La Ley de IA de la UE: qué significa para la próxima década

La Ley de IA de la UE, el Reglamento (UE) 2024/1689, suele describirse como la primera ley integral que regula la inteligencia artificial según el riesgo que un sistema supone para las personas. Clasifica los usos de la IA en niveles de riesgo, hace recaer la mayoría de las obligaciones en los proveedores de sistemas de alto riesgo, se aplica por etapas entre 2025 y 2028 y obliga a cualquier proveedor que introduzca un sistema en el mercado de la UE, con independencia de dónde esté establecido.

Una ley construida en torno al riesgo, no a la tecnología

Salvo en el caso de los modelos de uso general (véase más abajo), la Ley no regula la tecnología como tal, sino el uso que se da a un sistema y el daño que ese uso podría causar. Los sistemas se clasifican en cuatro niveles:

• una lista breve de prácticas prohibidas
• una lista más larga de usos de alto riesgo
• obligaciones de transparencia para los sistemas que interactúan con personas o generan contenido
• un amplio grupo restante sujeto únicamente a la obligación de alfabetización en IA del personal

El mismo modelo de lenguaje es de riesgo mínimo cuando redacta un boletín y forma parte de un sistema de alto riesgo cuando clasifica candidaturas a un empleo. El riesgo se asocia sobre todo a la finalidad prevista, no al código.

Prácticas prohibidas y usos de alto riesgo

Las prohibiciones originales se aplican desde el 2 de febrero de 2025. Incluyen la puntuación social que da lugar a un trato perjudicial injustificado, las técnicas manipuladoras que causan un daño significativo, la extracción no selectiva de imágenes faciales para crear bases de datos de reconocimiento facial y el reconocimiento de emociones en los lugares de trabajo y en los centros educativos, salvo con fines médicos o de seguridad. La identificación biométrica remota en tiempo real en espacios de acceso público con fines policiales está prohibida, con excepciones muy acotadas. La modificación de 2026 añadió dos prohibiciones más, aplicables a partir del 2 de diciembre de 2026: los sistemas de IA que generan o manipulan imágenes, vídeos o audios realistas de carácter íntimo o sexualmente explícito de una persona identificable sin su consentimiento explícito, y los sistemas de IA que generan o manipulan material de abuso sexual de menores. Las infracciones conllevan las multas más altas de la Ley: hasta 35 millones de euros o el 7 por ciento del volumen de negocios anual mundial, si esta cifra es superior.

La condición de alto riesgo surge de dos maneras. Un componente de seguridad de un producto cubierto por la legislación de la UE sobre productos que enumera la Ley, como un producto sanitario o un ascensor, es de alto riesgo si esa legislación exige una evaluación de la conformidad por terceros, y sigue el procedimiento de conformidad previsto para el producto. Los sistemas independientes utilizados para los fines enumerados en ocho ámbitos son de alto riesgo por defecto:

• biometría
• infraestructuras críticas
• educación
• empleo
• servicios esenciales (incluidas la calificación crediticia y los seguros de vida y de salud)
• aplicación de la ley
• migración, asilo y control fronterizo
• administración de justicia y procesos democráticos

La corrección de exámenes y las decisiones sobre prestaciones sociales son ejemplos típicos.

Obligaciones de proveedores y responsables del despliegue

Un proveedor desarrolla un sistema y lo comercializa con su propio nombre; un responsable del despliegue lo utiliza en el marco de su actividad profesional. La mayoría de las obligaciones recaen en los proveedores de sistemas de alto riesgo, que deben:

• aplicar un proceso documentado de gestión de riesgos a lo largo de todo el ciclo de vida del sistema
• garantizar la gobernanza de los datos de entrenamiento, validación y prueba, incluido su examen para detectar sesgos
• elaborar la documentación técnica e incorporar el registro automático de eventos
• diseñar el sistema de modo que permita la supervisión humana y garantice la precisión, la robustez y la ciberseguridad
• realizar una evaluación de la conformidad (normalmente interna), colocar el marcado CE y registrar los sistemas independientes en la base de datos de la UE

Los responsables del despliegue deben seguir las instrucciones de uso, encomendar la supervisión a personas competentes con autoridad para intervenir, conservar los registros, informar a las personas cuando un sistema de este tipo interviene en decisiones que les afectan, e informar a los trabajadores y a sus representantes antes de utilizarlo en el trabajo. Los organismos públicos, los operadores privados de servicios públicos y los responsables del despliegue que utilicen sistemas de alto riesgo para la calificación crediticia o los seguros de vida y de salud deben evaluar primero el impacto sobre los derechos fundamentales.

