Qué le pide la ley de IA a una empresa que la usa, y qué no
Kevin Berbel · 27/10/2026
Tres obligaciones hoy, una cuarta en 2027 y ningún certificado
Si vuestra empresa usa inteligencia artificial —no si la fabrica—, el Reglamento europeo le pide hoy tres cosas concretas, y una cuarta desde diciembre de 2027 si la usa para decidir sobre personas. Con el texto en vigor desde el Ómnibus de julio de 2026 y la fuente oficial de cada fecha.
La ley europea de inteligencia artificial —el Reglamento (UE) 2024/1689, el AI Act— le pide hoy a una empresa que usa IA tres cosas: no usarla para ninguna práctica prohibida, tomar medidas para que su equipo sepa usarla y conseguir que la gente sepa cuándo habla con una máquina o ve un contenido falso generado por IA. Las obligaciones de alto riesgo, que son las que asustan, solo tocan a quien usa IA para decidir sobre personas (contratar, evaluar a un trabajador, conceder un crédito) y no se aplican hasta el 2 de diciembre de 2027. No hace falta certificado, ni un responsable de IA, ni registrarse en ningún sitio.
Puntos clave
Prácticas prohibidas, desde febrero de 2025
Nada de IA que manipule a las personas, las puntúe por su conducta o lea sus emociones en el trabajo. Desde el 2 de diciembre de 2026, tampoco la que fabrique desnudos sin consentimiento.
Formar al equipo, sin nivel ni certificado
Hay que tomar medidas para que cada persona sepa usar la IA que usa. Desde el 27 de julio de 2026 no se exige un nivel concreto, y la Comisión acepta un registro interno.
Avisar, desde el 2 de agosto de 2026
Quien hable con un chatbot tiene que saber que es una máquina, y los deepfakes se declaran. Un texto solo se etiqueta si informa al público y nadie lo ha revisado.
Alto riesgo, desde el 2 de diciembre de 2027
Solo si la IA selecciona personal, evalúa a trabajadores, decide un crédito u otro uso de la lista del anexo III.
Antes de todo, el inventario
La ley no lo pide con ese nombre, pero sin saber qué IA se usa y para qué no se puede cumplir nada de lo anterior.
Actualizado el 16 de octubre de 2026. El Reglamento cambió el 27 de julio de 2026, cuando entró en vigor el Ómnibus digital sobre IA, el Reglamento (UE) 2026/1744. Mucho de lo que circula se escribió antes y sigue dando fechas y exigencias que ya no valen. Cada dato de este artículo está leído ese día en la fuente oficial, enlazada en su apartado.
Primero, el inventario: qué IA usáis y para qué
El Reglamento distingue dos papeles. El proveedor es quien desarrolla un sistema de IA, o lo encarga, y lo pone en marcha con su nombre o su marca. El responsable del despliegue es quien lo usa bajo su autoridad, salvo que sea para algo personal y no profesional. Una empresa que usa ChatGPT, Copilot, Gemini, un transcriptor de reuniones o un CRM con IA es responsable del despliegue de todos ellos.
La Comisión empieza por ahí su guía sobre formación: qué IA se usa en la organización, si la desarrolla o solo la usa y qué riesgos tiene cada herramienta. Sin esa lista no se puede saber si algo está prohibido, a quién hay que formar ni si alguna herramienta es de alto riesgo.
En una empresa de 20 a 250 personas suele bastar una hoja con cinco columnas: herramienta, quién la usa, para qué, qué datos se le meten y si interviene en alguna decisión sobre personas. La última columna es la que dice si os toca el apartado 4.
Un caso aparte: si os han hecho un chatbot o un agente a medida y funciona con vuestro nombre, el Reglamento puede consideraros su proveedor, no solo quien lo usa. Eso cambia lo que os toca en el apartado 3.
