El reglamento europeo de inteligencia artificial es el Reglamento (UE) 2024/1689. Es una norma horizontal que regula la IA según el riesgo que plantea para la salud, la seguridad y los derechos fundamentales. Prohíbe ciertos usos, exige requisitos estrictos a los sistemas de alto riesgo, impone reglas de transparencia y fija obligaciones para los modelos de uso general.
Se aplica de forma escalonada y alcanza también a empresas de fuera de la UE cuando su sistema se usa en el mercado europeo. El texto completo está en EUR-Lex.
¿Qué es el Reglamento europeo de IA y a quién se aplica?
Se publicó en el Diario Oficial de la Unión Europea el 12 de julio de 2024 y entró en vigor el 1 de agosto de 2024. Al ser un reglamento, es directamente aplicable en todos los Estados miembros sin necesidad de transposición. Cada país sí debe designar autoridades y fijar cómo se aplican las sanciones.
El Reglamento define el «sistema de IA» (artículo 3) como un sistema basado en máquina que opera con cierta autonomía. Infiere a partir de los datos que recibe cómo generar resultados: predicciones, contenidos, recomendaciones o decisiones. Para una introducción al concepto, consulta qué es la inteligencia artificial.
La norma distingue varios papeles, y las obligaciones dependen de cuál ocupes:
- Proveedor: quien desarrolla un sistema o modelo y lo comercializa con su nombre.
- Responsable del despliegue: quien usa un sistema bajo su autoridad en un contexto profesional.
- Importador y distribuidor: quienes lo introducen o hacen disponible en el mercado de la UE.
Quedan fuera, entre otros, los usos militares, de defensa y de seguridad nacional, la investigación previa a la comercialización y el uso personal no profesional.
¿Cómo funcionan los niveles de riesgo?
El Reglamento no trata igual a todos los sistemas. Cuanto mayor es el riesgo para las personas, más estricta es la regla. La tabla resume los cuatro niveles.
| Nivel | Base jurídica | Ejemplos | Consecuencia |
|---|---|---|---|
| Prohibido | Artículo 5 | Puntuación social, reconocimiento de emociones en el trabajo | No se puede comercializar ni usar |
| Alto riesgo | Artículo 6 y anexos I y III | Selección de personal, evaluación de solvencia, acceso a la educación | Requisitos técnicos, documentación y supervisión humana |
| Transparencia | Artículo 50 | Chatbots, deepfakes, contenido sintético | Informar a la persona o marcar el contenido |
| Mínimo | Resto de sistemas | Filtros de spam, IA en videojuegos | Sin obligaciones específicas; códigos de conducta voluntarios |
Los niveles pueden solaparse. Un chatbot que filtra candidatos a un empleo es de alto riesgo y, además, debe informar de que es una máquina. Los modelos de uso general siguen un régimen propio, que veremos más abajo.
Prácticas prohibidas
El artículo 5 prohíbe, entre otras, estas prácticas:
- Técnicas subliminales o manipuladoras que distorsionan el comportamiento y causan o pueden causar un perjuicio significativo.
- Explotar vulnerabilidades por edad, discapacidad o situación socioeconómica.
- Puntuar a personas por su conducta social o rasgos personales cuando eso provoca un trato desfavorable injustificado o desproporcionado.
- Evaluar el riesgo de que una persona cometa un delito basándose únicamente en su perfil.
- Crear bases de datos de reconocimiento facial mediante la captura indiscriminada de imágenes de internet o de cámaras de vigilancia.
- Inferir emociones en el trabajo o en centros educativos, salvo por razones médicas o de seguridad.
- Clasificar a personas por datos biométricos para deducir raza, opiniones políticas, afiliación sindical, creencias, vida sexual u orientación sexual.
- Usar identificación biométrica remota en tiempo real en espacios públicos con fines policiales, salvo excepciones tasadas y con garantías.
Varias de estas prácticas conectan con los riesgos descritos en nuestro análisis sobre los sesgos de la IA.
Sistemas de alto riesgo
Hay dos vías para llegar a esta categoría. La primera: el sistema es un componente de seguridad de un producto regulado (juguetes, productos sanitarios, maquinaria) incluido en el anexo I. La segunda: el sistema opera en uno de los ámbitos del anexo III.
Esos ámbitos son biometría, infraestructuras críticas, educación, empleo y gestión de trabajadores, servicios esenciales (incluida la solvencia crediticia), aplicación de la ley, migración y fronteras, y justicia y procesos democráticos. El artículo 6 prevé excepciones cuando el sistema no supone un riesgo significativo, pero la elaboración de perfiles de personas siempre cuenta como alto riesgo.
Los proveedores deben cumplir, entre otros, estos requisitos:
- Sistema de gestión de riesgos durante todo el ciclo de vida.