Las pruebas para detectar sesgos suelen requerir atributos sensibles, como el origen étnico o el estado de salud, cuyo uso restringe la legislación de protección de datos. Desde la modificación de 2026, el artículo 4a de la Ley permite tratar esos datos para detectar y corregir sesgos, ya no solo en los sistemas de alto riesgo, con salvaguardias y solo cuando no basten los datos sintéticos, anonimizados u otros. Determinar si bastan es una cuestión técnica, examinada en el informe técnico de la Fundación sobre datos sintéticos, anonimizados y con privacidad diferencial para la detección de sesgos.

El calendario y el régimen de la IA de uso general

La Ley se aplica por etapas:

• 1 de agosto de 2024: entrada en vigor
• 2 de febrero de 2025: las prohibiciones originales y la obligación de alfabetización en IA
• 2 de agosto de 2025: las obligaciones para los modelos de IA de uso general
• 2 de agosto de 2026: la mayoría de las demás normas, incluidas las obligaciones de transparencia para los sistemas que interactúan con personas o generan contenido
• 2 de diciembre de 2026: las dos prohibiciones añadidas en 2026 y la obligación de marcado del contenido generado por IA para los sistemas generativos introducidos en el mercado antes del 2 de agosto de 2026
• 2 de diciembre de 2027: la mayoría de las obligaciones de alto riesgo (originalmente, el 2 de agosto de 2026)
• 2 de agosto de 2028: las obligaciones de alto riesgo para la IA integrada en productos cubiertos por la legislación de la UE sobre productos (originalmente, el 2 de agosto de 2027)

En noviembre de 2025, la Comisión Europea propuso modificaciones, el ómnibus digital sobre IA; el Parlamento y el Consejo las adoptaron, con cambios, como Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026.

Los proveedores de modelos de uso general, aquellos que pueden adaptarse a muchas tareas, deben mantener la documentación técnica, informar a los desarrolladores que crean sistemas a partir de ellos, adoptar una política de derechos de autor y publicar un resumen del contenido utilizado para el entrenamiento. Los modelos con riesgo sistémico están sujetos además a obligaciones de evaluación, mitigación de riesgos, notificación de incidentes y ciberseguridad. El Código de buenas prácticas para la IA de uso general, publicado en 2025, ofrece una vía voluntaria para demostrar el cumplimiento; la Oficina Europea de IA, dentro de la Comisión, hace cumplir estas normas.

Por qué los efectos llegan más allá de Europa

Tres mecanismos proyectan la Ley al exterior. El ámbito de aplicación: obliga a cualquier proveedor que introduzca un sistema en el mercado de la UE, con independencia de dónde esté establecido, y a los proveedores y responsables del despliegue de terceros países cuando los resultados de su sistema se utilizan en la Unión. La economía: muchas empresas prefieren una única versión global de un producto, de modo que una norma estricta en un mercado grande puede convertirse en la opción por defecto en otros lugares, un patrón conocido como efecto Bruselas y muy comentado tras el RGPD. La normalización: las normas europeas armonizadas, una vez publicadas sus referencias en el Diario Oficial de la Unión Europea, conferirán una presunción de conformidad con los requisitos de alto riesgo, y las prácticas que codifican pueden viajar con los productos.

Junto a la Ley se sitúan los Principios de la OCDE sobre IA, el Marco de gestión de riesgos de la IA del NIST, la norma ISO/IEC 42001 y el Convenio Marco del Consejo de Europa sobre Inteligencia Artificial. La próxima década mostrará si estos marcos convergen en evidencias técnicas compartidas o se fragmentan en requisitos documentales incompatibles.

