y revisa qué controles necesita esa nueva acción.
Recursos humanos ordena candidaturas con IA
El sistema puntúa perfiles y recomienda a quién entrevistar. Este uso obliga a revisar las categorías de empleo del anexo III y las condiciones del artículo 6.
Que haya una persona al final del proceso no descarta por sí solo el alto riesgo. Pregúntate qué peso tiene la recomendación y si se elaboran perfiles de personas físicas.
Haz una primera revisión de tu caso
Elige un uso concreto: el chatbot de atención, por ejemplo, o una herramienta que ordena solicitudes. Ten a mano para qué se usa, quién lo maneja y cómo se revisa el resultado.
Haz el test de la ley de IA para orientar esa primera revisión. Tómalo como punto de partida, no como veredicto: después toca contrastar los artículos y condiciones que se aplican a tu caso.
Test gratuito para empresas
¿Cumple tu empresa la ley de IA?
Marca qué herramientas de IA usa tu equipo y con qué datos, responde unas pocas preguntas y obtén una nota sobre 100 con los huecos frente a los artículos 4, 5 y 50 del AI Act y el RGPD. Con tu correo desbloqueas el detalle y un dossier en PDF.
Errores típicos al interpretar el AI Act
Clasificar por marca. La misma herramienta puede resumir documentos o intervenir en una selección. Clasifica por finalidad y por cómo funciona.
Esperar al último plazo. Que el alto riesgo tenga fechas más tardías no deja en pausa el resto de reglas. Revisa cada obligación por separado.
Confundir la ley de IA con el RGPD. Si tratas datos personales, también tienes obligaciones de protección de datos. Un análisis de riesgo de IA no cubre sin más la base jurídica, la minimización ni la información a los interesados.
Comprar un certificado y darlo todo por hecho. Formar al equipo y que un sistema cumpla son cosas distintas. Comprueba qué evidencia necesita tu empresa según su papel y el caso de uso.
Olvidar los cambios. Si cambias los datos, la finalidad o los efectos de un sistema, el análisis puede cambiar. Apunta la fecha y el alcance de cada cambio para saber qué decisión sigue valiendo.
¿Por dónde empiezas hoy? Escoge un proceso que ya exista y descríbelo en una página. Identifica el papel de tu empresa y a quién afecta. Luego consulta la ley de inteligencia artificial con esas preguntas concretas en la mano.
Sacarás una respuesta mucho más útil que intentando decidir de golpe si toda tu empresa «cumple con el AI Act».
Forma a tu equipo y guarda la evidencia
El artículo 4 pide a las empresas que usan IA tomar medidas de alfabetización adaptadas a quién la usa y para qué. ¿La forma más directa de hacerlo, y de poder demostrarlo después? Una formación práctica con las herramientas reales del equipo.
Growit School · formación para empresas
Formación en IA para equipos, bonificable por FUNDAE
Formamos a equipos en el uso responsable de ChatGPT, Claude, Gemini y Copilot: qué datos no compartir, cómo revisar un resultado y cuándo hay que avisar de que se usa IA. La plataforma registra quién se ha formado, cuándo y en qué.
La formación se puede bonificar con el crédito FUNDAE de tu empresa. Ninguna formación certifica por sí sola el cumplimiento: la responsabilidad es de la empresa, y la formación es una pieza necesaria.
Sigue explorando el AI Act
Preguntas frecuentes
¿Qué es la ley de inteligencia artificial?
Es el Reglamento (UE) 2024/1689, conocido como AI Act, que regula aspectos de la comercialización, la puesta en servicio y el uso de la IA en la Unión Europea. El Reglamento (UE) 2026/1744 cambió parte de su contenido.
¿La ley europea de IA se aplica en España?
Sí. Es un reglamento de la Unión Europea y se aplica directamente en España, con un calendario por fases y condiciones según el caso.
¿Usar ChatGPT en el trabajo es un uso de alto riesgo?
Depende del uso, no de la herramienta: el nombre de ChatGPT no decide la clasificación. Cuenta qué sistema usas, para qué y qué efecto tiene su resultado, además de las condiciones del artículo 6 y sus anexos.
¿Una pyme queda fuera del AI Act?
No. El tamaño no es una exclusión general: la empresa tiene que identificar su papel, el uso del sistema y las reglas que le tocan. Algunas medidas y procedimientos sí tienen en cuenta el tamaño de la organización.
¿El AI Act sustituye al RGPD?
No. Si el uso implica tratar datos personales, siguen aplicándose las obligaciones de protección de datos que correspondan.
¿Un test acredita que cumples la ley de IA?
No. Un test sirve para orientar una primera revisión. La clasificación y las obligaciones dependen del sistema, la finalidad, el papel de tu empresa y los hechos concretos del caso.
¿Qué multas prevé la ley de IA?
Hasta 35 millones de euros o el 7 % del volumen de negocios mundial por prácticas prohibidas, según el artículo 99 del AI Act. Hasta 15 millones o el 3 % por incumplir otras obligaciones, como las de transparencia o las de la empresa que usa un sistema de alto riesgo, y hasta 7,5 millones o el 1 % por dar información inexacta a las autoridades. En las pymes se aplica la cantidad menor.
Guía elaborada por el equipo de Growit School, escuela de formación en inteligencia artificial para profesionales y empresas. Es información general y no sustituye el asesoramiento jurídico de tu caso.