Las definiciones de proveedor y responsable del despliegue, en el texto del Reglamento: artículo 3 del Reglamento de IA (AI Act Service Desk, Comisión Europea)
1 · Lo que está prohibido, desde el 2 de febrero de 2025
El artículo 5 prohíbe unas pocas prácticas a cualquiera que las use, sea cual sea su tamaño. Casi ninguna tiene que ver con una pyme, pero algunas pueden venir dentro de una herramienta comprada sin que nadie lo haya pensado:
Leer emociones en el trabajo
Sistemas que deducen las emociones de una persona en el trabajo o en un centro educativo, salvo por motivos médicos o de seguridad. Por ejemplo, una herramienta que analiza la voz o la cara del equipo para saber cómo se siente.
Manipular o aprovecharse de alguien
IA con técnicas subliminales, manipuladoras o engañosas, o que se aprovecha de la edad, una discapacidad o una situación social o económica, para cambiar decisiones de forma que cause un perjuicio importante.
Puntuar a las personas por su conducta
Clasificar a personas por su comportamiento o su personalidad a lo largo del tiempo para tratarlas peor en otro contexto, o de forma desproporcionada.
Deducir datos sensibles por la biometría
Usar la cara u otros datos biométricos para deducir la raza, las opiniones políticas, la afiliación sindical, las creencias o la orientación sexual de alguien.
Bases de caras sacadas de internet
Crear o ampliar bases de reconocimiento facial copiando de forma indiscriminada imágenes de internet o de cámaras de vigilancia.
Desnudos y abusos generados, desde el 2 de diciembre de 2026
Generar o manipular imágenes, vídeo o audio realistas de las partes íntimas de una persona identificable, o de esa persona en actividades sexuales, sin su consentimiento explícito, y cualquier material de abuso sexual infantil. Son las dos prohibiciones que añadió el Ómnibus.
Completan la lista la predicción de delitos basada solo en el perfil de una persona y la identificación biométrica en tiempo real en espacios públicos con fines policiales.
Es lo más caro del Reglamento: hasta 35 millones de euros o el 7 % de la facturación mundial anual, lo que sea mayor. Para las pymes, incluidas las startups, el techo es lo que sea menor de las dos cifras.
El artículo 5, con las dos prohibiciones nuevas marcadas: artículo 5 del Reglamento de IA, versión consolidada
Ejemplos de lo que entra y lo que no: directrices de la Comisión sobre prácticas de IA prohibidas
2 · Formar al equipo, y que quede constancia
El artículo 4 se aplica desde el 2 de febrero de 2025. Pide a quien usa IA que tome medidas para que su personal, y quien la maneje en su nombre, sepa usarla, teniendo en cuenta lo que ya sabe cada persona, para qué se usa la IA y sobre quién se usa.
El Ómnibus lo reescribió el 27 de julio de 2026. La obligación sigue, pero el texto anterior hablaba de garantizar «un nivel suficiente» de alfabetización en IA, y el nuevo añade esta frase:
“Esta obligación no exige que los proveedores o los responsables del despliegue garanticen un nivel específico de alfabetización en materia de IA de ninguna persona en particular.”
— Reglamento (UE) 2024/1689, art. 4.1, tras el Reglamento (UE) 2026/1744
La Comisión, en sus preguntas frecuentes, concreta tres cosas que interesan a cualquier dirección. No hace falta ningún certificado: vale un registro interno de las formaciones. No hay que nombrar un responsable de IA ni montar un comité. Y quien usa la IA para algo sencillo, como traducir, también tiene que conocer sus riesgos, por ejemplo que se invente cosas.
Qué apuntar no lo fija nadie. Nosotros recomendamos lo mínimo que sirve si alguien lo pregunta: fecha, quién asistió, qué se vio y sobre qué herramientas. Y repetirlo cuando entra alguien nuevo o cambia la herramienta.
