El Reglamento de IA, conocido como EU AI Act o ley de inteligencia artificial de la UE, es el Reglamento (UE) 2024/1689: la norma europea que regula los sistemas de IA según su riesgo. Está en vigor desde agosto de 2024, se aplica directamente en España y obliga por fases a proveedores y usuarios profesionales de IA hasta 2030.
Lo esencial en breve
- Es un reglamento, no una directiva: se aplica igual en los 27 Estados miembros sin necesidad de ley nacional, aunque cada país designa autoridades y regula su procedimiento sancionador.
- Regula usos, no tecnologías: clasifica los sistemas en riesgo inaceptable (prohibido), alto riesgo, riesgo limitado (transparencia) y riesgo mínimo.
- Obliga sobre todo a dos figuras: el proveedor, que desarrolla o comercializa el sistema, y el responsable del despliegue, que lo usa en su actividad profesional.
- El Ómnibus Digital (Reglamento (UE) 2026/1744), en vigor desde el 27 de julio de 2026, retrasó el alto riesgo a diciembre de 2027 y agosto de 2028 y añadió dos prohibiciones.
- En España, la AESIA es el punto de contacto único. El proyecto de ley nacional caducó en octubre de 2026 con la disolución de las Cortes.
Qué es el Reglamento de IA
El Reglamento (UE) 2024/1689, por el que se establecen normas armonizadas en materia de inteligencia artificial, se publicó en el Diario Oficial de la UE el 12 de julio de 2024 y entró en vigor el 1 de agosto de 2024. En la documentación oficial española se le llama Reglamento de Inteligencia Artificial (RIA) o Reglamento de IA; en la calle, «ley de IA», «ley de inteligencia artificial» o, en inglés, AI Act y European AI Act. Es la misma norma. Puede consultarse en la versión oficial en español en EUR-Lex.
Su objetivo es doble: que la IA que se comercializa y usa en la UE sea segura y respete los derechos fundamentales, y que exista un mercado único con reglas comunes en lugar de 27 regímenes distintos. Para conseguirlo, no regula la tecnología en abstracto, sino el riesgo de cada uso para las personas. Si su empresa quiere saber en qué punto está frente a esta norma, el diagnóstico gratuito de gobernanza de la IA de Opsio relaciona sus usos de IA con las obligaciones y le entrega los documentos base.
¿Necesitas ayuda con cloud?
Reserva una reunión gratuita de 30 minutos con uno de nuestros especialistas en cloud. Analizamos tu necesidad y damos recomendaciones concretas — sin compromiso.
A quién se aplica
El Reglamento define varios operadores. Los dos que importan a casi todas las empresas son:
- Proveedor: quien desarrolla un sistema o modelo de IA, o lo encarga, y lo introduce en el mercado o lo pone en servicio con su nombre o marca.
- Responsable del despliegue: quien usa un sistema de IA bajo su propia autoridad en una actividad profesional. Una aseguradora que usa un chatbot, un ayuntamiento que prioriza ayudas con IA o una empresa que ha desplegado Copilot son responsables del despliegue.
También hay obligaciones para importadores, distribuidores, fabricantes de productos y representantes autorizados. El alcance es extraterritorial: se aplica a proveedores de fuera de la UE que comercializan IA en la Unión y a quienes, desde fuera, usan sistemas cuyos resultados se utilizan en la UE. Quedan fuera, entre otros, los usos militares y de defensa, la investigación científica pura y el uso estrictamente personal y no profesional.
