Reglamento Europeo de IA: qué obligaciones ya se aplican a las empresas

El 2 de agosto de 2026 marcó una nueva fase en la aplicación del Reglamento Europeo de Inteligencia Artificial. Desde esa fecha se aplican nuevas obligaciones de transparencia y las autoridades europeas y nacionales han asumido competencias de supervisión y ejecución.

Esto no significa que todas las empresas tengan que cumplir las mismas exigencias ni que cualquier herramienta de IA sea de alto riesgo. El Reglamento utiliza un enfoque basado en el riesgo y diferencia también entre quienes desarrollan, comercializan, importan o utilizan un sistema.

La primera decisión práctica no consiste en leer una lista genérica de requisitos, sino en saber qué sistemas utiliza la organización, para qué los emplea y qué papel ocupa en cada caso.

El 2 de agosto de 2026 no empezó todo

La aplicación del Reglamento se ha distribuido en varias fechas y el calendario fue actualizado en julio de 2026 mediante el Reglamento Ómnibus de IA. Los principales hitos son:

• 1 de agosto de 2024: entrada en vigor del Reglamento de Inteligencia Artificial.
• 2 de febrero de 2025: aplicación de las prácticas prohibidas y de las disposiciones sobre alfabetización en IA.
• 2 de agosto de 2025: aplicación de las reglas de gobernanza y de las obligaciones para proveedores de modelos de IA de uso general.
• 2 de agosto de 2026: aplicación general del Reglamento, nuevas obligaciones de transparencia y comienzo de las competencias de supervisión y ejecución.
• 2 de diciembre de 2027: aplicación de las reglas para sistemas de alto riesgo incluidos en el anexo III, como determinados usos en empleo, educación, infraestructuras críticas o servicios esenciales.
• 2 de agosto de 2028: aplicación de las reglas para sistemas de alto riesgo integrados en productos regulados, como maquinaria, juguetes o ascensores.

Un enfoque basado en el riesgo

El Reglamento no regula todos los usos de IA con la misma intensidad. Distingue entre prácticas prohibidas, sistemas sujetos a transparencia, sistemas de alto riesgo y usos de riesgo mínimo o nulo.

Muchas herramientas empresariales habituales pueden quedar en categorías de riesgo limitado o mínimo, pero eso no elimina otras obligaciones. Un chatbot puede necesitar informar claramente de que el usuario está interactuando con una máquina. Un contenido sintético puede requerir marcado técnico o una etiqueta visible. Y una herramienta aplicada a selección de personal puede entrar en una categoría muy diferente.

La clasificación depende de la finalidad prevista y del uso real, no únicamente de la tecnología o del nombre comercial del producto.

La primera tarea: identificar el papel de la empresa

Las obligaciones cambian según la posición que ocupa cada organización en la cadena de valor. Una misma empresa puede desempeñar más de un papel:

• Proveedor: desarrolla un sistema de IA, o encarga su desarrollo, y lo comercializa o pone en servicio bajo su propio nombre o marca.
• Responsable del despliegue: utiliza un sistema de IA bajo su autoridad en el marco de una actividad profesional.
• Importador o distribuidor: introduce o comercializa en la Unión Europea un sistema proporcionado por otra entidad.
• Fabricante de producto: integra un sistema de IA en un producto regulado y lo comercializa bajo su nombre o marca.

Contratar una herramienta externa no convierte automáticamente a la empresa en su proveedor. Sin embargo, utilizarla profesionalmente sí puede situarla como responsable del despliegue, con responsabilidades propias que no se trasladan por completo al fabricante.

Qué obligaciones ya deben revisar muchas empresas

El alcance exacto depende de cada sistema, pero hay cuatro áreas que ya merecen una revisión prioritaria.

• Prácticas prohibidas: deben descartarse usos incluidos en el artículo 5, como determinadas técnicas manipuladoras, sistemas de puntuación social y ciertos tratamientos biométricos. La lista y sus excepciones requieren una evaluación específica.
• Alfabetización en IA: proveedores y responsables del despliegue deben adoptar medidas para apoyar la formación de las personas que utilizan u operan los sistemas. No se exige garantizar un nivel individual concreto ni obtener un certificado específico.
• Transparencia: determinados sistemas interactivos deben informar de que la persona está tratando con una IA. También existen obligaciones de marcado para contenido sintético y de información visible en casos como ultrafalsificaciones, reconocimiento de emociones o determinados textos sobre asuntos de interés público.
• Gobernanza y supervisión: desde agosto de 2026 las autoridades competentes pueden supervisar y exigir el cumplimiento de las disposiciones ya aplicables. Disponer de responsables, documentación y evidencias deja de ser una preparación puramente voluntaria.

Qué conviene preparar aunque el sistema sea de alto riesgo

Las obligaciones específicas para los sistemas de alto riesgo se aplicarán más adelante, pero no conviene posponer todo el trabajo hasta esas fechas. La clasificación, los contratos, la calidad de los datos y la trazabilidad no se resuelven de un día para otro.

Entre los elementos que deberán poder acreditarse se encuentran la gestión de riesgos, la documentación técnica, el registro de actividad, la calidad de los datos, la supervisión humana, la precisión, la robustez y la ciberseguridad. La responsabilidad concreta dependerá de si la empresa es proveedora, responsable del despliegue u otro operador.

Además, el Reglamento de IA no sustituye otras normas. La protección de datos, la seguridad de la información, los derechos laborales, la propiedad intelectual y la normativa sectorial pueden seguir siendo aplicables al mismo proyecto.

Un plan práctico en seis pasos

• Inventariar los sistemas. Incluir herramientas contratadas, desarrollos internos, funciones de IA integradas en software y pruebas piloto que ya utilicen datos reales.
• Definir finalidad y responsables. Documentar para qué se usa cada sistema, quién lo administra y quién revisa sus resultados.
• Identificar el papel y el nivel de riesgo. Separar proveedor, responsable del despliegue y otros operadores, y evaluar cada caso de uso según el Reglamento.
• Revisar transparencia y comunicación. Comprobar avisos al usuario, etiquetado de contenido y cualquier información que deba facilitarse a personas afectadas.
• Formar a los equipos según su función. Adaptar la alfabetización en IA al conocimiento, al contexto de uso y al impacto que el sistema puede tener sobre otras personas.
• Establecer controles y evidencias. Conservar decisiones, fuentes, permisos, validaciones, incidencias y puntos de supervisión humana de manera proporcionada al riesgo.

Cumplir también puede mejorar el proceso

Una gobernanza útil no consiste en acumular documentos. Consiste en aclarar qué datos utiliza un sistema, qué decisiones puede apoyar, quién responde de su funcionamiento y cuándo debe intervenir una persona.

Ese trabajo también ayuda a detectar herramientas duplicadas, accesos innecesarios, procesos sin responsable y automatizaciones que no están produciendo un resultado fiable. El cumplimiento puede convertirse así en una oportunidad para ordenar el uso de la IA y concentrarlo en casos que aporten valor real.

En Ai4G ayudamos a convertir estos principios en soluciones concretas, combinando inventario, datos, automatización, trazabilidad y supervisión humana desde el diseño.