El Reglamento de IA de la UE entra en su fase clave: qué obligaciones se activan este agosto

Mientras Estados Unidos y China avanzan con un enfoque más laxo hacia la regulación de la inteligencia artificial, la Unión Europea sigue el camino contrario: construir un marco legal detallado antes de que la tecnología se despliegue sin control. El resultado es el Reglamento de Inteligencia Artificial, conocido popularmente como AI Act, que no entró en vigor de golpe sino en fases escalonadas. Este verano se cumple uno de los plazos más relevantes de todo el calendario: el que activa buena parte de las obligaciones sobre los llamados sistemas de IA de alto riesgo. Es un buen momento para repasar qué implica realmente esta normativa y por qué genera tanto debate entre empresas tecnológicas.

Un reglamento por capas, no un interruptor único

Lo primero que conviene entender es que el AI Act no se aplicó de una vez. El texto se estructuró en distintos hitos temporales para dar margen de adaptación a empresas y administraciones:

• Las prácticas de IA consideradas de riesgo inaceptable —como determinados sistemas de puntuación social o de manipulación subliminal— fueron las primeras en prohibirse, meses después de la aprobación del reglamento.
• Las obligaciones para los modelos de IA de propósito general (los grandes modelos fundacionales que dan soporte a chatbots y asistentes) llegaron después, exigiendo documentación técnica, transparencia sobre los datos de entrenamiento y evaluación de riesgos sistémicos en los modelos más potentes.
• El grueso de las obligaciones para sistemas de alto riesgo —la categoría más amplia y compleja del reglamento— se activa ahora, dos años después de la entrada en vigor del texto legal.

Este escalonamiento responde a una lógica pragmática: dar tiempo a que las empresas adapten sus procesos antes de exigirles el cumplimiento pleno, en lugar de imponer todo el peso normativo de golpe.

Qué se considera un sistema de IA de “alto riesgo”

El reglamento no trata igual a un chatbot de atención al cliente que a un sistema que decide si a alguien se le concede un crédito bancario. La categoría de alto riesgo incluye, entre otros, los sistemas de IA usados en:

• Selección y gestión de personal (cribado de currículums, evaluación de candidatos).
• Acceso a servicios esenciales, como banca, seguros o prestaciones sociales.
• Educación, en procesos de evaluación o admisión.
• Aplicación de la ley y gestión de fronteras.
• Infraestructuras críticas, como redes eléctricas o de agua.
• Dispositivos médicos que incorporan IA como componente de seguridad.

Para estos sistemas, las obligaciones son sustanciales: evaluación de conformidad antes de salir al mercado, sistemas de gestión de riesgos documentados, supervisión humana efectiva, registro de eventos (logs) y, en muchos casos, inscripción en una base de datos pública europea antes de su despliegue.

Qué tienen que hacer las empresas concretamente

Para una empresa que desarrolla o despliega un sistema de alto riesgo, cumplir el reglamento implica varios pasos que no son triviales:

📌 Relacionado: Qué es la IA multimodal y por qué está cambiando cómo interactuamos con las máquinas

1. Clasificar correctamente el sistema según las categorías de riesgo del reglamento, lo cual ya de por sí exige asesoría legal especializada en muchos casos.
2. Documentar el ciclo de vida del sistema, desde el diseño y los datos de entrenamiento hasta las pruebas y el despliegue.
3. Garantizar supervisión humana, es decir, que una persona pueda intervenir o revertir decisiones automatizadas relevantes.
4. Someterse a evaluaciones de conformidad, que en algunos casos requieren la intervención de organismos notificados externos.
5. Mantener trazabilidad, con registros que permitan auditar el funcionamiento del sistema si surge una reclamación o incidente.

Para startups y pymes, este nivel de exigencia genera preocupación real: el coste de cumplimiento puede ser proporcionalmente mucho mayor que para una gran tecnológica con departamento legal propio, algo que asociaciones del sector europeo han señalado repetidamente durante la tramitación del reglamento.

Ventajas y críticas del enfoque europeo

A favor del reglamento:

• Aporta seguridad jurídica: las empresas saben de antemano qué se les va a exigir, en lugar de operar en un vacío legal.
• Protege derechos fundamentales en ámbitos sensibles como empleo, crédito o justicia, donde un error de un sistema automatizado puede tener consecuencias graves para una persona.
• Establece un estándar que, como ya ocurrió con el RGPD en protección de datos, podría convertirse en referencia para otras regiones (“efecto Bruselas”).

Críticas habituales:

• El coste de cumplimiento puede desincentivar la inversión en IA dentro de la UE frente a mercados con menos exigencias regulatorias.
• La complejidad de clasificar correctamente un sistema genera incertidumbre, especialmente para empresas pequeñas sin recursos legales dedicados.
• Algunos desarrolladores de modelos de propósito general han expresado dudas sobre cómo aplicar en la práctica ciertos requisitos de transparencia sin revelar información comercialmente sensible.

Las sanciones, el elemento que más atención genera

El reglamento contempla un régimen sancionador con multas que, en los casos más graves —como el desarrollo o uso de prácticas prohibidas—, pueden alcanzar un porcentaje muy elevado de la facturación global anual de la empresa infractora, con topes que sitúan las cifras máximas en el entorno de las multas más severas del derecho europeo de competencia. Para infracciones relacionadas con obligaciones de alto riesgo que no lleguen a ser prácticas prohibidas, los importes previstos son menores, pero siguen siendo disuasorios para cualquier empresa, grande o pequeña.

🔎 Más de Inteligencia Artificial

Preguntas frecuentes

¿El AI Act afecta a empresas fuera de la Unión Europea? Sí, de forma similar al RGPD: si una empresa no europea ofrece sistemas de IA que se usan dentro de la UE, debe cumplir el reglamento igualmente, aunque tenga su sede en otro continente.

¿Un chatbot cualquiera está sujeto a las obligaciones de alto riesgo? No necesariamente. La mayoría de chatbots de uso general caen en categorías de riesgo limitado, con obligaciones de transparencia (informar de que se interactúa con una IA) mucho menos exigentes que las de los sistemas de alto riesgo.

¿Qué pasa si una empresa ya tenía desplegado un sistema de alto riesgo antes de la norma? El reglamento prevé periodos transitorios para sistemas ya en uso, aunque con el paso del tiempo también deberán adaptarse a los requisitos exigidos a los nuevos desarrollos.

El AI Act es, en definitiva, un experimento regulatorio a gran escala: la primera ley integral sobre inteligencia artificial de un bloque económico del tamaño de la Unión Europea. Si el enfoque funciona, es probable que otros países tomen elementos de este marco como referencia. Si resulta demasiado rígido, el debate sobre cómo equilibrar innovación y protección de derechos seguirá abierto durante los próximos años, con Europa observando de cerca cómo evoluciona el resto del mundo mientras aplica sus propias reglas.