- Gobernanza de datos, con examen de posibles sesgos (artículo 10).
- Documentación técnica y registro automático de eventos.
- Información clara para quien despliega el sistema.
- Supervisión humana, precisión, robustez y ciberseguridad.
- Evaluación de conformidad, marcado CE y registro en la base de datos de la UE.
Quien despliega el sistema también tiene deberes: usarlo según las instrucciones, encargar la supervisión a personas competentes e informar a los trabajadores afectados. Los organismos públicos y algunos usos privados, como la evaluación de solvencia, requieren además una evaluación de impacto en derechos fundamentales (artículo 27).
Transparencia y riesgo mínimo
El artículo 50 obliga a informar a las personas de que interactúan con una IA, salvo que sea evidente. Los proveedores de sistemas generativos deben marcar los contenidos sintéticos en formato legible por máquina. Quien publique deepfakes debe revelar que son artificiales.
También hay que avisar a las personas expuestas a reconocimiento de emociones o categorización biométrica. Para el resto de sistemas no hay obligaciones específicas, aunque la Comisión fomenta los códigos de conducta voluntarios.
¿Qué obligaciones tienen los modelos de uso general?
Los modelos de IA de uso general son los entrenados con grandes volúmenes de datos que sirven para muchas tareas, como los que están detrás de los asistentes ChatGPT, Gemini o Claude. Si quieres entender cómo funcionan, empieza por qué es un LLM.
El artículo 53 obliga a sus proveedores a:
- Mantener documentación técnica del modelo.
- Facilitar información a quienes lo integran en sus productos.
- Adoptar una política de respeto de los derechos de autor de la UE.
- Publicar un resumen suficientemente detallado de los contenidos usados para el entrenamiento.
Los modelos publicados con licencia abierta tienen exenciones parciales, pero no si presentan riesgo sistémico. El debate sobre los datos de entrenamiento se explica en IA y derechos de autor.
El artículo 51 presume riesgo sistémico cuando el cálculo usado en el entrenamiento supera 1025 operaciones de coma flotante. La Comisión puede modificar ese umbral. Esos modelos deben, además, evaluarse, probar su resistencia a ataques, notificar incidentes graves y reforzar su ciberseguridad (artículo 55).
La Comisión publicó en julio de 2025 un código de buenas prácticas voluntario para ayudar a cumplir estas obligaciones. La supervisión corresponde a la Oficina Europea de IA, dentro de la Comisión. Encontrarás su documentación en la página de la Comisión sobre el marco regulador de la IA.
¿Cuándo se aplica cada parte y qué multas hay?
El calendario previsto en el artículo 113 del Reglamento es este:
- 1 de agosto de 2024: entrada en vigor.
- 2 de febrero de 2025: prohibiciones y obligación de alfabetización en IA (artículo 4).
- 2 de agosto de 2025: obligaciones de modelos de uso general, gobernanza y régimen sancionador, salvo las multas a esos modelos.
- 2 de agosto de 2026: aplicación general, incluidos los sistemas del anexo III, la transparencia del artículo 50 y las multas a modelos de uso general.
- 2 de agosto de 2027: alto riesgo vinculado a productos del anexo I. También es el plazo para los modelos de uso general comercializados antes de agosto de 2025.
En noviembre de 2025 la Comisión propuso, dentro del paquete «Digital Omnibus», aplazar parte de las obligaciones de alto riesgo hasta que existan estándares técnicos. Antes de planificar un cumplimiento, comprueba en EUR-Lex y en la web de la Comisión si esa reforma se ha aprobado y con qué fechas.
El artículo 99 fija tres escalones de multas administrativas máximas:
- Prácticas prohibidas: hasta 35 millones de euros o el 7 % del volumen de negocio mundial anual, la cifra que sea mayor.
- Incumplimiento de otras obligaciones, como las de alto riesgo o las de transparencia: hasta 15 millones o el 3 %.
- Información incorrecta o engañosa a las autoridades: hasta 7,5 millones o el 1 %.
Para las pymes y las empresas emergentes se aplica la cifra menor de las dos. Las multas a proveedores de modelos de uso general (artículo 101) llegan al 3 % o a 15 millones.
Ejemplo de cálculo. Una empresa con 1.000 millones de euros de facturación mundial comete una infracción de las prácticas prohibidas. El 7 % son 70 millones, que superan los 35 millones fijos, así que el máximo teórico es 70 millones. Una pyme con 20 millones de facturación tendría un tope del 7 %, es decir, 1,4 millones, porque para ella rige la cifra menor.
Son techos, no importes automáticos. La autoridad debe graduar la sanción según la gravedad, la duración y la cooperación del infractor.
¿Qué papel tiene la AESIA en España?
La Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) tiene su sede en A Coruña. Se creó con la Ley 22/2021 de Presupuestos Generales del Estado y su estatuto se aprobó en 2023. Su web oficial es aesia.digital.gob.es.
El Reglamento exige a cada Estado miembro designar al menos una autoridad notificante y una de vigilancia del mercado (artículo 70). En España, la AESIA es la pieza central de la supervisión. Sus funciones incluyen inspección, vigilancia y sanción, y el apoyo a empresas con entornos de pruebas controlados.
El reparto exacto de competencias con otras autoridades depende de la ley nacional. El Gobierno aprobó en marzo de 2025 un anteproyecto de ley sobre el buen uso y la gobernanza de la IA. Conviene verificar su estado de tramitación. Las autoridades sectoriales, como la de protección de datos, mantienen sus funciones, y el RGPD sigue aplicándose junto al Reglamento de IA.
Para las personas, hay dos derechos relevantes. El artículo 85 permite presentar una reclamación ante la autoridad de vigilancia del mercado. El artículo 86 reconoce el derecho a obtener explicaciones sobre decisiones basadas en un sistema de alto riesgo que produzcan efectos jurídicos o afecten de modo significativo a la persona.
¿Qué significa para empresas y usuarios de fuera de la UE?
El artículo 2 define el ámbito de aplicación por el lugar donde se comercializa o se usa el sistema, no por el domicilio de la empresa. Se aplica a los proveedores que comercializan sistemas o modelos en la UE, estén donde estén. También alcanza a proveedores y responsables del despliegue de terceros países cuando los resultados del sistema se utilizan en la UE.
Caso resuelto. Una startup de Bogotá vende a una empresa española un programa que puntúa currículos con IA. Estos son los pasos:
- ¿Es un sistema de IA? Sí, infiere una puntuación a partir de datos de entrada.
- ¿Qué papel tiene? Es proveedora, porque lo desarrolla y lo comercializa con su nombre.
- ¿Se usa en la UE? Sí, el cliente lo emplea en España. El Reglamento se aplica aunque la startup no tenga sede europea.
- ¿Qué nivel de riesgo? El empleo y la selección de personal figuran en el anexo III: alto riesgo.
- ¿Qué debe hacer? Cumplir los requisitos técnicos, realizar la evaluación de conformidad y designar un representante autorizado en la UE (artículo 22).
- ¿Y su cliente español? Como responsable del despliegue, debe usarlo conforme a las instrucciones, supervisarlo con personas competentes e informar a los candidatos.
Los proveedores de modelos de uso general de fuera de la UE también deben nombrar un representante (artículo 54), con excepciones para modelos abiertos sin riesgo sistémico.
Si eres usuario particular fuera de la UE y usas un asistente de IA para tus asuntos, el Reglamento no te impone obligaciones. Las recaen sobre quien lo proporciona o lo despliega profesionalmente. Si resides en la UE, las protecciones y los derechos descritos te amparan con independencia de dónde esté el proveedor. Las empresas que operan en varios mercados pueden optar por un único estándar interno, pero eso es una decisión empresarial, no una exigencia del Reglamento.
Si quieres saber cómo te afecta, empieza por identificar tu papel (proveedor o responsable del despliegue) y la categoría de riesgo de cada herramienta que usas o vendes. Si eres una pyme, la guía de IA para pymes te ayudará a inventariar tus usos. Después, lee los artículos aplicables en EUR-Lex y consulta con un profesional jurídico antes de tomar decisiones. Para seguir otros debates de este ámbito, visita la sección de Ética y regulación.
Preguntas frecuentes
¿El Reglamento de IA ya se aplica?
Sí, en parte. Las prohibiciones se aplican desde febrero de 2025 y las obligaciones de los modelos de uso general desde agosto de 2025. La aplicación general estaba prevista para agosto de 2026, aunque hay una propuesta de aplazar parte del alto riesgo que conviene consultar.
¿Afecta a quien usa ChatGPT, Gemini o Claude en casa?
Las obligaciones recaen sobre proveedores y responsables del despliegue profesionales. El uso personal no profesional queda fuera. Como usuario, sí te amparan los derechos de transparencia, por ejemplo saber que hablas con una máquina.
¿Hay que etiquetar el contenido generado con IA?
El artículo 50 obliga a los proveedores a marcar el contenido sintético en formato legible por máquina. Quien publique deepfakes debe revelar que son artificiales. Para reconocerlos, consulta cómo detectar contenido generado por IA.
¿Quién impone las multas?
Las autoridades nacionales de vigilancia del mercado, como la AESIA en España, sancionan la mayoría de las infracciones. La Comisión Europea tiene competencia sobre los proveedores de modelos de uso general. Los importes máximos están en los artículos 99 y 101.
