IA Act: qué es la regulación europea de inteligencia artificial y qué deben hacer las empresas españolas

Qué es el AI Act y por qué afecta a las empresas españolas 

La inteligencia artificial se ha incorporado a procesos como la atención al cliente, la selección de personal, el análisis de datos o la creación de contenidos. Su avance abre nuevas posibilidades para las empresas, pero también incorpora responsabilidades. 

El AI Act establece un marco común para desarrollar y utilizar estos sistemas en la Unión Europea, con obligaciones que varían según el riesgo y el papel de cada organización.

El Reglamento Europeo de Inteligencia Artificial, conocido como AI Act, establece unas reglas comunes para el desarrollo, comercialización y utilización de sistemas de IA dentro de la Unión Europea. La norma entró en vigor el 1 de agosto de 2024 y su aplicación se está produciendo de forma progresiva.

El modelo europeo se basa en el riesgo: cuanto mayores sean las posibles consecuencias de un sistema para las personas, mayores serán las exigencias. Un filtro de spam, por ejemplo, recibe un tratamiento distinto al de una herramienta que participa en la selección de trabajadores.

Economía 3 ya analizó las nuevas obligaciones de la Ley Europea de IA, cuya aplicación avanza de forma escalonada.

Desde febrero de 2025 se aplican las prohibiciones sobre determinadas prácticas y las disposiciones relativas a alfabetización en IA. Las obligaciones de transparencia del artículo 50, por su parte, son aplicables desde el 2 de agosto de 2026.

A qué empresas se aplica la ley europea de inteligencia artificial

La normativa diferencia entre proveedores, responsables del despliegue, importadores y distribuidores, entre otros operadores. Por tanto, una empresa puede quedar sujeta a obligaciones aunque no haya desarrollado el sistema que utiliza.

Para una compañía española, la cuestión fundamental consiste en determinar qué IA utiliza, con qué finalidad y qué papel desempeña respecto a ella. Una empresa que contrata una solución de terceros para sus procesos internos se encuentra en una posición diferente a otra que desarrolla un sistema y lo comercializa.

Los niveles de riesgo del AI Act: ¿dónde encaja la IA de tu empresa?

El AI Act clasifica los sistemas según el riesgo asociado a su finalidad y utilización. Esta clasificación permite concentrar las mayores exigencias en aquellos usos que pueden afectar de manera significativa a la seguridad o los derechos de las personas.

Nivel	Ejemplos orientativos	Qué implica
Riesgo inaceptable	Determinadas prácticas manipulativas o de puntuación social	Prohibición
Alto riesgo	Determinados usos en empleo, educación o servicios esenciales	Requisitos reforzados
Riesgo de transparencia	Chatbots, deepfakes y determinados contenidos sintéticos	Información y transparencia
Riesgo mínimo	Muchos usos cotidianos de IA	Sin requisitos específicos adicionales en numerosos casos

Entre las prácticas prohibidas figuran determinados usos de la IA destinados a manipular a las personas, explotar vulnerabilidades o realizar determinadas formas de puntuación social.

Qué se considera una IA de alto riesgo

Los sistemas de alto riesgo merecen especial atención porque están sometidos a requisitos más estrictos. 

El Reglamento contempla dos grandes vías para esta clasificación y recoge casos concretos relacionados, entre otros ámbitos, con empleo, educación, infraestructuras críticas y acceso a determinados servicios esenciales. 

La Comisión ha elaborado además orientaciones para ayudar a proveedores y empresas a determinar cuándo un sistema entra en esta categoría.

En el terreno laboral, por ejemplo, pueden considerarse de alto riesgo determinados sistemas destinados a reclutar o seleccionar candidatos, evaluar trabajadores o intervenir en decisiones que afectan a las condiciones laborales.

Para estos sistemas aparecen exigencias relacionadas con cuestiones como la gestión del riesgo, documentación, calidad de los datos, registro de actividad, supervisión humana, precisión, robustez y ciberseguridad.

