Qué obliga hoy, qué se aplazó y qué tiene que hacer una empresa que solo usa IA
Una lectura del Reglamento (UE) 2024/1689 y del ómnibus digital de julio de 2026 en lenguaje de comité de dirección: en qué categoría cae lo que usas, qué obligaciones están vigentes ya, cuáles se han movido a 2027 y 2028, y el mínimo exigible a una empresa mediana.
El Reglamento Europeo de Inteligencia Artificial —Reglamento (UE) 2024/1689, en vigor desde el 1 de agosto de 2024— no regula la tecnología: regula los usos. La misma herramienta puede estar libre de obligaciones en un caso y ser de alto riesgo en otro, según para qué se emplee y sobre quién decida. Por eso la primera pregunta nunca es «¿qué herramienta usamos?», sino «¿para qué la usamos y sobre quién».
Al ser un reglamento, se aplica directamente en todos los Estados miembros sin necesidad de transposición. Lo que cada país sí tiene que hacer es designar autoridades y fijar su régimen sancionador —y ahí España todavía está a medias, como se explica más abajo.
Desarrolla un sistema de IA y lo comercializa, o lo pone en servicio bajo su nombre o marca. Soporta el grueso de las obligaciones: gestión de riesgos, calidad de datos, documentación técnica, registro de actividad, supervisión humana por diseño y vigilancia poscomercialización.
Utiliza un sistema de IA bajo su propia autoridad —lo normal en una empresa mediana—. Obligaciones más ligeras pero reales: usarlo conforme a las instrucciones, garantizar supervisión humana, informar de incidentes graves y, en sistemas de alto riesgo, informar a los trabajadores afectados.
Un responsable del despliegue puede convertirse en proveedor sin darse cuenta: si pone su marca a un sistema de alto riesgo, lo modifica sustancialmente o cambia su finalidad prevista. Entonces asume las obligaciones del proveedor, enteras.
El 27 de julio de 2026 entró en vigor el Reglamento (UE) 2026/1744, el ómnibus digital sobre IA, que simplifica el reglamento y mueve fechas. Titular: lo que ya obligaba, sigue obligando. Lo que se movió es el bloque de alto riesgo.
El reglamento existe, pero sus obligaciones se escalonan. Empieza a contar el calendario.
Quedan prohibidos los usos inaceptables. Y entra en vigor el artículo 4: toda empresa que use IA debe adoptar medidas de alfabetización de su personal. Sin umbral de tamaño: una empresa de doce personas también está obligada.
Se activan las normas de gobernanza y las obligaciones de los proveedores de modelos de IA de propósito general —los modelos grandes sobre los que se construye casi todo lo demás—.
El reglamento pasa a ser plenamente aplicable y se activan las obligaciones de transparencia del artículo 50: avisar cuando alguien interactúa con una IA y etiquetar determinados contenidos sintéticos. Esto no se aplazó.
Entra en vigor la prohibición añadida por el ómnibus: los sistemas de IA que generan contenido íntimo sexualmente explícito sin consentimiento y material de abuso sexual infantil.
Sistemas autónomos de alto riesgo: biometría, infraestructuras críticas, educación, empleo, servicios esenciales, migración y justicia. Estaba previsto para el 2 de agosto de 2026 y el ómnibus lo movió aquí.
IA integrada en productos ya regulados por normativa sectorial de seguridad —maquinaria, ascensores, productos sanitarios—. Estaba previsto para agosto de 2027.
El reglamento clasifica por riesgo del uso, no por potencia de la herramienta. Recorre las cuatro en orden: la primera que encaje es la tuya.
| Categoría | Qué entra | Qué implica |
|---|---|---|
| Riesgo inaceptable | Puntuación social, manipulación que explota vulnerabilidades, reconocimiento de emociones en el trabajo o en centros educativos, categorización biométrica por características sensibles, extracción masiva no dirigida de imágenes faciales. | Prohibido. No hay régimen de cumplimiento: no se puede hacer. |
| Alto riesgo | Selección y gestión de personal, acceso a educación, evaluación crediticia, seguros de vida y salud, infraestructuras críticas, biometría, y la IA integrada en productos con normativa de seguridad propia. | El régimen completo. Para quien lo usa: supervisión humana, uso conforme a instrucciones, información a los trabajadores afectados y comunicación de incidentes. |
| Riesgo de transparencia | Sistemas que interactúan con personas, generación de contenido sintético, ultrafalsificaciones, sistemas de reconocimiento de emociones fuera de los casos prohibidos. | Avisar. La persona tiene que saber que habla con una IA o que el contenido es generado. Vigente desde agosto de 2026. |
| Riesgo mínimo | La inmensa mayoría del uso empresarial: redactar, resumir, traducir, buscar, clasificar documentos, asistir en programación. | Sin obligaciones específicas del reglamento. Siguen aplicando protección de datos, propiedad intelectual y confidencialidad. |
La conclusión práctica para una empresa mediana suele ser tranquilizadora y suele sorprender: casi todo lo que ya está usando cae en riesgo mínimo o en transparencia. El punto donde eso cambia es siempre el mismo —cuando el sistema empieza a decidir sobre personas—, y ese punto se cruza casi siempre sin querer, empezando por recursos humanos.