¿Y si no se hace? El Reglamento no fija un importe máximo para este artículo, a diferencia de las prohibiciones o la transparencia, y deja a cada país las normas de sanción. Las autoridades nacionales lo supervisan desde agosto de 2026. En España, el proyecto de ley que iba a fijar esas sanciones no lo mencionaba, y caducó en octubre: lo contamos más abajo.
Si la IA es de alto riesgo hay un paso más: desde diciembre de 2027, quien la supervise tendrá que tener la competencia, la formación y la autoridad necesarias (artículo 26).
Las preguntas frecuentes de la Comisión sobre alfabetización en IA: AI literacy, questions and answers (Comisión Europea, en inglés)
El texto del Ómnibus, en español: Reglamento (UE) 2026/1744 en el Diario Oficial de la Unión Europea
3 · Avisar: chatbots, deepfakes y textos, desde el 2 de agosto de 2026
El artículo 50 se aplica desde el 2 de agosto de 2026 y busca que nadie se lleve a engaño. Para una empresa que usa IA se traduce en cuatro situaciones:
Un chatbot o un agente que habla con clientes
La persona tiene que saber que habla con una IA, salvo que sea evidente, como tarde en la primera interacción. El Reglamento se lo pide a quien diseña y pone en marcha el sistema: si es un producto comprado, comprobad que el aviso está activado; si os lo han hecho a medida y lleva vuestro nombre, el aviso es cosa vuestra.
Imagen, audio o vídeo que imita la realidad
Un deepfake, aunque sea para un anuncio, se declara como generado o manipulado. Si es una obra claramente artística, satírica o de ficción, basta con indicarlo sin estropearla.
Textos publicados para informar al público
Solo se etiquetan los que tratan asuntos de interés público y nadie ha revisado a fondo. Una revisión de ortografía no cuenta. Un correo comercial, una propuesta o un artículo que alguien revisa y firma no necesitan etiqueta por este artículo.
Reconocimiento de emociones o categorización biométrica
Donde estén permitidos, hay que informar a las personas expuestas.
La marca técnica que permite detectar que un contenido es sintético, la que va dentro del archivo, la pone quien fabrica la herramienta, no vosotros. Las herramientas que ya estaban en el mercado antes del 2 de agosto de 2026 tienen de plazo hasta el 2 de diciembre de 2026.
Saltarse estas obligaciones puede costar hasta 15 millones de euros o el 3 % de la facturación mundial anual; para una pyme, lo menor de las dos cifras.
Las preguntas frecuentes de la AESIA sobre el artículo 50, en español: FAQs de la AESIA sobre las directrices de transparencia
Las directrices de la Comisión, con los iconos para etiquetar: directrices sobre las obligaciones de transparencia (Comisión Europea)
4 · Alto riesgo: solo si la IA decide sobre personas, y desde diciembre de 2027
Es la parte con más obligaciones y la que más se ha movido. Su fecha inicial era el 2 de agosto de 2026. El Ómnibus la retrasó al 2 de diciembre de 2027 para los usos de la lista del anexo III, y al 2 de agosto de 2028 para la IA que va dentro de productos regulados, como máquinas, ascensores o juguetes.
De la lista del anexo III, lo que suele tocar a una empresa es esto:
Personal
IA para seleccionar candidatos (ofertas de empleo dirigidas, filtrar currículos, evaluar), decidir ascensos o despidos, repartir tareas según el comportamiento o los rasgos de cada uno, o vigilar y evaluar su rendimiento.
Crédito y seguros
Evaluar la solvencia de personas físicas o darles una puntuación de crédito, salvo para detectar fraude, y fijar riesgo y precio en seguros de vida y de salud.
Formación
Decidir el acceso a un centro o a un curso, evaluar resultados o vigilar exámenes.
Biometría e infraestructuras críticas
Identificación biométrica remota, categorización biométrica, reconocimiento de emociones (en el trabajo y en la educación está directamente prohibido) y componentes de seguridad de suministros como el agua, el gas o la electricidad.
