Reglamento Europeo de IA: guía completa para empresas

Qué es el AI Act

El Reglamento de Inteligencia Artificial (AI Act) constituye el primer marco regulatorio integral sobre inteligencia artificial adoptado por una gran jurisdicción económica. Su objetivo es garantizar que los sistemas de IA utilizados en la Unión Europea sean seguros, respeten los derechos fundamentales y fomenten la innovación tecnológica.

El reglamento se aplica a proveedores de sistemas de IA que comercialicen en la UE, usuarios o desplegadores establecidos en la Unión, y proveedores situados fuera de la UE cuando los resultados del sistema se utilicen dentro del territorio europeo — el denominado principio de efecto extraterritorial, ya utilizado en el RGPD.

Clasificación de riesgos

El elemento central del AI Act es la clasificación de los sistemas de IA en función del riesgo que presentan para los derechos fundamentales y la seguridad de las personas. El reglamento distingue cuatro niveles:

Riesgo inaceptable — sistemas prohibidos

Están directamente prohibidos los sistemas de manipulación cognitiva subliminal, los sistemas de puntuación social, con independencia de que los utilice una autoridad pública o una entidad privada, la identificación biométrica remota en tiempo real en espacios de acceso público con fines de aplicación de la ley (salvo excepciones tasadas; otros usos biométricos no están prohibidos, sino clasificados como de alto riesgo) y los sistemas que exploten vulnerabilidades de menores, personas mayores o con discapacidad.

Alto riesgo

Los sistemas de alto riesgo incluyen aplicaciones en empleo y recursos humanos (selección automatizada de personal), educación, servicios financieros (evaluación de solvencia), infraestructuras críticas, y aplicaciones en justicia y seguridad. Son los más regulados.

Riesgo limitado y mínimo

Los sistemas de riesgo limitado (chatbots, generadores de contenido sintético) deben cumplir requisitos de transparencia informando al usuario que interactúa con IA. Los de riesgo mínimo no tienen obligaciones adicionales específicas.

Obligaciones para empresas con IA de alto riesgo

• Sistema de gestión de riesgos — identificación y mitigación continua durante todo el ciclo de vida del producto. (Art. 9)
• Gobernanza y calidad de datos — conjuntos de datos representativos y libres de sesgos injustificados para evitar discriminación algorítmica. (Art. 10)
• Documentación técnica — diseño del sistema, metodología de entrenamiento, arquitectura y evaluación de riesgos. (Art. 11)
• Registro y trazabilidad — mecanismos de registro automático de eventos para auditoría. (Art. 12)
• Transparencia — información clara sobre funcionamiento, limitaciones y condiciones de uso. (Art. 13)
• Supervisión humana — diseño que permita intervención humana efectiva. (Art. 14)
• Seguridad y precisión — estándares elevados de precisión, robustez y ciberseguridad. (Art. 15)

Modelos de IA de propósito general (GPAI)

El AI Act introduce obligaciones específicas para los modelos de IA de propósito general como los grandes modelos generativos: documentación técnica del modelo, resumen del contenido utilizado para entrenamiento y cumplimiento de normativa de derechos de autor. Los modelos de riesgo sistémico tienen obligaciones adicionales de evaluación y seguridad.

Sanciones

El régimen sancionador es uno de los más estrictos del derecho tecnológico europeo: hasta 35 millones de euros o el 7 % del volumen de negocios mundial anual para las infracciones más graves (sistemas prohibidos), hasta 15 millones o el 3 % para incumplimiento de obligaciones regulatorias, y hasta 7,5 millones o el 1 % por información incorrecta a autoridades.

Calendario de aplicación

• 2024 — Entrada en vigor del reglamento.
• Febrero 2025 — Aplicación de prohibiciones sobre sistemas de riesgo inaceptable.
• Agosto 2025 — Aplicación de normas a modelos de IA de propósito general.
• Agosto 2026 — Aplicación plena de obligaciones para sistemas de alto riesgo.
• 2027 — Aplicación completa para determinados sistemas integrados en productos regulados.

Impacto para empresas españolas

Están especialmente afectadas las empresas tecnológicas, fintech, recursos humanos, sector sanitario, industria y logística y administraciones públicas. Las organizaciones deberán adoptar estrategias de gobernanza de IA que incluyan evaluación jurídica de sistemas, auditorías algorítmicas, compliance tecnológico y formación interna. Además será necesario coordinar el Reglamento de IA con el RGPD, el Reglamento de Servicios Digitales y la Directiva (UE) 2024/2853 sobre responsabilidad por los daños causados por productos defectuosos, que incluye expresamente el software y los sistemas de IA y cuyo plazo de transposición vence en diciembre de 2026. La propuesta de directiva específica sobre responsabilidad en materia de IA fue retirada por la Comisión Europea.