Ley de Inteligencia Artificial de la UE. Claves para entender la regulación europea sobre IA

La Ley de Inteligencia Artificial de la UE es el Reglamento (UE) 2024/1689, la primera norma del mundo con fuerza legal para regular la inteligencia artificial. 

Si tu empresa usa un chatbot, genera contenido con IA o automatiza tareas con herramientas de terceros, ya tienes obligaciones concretas de transparencia, supervisión y formación. 

El incumplimiento no es un riesgo teórico, pues puede suponer multas de hasta 35 millones de euros o el 7% de tu facturación mundial.

Qué es la Ley de Inteligencia Artificial de la UE y a quién obliga
La Ley de Inteligencia Artificial de la UE es el Reglamento (UE) 2024/1689, también conocido como AI Act o Reglamento Europeo de IA. 

Es la primera norma vinculante que regula el uso de la inteligencia artificial y obliga a cualquier empresa que la use dentro de la Unión, sin importar su tamaño.

•    Afecta a proveedores de sistemas de IA y a quienes los usan como responsables del despliegue.
•    Se aplica aunque el sistema se haya desarrollado fuera de la UE.
•    Su entrada en vigor es progresiva entre 2025 y 2027.
•    Busca una gobernanza de la IA común para todo el mercado interior.

Si tu empresa usa ChatGPT o un chatbot propio, ya está dentro de su ámbito de aplicación, aunque no haya desarrollado ningún sistema de IA propio.

Niveles de riesgo de la IA según el Reglamento (UE) 2024/1689
El Reglamento clasifica cada sistema en cuatro niveles: inaceptable, alto, limitado o mínimo. Esta clasificación determina qué obligaciones de cumplimiento de la AI Act tiene tu empresa, y es el punto de partida antes de aplicar cualquier medida de gestión del riesgo de la IA.

•    Riesgo inaceptable: prácticas de IA prohibidas por el artículo 5, sin excepción.
•    Riesgo alto: sistemas de IA de alto riesgo regulados por el artículo 6.
•    Riesgo limitado: chatbots y contenido generado con obligaciones de transparencia.
•    Riesgo mínimo: la mayoría de asistentes de IA generativa de uso general.

Entre las prácticas prohibidas destacan la manipulación subliminal, el scoring social y el reconocimiento facial masivo mediante rastreo de internet. Ninguna empresa puede usarlas, sea cual sea su tamaño.

Proveedor y responsable del despliegue: qué es tu empresa según la ley
El Reglamento distingue entre proveedor de sistemas de IA, quien desarrolla o comercializa la herramienta, y responsable del despliegue, quien la usa dentro de su propia actividad. 

La mayoría de las pymes ocupan este segundo papel, y eso determina sus obligaciones concretas.

•    Proveedor: diseña, entrena o comercializa el sistema bajo su nombre.
•    Responsable del despliegue: usa un sistema ya desarrollado por un tercero.
•    Debe supervisar el uso del sistema y conservar registros al menos seis meses.
•    Debe informar a los trabajadores expuestos antes de ponerlo en marcha.

Contratar un CRM con IA integrada o una herramienta de generación de contenido no te exime de obligaciones, simplemente cambia cuáles te corresponden frente a las del proveedor.

Calendario de aplicación del Reglamento de IA
El artículo 113 establece una aplicación escalonada entre 2025 y 2027. Conocer estas fechas permite priorizar qué acciones son urgentes para tu empresa y cuáles puedes planificar con más margen dentro de tu estrategia de IA responsable.

•    2 de febrero de 2025: entran en vigor las prácticas prohibidas del artículo 5.
•    2 de agosto de 2025: aplican las reglas de gobernanza y la Oficina de IA.
•    2 de agosto de 2026: fecha de aplicación general de todo el Reglamento.
•    2 de agosto de 2027: entran en vigor las obligaciones más estrictas de alto riesgo.

Para la mayoría de pymes, agosto de 2026 es la fecha que realmente importa: ahí se activan las obligaciones de transparencia y supervisión descritas en este artículo.

Transparencia si usas chatbots o generas contenido con IA
El artículo 50 regula la obligación de transparencia que más pymes deben cumplir, porque afecta a usos muy extendidos: chatbots, asistentes de voz y contenido generado con IA generativa publicado de forma pública.

•    Informar de que se interactúa con un sistema de IA, salvo que sea evidente.
•    Etiquetar como generado por IA el contenido sintético de audio, imagen o vídeo.
•    Declarar el uso de IA en ultrasuplantaciones (deepfakes) de personas reales.
•    Advertir cuando un texto informativo se ha generado con IA.

Esta obligación no exige software complejo: basta un aviso visible en el chatbot o una etiqueta clara en el contenido generado, sin necesidad de auditorías técnicas costosas.

Qué pasa si tu empresa no cumple el Reglamento de IA
El incumplimiento tiene consecuencias económicas reguladas en el artículo 99, con multas de hasta 35 millones de euros o el 7% de la facturación mundial para las prácticas prohibidas más graves. Otras infracciones tienen topes menores, del 3% o el 1%.

•    Siempre se aplica el importe superior entre porcentaje y cifra fija.
•    La autoridad de vigilancia del mercado valora cooperación y medidas correctoras.
•    Para pymes se aplica el importe menor, protegiendo su viabilidad económica.
•    La alfabetización en materia de IA del equipo reduce el riesgo de sanción.

Documentar qué sistemas usáis, quién los supervisa y qué formación ha recibido el equipo demuestra diligencia real ante cualquier inspección de la autoridad competente.