El futuro de la regulación de la IA en Europa

La Ley de IA de la UE está en vigor, pero su funcionamiento en la práctica lo decidirán las normas armonizadas, los códigos de buenas prácticas, las autoridades de supervisión, las sentencias de los tribunales y las revisiones, y una modificación de 2026 ya ha aplazado a 2027 y 2028 las normas sobre los sistemas de alto riesgo.

Un comienzo escalonado

La Ley, el Reglamento (UE) 2024/1689, entró en vigor el 1 de agosto de 2024 y se aplica por etapas. Las prohibiciones de prácticas como la puntuación social y el reconocimiento de emociones en los lugares de trabajo y en los centros educativos se aplican desde el 2 de febrero de 2025, y las obligaciones para los modelos de IA de uso general desde el 2 de agosto de 2025. La mayoría de las obligaciones para los sistemas de alto riesgo debían aplicarse inicialmente desde el 2 de agosto de 2026, y más tarde en el caso de la IA integrada en productos regulados.

Las fechas han cambiado desde entonces. En noviembre de 2025 la Comisión Europea propuso modificaciones, el llamado ómnibus digital; el Parlamento y el Consejo las adoptaron a mediados de 2026 como Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026. Las obligaciones para los usos de alto riesgo enumerados en la Ley se aplicarán ahora a partir del 2 de diciembre de 2027, y para la IA integrada en productos regulados a partir del 2 de agosto de 2028. La modificación añadió además dos prohibiciones, relativas a la IA que genera material íntimo no consentido o material de abuso sexual de menores, que se aplican a partir del 2 de diciembre de 2026. La estructura en sí no ha cambiado.

La lista de alto riesgo abarca usos como el empleo, la educación, los servicios esenciales, la actuación policial y la migración. Los proveedores deben implantar la gestión de riesgos, la gobernanza de datos, la documentación y la supervisión humana, y completar una evaluación de la conformidad, normalmente una autoevaluación. Los organismos públicos, y algunos responsables del despliegue del sector privado, como los que prestan servicios públicos o evalúan la solvencia crediticia, deben evaluar previamente el impacto sobre los derechos fundamentales.

Normas y códigos: donde se escriben los detalles

La Ley fija los requisitos en términos generales; qué significa una gobernanza de datos adecuada o una supervisión humana suficiente se concreta en gran medida en las normas armonizadas, elaboradas por los organismos de normalización CEN y CENELEC a petición de la Comisión. Seguir una norma publicada en el Diario Oficial genera una presunción de conformidad; se admiten otras vías, pero en ese caso el proveedor debe demostrar que su enfoque cumple los requisitos.

La normalización favorece a quienes pueden permitirse participar, sobre todo grandes empresas. La redacción de las normas lleva años y, cuando se retrasan respecto a los plazos legales, crece la presión para aplazarlos: el retraso de las normas fue un argumento central del aplazamiento de 2026. La Ley permite usar datos personales sensibles para detectar sesgos solo cuando los datos sintéticos o anonimizados no bastan, un permiso que la modificación de 2026 amplió más allá de los sistemas de alto riesgo; el informe técnico de la Fundación sobre la detección de sesgos en el marco de la Ley de IA de la UE examina cuándo bastan esos datos.

Para los modelos de uso general existe una vía más rápida: el Código de buenas prácticas para la IA de uso general, publicado en julio de 2025 en el marco de la Oficina de IA de la UE, cubre la transparencia, los derechos de autor y, para los modelos con riesgo sistémico, la seguridad y la protección. La adhesión es voluntaria, pero se reconoce como una forma de demostrar el cumplimiento mientras no existan normas.

Aplicación de la Ley: instituciones y capacidad

La Oficina de IA de la UE supervisa directamente los modelos de IA de uso general. Las autoridades nacionales de vigilancia del mercado supervisan los sistemas de IA en su territorio. Las multas por prácticas prohibidas pueden alcanzar los 35 millones de euros o el 7 % del volumen de negocios anual mundial, la cantidad que sea mayor; por la mayoría de las demás infracciones, los 15 millones de euros o el 3 %.

La cuestión más difícil es la capacidad. Comprobar si una herramienta de selección de personal se ha sometido a pruebas de sesgo exige personas que entiendan tanto de derecho como de aprendizaje automático, y esas personas escasean en la administración pública. Cada Estado miembro debe además poner en marcha, a más tardar el 2 de agosto de 2027, un año después de lo previsto inicialmente, un espacio controlado de pruebas en el que los proveedores ensayen sus sistemas bajo supervisión antes de lanzarlos.

Revisión: una ley diseñada para cambiar

La Ley puede cambiar desde dentro. La Comisión puede modificar la lista de casos de uso de alto riesgo mediante actos delegados, dentro de los ámbitos fijados por el legislador, y puede actualizar el umbral de capacidad de cómputo por encima del cual se presume que un modelo de uso general presenta riesgo sistémico.

El Tribunal de Justicia de la Unión Europea tiene la última palabra sobre términos como «sistema de IA» y «modificación sustancial». Su sentencia SCHUFA, de diciembre de 2023, estableció que la elaboración de una puntuación de solvencia crediticia puede ser en sí misma una decisión automatizada en el sentido del RGPD cuando una entidad de crédito se basa en ella de manera determinante, lo que redefinió los límites prácticos de esa norma.