Qué ocurre con ChatGPT y otras herramientas de IA generativa

Utilizar IA generativa en una empresa no significa automáticamente utilizar un sistema de alto riesgo. La finalidad concreta resulta determinante.

Una herramienta empleada para resumir documentación o preparar el borrador de una presentación plantea un escenario diferente al de un sistema utilizado para evaluar candidatos a un puesto de trabajo.

El AI Act también establece un régimen específico para los modelos de IA de propósito general (GPAI). Para las empresas resulta importante distinguir las obligaciones de quienes desarrollan estos modelos de las responsabilidades que pueden asumir quienes los incorporan a sus procesos.

Qué obligaciones impone el AI Act a las empresas

No existe una lista idéntica de obligaciones para cualquier compañía que utilice inteligencia artificial. El nivel de riesgo y el papel que desempeña la empresa determinan las exigencias aplicables.

El cumplimiento obliga a ordenar cómo se incorpora la tecnología dentro de la organización. La gobernanza de la inteligencia artificial en las empresas cobra así especial importancia para establecer qué herramientas pueden utilizarse, quién las supervisa y cómo se gestionan los datos. 

Formación, supervisión y transparencia

La alfabetización en IA es uno de los aspectos que afecta de forma más transversal a las organizaciones. 

Las empresas deben adoptar medidas para procurar que quienes trabajan con sistemas de IA tengan conocimientos adecuados, teniendo en cuenta su experiencia, formación y el uso concreto que realizan de la tecnología.

Esto permite adaptar la capacitación a cada puesto. Un departamento de Recursos Humanos que utiliza IA en procesos de selección necesitará conocimientos diferentes a los de un equipo de marketing que emplea una herramienta generativa para preparar contenidos.

También existen obligaciones de transparencia para determinados sistemas. Desde el 2 de agosto de 2026 se aplican, por ejemplo, requisitos destinados a que las personas sepan cuándo están interactuando directamente con ciertos sistemas de IA. 

La normativa aborda igualmente determinados contenidos generados o manipulados artificialmente, incluidos los deepfakes.

Cómo puede prepararse una empresa española para cumplir el AI Act

La adaptación puede empezar con un diagnóstico relativamente sencillo. Antes de plantear nuevos procedimientos, la organización necesita conocer dónde está utilizando inteligencia artificial y qué riesgos presenta cada caso.

Un primer plan puede organizarse en cuatro pasos:

1. Inventariar las herramientas de IA. Identificar las soluciones utilizadas en Recursos Humanos, marketing, ventas, atención al cliente, finanzas u otras áreas, incluidas aquellas incorporadas directamente por los trabajadores.
2. Clasificar su riesgo y determinar el papel de la empresa. Conviene analizar para qué se utiliza cada sistema, quién lo proporciona y qué función desempeña la organización respecto a él.
3. Revisar proveedores, datos y documentación. Cuando la tecnología procede de terceros, interesa conocer qué garantías ofrece el proveedor, qué información facilita y cómo se gestionan los datos. Protección de datos, propiedad intelectual y ciberseguridad pueden requerir revisiones paralelas.
4. Definir responsables y controles. La empresa debería saber quién autoriza nuevas herramientas, quién supervisa los usos sensibles y cómo puede comunicar un trabajador una incidencia.

La adaptación al AI Act llega cuando muchas compañías todavía están dando sus primeros pasos con esta tecnología. De hecho, el 63% de las empresas valencianas aún no utiliza inteligencia artificial, según un estudio de Cámara Valencia recogido por Economía 3. 

Entre los principales obstáculos aparecen la falta de formación, la ciberseguridad, la calidad de los datos y la ausencia de políticas internas claras.

Como comprobación inicial, cualquier organización puede hacerse cinco preguntas: 

• ¿sabemos qué IA utilizamos?
• ¿para qué la utilizamos?
• ¿hemos analizado su riesgo?
• ¿los empleados tienen formación suficiente? 
• ¿existe un responsable de revisar los usos más sensibles?

Este ejercicio también ayuda a detectar el denominado shadow AI: aplicaciones utilizadas por empleados sin haber pasado previamente por los procedimientos corporativos de control y supervisión.

