La Ley de IA explicada para empresas

Qué ha cambiado desde enero de 2025

1. El alto riesgo se ha retrasado. La UE aprobó el “Ómnibus Digital sobre IA” (Reglamento (UE) 2026/1744, en vigor desde el 27-jul-2026). Las obligaciones para sistemas de alto riesgo en usos sensibles (selección de personal, crédito, educación, biometría, servicios públicos…) ya no se aplican en agosto de 2026, sino el 2-dic-2027. Para la IA integrada en productos regulados (máquinas, productos sanitarios, juguetes…), el 2-ago-2028.

2. Desde el 2-ago-2026 hay que ser transparente. Ya es obligatorio avisar de que la persona habla con una IA, etiquetar los deepfakes y los textos de interés público generados por IA sin revisión editorial, y avisar si se usa reconocimiento de emociones. Quien ofrece IA generativa debe marcar técnicamente sus contenidos (si su sistema ya estaba en el mercado, tiene hasta el 2-dic-2026). La Comisión publicó directrices (20-jul-2026), un código de buenas prácticas voluntario e iconos opcionales.

3. Dos prohibiciones nuevas desde el 2-dic-2026. Quedan prohibidas las apps y sistemas que crean desnudos o contenido sexual falso de personas reales sin su consentimiento explícito y los que generan material de abuso sexual infantil. Se suman a las 8 prohibiciones vigentes desde febrero de 2025.

4. España se ha quedado sin ley. El proyecto de ley orgánica de IA (aprobado por el Gobierno en mayo de 2026) caducó al disolverse las Cortes el 6-oct-2026 por las elecciones del 29-nov-2026. El Reglamento europeo se aplica igual, pero falta la norma que designa quién vigila y cómo se multa en España. La AESIA sigue funcionando (guías, primer sandbox cerrado en junio de 2026) y la AEPD puede actuar con el RGPD.

5. La “alfabetización en IA” se suaviza. Toda empresa que use IA debe adoptar medidas para formar a su personal (desde feb-2025), pero desde el Ómnibus queda claro que no tiene que garantizar un nivel concreto.

6. Menos carga para empresas medianas. Las pymes ya tenían multas limitadas a la cuantía menor; ahora también las “small mid-caps” (menos de 750 empleados) en la mayoría de infracciones, y ambas pueden presentar la documentación técnica de forma simplificada.

7. Los grandes modelos de IA ya están vigilados. Desde el 2-ago-2025 OpenAI, Google, Mistral, etc. tienen obligaciones (documentación, derechos de autor, resumen de datos de entrenamiento) y desde el 2-ago-2026 la Comisión puede multarlos (hasta 15 M€ o 3 %). Existe un código de buenas prácticas desde julio de 2025.

8. Otros cambios. Se permite tratar datos sensibles para detectar y corregir sesgos (nuevo art. 4a); se mantiene, simplificado, el registro de los sistemas que el proveedor considera exentos del alto riesgo (art. 6(3)); el sandbox nacional obligatorio puede esperar al 2-ago-2027; la Oficina de IA gana poderes de supervisión; primera norma técnica armonizada (EN 18286, gestión de la calidad, oct-2026). Las directrices de la Comisión sobre cómo clasificar el alto riesgo siguen en borrador (mayo de 2026).

Qué hacer hoy, si eres empresa: no usar prácticas prohibidas, formar a tu plantilla, aplicar ya la transparencia, hacer inventario de tus usos de IA y preparar los de alto riesgo para diciembre de 2027.

Si eres ciudadano: tienes derecho a saber que hablas con una IA y a que se etiqueten los deepfakes; para problemas con tus datos, reclama ante la AEPD.

Los cuatro niveles de riesgo

El Reglamento no regula herramientas, sino usos: la misma IA puede ser de riesgo mínimo para redactar un correo y de alto riesgo para filtrar currículos. Un mismo uso puede tener varias etiquetas (por ejemplo, un chatbot que entrevista candidatos es alto riesgo y, además, transparencia).

