Reglamento de IA: qué obligaciones tiene tu empresa desde el 2 de agosto de 2026

El Reglamento (UE) 2024/1689, conocido como Reglamento de IA, RIA o AI Act, es la regulación de la Unión Europea que regula el desarrollo y el uso de sistemas de inteligencia artificial. El RIA afecta a cualquier empresa que se relacione con la IA, ya sea desarrollándola o como usuario. Su entrada en vigor tuvo lugar el 1 de agosto de 2024, pero la aplicación se ha venido produciendo de manera escalonada.

Te explicaremos las obligaciones concretas de tu empresa, los plazos y por dónde comenzar a cumplir.

¿Qué es el Reglamento de IA (AI Act) y a qué empresas afecta?

El Reglamento (UE) 2024/1689 establece normas armonizadas sobre inteligencia artificial en toda la Unión Europea. Su objetivo es garantizar que los sistemas de IA comercializados y utilizados en Europa respeten los derechos fundamentales, buscando el equilibrio adecuado entre innovación y la protección de los derechos de las personas. El enfoque del RIA está basado en el riesgo, y este riesgo será mayor cuánto más injerencia tenga un sistema de IA en los derechos de las personas.

El IA Act no solo afecta a las empresas que desarrollen inteligencia artificial, sino a cualquier empresa que hay incorporado la IA es sus procesos de trabajo.

En cuanto al ámbito territorial de aplicación, como es común en las regulaciones europeas, si se tiene un punto de conexión con la UE, la norma aplica. Por tanto, no solo aplica cuando el proveedor, el usuario o distribuidor esté establecido en la UE, es suficiente con que el resultado o producto generado por la IA se utilice en la UE.

Roles: ¿tu empresa es proveedor, responsable del despliegue o ambos?

En materia de cumplimiento normativo es de vital importancia definir el rol que desempeña la empresa, en el caso de los sistemas IA el IA Act establece los siguientes roles:

• Proveedor: Es quien desarrolla un sistema de IA (o lo manda desarrollar) y lo comercializa o lo pone en servicio con su nombre o marca. Es el rol con mayor carga de cumplimiento.
• Responsable del despliegue (implementador): Es la empresa que utiliza un sistema de IA de terceros en sus procesos. Entre sus obligaciones están usar el sistema conforme a las instrucciones del proveedor, garantizar la supervisión humana, informar a las personas afectadas y conservar los registros.
• Importador y distribuidor: Es la empresa que introduce en el mercado de la UE o comercializa sistemas de IA de terceros . En este caso deben verificar que el proveedor ha cumplido sus obligaciones.

Es posible que en una misma empresa puedan coexistir roles, pero el rol más común es el de responsable del despliegue, que desempeña cualquier empresa que utilice GTP, Claude o Perplexity en sus procesos.

Niveles de riesgo: cómo clasifica el Reglamento los sistemas de IA

Como hemos comentado anteriormente el IA Act o RIA establece un régimen de obligaciones basado en el riesgo en función de la injerencia de estos sistemas en los derechos fundamentales de las personas:

• Riesgo inaceptable (prácticas prohibidas): El IA ACT tipifica una serie de sistemas prohibidos, lo que implica que no podrán desarrollarse sistemas de IA que se encuentren incluidos en estos supuestos. Entre estos encontramos la manipulación subliminal o engañosa que perjudique considerablemente a una persona, la explotación de vulnerabilidades de una persona o colectivo, el scoring social que pueda producir un trato perjudicial en contextos diferentes a los de origen, el scraping masivo de imágenes faciales de internet o videovigilancia, el reconocimiento de emociones en el trabajo y educación, la categorización biométrica que infiera categorías especiales de datos, la identificación biométrica remota en tiempo real en espacios públicos con fines policiales salvo excepciones tasadas, y desde el 2 de diciembre de 2026 se añadieron dos más: la generación de material íntimo no consentido y de material de abuso sexual infantil.
• Alto riesgo: Sistemas que afectan de forma significativa a derechos de las personas, pero que pueden desarrollarse siempre y cuando se desarrollen sistemas de cumplimiento normativo susceptibles de minimizar el riesgo. El Anexo III del IA Act tipifica ocho ámbitos: la identificación biométrica y categorización de personas, componentes de seguridad de infraestructuras críticas, educación y formación (acceso a centros, evaluación de alumnos, vigilancia de exámenes); empleo y gestión de trabajadores (selección de personal y criba de currículums, decisiones sobre promoción, despido, asignación de tareas o evaluación del desempeño); acceso a servicios esenciales (scoring crediticio de personas físicas, tarificación en seguros de vida y salud, priorización de emergencias, prestaciones públicas); aplicación de la ley; migración, asilo y control fronterizo; y administración de justicia y procesos democráticos. Para una pyme, los dos ámbitos en negrita son los que aparecen sin darse cuenta: el software de RRHH que puntúa candidatos o el CRM que decide a quién se concede financiación ya son alto riesgo. A esto se suma la IA embebida como componente de seguridad en productos regulados (Anexo I: sanitarios, maquinaria, juguetes). Estos sistemas soportan el paquete completo de obligaciones que detallamos en el siguiente apartado.
• Riesgo limitado (transparencia): Son los sistemas de IA que no son sistemas prohibidos ni de alto riesgo, pero cuyo riesgo más relevante es que la persona que interactúa con el sistema no sepa que está interactuando con la IA, o que un contenido como un video, un audio o texto ha sido generado por IA. En este caso se imponen obligaciones de transparencia. Por ejemplo un chatbox de atención al cliente ha de identificarse como IA si no hay una persona detrás.
• Riesgo mínimo: Son todos los demás sistemas que no se encuentran en los supuestos anteriores.

Fuera de esta clasificación de cuatro niveles, el IA Act regula por separado los modelos de propósito general: los «motores» entrenados a gran escala que sirven para múltiples tareas, como GPT, Claude, Gemini o Perplexity. No encajan en un nivel de riesgo porque un mismo modelo puede alimentar desde un sistema de riesgo mínimo hasta un sistema de alto riesgo. En todo caso el Capítulo V regula unas obligaciones específicas para los proveedores de este tipo de sistemas.

¿Tu sistema es de alto riesgo? Esto es lo que tendrás que hacer

Como comentamos anteriormente los sistemas de alto riesgo tienen obligaciones estrictas en relación al cumplimiento normativo:

• Si eres proveedor de IA deberás implantar un sistema de gestión de riesgos durante todo el ciclo de vida; garantizar la gobernanza y calidad de los datos de entrenamiento, validación y prueba; elaborar la documentación técnica del Anexo IV del IA Act; asegurar el registro automático de eventos (logs) para la trazabilidad; diseñar el sistema para que permita una supervisión humana efectiva; garantizar precisión, robustez y ciberseguridad; disponer de un sistema de gestión de la calidad; superar la evaluación de conformidad y obtener el marcado CE; registrar el sistema en la base de datos de la UE; y establecer la vigilancia poscomercialización, con notificación de incidentes graves a las autoridades.
• Si eres responsable del despliegue (usas un sistema de alto riesgo de un tercero), tus obligaciones son menores pero muy significativas: usar el sistema conforme a las instrucciones del proveedor; asignar la supervisión humana a personas con formación y autoridad para intervenir; controlar la calidad de los datos de entrada que aporta; monitorizar el funcionamiento y suspender el uso si se detectan riesgos informando al proveedor; conservar los logs que estén bajo su control al menos seis meses; e informar a los trabajadores y a las personas afectadas cuando el sistema tome o apoye decisiones sobre ellas. Determinados usos exigen además una evaluación de impacto sobre derechos fundamentales (FRIA), que se coordina con la evaluación de impacto del RGPD si tratas datos personales.

Alfabetización en IA (Artículo 4): la obligación que ya es exigible

El artículo 4 del AI Act obliga, desde el 2 de febrero de 2025, a proveedores y responsables del despliegue a adoptar medidas de alfabetización en IA para su personal y para quienes utilizan sistemas de IA en su nombre: que entiendan cómo funcionan, qué riesgos tienen y cómo supervisarlos. Tras su modificación por el Reglamento (UE) 2026/1744 (Ómnibus digital sobre IA), la obligación consiste en adoptar medidas para apoyar esa alfabetización, sin exigir un nivel concreto. Sigue siendo la obligación más transversal del Reglamento, porque aplica a cualquier empresa que use IA, sin importar el nivel de riesgo de sus sistemas.