La responsabilidad civil sigue pendiente. En 2025 la Comisión retiró su propuesta de Directiva sobre responsabilidad en materia de IA, por lo que la indemnización por los daños causados por la IA descansa en el derecho nacional y en la Directiva sobre responsabilidad por productos defectuosos revisada en 2024, que trata el software, incluidos los sistemas de IA, como un producto y se aplicará a partir de diciembre de 2026.

Europa en un panorama más amplio

El Convenio Marco del Consejo de Europa sobre Inteligencia Artificial, abierto a la firma en septiembre de 2024, es el primer tratado internacional vinculante sobre IA; la UE lo firmó en septiembre de 2024, lo ratificó en mayo de 2026 y lo aplicará principalmente a través de la Ley de IA. Los Principios de la OCDE sobre IA, el Marco de Gestión de Riesgos de la IA del NIST y la norma ISO/IEC 42001 aportan un vocabulario común y herramientas de gestión.

Un desarrollador que venda en todo el mundo o bien diseñará sus productos conforme al régimen más estricto, el llamado efecto Bruselas, o bien comercializará productos distintos en mercados distintos; y como Europa depende de la capacidad de cómputo, los modelos y los servicios en la nube desarrollados en otros lugares, la política de la UE combina ahora las normas con la inversión pública en capacidad de cómputo.

Qué pueden esperar los desarrolladores y los ciudadanos

Para quienes desarrollan sistemas de IA, lo duradero de la Ley es la disciplina, no el calendario:

• Conocer la categoría de riesgo de cada sistema y documentar por qué.
• Registrar las fuentes de datos, las decisiones de diseño y las limitaciones conocidas.
• Realizar pruebas de sesgo, precisión y robustez, y conservar las evidencias.
• Contar con una persona capaz de entender, anular y detener el sistema.

Todo esto sobrevive a cualquier cambio de plazos; los borradores de normas y las orientaciones de la Oficina de IA ya muestran qué evidencias se esperarán, y un inventario de los sistemas y de sus finalidades es el primer paso, y el menos costoso.

Para los ciudadanos, la Ley añade derechos: a ser informados cuando interactúan con un sistema de IA o cuando se les muestra un deepfake; a presentar una reclamación ante una autoridad nacional; y, una vez que se apliquen las normas sobre los sistemas de alto riesgo, a una explicación clara del papel que el sistema ha desempeñado en una decisión que les afecta de forma significativa, junto con el artículo 22 del RGPD. Estos derechos solo funcionan si las personas los ejercen; el primer paso es averiguar cuál es la autoridad nacional competente. La Fundación investiga cómo funcionan estas normas en la práctica y qué evidencias exigen, y publica sus conclusiones en forma de informes técnicos.

En resumen

La Ley de IA de Europa está en vigor, pero su significado práctico lo decidirán normas armonizadas, códigos de buenas prácticas, autoridades de supervisión, tribunales y revisiones. Una modificación de 2026, el Reglamento (UE) 2026/1744, ya ha aplazado las obligaciones de los usos de alto riesgo enumerados al 2 de diciembre de 2027, y las de la IA en productos regulados al 2 de agosto de 2028.

Preguntas frecuentes

¿Cuándo se aplican las obligaciones de alto riesgo de la Ley de IA de la UE?

Las obligaciones para los usos de alto riesgo enumerados se aplican ahora a partir del 2 de diciembre de 2027, y para la IA integrada en productos regulados a partir del 2 de agosto de 2028. La mayoría debían aplicarse inicialmente el 2 de agosto de 2026, pero el Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026, aplazó las fechas.

¿A cuánto ascienden las multas de la Ley de IA de la UE?

Según la Ley de IA de la UE, las multas por prácticas prohibidas pueden alcanzar los 35 millones de euros o el 7 % del volumen de negocios anual mundial, la cantidad que sea mayor. Por la mayoría de las demás infracciones, el límite es de 15 millones de euros o el 3 %.

¿Quién hace cumplir la Ley de IA de la UE?

La Oficina de IA de la UE supervisa directamente los modelos de IA de uso general, mientras que las autoridades nacionales de vigilancia del mercado supervisan los sistemas de IA en su territorio. La cuestión más difícil es la capacidad, porque en las administraciones públicas escasean las personas que entienden a la vez el derecho y el aprendizaje automático.

¿Qué son las normas armonizadas de la Ley de IA de la UE?

Las normas armonizadas las elaboran los organismos de normalización CEN y CENELEC a petición de la Comisión y concretan qué significan en detalle los requisitos generales de la Ley. Seguir una norma publicada en el Diario Oficial genera una presunción de conformidad, aunque se admiten otras vías.

¿Qué derechos reconoce la Ley de IA de la UE a los ciudadanos?

La Ley reconoce el derecho a ser informado cuando se interactúa con un sistema de IA o se muestra un deepfake, y a presentar una reclamación ante una autoridad nacional. Una vez que se apliquen las normas sobre los sistemas de alto riesgo, también existe el derecho a una explicación clara del papel del sistema en una decisión que afecte de forma significativa a la persona.

Cómo citar Fundación LASTHUMAN. (2026, 3 de noviembre). El futuro de la regulación de la IA en Europa. https://lasthuman.today/es/insights/future-of-ai-regulation-in-europe.html