Reglamento europeo de IA: qué te obliga ya y qué se aplaza a 2027

Si tu empresa usa un chatbot, publica textos hechos con IA o filtra currículums con algún programa, el Reglamento europeo de IA ya te afecta en parte. En julio de 2026 la UE cambió el calendario con el llamado Ómnibus digital, y todavía circulan fechas que ya no valen. Aquí tienes lo que se aplica hoy, lo que llega el 2 de diciembre y lo que se ha aplazado.

Revisado a 3 de noviembre de 2026 con el texto del Reglamento (UE) 2024/1689 y del Reglamento (UE) 2026/1744 publicados en el Diario Oficial de la UE. Es información general, no asesoramiento jurídico: si tu caso es dudoso, consúltalo con un especialista.

Qué es el Reglamento europeo de IA

El Reglamento (UE) 2024/1689 es la norma que regula los sistemas de inteligencia artificial en la UE según el riesgo que suponen. Es obligatorio y directamente aplicable en cada Estado miembro, así que no necesita una ley española para estar vigente. Entró en vigor el 1 de agosto de 2024 y se aplica por fases.

Lo primero es saber qué papel tienes. El reglamento llama proveedor a quien desarrolla un sistema de IA, o lo encarga, y lo pone en servicio con su propio nombre o marca. Y llama responsable del despliegue a quien lo utiliza bajo su propia autoridad en una actividad profesional (art. 3). Si solo usas herramientas de terceros, eres lo segundo. Pero si encargas un asistente a medida y lo lanzas con tu marca, puedes ser lo primero.

Qué cambió el Ómnibus digital sobre IA

El Reglamento (UE) 2026/1744, de 8 de julio de 2026, se publicó en el DOUE el 24 de julio y entró en vigor a los tres días. No tumba el reglamento: retoca fechas y obligaciones. Lo que más afecta a una empresa media:

• El alto riesgo se aplaza: al 2 de diciembre de 2027 para los usos del anexo III y al 2 de agosto de 2028 para los productos del anexo I.
• La alfabetización en IA se suaviza: ya no se pide garantizar "un nivel suficiente", sino adoptar medidas para apoyarla.
• Hay dos prohibiciones nuevas, aplicables desde el 2 de diciembre de 2026.
• Las pequeñas empresas de mediana capitalización, una categoría nueva por encima de la pyme, tendrán el mismo tope reducido de multas que las pymes.

El calendario completo, en una tabla

Lo que ya te obliga hoy

A fecha de noviembre de 2026, tres bloques están en vigor para cualquier empresa, sea del tamaño que sea.

1. Las prácticas prohibidas

Desde febrero de 2025 están prohibidos, entre otros, los sistemas que manipulan con técnicas subliminales o engañosas, los que explotan vulnerabilidades por edad, discapacidad o situación social o económica, la puntuación social y la inferencia de emociones en el trabajo y en centros educativos, salvo por motivos médicos o de seguridad.

Este último pilla desprevenido a más de uno: un software que "lee" el estado de ánimo de la plantilla a partir de su cara o su voz entra de lleno en la prohibición.

El 2 de diciembre de 2026 se suman dos más: generar o manipular imágenes, vídeos o audios realistas de las partes íntimas de una persona identificable, o de esa persona en actividades sexualmente explícitas, sin su consentimiento; y generar material de abuso sexual infantil.

2. La alfabetización en IA

El artículo 4 obliga a proveedores y responsables del despliegue a adoptar medidas para apoyar la alfabetización en IA de su personal y de quien maneje los sistemas en su nombre, teniendo en cuenta sus conocimientos y el contexto de uso. Tras el Ómnibus, el texto aclara que no exige garantizar un nivel específico a ninguna persona en particular.

Traducido: no hace falta un título para cada empleado, pero sí medidas reales y adaptadas a cada puesto. Guardar constancia de la formación es la forma más sencilla de demostrar que las tomaste.

3. La transparencia del artículo 50

Desde el 2 de agosto de 2026:

• Un sistema que conversa con personas debe informar de que es una IA, salvo que resulte evidente para una persona razonablemente informada y atenta.
• Los proveedores de IA generativa deben marcar sus resultados en un formato legible por máquina. Quien ya los comercializaba antes de agosto tiene hasta el 2 de diciembre de 2026.
• Quien publica una ultrasuplantación (deepfake) debe decir que es artificial. Y quien publica texto generado con IA para informar sobre asuntos de interés público, también, salvo que haya pasado por revisión humana o control editorial con un responsable.
• El aviso tiene que ser claro y distinguible, y llegar como tarde en la primera interacción.

La Comisión publicó el 20 de julio de 2026 sus directrices sobre el artículo 50, y el 10 de junio el código de buenas prácticas sobre marcado y etiquetado de contenido generado. Ninguno es obligatorio, pero son la mejor pista de cómo se va a interpretar la norma.

Alto riesgo: aplazado, no cancelado

El anexo III enumera los usos que serán de alto riesgo a partir del 2 de diciembre de 2027. Los que más aparecen en empresas de servicios e instituciones:

• Empleo: publicar anuncios de empleo dirigidos, analizar y filtrar solicitudes, evaluar candidatos o decidir ascensos, despidos y reparto de tareas según el comportamiento de cada persona.
• Educación: decidir admisiones, evaluar resultados de aprendizaje o vigilar exámenes. Muy relevante para universidades y centros de investigación.
• Crédito y seguros: evaluar la solvencia de personas o fijar precios de seguros de vida y de salud.
• Emergencias: clasificar llamadas de emergencia o hacer triaje de pacientes.