Nivel	Ejemplos en una pyme	Qué implica	Desde
Prohibido (art. 5)	Detectar emociones de trabajadores (salvo motivos médicos o de seguridad), puntuación social, manipulación, recopilar caras de forma masiva; desde el 2-dic-2026, desnudos falsos no consentidos.	No se puede usar.	2-feb-2025 · 2-dic-2026
Alto riesgo (art. 6, anexos I y III)	Filtrar currículos o evaluar candidatos, evaluar o gestionar trabajadores, decidir créditos a particulares, seguros de vida o salud, educación, biometría; IA como componente de seguridad de una máquina.	Gestión de riesgos, datos, documentación, supervisión humana, registros. Quien lo usa: seguir las instrucciones, supervisar, informar a las personas y a la plantilla.	2-dic-2027 (anexo III) · 2-ago-2028 (anexo I)
Transparencia (art. 50)	Chatbot o asistente que habla con el público, imágenes, vídeos o audios realistas generados con IA, textos de interés público sin revisión editorial, reconocimiento de emociones.	Avisar de que se habla con una IA e indicar el contenido generado.	2-ago-2026
Mínimo	Redactar, resumir, traducir, analizar datos, programar.	Solo la formación del personal (art. 4) y códigos voluntarios.	2-feb-2025 (art. 4)

Además, quien pone su marca a un sistema de IA o lo modifica de forma sustancial puede pasar a tener el papel de proveedor (art. 25), con más obligaciones que quien solo lo usa.

Qué revisar en tu empresa

Son los ocho puntos que InteligenciaArtificial.eu revisa, según tus respuestas, con su semáforo, los pasos y la guía oficial de cada uno:

1. Inventario de usos de IA: qué herramientas se usan, quién, para qué y con qué datos. Es la base de todo lo demás.
2. Formación básica del personal (art. 4, desde el 2-feb-2025): medidas para que quien usa IA sepa usarla con criterio. No exige un certificado. Preguntas y respuestas de la Comisión.
3. Normas internas de uso: qué herramientas, con qué cuenta, qué datos no se meten nunca y quién revisa los resultados (recomendado).
4. Avisar de que se habla con una IA (art. 50.1) si tenéis chatbot o asistente con el público.
5. Indicar el contenido realista generado con IA (art. 50.4).
6. Datos personales en herramientas de IA (RGPD): cuentas de empresa, condiciones del proveedor y, si procede, contrato de encargado. AEPD.
7. Información a la representación de la plantilla (art. 64.4.d del Estatuto de los Trabajadores) si la IA interviene en decisiones sobre personas.
8. Prepararse para un posible alto riesgo antes del 2-dic-2027.

Haz el diagnóstico gratuito para ver, según tus respuestas, cuáles te aplican y qué podría faltarte. Las respuestas se quedan en tu navegador.

