Ley de IA de la UE: obligaciones y fechas
Lo que el Reglamento (UE) 2024/1689 pide a una pyme española, con las fechas y los artículos.
¿La Ley de IA afecta a mi pyme si solo uso ChatGPT?
Sí, como «responsable del despliegue» (artículo 3.4): desde el 2 de febrero de 2025 te aplica el artículo 4, que te pide adoptar medidas de alfabetización en IA para tu personal. Las obligaciones de alto riesgo sólo te alcanzan si usas la IA para un caso del anexo III, como selección de personal o evaluación de solvencia.
Usar un modelo de terceros no te convierte en proveedor. Desde el Reglamento (UE) 2026/1744, el artículo 4 pide medidas para apoyar la alfabetización en IA según los conocimientos de tu equipo y el contexto de uso, sin exigir que garantices un nivel concreto de cada persona. El artículo 50 añade deberes de transparencia al responsable del despliegue en casos concretos: ultrasuplantaciones y texto generado por IA publicado para informar al público sin revisión humana ni responsabilidad editorial.
¿Qué fechas de la Ley de IA me afectan?
Tres ya han pasado: prácticas prohibidas y alfabetización en IA desde el 2 de febrero de 2025, modelos de IA de uso general desde el 2 de agosto de 2025 y la aplicación general desde el 2 de agosto de 2026. Las obligaciones de alto riesgo del anexo III, previstas para esa misma fecha, se aplican desde el 2 de diciembre de 2027: lo fijó el Reglamento (UE) 2026/1744 («Digital Omnibus» de IA), ya adoptado y en vigor desde el 27 de julio de 2026.
El mismo Omnibus lleva la IA de alto riesgo del anexo I (IA dentro de productos regulados de la sección A, como productos sanitarios, ascensores o juguetes; la maquinaria pasó a la sección B y recibe los requisitos de IA mediante actos delegados del Reglamento (UE) 2023/1230 que deben aplicarse a más tardar el 2 de agosto de 2028) del 2 de agosto de 2027 al 2 de agosto de 2028, y aplica desde el 2 de diciembre de 2026 dos nuevas prácticas prohibidas que añade al artículo 5. Se publicó en el Diario Oficial el 24 de julio de 2026 y modifica el artículo 113 del Reglamento.
¿Mi chatbot de atención al cliente es de alto riesgo?
Normalmente no: atender consultas no figura en el anexo III. Lo que sí exige el artículo 50.1 es que la persona sepa que habla con una IA, salvo que sea evidente; es una obligación del proveedor del sistema, y si pones el chatbot en servicio con tu propio nombre o marca, el proveedor puedes ser tú (artículo 3.3).
Pasa a alto riesgo si el mismo sistema se usa para uno de los fines del anexo III, por ejemplo evaluar la solvencia o la calificación crediticia de personas, seleccionar candidatos o decidir la admisión en un centro educativo (puntos 3, 4 y 5). El artículo 50.5 pide que el aviso sea claro y distinguible, a más tardar en la primera interacción.
¿Qué multas hay y quién inspecciona en España?
El artículo 99 fija tres tramos: hasta 35 millones de euros o el 7 % del volumen de negocios mundial por prácticas prohibidas; hasta 15 millones o el 3 % por incumplir las obligaciones que enumera su apartado 4, entre ellas las del responsable del despliegue (artículo 26) y las de transparencia (artículo 50); y hasta 7,5 millones o el 1 % por dar información inexacta, incompleta o engañosa a las autoridades. Para pymes se aplica la cifra más baja de cada par. En España, la agencia estatal de supervisión de la IA es la AESIA.
La AESIA (Agencia Española de Supervisión de Inteligencia Artificial) se creó por el Real Decreto 729/2023, que aprueba su estatuto, y tiene su sede en A Coruña. Las multas del 7 % y del 3 % se calculan sobre el ejercicio anterior y, para empresas grandes, se aplica la cifra más alta.
¿Qué es un «responsable del despliegue»?
La persona física o jurídica, autoridad u organismo que utiliza un sistema de IA bajo su propia autoridad, salvo en una actividad personal no profesional (artículo 3.4). Si contratas un servicio de IA y lo usas en tu empresa, con tus clientes o empleados, ese eres tú.
El proveedor es quien desarrolla el sistema, o lo encarga, y lo introduce en el mercado o lo pone en servicio con su nombre o marca (artículo 3.3). Las obligaciones del responsable del despliegue incluyen la alfabetización en IA (artículo 4), la transparencia en los casos del artículo 50 y, en alto riesgo, encomendar la supervisión humana a personas con la competencia, la formación y la autoridad necesarias (artículo 26.2).
Guía completa: Ley de IA de la UE: obligaciones y fechas · Todas las preguntas frecuentes