Ojo con la letra pequeña: no es lo mismo extraer los datos de un currículum para registrarlo que usar IA para puntuar y descartar candidatos. Lo contamos con un ejemplo en nuestra página de procesamiento de documentos con IA.

Si un sistema del anexo III no plantea un riesgo significativo, el proveedor puede justificar que no es de alto riesgo (art. 6.3), pero tiene que documentar esa evaluación antes de lanzarlo, y las autoridades pueden pedírsela. El Ómnibus simplifica el registro de esos casos; no lo elimina.

Multas y quién vigila en España

El artículo 99 fija los techos de las multas:

• Prácticas prohibidas: hasta 35 millones de euros o el 7 % del volumen de negocios mundial del ejercicio anterior, si es mayor.
• Otras obligaciones, incluida la transparencia del artículo 50: hasta 15 millones o el 3 %.
• Información inexacta o engañosa a las autoridades: hasta 7,5 millones o el 1 %.

Para pymes y empresas emergentes se aplica la cifra menor de cada par, y el Ómnibus extiende esa regla a las pequeñas empresas de mediana capitalización.

En España, la Agencia Española de Supervisión de Inteligencia Artificial (AESIA) tiene su sede en A Coruña y su estatuto se aprobó con el Real Decreto 729/2023. Ha publicado 16 guías prácticas, no vinculantes, que anuncia actualizar con el Ómnibus.

Lo que falta es la ley española que iba a repartir competencias entre autoridades y concretar las sanciones. El Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA entró en el Congreso en mayo de 2026 y caducó el 6 de octubre, cuando el Real Decreto 806/2026 disolvió las Cortes y convocó elecciones para el 29 de noviembre. Tendrá que volver a tramitarse en la nueva legislatura. El reglamento europeo, mientras tanto, sigue aplicándose.

Qué hacer este mes: 6 pasos

1. Haz inventario. Apunta cada uso de IA: el chatbot de la web, la herramienta que redacta correos, el filtro de currículums, el asistente de voz. Incluye lo que cada departamento usa por su cuenta, que suele ser lo que nadie tiene controlado.
2. Clasifica cada uso. ¿Roza una práctica prohibida? ¿Conversa con personas o genera contenido (art. 50)? ¿Entra en el anexo III?
3. Pon el aviso de IA en chats y llamadas, en el primer mensaje o en el saludo.
4. Documenta la formación de quien usa IA: qué herramienta, para qué y con qué límites.
5. Pregunta a tus proveedores cómo marcan el contenido generado y qué papel asumen ellos según el reglamento.
6. Revisa los usos de RR. HH. y de evaluación antes de diciembre de 2027. Un proceso de selección se cambia mejor con calma que con prisa.

Si no tienes claro si lo que usas es un simple chatbot o un agente que actúa en tus sistemas, empieza por esta comparativa entre chatbots, RPA y agentes: el tipo de herramienta cambia bastante el análisis.

Preguntas frecuentes

¿Tengo que avisar de que el chatbot de mi web es una IA?

Sí. Desde el 2 de agosto de 2026, el artículo 50 del Reglamento europeo de IA obliga a informar a las personas de que interactúan con una IA, salvo que resulte evidente. El aviso debe ser claro y llegar como tarde en la primera interacción.

¿Se ha retrasado todo el Reglamento de IA?

No. El Ómnibus digital aplaza las obligaciones de los sistemas de alto riesgo, pero las prácticas prohibidas, la alfabetización en IA y la transparencia del artículo 50 ya se aplican.

¿Usar ChatGPT u otra herramienta de IA en la oficina me convierte en proveedor?

Por lo general, no: si usas una herramienta de un tercero bajo tu autoridad, eres responsable del despliegue. Pasas a ser proveedor si desarrollas o encargas un sistema y lo pones en servicio con tu nombre o marca.

¿Puede una pyme recibir una multa por el Reglamento de IA?

Sí. Los techos del artículo 99 llegan a 35 millones de euros o el 7 % de la facturación por prácticas prohibidas y a 15 millones o el 3 % por otras obligaciones. Para las pymes se aplica la cifra menor de cada par.

¿Existe ya una ley española que desarrolle el Reglamento de IA?

No a fecha de noviembre de 2026. El Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA caducó el 6 de octubre de 2026 al disolverse las Cortes, y tendrá que tramitarse de nuevo. El reglamento europeo se aplica igualmente.

Fuentes

1. Reglamento (UE) 2024/1689, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial. Diario Oficial de la Unión Europea (copia en BOE), 12/07/2024.
2. Reglamento (UE) 2026/1744, de 8 de julio de 2026 (Ómnibus digital sobre IA). Diario Oficial de la Unión Europea (copia en BOE), 24/07/2026.
3. Guidelines on the transparency obligations for providers and deployers of AI systems. Comisión Europea, 20/07/2026.
4. Code of Practice on Transparency of AI-Generated Content. Comisión Europea, Versión final: 10/06/2026.
5. Guías para el cumplimiento del Reglamento de IA. AESIA, Consultada el 03/11/2026.
6. Real Decreto 729/2023, por el que se aprueba el Estatuto de la AESIA. BOE, 02/09/2023.
7. Iniciativa 121/000096: Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial. Congreso de los Diputados, Consultada el 03/11/2026 (caducada el 06/10/2026).
8. Real Decreto 806/2026, de disolución del Congreso de los Diputados y del Senado y de convocatoria de elecciones. BOE, 06/10/2026.