Calendario completo

Fecha	Qué pasa	Qué implica
1 de agosto de 2024	Entra en vigor el Reglamento de IA	El Reglamento (UE) 2024/1689 existe jurídicamente, pero sus obligaciones se aplican de forma escalonada en fechas posteriores.
2 de febrero de 2025	Prohibiciones de prácticas de IA (8 prácticas originales)	Quedan prohibidas las prácticas del art. 5(1)(a) a (h): manipulación, explotación de vulnerabilidades, puntuación social, predicción delictiva basada solo en perfiles, scraping masivo de caras, reconocimiento de emociones en trabajo y educación, categorización biométrica sensible e identificación biométrica remota en tiempo real por la policía (salvo excepciones).
2 de febrero de 2025	Alfabetización en IA (art. 4) y disposiciones generales	Proveedores y responsables del despliegue deben adoptar medidas para que su personal tenga conocimientos suficientes de IA. Desde el 27-jul-2026 el Ómnibus reformula el art. 4: la obligación es 'adoptar medidas para apoyar' la alfabetización, sin garantizar un nivel concreto.
4 de febrero de 2025	Directrices de la Comisión sobre prácticas prohibidas	Interpretación (no vinculante) de la Comisión sobre el art. 5. El 6-feb-2025 se publicaron también las directrices sobre la definición de 'sistema de IA' (art. 3(1)).
10 de julio de 2025	Código de buenas prácticas para modelos de IA de uso general (GPAI)	Código voluntario con tres capítulos (transparencia, derechos de autor, seguridad) que sirve para demostrar cumplimiento de los arts. 53 y 55. La Comisión y el Consejo de IA lo consideran adecuado.
2 de agosto de 2025	Obligaciones de los modelos de IA de uso general (GPAI)	Los proveedores de modelos GPAI nuevos deben tener documentación técnica, informar a quien integra el modelo, tener política de derechos de autor y publicar un resumen del contenido de entrenamiento. Los de riesgo sistémico, además, evaluaciones, mitigación de riesgos, notificación de incidentes y ciberseguridad.
2 de agosto de 2025	Gobernanza, autoridades nacionales y régimen sancionador	Se aplican las normas sobre Oficina de IA, Consejo de IA, autoridades nacionales (los Estados debían designarlas), organismos notificados, confidencialidad y sanciones (arts. 99-100). Excepción: las multas a proveedores GPAI (art. 101) no se aplican hasta el 2-ago-2026.
19 de mayo de 2026	Borrador de directrices sobre clasificación de alto riesgo (art. 6)	La Comisión publica el borrador (principios generales, Anexo I y Anexo III) y abre consulta hasta el 23-jul-2026. A 7-nov-2026 no consta versión final.
10 de junio de 2026	Código de buenas prácticas sobre transparencia del contenido generado por IA	Código voluntario para marcar (proveedores, art. 50(2)) y etiquetar (implementadores, art. 50(4)) contenido generado por IA. Dictamen de adecuación de la Comisión de 9-jul-2026. Incluye iconos UE opcionales.
20 de julio de 2026	Directrices finales sobre obligaciones de transparencia (art. 50)	Explican cuándo hay que avisar de que se habla con una IA, qué contenidos hay que marcar, qué es un deepfake y cuándo un texto de interés público queda exento por revisión humana.
27 de julio de 2026	Entra en vigor el Ómnibus Digital sobre IA (Reglamento 2026/1744)	Publicado en el DOUE el 24-jul-2026. Retrasa el alto riesgo, añade dos prohibiciones, reformula el art. 4, crea el art. 4a (datos sensibles para corregir sesgos), extiende simplificaciones a pymes y 'small mid-caps' y refuerza a la Oficina de IA.
2 de agosto de 2026	Transparencia (art. 50) y aplicación general del Reglamento	Hay que avisar de que se interactúa con una IA, marcar el contenido sintético (proveedores), informar de reconocimiento de emociones y categorización biométrica y etiquetar deepfakes y textos de interés público (implementadores). También se aplican los derechos de reclamación (art. 85) y explicación (art. 86) y la vigilancia del mercado.
2 de agosto de 2026	La Comisión puede multar a proveedores de modelos GPAI	Multas de hasta 15 millones de euros o el 3 % del volumen de negocios mundial (el mayor) a proveedores de modelos de uso general. El Ómnibus no cambió esta fecha.
6 de octubre de 2026	España: decae el proyecto de ley de IA por la disolución de las Cortes	El Real Decreto 806/2026 disuelve las Cortes y convoca elecciones para el 29-nov-2026. El Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA (121/000096) caduca (publicado en BOCG D-610 de 4-nov-2026). España sigue sin ley que designe autoridades y fije el procedimiento sancionador nacional.
14 de octubre de 2026	Primera norma armonizada: EN 18286 (sistema de gestión de la calidad)	Citada en el DOUE mediante la Decisión de Ejecución (UE) 2026/2274. Seguirla da presunción de conformidad con el art. 17 (sistema de gestión de la calidad) para proveedores de alto riesgo.
2 de diciembre de 2026 (próximo)	Nuevas prohibiciones: desnudos falsos no consentidos y material de abuso sexual infantil	Prohibido comercializar o usar sistemas de IA que generen o manipulen imágenes íntimas o sexualmente explícitas realistas de una persona identificable sin su consentimiento explícito, o material de abuso sexual infantil (incluye apps de 'desnudar').
2 de diciembre de 2026 (próximo)	Fin del plazo de marcado para IA generativa ya comercializada	Los proveedores de sistemas que generan audio, imagen, vídeo o texto sintético comercializados antes del 2-ago-2026 deben cumplir el marcado legible por máquina del art. 50(2). Lo generado antes del 2-ago-2026 no hay que marcarlo retroactivamente.
2 de agosto de 2027 (próximo)	Modelos GPAI anteriores a agosto de 2025 deben cumplir	Fin del periodo transitorio para modelos de uso general comercializados antes del 2-ago-2025.
2 de agosto de 2027 (próximo)	Cada Estado debe tener al menos un sandbox de IA operativo	El Ómnibus amplía de 2-ago-2026 a 2-ago-2027 el plazo para el espacio controlado de pruebas nacional.
2 de diciembre de 2027 (próximo)	Alto riesgo del Anexo III (usos sensibles)	Se aplican los requisitos y obligaciones de alto riesgo (gestión de riesgos, datos, documentación, supervisión humana, registro, evaluación de conformidad, obligaciones del implementador del art. 26 y evaluación de impacto del art. 27) a sistemas de biometría, infraestructuras críticas, educación, empleo, servicios esenciales, policía, migración y justicia/procesos democráticos. Antes era el 2-ago-2026.
2 de agosto de 2028 (próximo)	Alto riesgo del Anexo I (IA en productos regulados)	Se aplican las obligaciones de alto riesgo a la IA que es componente de seguridad de productos regulados (máquinas, juguetes, productos sanitarios, ascensores, radio, etc.) sujetos a evaluación por terceros. Antes era el 2-ago-2027.
2 de agosto de 2030 (próximo)	Sistemas de alto riesgo de autoridades públicas ya en uso deben cumplir	Proveedores y responsables del despliegue de sistemas de alto riesgo usados por autoridades públicas y puestos en servicio antes de la fecha de aplicación deben cumplir como tarde en esta fecha. Los demás sistemas antiguos solo quedan sujetos si sufren cambios significativos de diseño.