Los cuatro niveles de riesgo
| Nivel | Qué incluye | Consecuencia |
|---|---|---|
| Riesgo inaceptable | Manipulación dañina, puntuación social, reconocimiento de emociones en el trabajo, categorización biométrica sensible y otras prácticas del artículo 5 | Prohibido |
| Alto riesgo | Sistemas del anexo III (empleo, educación, crédito, seguros de vida y salud, biometría, infraestructuras críticas, justicia, migración) e IA en productos regulados del anexo I | Requisitos estrictos para proveedor y responsable del despliegue |
| Riesgo limitado | Chatbots, IA generativa, ultrasuplantaciones (deepfakes), reconocimiento de emociones fuera del trabajo | Obligaciones de transparencia del artículo 50 |
| Riesgo mínimo | Filtros de spam, recomendadores básicos, la mayoría de herramientas de productividad | Sin obligaciones específicas, salvo alfabetización y códigos voluntarios |
Aparte están los modelos de IA de uso general, como los grandes modelos de lenguaje, con un régimen propio para sus proveedores. Y hay dos obligaciones transversales que afectan a cualquier organización que use IA: no recurrir a prácticas prohibidas y adoptar medidas para fomentar la alfabetización en materia de IA de su personal.
Qué se aplica ya y qué viene, tras el Ómnibus Digital
| Fecha | Qué se aplica |
|---|---|
| 2 de febrero de 2025 | Prácticas prohibidas y alfabetización en IA |
| 2 de agosto de 2025 | Modelos de IA de uso general, gobernanza y régimen de sanciones |
| 2 de agosto de 2026 | Transparencia del artículo 50 (chatbots, contenido sintético) |
| 2 de diciembre de 2026 | Dos prohibiciones nuevas: imágenes íntimas sin consentimiento y material de abuso sexual infantil |
| 2 de diciembre de 2027 | Alto riesgo del anexo III |
| 2 de agosto de 2028 | Alto riesgo en productos del anexo I |
| 2 de agosto de 2030 | Sistemas públicos de alto riesgo ya en uso |
El Ómnibus Digital es ley desde julio de 2026, no una propuesta. Cambió fechas y algunas obligaciones, pero no la estructura del Reglamento.
Sanciones
El artículo 99 fija los máximos: hasta 35 millones de euros o el 7 % del volumen de negocios mundial por prácticas prohibidas; hasta 15 millones o el 3 % por incumplir la mayoría de las demás obligaciones, incluidas las de alto riesgo y transparencia; y hasta 7,5 millones o el 1 % por dar información incorrecta a las autoridades. Se aplica la cifra mayor, salvo para pymes y empresas emergentes, que pagan la menor. Los proveedores de modelos de uso general pueden recibir multas de la Comisión de hasta 15 millones o el 3 %.
Autoridades en España
La Agencia Española de Supervisión de Inteligencia Artificial (AESIA), con sede en A Coruña y estatuto aprobado por el Real Decreto 729/2023, es el punto de contacto único de España ante la Comisión. El Gobierno aprobó en mayo de 2026 el proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, que repartía la supervisión entre la AESIA, la AEPD, el CGPJ, el Banco de España, la CNMV y la Dirección General de Seguros y fijaba el régimen sancionador nacional. Ese proyecto caducó el 6 de octubre de 2026 con la disolución de las Cortes, por lo que, a octubre de 2026, el reparto definitivo está pendiente. Mientras tanto, el Reglamento se aplica directamente y la AEPD sigue aplicando el RGPD. Todo el detalle, en AESIA y ley de IA en España.
Guía del Reglamento de IA: todos los artículos
Este es el índice de nuestra serie sobre el Reglamento de IA para empresas españolas:
- Calendario de la ley de inteligencia artificial: todas las fechas de 2024 a 2030 y qué rige ya.
- Digital Omnibus: qué cambió el Reglamento (UE) 2026/1744 y qué se retrasó.
- AESIA y ley de IA en España: quién supervisa y qué pasó con la ley nacional.
- IA prohibida: qué riesgo se considera inaceptable, con ejemplos.
- Alfabetización en IA: la formación que exige el artículo 4 tras el Ómnibus.
- GPAI: obligaciones de los modelos de IA de uso general y el código de buenas prácticas.
- ISO 42001: la norma de sistemas de gestión de la IA y su certificación.
