Què obliga avui, què es va ajornar i què ha de fer una empresa que només fa servir IA
Per Guillem Gómez
Una lectura del Reglament (UE) 2024/1689 i de l'òmnibus digital de juliol de 2026 en llenguatge de comitè de direcció: en quina categoria cau el que fas servir, quines obligacions ja són vigents, quines s'han mogut al 2027 i al 2028, i el mínim exigible a una empresa mitjana.
El Reglament europeu d'intel·ligència artificial —Reglament (UE) 2024/1689, en vigor des de l'1 d'agost de 2024— no regula la tecnologia: regula els usos. La mateixa eina pot estar lliure d'obligacions en un cas i ser d'alt risc en un altre, segons per a què es faci servir i sobre qui decideixi. Per això la primera pregunta mai no és «quina eina fem servir?», sinó «per a què la fem servir i sobre qui».
Com que és un reglament, s'aplica directament a tots els estats membres sense necessitat de transposició. El que sí que ha de fer cada país és designar autoritats i fixar el seu règim sancionador —i aquí Espanya encara és a mig camí, com s'explica més avall.
Desenvolupa un sistema d'IA i el comercialitza, o el posa en servei amb el seu nom o marca. Suporta el gruix de les obligacions: gestió de riscos, qualitat de les dades, documentació tècnica, registre d'activitat, supervisió humana des del disseny i seguiment postcomercialització.
Utilitza un sistema d'IA sota la seva pròpia autoritat —el normal en una empresa mitjana—. Obligacions més lleugeres però reals: fer-lo servir d'acord amb les instruccions, garantir la supervisió humana, informar d'incidents greus i, en sistemes d'alt risc, informar els treballadors afectats.
Un responsable del desplegament es pot convertir en proveïdor sense adonar-se'n: si posa la seva marca a un sistema d'alt risc, el modifica substancialment o en canvia la finalitat prevista. Aleshores assumeix les obligacions del proveïdor, senceres.
El 27 de juliol de 2026 va entrar en vigor el Reglament (UE) 2026/1744, l'òmnibus digital sobre IA, que simplifica el reglament i mou dates. Titular: el que ja obligava continua obligant. El que s'ha mogut és el bloc d'alt risc.
El reglament existeix, però les seves obligacions s'escalonen. Comença a comptar el calendari.
Queden prohibits els usos inacceptables. I entra en vigor l'article 4: tota empresa que faci servir IA ha d'adoptar mesures d'alfabetització del seu personal. Sense llindar de mida: una empresa de dotze persones també hi està obligada.
S'activen les normes de governança i les obligacions dels proveïdors de models d'IA d'ús general —els models grans sobre els quals es construeix gairebé tota la resta—.
El reglament passa a ser plenament aplicable i s'activen les obligacions de transparència de l'article 50: avisar quan algú interactua amb una IA i etiquetar determinats continguts sintètics. Això no s'ha ajornat.
Entra en vigor la prohibició afegida per l'òmnibus: els sistemes d'IA que generen contingut íntim sexualment explícit sense consentiment i material d'abús sexual infantil.
Sistemes autònoms d'alt risc: biometria, infraestructures crítiques, educació, ocupació, serveis essencials, migració i justícia. Estava previst per al 2 d'agost de 2026 i l'òmnibus el va moure aquí.
IA integrada en productes ja regulats per normativa sectorial de seguretat —maquinària, ascensors, productes sanitaris—. Estava previst per a l'agost de 2027.
El reglament classifica pel risc de l'ús, no per la potència de l'eina. Recorre-les totes quatre en ordre: la primera que encaixi és la teva.
| Categoria | Què hi entra | Què implica |
|---|---|---|
| Risc inacceptable | Puntuació social, manipulació que explota vulnerabilitats, reconeixement d'emocions a la feina o en centres educatius, categorització biomètrica per característiques sensibles, extracció massiva no dirigida d'imatges facials. | Prohibit. No hi ha règim de compliment: no es pot fer. |
| Alt risc | Selecció i gestió de personal, accés a l'educació, avaluació creditícia, assegurances de vida i salut, infraestructures crítiques, biometria, i la IA integrada en productes amb normativa de seguretat pròpia. | El règim complet. Per a qui el fa servir: supervisió humana, ús d'acord amb les instruccions, informació als treballadors afectats i comunicació d'incidents. |
| Risc de transparència | Sistemes que interactuen amb persones, generació de contingut sintètic, ultrafalsificacions, sistemes de reconeixement d'emocions fora dels casos prohibits. | Avisar. La persona ha de saber que parla amb una IA o que el contingut és generat. Vigent des de l'agost de 2026. |
| Risc mínim | La immensa majoria de l'ús empresarial: redactar, resumir, traduir, cercar, classificar documents, assistir en programació. | Sense obligacions específiques del reglament. Continuen aplicant-se la protecció de dades, la propietat intel·lectual i la confidencialitat. |
La conclusió pràctica per a una empresa mitjana sol ser tranquil·litzadora i sol sorprendre: gairebé tot el que ja fa servir cau en risc mínim o en transparència. El punt on això canvia és sempre el mateix —quan el sistema comença a decidir sobre persones—, i aquest punt es creua gairebé sempre sense voler, començant per recursos humans.