Hay una salida: un sistema de esa lista no es de alto riesgo si solo hace una tarea de procedimiento acotada, mejora algo que ya hizo una persona, detecta patrones sin sustituir su valoración o prepara una evaluación que hará otra persona. Nunca vale si elabora perfiles de personas.
Si alguna de vuestras herramientas cae aquí, desde diciembre de 2027 tendréis que usarla según las instrucciones del proveedor, poner a supervisarla a alguien con formación y autoridad, vigilar cómo funciona, guardar sus registros al menos seis meses, avisar a los representantes de los trabajadores antes de usarla en el trabajo e informar a las personas sobre las que decide. Es el artículo 26, y su techo de multa es el mismo que el de la transparencia.
La lista completa de usos de alto riesgo: anexo III del Reglamento de IA
El calendario oficial tras el Ómnibus: AI Act, calendario de aplicación (Comisión Europea)
Las fechas, de un vistazo
1 de agosto de 2024
Entra en vigor el Reglamento. Todavía no obliga a nada.
2 de febrero de 2025
Prácticas prohibidas y formación del equipo.
2 de agosto de 2026
Se aplica casi todo lo demás, incluida la transparencia del artículo 50. Empiezan a supervisar las autoridades nacionales.
2 de diciembre de 2026
Las dos prohibiciones nuevas, y el plazo para que las herramientas que ya existían marquen el contenido sintético.
2 de diciembre de 2027
Alto riesgo de la lista del anexo III: personal, crédito, seguros, formación.
2 de agosto de 2028
Alto riesgo de la IA que va dentro de productos regulados (anexo I).
Quién vigila en España, y la ley que no llegó
El Reglamento es directamente aplicable en toda la Unión: sus prohibiciones y obligaciones valen en España sin necesidad de una ley española. Lo que deja a cada país es quién vigila, quién sanciona y con qué cuantías, dentro de los máximos europeos.
En España, el organismo creado para esto es la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con estatuto desde 2023. La ley que iba a repartir las competencias y fijar las infracciones, el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, se publicó en el Congreso el 12 de junio de 2026. Con la disolución de las Cortes el 6 de octubre, para las elecciones del 29 de noviembre, quedó caducada. Para que haya ley, el próximo Gobierno tendrá que volver a presentarla.
Qué supone eso para una inspección o una multa hoy es una cuestión jurídica, y no la vamos a resolver en un blog. Lo práctico no cambia: lo de los apartados 1, 2 y 3 ya se aplica.
El estado del proyecto, en la web del Congreso: expediente 121/000096 en el Congreso de los Diputados
La disolución de las Cortes, en el BOE: Real Decreto 806/2026, de 5 de octubre
Y las guías de la AESIA, pensadas sobre todo para el alto riesgo: guías de la AESIA para cumplir el Reglamento de IA
Lo que no os pide
Saber qué no toca es igual de útil, porque es lo que más se vende:
Un certificado de formación
La Comisión lo dice tal cual: no hace falta. Vale un registro interno.
Un nivel mínimo de conocimientos
Desde el 27 de julio de 2026, el artículo 4 dice que no hay que garantizar un nivel concreto a nadie.
Un responsable de IA o un comité
Para cumplir el artículo 4 no se exige ninguna estructura de gobierno concreta.
Registrarse por usar ChatGPT o Copilot
La base de datos europea es para sistemas de alto riesgo. La rellenan sus proveedores y, cuando los usan, las administraciones públicas.
Etiquetar todo lo que se escribe con IA
Solo los textos que informan al público sobre asuntos de interés general sin revisión humana. La imagen, el audio y el vídeo que imitan la realidad, sí.
Cumplir ya lo del alto riesgo
Esas obligaciones empiezan el 2 de diciembre de 2027, o el 2 de agosto de 2028 para la IA que va dentro de productos.