Qué vigilar y qué hacer ahora

Quedan cuestiones abiertas: con qué rapidez llegarán las normas armonizadas, cómo se interpretarán en la práctica las excepciones a la clasificación de alto riesgo y cómo interactúa el derecho a una explicación que establece la Ley con el artículo 22 del RGPD.

Cualquier escuela, municipio, ONG o pequeña empresa puede empezar ya: hacer un inventario de los sistemas de IA que utiliza, preguntarse cuáles afectan a alguno de los ámbitos de alto riesgo enumerados, pedir documentación a los proveedores, designar a la persona responsable de la supervisión y formar al personal, una obligación que ya se aplica. Las personas obtienen protecciones legales: saber cuándo interactúan con un sistema de IA, recibir una explicación de las decisiones significativas basadas en un sistema de alto riesgo y disponer de una vía de reclamación ante una autoridad de vigilancia del mercado. La Fundación investiga las evidencias técnicas que exigen estas normas y publica sus resultados en forma de informes técnicos y análisis.

En resumen

La Ley de IA de la UE (Reglamento (UE) 2024/1689) se describe como la primera ley integral que regula la IA según el riesgo para las personas. Clasifica los usos en niveles de riesgo, impone la mayoría de las obligaciones a los proveedores de alto riesgo y se aplica por etapas de 2025 a 2028. Obliga a todo proveedor que comercialice un sistema en la UE, esté donde esté.

Preguntas frecuentes

¿Cuáles son los niveles de riesgo de la Ley de IA de la UE?

La Ley de IA de la UE clasifica los sistemas en cuatro niveles: una lista breve de prácticas prohibidas, una lista más larga de usos de alto riesgo, obligaciones de transparencia para los sistemas que interactúan con personas o generan contenido, y un amplio grupo restante sujeto únicamente a la obligación de alfabetización en IA del personal. El riesgo se asocia sobre todo a la finalidad prevista, no al código.

¿Qué prácticas de IA prohíbe la Ley de IA de la UE?

Las prohibiciones originales, vigentes desde el 2 de febrero de 2025, incluyen la puntuación social que causa un trato perjudicial injustificado, las técnicas manipuladoras que causan un daño significativo, la extracción no selectiva de imágenes faciales para crear bases de reconocimiento facial y el reconocimiento de emociones en el trabajo y en centros educativos, salvo fines médicos o de seguridad. Otras dos, añadidas en 2026, se aplican desde el 2 de diciembre de 2026.

¿Qué se considera un sistema de IA de alto riesgo según la Ley de IA de la UE?

El alto riesgo surge de dos maneras. El componente de seguridad de un producto cubierto por la legislación de la UE enumerada, como un producto sanitario o un ascensor, es de alto riesgo si esa legislación exige evaluación de la conformidad por un tercero. Los sistemas autónomos usados con los fines de ocho ámbitos lo son por defecto, entre ellos biometría, educación, empleo, aplicación de la ley y servicios esenciales como la calificación crediticia.

¿Cuándo se aplican las normas de la Ley de IA de la UE?

Entró en vigor el 1 de agosto de 2024. Rigen desde el 2 de febrero de 2025 las prohibiciones originales y la alfabetización en IA; desde el 2 de agosto de 2025, la IA de uso general; y desde el 2 de agosto de 2026, la mayoría del resto. Las obligaciones de alto riesgo, en su mayoría, desde el 2 de diciembre de 2027, y las de la IA en productos regulados, desde el 2 de agosto de 2028.

¿Se aplica la Ley de IA de la UE a empresas de fuera de la UE?

Sí. La Ley obliga a cualquier proveedor que introduzca un sistema en el mercado de la UE, esté donde esté, y a proveedores y responsables del despliegue de fuera de la Unión cuyos resultados se usen en ella. Además, muchas empresas prefieren una única versión global del producto, así que una norma estricta en un mercado grande puede volverse la predeterminada en otros, el llamado efecto Bruselas.

Cómo citar Fundación LASTHUMAN. (2026, 15 de octubre). La Ley de IA de la UE: qué significa para la próxima década. https://lasthuman.today/es/insights/eu-ai-act-next-decade.html