Multas

Hasta 35 millones de euros o el 7 % de la facturación mundial por usar prácticas prohibidas; hasta 15 millones o el 3 % por incumplir otras obligaciones (por ejemplo, de alto riesgo o de transparencia); hasta 7,5 millones o el 1 % por dar información incorrecta a las autoridades (art. 99). Para pymes y, tras el Ómnibus, para las «small mid-caps» se aplica la cuantía menor de las dos en la mayoría de los casos. En España falta la ley que designa quién multa y cómo: ver el estado de la ley española.

Tus derechos ante la IA

Si eres una persona (cliente, candidato, trabajador o ciudadano), esto es lo que puedes pedir cuando una IA interviene en algo que te afecta:

Fuentes: Reglamento (UE) 2024/1689 (https://eur-lex.europa.eu/eli/reg/2024/1689/oj), modificado por Reglamento (UE) 2026/1744; RGPD (Reglamento (UE) 2016/679); directrices art. 50 de la Comisión (20-jul-2026).

1. Saber que hablas con una IA (art. 50(1)) — desde 2-ago-2026

• Si un sistema de IA interactúa contigo (chatbot, asistente de voz, agente telefónico), el proveedor debe diseñarlo para que sepas que es una IA, como tarde en la primera interacción, salvo que sea obvio. La Comisión dice que esa excepción se interpreta de forma estricta.
• También tienes derecho a que te avisen si:
  • te aplican reconocimiento de emociones o categorización biométrica (art. 50(3));
  • ves un deepfake (imagen, audio o vídeo que imita a personas, lugares o hechos reales) (art. 50(4)): debe indicarse claramente que es artificial;
  • lees un texto sobre asuntos de interés público generado por IA sin revisión editorial humana (art. 50(4)).
• Los contenidos generados por IA deben llevar además marcas técnicas detectables (art. 50(2)); para sistemas comercializados antes del 2-ago-2026, desde el 2-dic-2026.
• La UE ha creado iconos opcionales para etiquetar contenido “Totalmente generado por IA” o “Parcialmente modificado por IA”.

2. Prácticas que nadie puede usar contigo (art. 5)

Desde 2-feb-2025: manipulación subliminal dañina, explotación de tu edad, discapacidad o situación económica, puntuación social, predicción de que vas a delinquir solo por tu perfil, bases de datos faciales a partir de fotos de internet, reconocimiento de tus emociones en el trabajo o en clase, deducción de tu raza, religión, ideología u orientación sexual por tus datos biométricos, y reconocimiento facial en tiempo real por la policía en la calle (salvo excepciones tasadas).

Desde 2-dic-2026: sistemas que crean desnudos o contenido sexual falso de una persona identificable sin su consentimiento explícito y material de abuso sexual infantil (art. 5(1)(ba) y (bb)).

3. Derecho a una explicación (art. 86)

• Si un responsable del despliegue toma una decisión sobre ti basada en la salida de un sistema de alto riesgo del Anexo III (empleo, crédito, seguros de vida/salud, educación, prestaciones públicas, etc.; excepto infraestructuras críticas), y esa decisión produce efectos jurídicos o te afecta de forma igualmente significativa en tu salud, seguridad o derechos fundamentales, puedes pedir una explicación clara y significativa del papel del sistema de IA en el procedimiento y de los principales elementos de la decisión.
• Solo se aplica si otra norma de la UE o nacional no prevé ya ese derecho (art. 86(3)) — p. ej. el RGPD en decisiones automatizadas.
• Cuándo: el art. 86 es formalmente aplicable desde 2-ago-2026, pero las obligaciones de alto riesgo del Anexo III se aplican desde el 2-dic-2027. En la práctica, hasta esa fecha el derecho tiene poco recorrido. (Interpretación; SIN VERIFICAR posición oficial.)
• Complementa el deber del implementador de informarte de que estás sujeto a un sistema de alto riesgo (art. 26(11)) y, si eres trabajador, de informar a la plantilla y a sus representantes (art. 26(7)).

