IA Act. Primera regulación del uso de la IA

El Reglamento (UE) 2024/1689, conocido como AI Act, es el primer marco jurídico integral del mundo sobre inteligencia artificial. Entró en vigor el 1 de agosto de 2024 y será plenamente aplicable a los sistemas de alto riesgo el 2 de agosto de 2026, con hitos intermedios que ya han pasado. Su ámbito de aplicación es extraterritorial: afecta a cualquier organización que desarrolle, comercialice o utilice sistemas de IA cuyos resultados se empleen en la Unión Europea, independientemente de dónde tenga su sede. El texto oficial puede consultarse en el Diario Oficial de la Unión Europea.

Este marco normativo establece reglas claras para el desarrollo y la implementación de sistemas de IA y busca generar confianza en ciudadanos, consumidores y empresas. Pero más allá de la declaración de intenciones, impone plazos y sanciones concretas que las empresas deben conocer ya.

Los plazos que toda empresa debe tener en el calendario

La aplicación del AI Act es escalonada. Estos son los hitos principales, según la Comisión Europea:

Desde el 2 de febrero de 2025 rigen las prohibiciones sobre prácticas de IA de riesgo inaceptable y la obligación de alfabetización en IA para todo el personal que use sistemas de IA (art. 4 del Reglamento). Desde el 2 de agosto de 2025 se aplican las normas de gobernanza y las obligaciones para modelos de IA de propósito general (GPAI). El 2 de agosto de 2026 es la fecha de aplicación plena para la mayoría de obligaciones, incluidas las de los sistemas de alto riesgo del Anexo III. Los sistemas de alto riesgo integrados en productos regulados por normativa sectorial tienen un periodo extendido hasta el 2 de agosto de 2027.

Los cuatro niveles de riesgo en el AI Act

El núcleo del Reglamento es la clasificación de los sistemas de IA en función de su nivel de riesgo:

Riesgo mínimo o nulo. La gran mayoría de sistemas de IA. No tienen obligaciones específicas bajo el Reglamento, aunque pueden adoptar voluntariamente códigos de conducta. Ejemplos: sistemas de recomendación de contenidos, filtros de correo no deseado.

Riesgo limitado. Se exige transparencia: el usuario debe saber que interactúa con un sistema de IA. Ejemplos: chatbots comerciales, asistentes virtuales, generadores de contenido sintético.

Riesgo alto. Requieren evaluaciones estrictas antes de su puesta en servicio: gestión de datos de entrenamiento, explicabilidad, gobernanza, supervisión humana, trazabilidad y registro. Ejemplos: IA utilizada en procesos de selección de personal, scoring crediticio, sistemas médicos o de seguridad, gestión de infraestructuras críticas.

Riesgo inaceptable. Prohibidos en la Unión Europea desde el 2 de febrero de 2025. Ejemplos: sistemas de manipulación cognitiva, vigilancia biométrica masiva indiscriminada en espacios públicos (con excepciones muy acotadas para fuerzas de seguridad), puntuación social.

Qué obligaciones trae el AI Act para las empresas

Las obligaciones varían según el nivel de riesgo, pero los requisitos más relevantes para los sistemas de alto riesgo incluyen:

Gobernanza de datos. Uso de conjuntos de datos de calidad, representativos y libres de sesgos injustificados.

Supervisión humana. Los sistemas de alto riesgo no pueden operar de forma completamente autónoma sin mecanismos de control efectivo por parte de personas.

Documentación y trazabilidad. Registro de decisiones, procesos, fuentes de datos y logs de funcionamiento.

Transparencia. Informar a las personas cuando interactúan con un sistema de IA, y marcar los contenidos generados artificialmente (imágenes, audio, vídeo).

Alfabetización en IA (art. 4). Obligación vigente desde febrero de 2025: toda empresa que use sistemas de IA debe garantizar que su personal tiene un nivel suficiente de formación para operarlos de forma segura.

Seguridad y cumplimiento. Los sistemas no pueden representar amenazas para los derechos fundamentales ni para la seguridad de las personas.

En la práctica, esto significa que las empresas deben adaptar procesos internos, designar responsables de IA y aplicar controles técnicos y organizativos para cumplir con la norma antes del 2 de agosto de 2026.

Las sanciones por incumplimiento

El régimen sancionador del AI Act es incluso más severo que el del RGPD. Según el artículo 99 del Reglamento:

El uso de prácticas de IA prohibidas puede dar lugar a multas de hasta 35 millones de euros o el 7% del volumen de negocio anual mundial, lo que sea mayor. El incumplimiento de obligaciones relativas a sistemas de alto riesgo puede suponer multas de hasta 15 millones de euros o el 3% de la facturación. Facilitar información incorrecta o engañosa a las autoridades se sanciona con hasta 7,5 millones de euros o el 1%.

Las sanciones para pymes son proporcionales, pero no existe exención total. Además, cuando un mismo incumplimiento afecte también al RGPD, las multas de ambas normativas pueden acumularse.

En España, el organismo encargado de supervisar el cumplimiento es la Agencia Española de Supervisión de Inteligencia Artificial (AESIA), con sede en A Coruña, creada por Real Decreto 729/2023.

De la obligación a la ventaja competitiva

Aunque pueda parecer una carga regulatoria, el AI Act representa también una oportunidad estratégica. Las empresas que adopten un enfoque proactivo pueden convertir la regulación en un factor de diferenciación:

Confianza de clientes y usuarios. Las soluciones que cumplen con la normativa generan más credibilidad y reducen el riesgo reputacional.

Acceso a nuevos mercados. El estándar europeo está siendo observado por reguladores de todo el mundo. Cumplir con el AI Act abre puertas en mercados que adoptarán marcos similares.

Eficiencia interna. La exigencia de trazabilidad y gobernanza ayuda a las empresas a mejorar la gestión de datos y a reducir riesgos legales y operativos.

Innovación responsable. La regulación incentiva proyectos que combinan IA potente con seguridad y ética, creando productos más sostenibles y competitivos.

Cómo prepararse antes del 2 de agosto de 2026

La fecha es inmediata. Estas son las acciones más urgentes para las organizaciones:

1. Inventariar el uso actual de IA en la empresa y clasificar cada sistema según el nivel de riesgo del Reglamento.
2. Garantizar la alfabetización en IA del personal, documentando la formación realizada. Esta obligación está vigente desde febrero de 2025.
3. Definir un marco de gobernanza con un responsable claro de la supervisión de los sistemas de IA.
4. Auditar los datos y fuentes utilizados para entrenar o alimentar los modelos, especialmente si operan en categorías de alto riesgo.
5. Garantizar la trazabilidad y documentación de las decisiones y los procesos automatizados.
6. Revisar proveedores y partners tecnológicos, verificando que los sistemas que adquieres o integras cumplen con los requisitos del Reglamento. El desplegador tiene obligaciones propias aunque el proveedor declare conformidad.

En Lur Nova te ayudamos a convertir el reto en oportunidad

En Lur Nova acompañamos a las empresas en su adaptación al AI Act, integrando soluciones de IA seguras, transparentes y alineadas con la normativa. Nuestro objetivo es que tu organización no solo cumpla la ley antes del 2 de agosto de 2026, sino que aproveche la regulación como un sello de confianza e innovación responsable.

Porque el futuro de la inteligencia artificial en Europa no solo se medirá por la potencia de los modelos, sino por la seguridad, la trazabilidad y la confianza que sean capaces de generar.