EU AI Act: ¿Qué es la Ley de IA de la Unión Europea?

La Unión Europea acaba de convertirse en el primer territorio del mundo con una regulación integral sobre inteligencia artificial. No es un libro blanco ni una recomendación: es una norma vinculante con plazos, sanciones y obligaciones.

Desde que el EU AI Act entró en vigor, hemos visto dos reacciones habituales en las empresas: las que creen que no les afecta, y las que creen que es demasiado complejo para abordarlo ahora. Ninguna de las dos es la correcta.

Esta regulación afecta a prácticamente cualquier organización que opere con IA en Europa, y actuar tarde tiene un coste real. La buena noticia es que entender el EU AI Act es más asequible de lo que parece si sabes por dónde empezar.

El Reglamento (UE) 2024/1689 nació de una constatación sencilla: la inteligencia artificial avanzaba a una velocidad que los marcos regulatorios existentes no podían cubrir. El RGPD protege datos personales. Las directivas de seguridad de productos cubren bienes físicos. Pero ninguna norma regulaba los sistemas de IA en sí mismos: cómo se diseñan, qué sesgos incorporan, cómo toman decisiones sobre personas. 

La Comisión Europea presentó la primera propuesta en abril de 2021. Tres años de negociaciones entre el Parlamento Europeo, el Consejo y la Comisión dieron lugar al texto definitivo, publicado en el Diario Oficial de la UE en julio de 2024. Entró en vigor el 1 de agosto de ese año. 

La ley de la IA tiene tres objetivos declarados: 

La Unión Europea asume que regular bien puede ser una ventaja competitiva a largo plazo frente a mercados sin reglas claras. 

El AI Act no está pensado solo para las grandes tecnológicas. Alcanza a cualquier empresa que desarrolle o utilice sistemas de IA en su actividad profesional dentro del territorio europeo, con independencia de su tamaño o sector. 

La norma distingue entre dos tipos de actores principales: 

El aspecto que más sorprende a las empresas cuando lo ven por primera vez es que la clasificación de riesgo depende del uso concreto que se hace del sistema, no de la tecnología en sí.  

Un mismo modelo puede ser de riesgo mínimo en un contexto y de alto riesgo en otro. Microsoft puede tener Copilot perfectamente documentado como herramienta de propósito general. Pero si una empresa lo integra en su proceso de evaluación del rendimiento de empleados o en decisiones de acceso a crédito, esa empresa acaba de convertir ese sistema en algo de alto riesgo. Y las obligaciones que eso conlleva recaen sobre ella, no sobre Microsoft. 

La norma también aplica a empresas fuera de la UE si sus sistemas o los resultados de esos sistemas se utilizan dentro del territorio europeo. 

El corazón del AI Act es su sistema de clasificación por riesgo. Las obligaciones que aplican a una empresa dependen directamente del nivel asignado a cada sistema que desarrolla o utiliza. 

Hay ocho categorías de sistemas directamente prohibidos desde febrero de 2025. La lógica es que representan una amenaza tan clara para los derechos y valores europeos que no tienen cabida en el mercado bajo ninguna condición. Entre ellos figuran:

La prohibición no admite matices. Las sanciones por operar estos sistemas son las más elevadas del régimen. 

Esta es la categoría que más empresas ignoran pensando que no les corresponde, y es un error que puede salir caro. El Reglamento define como de alto riesgo los sistemas que forman parte de productos regulados por legislación europea específica, como dispositivos médicos o maquinaria, y los que se utilizan en ocho ámbitos concretos recogidos en el Anexo III. 

Esos ámbitos son: infraestructuras críticas, educación y formación profesional, empleo y gestión de recursos humanos (selección, evaluación, promoción), servicios públicos y privados esenciales como el scoring crediticio o el acceso a prestaciones, aplicación de la ley, control de fronteras, administración de justicia y procesos electorales. 

Una aclaración importante: no todo sistema de IA usado en estos sectores es automáticamente de alto riesgo. El criterio es que tenga un impacto significativo en decisiones que afecten a personas. Cuando lo tiene, las obligaciones son extensas. Gestión continua de riesgos, gobernanza rigurosa de los datos de entrenamiento, documentación técnica completa, mecanismos de supervisión humana, trazabilidad y evaluación de conformidad antes de la puesta en mercado. 

En este nivel están los chatbots, los generadores de contenido sintético y los sistemas de reconocimiento de emociones. No tienen las cargas de los sistemas de alto riesgo, pero sí una obligación concreta de transparencia.

Cualquier persona que interactúe con un sistema de IA debe saber que está hablando con una máquina, salvo que sea obvio por el contexto. Los sistemas que generan imágenes, audio o vídeo manipulado tienen que indicarlo explícitamente. 

Los filtros de spam, los motores de recomendación de contenido, las herramientas de traducción automática y los videojuegos con IA caen aquí. No tienen obligaciones regulatorias específicas bajo el AI Act, aunque deben cumplir el resto de la legislación aplicable. Los proveedores pueden adherirse voluntariamente a códigos de conducta si quieren acreditar un nivel de responsabilidad adicional. 