4. Derecho a reclamar (art. 85)

• Cualquier persona física o jurídica que considere que se ha infringido el Reglamento puede presentar una reclamación ante la autoridad de vigilancia del mercado competente. Aplicable desde 2-ago-2026.
• Las reclamaciones se usan para la vigilancia del mercado; no dan derecho a ser parte del procedimiento ni a una indemnización por sí mismas.
• Protección de denunciantes que informen de infracciones: Directiva (UE) 2019/1937 (art. 87); en España, Ley 2/2023.

5. RGPD: decisiones automatizadas (art. 22) y otros derechos

• Tienes derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos o te afecte significativamente de modo similar (art. 22.1 RGPD). Excepciones: necesaria para un contrato, autorizada por ley o con consentimiento explícito; en esos casos tienes derecho como mínimo a intervención humana, a expresar tu punto de vista y a impugnar la decisión (art. 22.3).
• Derecho a recibir información significativa sobre la lógica aplicada y las consecuencias (arts. 13.2.f, 14.2.g y 15.1.h RGPD). El TJUE ha confirmado que el scoring crediticio que determina decisiones cae en el art. 22 (asunto C-634/21, SCHUFA, 7-dic-2023). (Referencia de jurisprudencia según conocimiento previo; no reabierta en esta sesión.)
• Derechos de acceso, rectificación, supresión, oposición, etc.
• Primero se ejercen ante la empresa u organismo (responsable del tratamiento): es gratuito y deben responder en un mes (prorrogable dos meses más en casos complejos).

6. Dónde reclamar en España (situación real a 7-nov-2026)

Problema	Dónde	Notas
Uso de tus datos personales por un sistema de IA (decisiones automatizadas, perfiles, reconocimiento facial, falta de información)	AEPD — sede electrónica: https://sedeaepd.gob.es/sede-electronica/home	Vía más sólida hoy. Antes, ejercer el derecho ante la empresa. En Cataluña, País Vasco y Andalucía, para el sector público autonómico/local, las autoridades autonómicas de protección de datos.
Incumplimiento del Reglamento de IA (falta de aviso de chatbot, deepfake sin etiquetar, práctica prohibida…)	AESIA — https://aesia.digital.gob.es — aesia@digital.gob.es	España aún no ha aprobado la ley que designa formalmente las autoridades de vigilancia del mercado (el proyecto caducó el 6-oct-2026). La AESIA es el punto de contacto único ante la Comisión. SIN VERIFICAR: no se ha localizado un formulario oficial de reclamación del art. 85 en su web. El proyecto caducado preveía una ventanilla única de reclamaciones en la AESIA.
Decisiones en el trabajo (despidos, turnos o evaluaciones decididas por algoritmos)	Representantes de los trabajadores (art. 64.4.d ET); Inspección de Trabajo y Seguridad Social; jurisdicción social	—
Crédito o seguros	Banco de España (reclamaciones de clientes bancarios), DGSFP (seguros)	Para el RIA, el proyecto caducado les atribuía la vigilancia de III.5.b y III.5.c.
Deepfake sexual o suplantación	Policía / Guardia Civil / Fiscalía (vía penal); AEPD (difusión de imágenes: Canal prioritario de la AEPD)	Canal prioritario: SIN VERIFICAR URL en esta sesión.
Productos con IA defectuosos que causan daños	Tribunales civiles (nueva Directiva de responsabilidad por productos defectuosos (UE) 2024/2853, transposición antes del 9-dic-2026)	Transposición española: SIN VERIFICAR.
Contra una gran plataforma en línea (moderación, recomendadores)	Coordinador de servicios digitales (CNMC) — Reglamento de Servicios Digitales	Fuera del RIA.

Fuentes oficiales

• Reglamento (UE) 2024/1689 en EUR-Lex y su modificación por el Reglamento (UE) 2026/1744 (Ómnibus digital sobre IA).
• Comisión Europea · marco regulador de la IA.
• AESIA · Agencia Española de Supervisión de la IA.
• AEPD · protección de datos e IA.
• Estatuto de los Trabajadores en el BOE.

Orientación gratuita y automática basada solo en tus respuestas. Puede contener errores u omisiones. No es asesoramiento jurídico ni acredita el cumplimiento de ninguna norma: contrástalo con un profesional y con las fuentes oficiales.