L'article 4 obliga des del 2 de febrer de 2025 proveïdors i responsables del desplegament a adoptar mesures perquè el seu personal tingui un nivell suficient d'alfabetització en IA. No hi ha llindar de mida ni de sector: si la teva empresa fa servir IA, se li aplica.
L'òmnibus de juliol de 2026 va suavitzar la redacció —ja no s'exigeix garantir un nivell individual concret, sinó adoptar mesures de suport i promoció i poder-les acreditar— i va reforçar el paper de la Comissió i dels estats membres a l'hora de facilitar aquesta formació. L'obligació de tenir alguna cosa escrita i demostrable no desapareix.
Formar per paper —qui fa servir, qui revisa, qui decideix— no és una interpretació generosa de la norma. És el que la norma demana i, casualment, l'única cosa que funciona.
El reglament s'aplica directament, però cada estat designa les seves autoritats i fixa el seu règim sancionador. A Espanya ho fa el Projecte de llei orgànica per al bon ús i la governança de la intel·ligència artificial, aprovat pel Consell de Ministres el 26 de maig de 2026 i publicat al Butlletí Oficial de les Corts Generals el 12 de juny de 2026.
A la data de revisió d'aquesta guia continua en tramitació parlamentària. És a dir: el marc europeu ja obliga, però el règim sancionador espanyol encara no està tancat. Que la sanció no estigui rematada no suspèn l'obligació —només endarrereix qui la cobra i com.
L'Agència Espanyola de Supervisió de la Intel·ligència Artificial, amb seu a la Corunya, és l'autoritat central de supervisió i notificació.
Comparteix competències amb l'Agència Espanyola de Protecció de Dades i amb autoritats sectorials, segons l'àmbit del sistema. Un mateix cas pot tenir més d'un supervisor.
El reglament europeu fixa fins a 35 milions d'euros o el 7 % del volum de negoci mundial per a les pràctiques prohibides, amb trams inferiors per a la resta d'incompliments. El projecte espanyol recull aquesta forquilla.
Onze punts. No cobreixen el règim d'alt risc —si se t'aplica, amb això no n'hi ha prou—, però cobreixen el que avui és exigible a la majoria d'empreses de 3 a 50 M€ i es pot tancar en un matí de feina.
Es va ajornar el bloc d'alt risc. Les prohibicions, l'alfabetització i la transparència són vigents i són justament les que afecten l'ús empresarial corrent.
L'article 4 no té llindar de mida, i les obligacions del responsable del desplegament s'apliquen a qualsevol que faci servir un sistema sota la seva autoritat. Sí que hi ha simplificacions per a pimes i empreses de mitjana capitalització, però simplificar no és eximir.
Fer-la servir ja et converteix en responsable del desplegament. I si poses la teva marca a un sistema d'alt risc o en canvies la finalitat, passes a ser proveïdor amb totes les seves obligacions.
Són marcs diferents que conviuen. El de protecció de dades mira la dada personal; el d'IA mira l'ús del sistema i les seves conseqüències, hi hagi o no dades personals pel mig. Complir-ne un no cobreix l'altre.
Tot el que s'afirma aquí surt d'aquests documents. Si alguna cosa no quadra amb el que llegeixes en un altre lloc, guanya el text oficial.
Guia en PDF, amb la cronologia actualitzada i el checklist de compliment
La guia completa amb la cronologia, l'arbre de decisió de categoria de risc, el checklist d'onze punts i les fonts oficials enllaçades.
Tot el que hi ha a l'arxiu també és en aquesta pàgina, obert i sense demanar res. El correu és per enviar-te la versió que pots imprimir i portar a una sessió.
Fet. Aquí el tens.
Descarregar la guia en PDFSi l'arxiu no s'obre, desa aquest enllaç: continuarà funcionant.
Tu decideixes quines galetes fem servir
Amb el teu permís, mesurem de manera agregada com es fa servir quether.com i recordem la teva visita per mostrar-te anuncis de Quether a Facebook i Instagram. Pots acceptar-ho tot, rebutjar-ho tot o triar. Més detalls a la nostra política de galetes.