El AI Act crea un régimen propio para los modelos de IA de propósito general: sistemas como GPT-4, Claude, Gemini o Llama, capaces de realizar tareas muy distintas e integrarse en múltiples aplicaciones. La regulación de estos modelos reconoce que son una capa diferente al sistema que los despliega, y que tienen sus propias implicaciones. 

Desde agosto de 2025, los proveedores de estos modelos tienen obligaciones concretas. Deben establecer políticas de respeto a la legislación de derechos de autor de la UE y publicar resúmenes detallados de los conjuntos de datos usados en el entrenamiento. Los modelos que superan el umbral de 10²⁵ FLOPs de cómputo tienen obligaciones adicionales por clasificarse como de riesgo sistémico: notificación a la Comisión Europea, evaluaciones de seguridad, documentación de los riesgos identificados y reporte de incidentes graves a la AI Office de la UE. 

Para las empresas que usan estos modelos a través de APIs o integraciones, las obligaciones principales recaen sobre el proveedor del modelo. Pero el desplegador mantiene sus propias obligaciones de transparencia. Y si usa esos modelos para apoyar decisiones de alto riesgo, entra en esa categoría con todas sus exigencias. 

El AI Act tiene un despliegue escalonado que conviene entender bien. Especialmente porque los titulares de principios de 2026 sobre un supuesto frenazo generaron una lectura equivocada en muchas organizaciones. 

Lo que ocurrió en marzo de 2026 fue que el Consejo de la UE acordó ampliar los plazos para los sistemas de alto riesgo del Anexo III dentro del paquete Digital Omnibus. Esa propuesta todavía tiene que pasar por el Parlamento Europeo y el Consejo, y no está aprobada. Más relevante aún: el Artículo 4, que obliga a garantizar alfabetización en IA para todo el personal que trabaje con sistemas de IA, no se ha tocado. Su plazo sigue siendo agosto de 2026. 

El régimen sancionador del AI Act es graduado y en sus tramos más altos supera al RGPD. 

Para pymes y startups, el Artículo 99 establece proporcionalidad: la sanción aplicable es el menor de los dos importes posibles, no el mayor como en el régimen general. Aun así, un 3% de la facturación puede ser un golpe muy serio para cualquier empresa mediana. 

Las multas no son la única consecuencia posible. Las autoridades pueden ordenar la retirada del mercado de sistemas no conformes y prohibir su uso de forma temporal o permanente. En España, la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña, es la autoridad nacional designada. Tiene competencias sancionadoras activas desde febrero de 2025. 

Hay una diferencia importante entre las empresas que están pensando en usar IA y las que ya están en mitad de ese proceso. Para las segundas, el AI Act no es una amenaza futura. Es una variable que afecta a decisiones que ya están tomando ahora mismo. 

Si estás seleccionando una herramienta de RRHH con componentes de IA, la clasificación de riesgo debería ser parte del criterio de compra, igual que el precio o la integración técnica. Si estás construyendo un asistente interno sobre un modelo de lenguaje, el contexto de uso determina si hay obligaciones de transparencia activas desde el primer día. Si estás automatizando decisiones sobre clientes, necesitas saber si eso cruza el umbral de alto riesgo antes de ponerlo en producción, no seis meses después. 

El problema real no suele ser la multa. Es construir sobre una base que luego hay que desmontar. Documentación técnica que no existe, supervisión humana que no se diseñó desde el principio, datos de entrenamiento sin trazabilidad. Corregirlo a posteriori siempre cuesta más. Y en proyectos de IA ese coste no es solo económico: es tiempo perdido, confianza interna erosionada y decisiones de arquitectura que no tienen vuelta atrás. 

Hay también una lectura positiva que vale la pena hacer. Las empresas que gestionan bien el cumplimiento del AI Act pueden acreditar ante clientes y socios que sus sistemas son auditables, transparentes y conformes con la regulación europea. En sectores donde la confianza es un activo real, banca, salud, industria regulada o servicios públicos, eso se convierte en ventaja competitiva. No como argumento de marketing, sino como hecho verificable. 

El orden lógico es siempre el mismo.  

No es un proceso complejo en concepto. Lo difícil es hacerlo bien, con criterio técnico y regulatorio combinado, sobre la realidad concreta de cada organización, y con alguien que pueda acompañar el proceso más allá del diagnóstico inicial. 

Para acompañar exactamente ese proceso hemos desarrollado una metodología propia que parte de un diagnóstico riguroso de madurez en IA que lleva a la organización hasta la adopción operativa de sus equipos, con el cumplimiento del EU AI Act integrado en cada fase.  

Es un proceso ejecutable que termina con un Plan Director real, formación personalizada para las personas que van a trabajar con IA y un módulo de Compliance que cubre el inventario de sistemas, la clasificación de riesgo y el seguimiento continuo de obligaciones.  

Si tu organización está en medio de un proyecto de IA o está valorando empezar uno, entender primero qué implica regulatoriamente evita decisiones que luego no tienen vuelta atrás.