- Cumplimiento de la ley de IA: análisis de brechas en siete pasos.
- Política de uso de IA en la empresa: ejemplo con cláusulas modelo.
- Evaluación de riesgos de IA: plantilla, matriz y ejemplo resuelto.
- Shadow AI e inventario de IA: cómo detectar la IA no autorizada y registrarla.
- Checklist de cumplimiento del Reglamento de IA: las acciones ordenadas por prioridad.
Preguntas frecuentes sobre el Reglamento de IA
¿Qué es el AI Act o ley de inteligencia artificial de la UE?
Es el Reglamento (UE) 2024/1689, la primera regulación horizontal de la inteligencia artificial en la UE. Clasifica los sistemas por riesgo, prohíbe ciertos usos, impone requisitos a los de alto riesgo y transparencia a chatbots y contenido sintético, y regula los modelos de uso general. Se aplica directamente en todos los Estados miembros.
¿Ya está en vigor el Reglamento de IA?
Sí, desde el 1 de agosto de 2024, pero se aplica por fases. A octubre de 2026 ya son exigibles las prohibiciones, la alfabetización en IA, las obligaciones de los modelos de uso general y la transparencia del artículo 50. Los requisitos de alto riesgo se aplicarán el 2 de diciembre de 2027 y el 2 de agosto de 2028.
¿Afecta a mi empresa si solo usamos herramientas de IA de terceros?
Sí. Como responsable del despliegue, debe evitar prácticas prohibidas y fomentar la alfabetización en IA de su personal desde febrero de 2025. Si usa chatbots con clientes o publica contenido sintético, aplica la transparencia. Si usa IA en selección de personal, crédito o seguros, tendrá obligaciones de alto riesgo desde diciembre de 2027.
¿Hay una ley española de inteligencia artificial?
A octubre de 2026, no. El proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA, aprobado por el Gobierno en mayo de 2026, caducó al disolverse las Cortes el 6 de octubre. El Reglamento europeo se aplica igualmente; lo que queda pendiente es el reparto de autoridades y el procedimiento sancionador nacional.
¿Qué relación tiene con el RGPD?
Son complementarios. El RGPD regula el tratamiento de datos personales, también cuando lo hace una IA; el Reglamento de IA regula la seguridad y los derechos fundamentales en el diseño y uso de los sistemas. Un mismo sistema puede necesitar una evaluación de impacto de protección de datos y otra relativa a los derechos fundamentales, que pueden coordinarse.
Sepa qué le exige el Reglamento de IA
El primer paso es saber qué IA usa, en qué papel y con qué riesgo. Con el diagnóstico de gobernanza y madurez en IA de Opsio responde a catorce pasos de preguntas en español, unos 40 minutos, y al enviarlo recibe cuatro documentos redactados a partir de sus respuestas: marco de gobernanza de la IA, política de uso aceptable de la IA, checklist de diligencia debida para proveedores de IA y plantilla de evaluación de riesgos, más una valoración de madurez en diez áreas. Los documentos se entregan en inglés como archivos Word editables y son suyos. Gratis y sin compromiso. Si necesita acompañamiento, consulte nuestra consultoría de gobernanza de la IA.
Este artículo es información general y no constituye asesoramiento jurídico. Consulte el texto consolidado del Reglamento (UE) 2024/1689 en su versión modificada por el Reglamento (UE) 2026/1744. Fechas y autoridades, a octubre de 2026.
Escrito por
Country Manager, India
Praveena lidera las operaciones de Opsio en India, aportando más de 17 años de experiencia multisectorial en IA, fabricación, DevOps y servicios gestionados.
Normas editoriales: Este artículo lo han escrito profesionales cloud y lo ha revisado nuestro equipo de ingeniería. Lo actualizamos cuando cambia la tecnología o la normativa que trata; las fechas de esta página indican la última actualización. Opsio mantiene su independencia editorial.