El artículo 4 obliga desde el 2 de febrero de 2025 a proveedores y a responsables del despliegue a adoptar medidas para que su personal tenga un nivel suficiente de alfabetización en IA. No hay umbral de tamaño ni de sector: si tu empresa usa IA, le aplica.
El ómnibus de julio de 2026 suavizó la redacción —ya no se exige garantizar un nivel individual concreto, sino adoptar y poder acreditar medidas de apoyo y promoción— y reforzó el papel de la Comisión y de los Estados miembros en facilitar esa formación. La obligación de tener algo escrito y demostrable no desaparece.
Formar por papel —quien usa, quien revisa, quien decide— no es una interpretación generosa de la norma. Es lo que la norma pide y, casualmente, lo único que funciona.
El reglamento se aplica directamente, pero cada Estado designa a sus autoridades y fija su régimen sancionador. En España eso lo hace el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la Inteligencia Artificial, aprobado por el Consejo de Ministros el 26 de mayo de 2026 y publicado en el Boletín Oficial de las Cortes Generales el 12 de junio de 2026.
A la fecha de revisión de esta guía sigue en tramitación parlamentaria. Es decir: el marco europeo obliga ya, pero el régimen sancionador español todavía no está cerrado. Que la sanción no esté rematada no suspende la obligación —solo retrasa quién la cobra y cómo.
La Agencia Española de Supervisión de la Inteligencia Artificial, con sede en A Coruña, es la autoridad central de supervisión y notificación.
Comparte competencias con la Agencia Española de Protección de Datos y con autoridades sectoriales, según el ámbito del sistema. Un mismo caso puede tener más de un supervisor.
El reglamento europeo fija hasta 35 millones de euros o el 7 % del volumen de negocio mundial para las prácticas prohibidas, con tramos inferiores para el resto de incumplimientos. El proyecto español recoge esa horquilla.
Once puntos. No cubren el régimen de alto riesgo —si te aplica, esto no basta—, pero cubren lo que hoy es exigible a la mayoría de empresas de 3 a 50 M€ y se puede cerrar en una mañana de trabajo.
Se aplazó el bloque de alto riesgo. Las prohibiciones, la alfabetización y la transparencia están vigentes y son justo las que afectan al uso empresarial corriente.
El artículo 4 no tiene umbral de tamaño, y las obligaciones del responsable del despliegue aplican a cualquiera que use un sistema bajo su autoridad. Sí hay simplificaciones para pymes y empresas de mediana capitalización, pero simplificar no es eximir.
Usarla ya te convierte en responsable del despliegue. Y si le pones tu marca a un sistema de alto riesgo o le cambias la finalidad, pasas a ser proveedor con todas sus obligaciones.
Son marcos distintos que conviven. El de protección de datos mira el dato personal; el de IA mira el uso del sistema y sus consecuencias, haya o no dato personal de por medio. Cumplir uno no cubre el otro.
Todo lo que se afirma aquí sale de estos documentos. Si algo no cuadra con lo que lees en otro sitio, gana el texto oficial.
Guía en PDF, con la cronología actualizada y el checklist de cumplimiento
La guía completa con la cronología, el árbol de decisión de categoría de riesgo, el checklist de once puntos y las fuentes oficiales enlazadas.
Todo lo que hay en el archivo está también en esta página, abierto y sin pedir nada. El correo es para mandarte la versión que puedes imprimir y llevar a una sesión.
Listo. Aquí lo tienes.
Descargar la guía en PDFSi el archivo no se abre, guarda este enlace: seguirá funcionando.
Usamos cookies para entender y mejorar la web
Analizamos de forma agregada cómo se usa quether.com para mejorar la experiencia. Puedes aceptarlas o rechazarlas. Más detalle en nuestra política de cookies.
