Qué obliga el Reglamento europeo de IA a una empresa que usa IA

Redacción IA en la Empresa · 3 de noviembre de 2026

Muchas empresas creen que el Reglamento europeo de IA es cosa de las tecnológicas que fabrican modelos. No lo es: también tiene obligaciones, más ligeras, quien utiliza IA en su actividad. Esta guía resume qué le toca a una empresa usuaria y en qué fechas. Es una orientación general, no asesoramiento jurídico: ante un caso dudoso, consulte a un abogado.

Proveedor y usuario: dónde está usted

El Reglamento (UE) 2024/1689 distingue entre el proveedor, que desarrolla un sistema de IA o lo comercializa con su nombre, y el responsable del despliegue, que lo utiliza bajo su autoridad. Si su empresa contrata una herramienta de atención al cliente, de selección de personal o de generación de textos, es responsable del despliegue. Si además adapta o comercializa ese sistema con su propia marca, revise con un abogado si pasa a considerarse proveedor.

Los plazos

La Comisión Europea resume el calendario:

• Entrada en vigor: 1 de agosto de 2024.
• 2 de febrero de 2025: prácticas prohibidas y obligaciones de alfabetización en IA.
• 2 de agosto de 2025: normas de gobernanza y obligaciones de los modelos de uso general.
• 2 de agosto de 2026: el Reglamento pasa a ser aplicable en general, con excepciones. Las reglas de transparencia se aplican desde agosto de 2026.
• 2 de diciembre de 2027: alto riesgo del anexo III (biometría, infraestructuras críticas, educación, empleo, migración y otros).
• 2 de agosto de 2028: alto riesgo de sistemas integrados en productos, como ascensores o juguetes.

Los plazos de alto riesgo se retrasaron con el «ómnibus de IA», acordado el 7 de mayo de 2026 y en vigor desde el 27 de julio de 2026, según la misma fuente. Compruebe siempre la página de la Comisión antes de tomar decisiones, porque el calendario ya se ha modificado una vez.

1. Alfabetización en IA (artículo 4)

Los proveedores y los responsables del despliegue deben adoptar medidas para que su personal y las personas que manejen la IA en su nombre tengan conocimientos suficientes, teniendo en cuenta su formación y el contexto de uso. La versión original hablaba de garantizar «un nivel suficiente» (BOE). La Comisión explica que el artículo se modificó para que la obligación sea apoyar el desarrollo de esa alfabetización, sin exigir garantizar un nivel específico a ninguna persona (Comisión Europea, preguntas y respuestas). Según esa misma fuente, las autoridades nacionales de vigilancia del mercado pueden sancionar el incumplimiento, y es más probable si hay un incidente causado por falta de formación o de instrucciones.

En la práctica: una sesión de formación documentada, unas normas internas de uso (qué datos no se pueden introducir, quién revisa qué) y un registro de quién ha recibido la formación.

2. Prácticas prohibidas (artículo 5)

Desde febrero de 2025 están prohibidas, entre otras, estas prácticas (BOE):

• Técnicas subliminales o deliberadamente manipuladoras que alteren sustancialmente el comportamiento y causen perjuicios considerables.
• Explotar vulnerabilidades por edad, discapacidad o situación social o económica.
• La puntuación ciudadana que lleve a un trato perjudicial injustificado o fuera de contexto.
• Inferir las emociones de una persona en el lugar de trabajo o en centros educativos, salvo por motivos médicos o de seguridad.

La lista es más larga. Para una empresa normal, lo más relevante es no usar herramientas que detecten emociones de empleados y no diseñar mensajes que manipulen a personas vulnerables. La sanción máxima por estas prácticas es de hasta 35 millones de euros o el 7 % del volumen de negocios mundial, el importe que sea mayor (art. 99).

3. Transparencia (artículo 50)

Las normas de transparencia se aplican, según la Comisión, desde agosto de 2026. Para quien usa IA, las principales:

• Chatbots y asistentes: las personas deben saber que interactúan con una IA, salvo que sea evidente por el contexto. Lo exige el artículo 50.1 a los proveedores; como usuario, compruebe que su herramienta lo cumple y dígalo en el primer mensaje.
• Ultrasuplantaciones (deepfakes): quien las genere o manipule con IA debe hacer público que son artificiales. Si forman parte de una obra creativa, artística o de ficción, basta con hacerlo de forma que no estropee su disfrute.
• Textos de interés público: quien publique con IA un texto para informar al público sobre asuntos de interés público debe divulgar que está generado artificialmente, con una excepción para los contenidos que hayan pasado por revisión humana o control editorial.
• Reconocimiento de emociones y categorización biométrica (cuando sean legales): informar a las personas expuestas.

4. Alto riesgo (artículos 26 y 86)

El anexo III incluye, entre otros usos, los sistemas para contratar o seleccionar personal y para decidir sobre las condiciones de trabajo, la promoción o el despido, o para evaluar el rendimiento de los trabajadores. Si los utiliza, el artículo 26 le obliga, entre otras cosas, a usarlos conforme a las instrucciones del proveedor, a encomendar la supervisión humana a personas con competencia, formación y autoridad, y a informar a los trabajadores y sus representantes antes de usarlos en el lugar de trabajo. Además, las personas afectadas por una decisión basada en uno de estos sistemas, con efectos jurídicos o que les afecte considerablemente, pueden pedir explicaciones sobre el papel del sistema (art. 86). Más detalle en la guía de IA en recursos humanos.

Quién vigila en España

España ha creado la Agencia Española de Supervisión de Inteligencia Artificial (AESIA), definida como el organismo público encargado de garantizar el uso ético y seguro de la IA en el país, tanto en entidades públicas como privadas (AESIA). La Comisión Europea señala que desde el 2 de agosto de 2026 la Oficina de IA y las autoridades de los Estados miembros son responsables de aplicar y vigilar el Reglamento. Las competencias concretas sobre sanciones en España dependen de la normativa nacional: consulte la web de la AESIA para conocerlas.

Lista de comprobación

1. Haga un inventario: qué herramientas de IA usa, para qué y con qué datos.
2. Marque las que afecten a personas: selección, evaluación, atención al cliente.
3. Compruebe que ninguna entra en las prácticas prohibidas.
4. Forme a quienes las usan y deje constancia.
5. Avise cuando alguien hable con una IA o vea contenido sintético que deba señalarse.
6. Pida al proveedor la documentación y el contrato de tratamiento de datos.
7. Revise el calendario de la Comisión cada pocos meses.

Redactado con ayuda de IA y revisado por la redacción, que responde de su contenido. Si encuentra un error, consulte nuestra política de correcciones.