Qué supone el AI Act para las pymes españolas

El tamaño de una empresa no determina el nivel de riesgo de la inteligencia artificial que utiliza. Una pyme que emplea IA generativa para obtener ideas para una campaña de marketing se encuentra en una situación muy diferente a otra que incorpora un sistema automatizado a sus procesos de contratación.

La regulación contempla medidas dirigidas a facilitar la adaptación de las pequeñas empresas y startups, entre ellas el acceso a espacios controlados de pruebas o regulatory sandboxes y otras medidas de apoyo.

Para las pymes, la prioridad debería estar en identificar los usos que realmente pueden generar obligaciones y dedicar los recursos de cumplimiento allí donde exista un mayor riesgo. 

El desafío se suma a las dificultades que ya encuentran muchas pequeñas empresas para incorporar estas tecnologías. La presidenta de Cepyme, Ángela de Miguel, señalaba recientemente en Economía 3 que la incorporación de la IA a las pymes requiere acompañamiento, financiación y talento.

Multas del AI Act: cuánto puede costar incumplir la normativa

El Reglamento contempla un régimen sancionador que diferencia según la gravedad de la infracción. Las cantidades pueden calcularse mediante una cuantía máxima o como porcentaje de la facturación mundial anual de la empresa.

Incumplimiento	Sanción máxima
Prácticas de IA prohibidas	Hasta 35 millones de euros o el 7 % de la facturación mundial anual
Determinadas obligaciones de operadores y transparencia	Hasta 15 millones o el 3 %
Información incorrecta, incompleta o engañosa a las autoridades	Hasta 7,5 millones o el 1 %

Para las pymes, incluidas las startups, se aplica como máximo el porcentaje o la cantidad fija correspondiente, el que resulte menor. La normativa también exige tener en cuenta las circunstancias de cada caso al determinar la sanción.

AI Summit Barcelona: regulación e innovación llegan a la agenda empresarial

La aplicación del nuevo marco europeo coincide con un momento de fuerte actividad alrededor de la inteligencia artificial. Los próximos 22 y 23 de septiembre, el World Trade Center de Barcelona acogerá el AI Summit Barcelona 2026, dentro de Barcelona AI Week.

La organización prevé reunir a más de 10.000 asistentes y 200 ponentes en dos jornadas con conferencias, sesiones de trabajo y demostraciones.

La cita refleja también cómo está evolucionando el debate empresarial sobre la IA: desde experimentar con nuevas herramientas hacia cuestiones relacionadas con su integración en procesos reales, gobernanza, supervisión y seguridad. 

Para las empresas españolas, el AI Act añade una variable más a esa transformación: innovar conociendo desde el principio qué responsabilidades acompaña a cada uso de la tecnología.

Preguntas frecuentes sobre el AI Act

¿Qué empresas están obligadas a cumplir el AI Act?

El Reglamento afecta a diferentes operadores que desarrollan, comercializan o utilizan sistemas de inteligencia artificial dentro de su ámbito de aplicación. Una empresa puede tener obligaciones aunque utilice una solución desarrollada por un tercero.

¿Usar ChatGPT en una empresa obliga a cumplir el AI Act?

El uso de ChatGPT u otra herramienta generativa no convierte automáticamente el sistema en una aplicación de alto riesgo. Hay que analizar la finalidad para la que se utiliza y el papel de la empresa.

¿Cómo saber si un sistema de IA es de alto riesgo?

Hay que comprobar su finalidad y si entra en alguno de los supuestos contemplados por el Reglamento. Determinados usos relacionados con empleo, educación, infraestructuras críticas o servicios esenciales pueden clasificarse como de alto riesgo.

¿Qué debe hacer una pyme española para adaptarse al AI Act?

El primer paso consiste en identificar las herramientas de IA que utiliza, analizar para qué sirven y determinar su nivel de riesgo. Después puede revisar proveedores, documentación, formación y controles internos en función de las obligaciones aplicables.