Cómo lo resolvemos en el plan de adopción
Este artículo está en el problema del tiempo de la dirección porque el AI Act acaba casi siempre en la mesa de quien dirige: en forma de correo alarmista, de proveedor que vende un certificado o de duda que nadie más se atreve a resolver. Saber qué os toca de verdad cabe en una tarde. El resto se puede delegar.
Los otros tres problemas, y por qué suelen ir juntos: los cuatro problemas de una empresa que ha crecido sin sistema
En nuestro plan de adopción de IA esto no va aparte: entra en el orden de trabajo. En la fase de reglas de uso hacemos el inventario de la IA que ya usáis y decidís qué herramientas se permiten y quién aprueba los usos nuevos. En la fase de datos y ley, la abogada con la que trabajamos forma al equipo y a la dirección: qué no se mete nunca en una IA, de quién es lo que crea, qué responsabilidades asume la empresa y cómo revisar a cada proveedor.
De ahí salen vuestra política de uso aceptable, una lista de comprobación para comprar software de IA y la constancia de la formación, que sirve como registro interno del artículo 4. Las otras fases van de casos de uso, herramientas, formación práctica y medición.
El plan de adopción, en nuestras soluciones: plan de adopción de IA de Riqueza Digital
Y antes de contratar a nadie para esto: qué preguntar a un proveedor de IA antes de firmar
Preguntas frecuentes
¿Cuándo entra en vigor la ley de inteligencia artificial?
Entró en vigor el 1 de agosto de 2024 y se aplica por partes. Las prohibiciones y la formación, desde el 2 de febrero de 2025. La mayor parte, incluida la transparencia, desde el 2 de agosto de 2026. Las dos prohibiciones nuevas, desde el 2 de diciembre de 2026. El alto riesgo del anexo III, desde el 2 de diciembre de 2027, y el de los productos del anexo I, desde el 2 de agosto de 2028.
¿Es legal usar ChatGPT o Copilot en la empresa?
Sí. El Reglamento no lo prohíbe ni pide permiso. Os toca formar a quien lo usa, no usarlo para nada prohibido y declarar los deepfakes si los publicáis. Los datos personales que se le metan siguen sujetos al RGPD, que es otra norma.
¿Hace falta un certificado de formación en IA?
No. Lo dice la Comisión en sus preguntas frecuentes sobre el artículo 4: vale un registro interno de las formaciones. Desconfiad de quien os venda un certificado como obligatorio.
¿Qué multa hay por no formar al equipo?
El Reglamento no fija un máximo para el artículo 4 y deja las sanciones a cada país. En España, la ley que las iba a fijar caducó el 6 de octubre de 2026 sin aprobarse.
¿Tengo que decir que un texto lo ha escrito una IA?
Solo si lo publicáis para informar al público sobre asuntos de interés general y nadie lo ha revisado a fondo ni responde de él. Una propuesta, un correo o un artículo revisado y firmado no lo necesitan por el AI Act.
Usamos una herramienta con IA para filtrar currículos. ¿Es de alto riesgo?
Lo más probable es que sí: filtrar candidaturas está en la lista del anexo III, salvo que solo haga una tarea de procedimiento acotada y no elabore perfiles. Las obligaciones empiezan el 2 de diciembre de 2027. Hasta entonces, pedid al proveedor sus instrucciones de uso y pensad quién la va a supervisar.
Somos una pyme. ¿Nos aplica igual?
Sí, el Reglamento no exime por tamaño. Lo que cambia es el techo de las multas: para pymes y startups es la menor de las dos cifras, la de euros o la de porcentaje. Y el Ómnibus extendió algunas simplificaciones de las pymes a las pequeñas empresas de mediana capitalización.
¿Sabéis qué IA usa vuestro equipo, y para qué? En una llamada de treinta minutos repasamos lo que usáis y qué os toca de todo esto. Si solo os toca formar al equipo, os lo decimos.
Agenda una llamada