La formación debe ser proporcional a la exposición de cada perfil: no es lo mismo el área comercial que recursos humanos o la dirección. Aunque el artículo 4 no exige una forma concreta de acreditarlo, conviene documentar las medidas adoptadas para poder demostrarlas ante un cliente, una auditoría o la autoridad. En Applicalia impartimos un curso de alfabetización en IA para el personal que usa herramientas de IA y una formación en Reglamento de Inteligencia Artificial para los perfiles que necesitan conocer la norma en profundidad.

Calendario de aplicación: las fechas clave del Reglamento (2024-2028)

El Reglamento (UE) 2026/1744 (Digital Omnibus), en vigor desde el 27 de julio de 2026, aplazó las obligaciones de los sistemas de alto riesgo manteniendo el resto de fechas establecidas en el IA ACT.

Qué pasa si no cumples: régimen sancionador y quién supervisa

El AI Act establece tres franjas de sanciones según la gravedad de la infracción:

• Hasta 35 millones de euros o el 7 % de la facturación global anual (la mayor de las dos) por incurrir en prácticas prohibidas.
• Hasta 15 millones de euros o el 3 % de la facturación por incumplir el resto de obligaciones del Reglamento (las de proveedores, responsables del despliegue, importadores o distribuidores).
• Hasta 7,5 millones de euros o el 1 % de la facturación por facilitar información incorrecta, incompleta o engañosa a las autoridades.

En España, la autoridad de supervisión es la AESIA (Agencia Española de Supervisión de la Inteligencia Artificial), con sede en A Coruña, que ejerce la vigilancia del mercado desde el 2 de agosto de 2026.

Checklist práctico: cómo empezar a cumplir el Reglamento de IA

1. Haz un inventario de las herramientas de IA que utilizas. Esto es la base de todo, las herramientas de IA deben ser corporativas, no permitas que los empleados utilicen herramientas por su cuenta. Una empresa debe definir por área cuál es el tipo de IA permitido y cuál no está permitido.
2. Determina tu rol respecto a cada sistema. ¿Eres responsable del despliegue (usas IA de terceros) o proveedor (la desarrollas o comercializas con tu marca)? Recuerda que una misma empresa puede tener ambos roles a la vez, uno por cada sistema. convertirte en proveedor.
3. Clasifica cada sistema por nivel de riesgo. ¿Práctica prohibida, alto riesgo, riesgo limitado o mínimo? Del cruce entre tu rol y el nivel de riesgo deriva tu mapa de obligaciones y sus fechas. Es una especie de declaración de aplicabilidad, en el que se ha de determinar cuál es el nivel de riesgo y el por qué.
4. Si algún sistema es de alto riesgo le aplican todas las obligaciones que hemos visto: las de los artículos 9 a 17 si eres proveedor, o las del artículo 26 si eres responsable del despliegue. Son exigibles en diciembre de 2027 y requieren un gran esfuerzo.
5. Forma al personal según su exposición al riesgo. La alfabetización en IA del Artículo 4 ya es exigible desde febrero de 2025.
6. Revisa los contratos con quienes te proveen de IA. Exige garantías de cumplimiento del AI Act: documentación del sistema, instrucciones de uso, compromisos de transparencia y cláusulas de responsabilidad. Si un proveedor no te las aporta, no asumas el riesgo de contratarle.

Pymes y startups: régimen proporcional y sandbox regulatorio

En el Reglamento de IA, todo es proporcional al riesgo, y no se trata igual a una multinacional que a una pyme. Establece medidas específicas de apoyo: un régimen sancionador proporcional; documentación técnica simplificada para proveedores pyme de sistemas de alto riesgo; y tasas de evaluación de conformidad reducidas en proporción a su tamaño.

Además, cada Estado miembro debe ofrecer al menos un sandbox regulatorio: un entorno controlado, supervisado por la autoridad competente (en España la AESIA), donde probar sistemas de IA innovadores antes de su comercialización con acompañamiento regulatorio. Las pymes y startups tienen acceso prioritario y gratuito. España fue pionera con el sandbox coordinado por la AESIA, cuya experiencia sirvió de piloto para el resto de la UE. Si tu empresa desarrolla IA, es una vía muy interesante para validar el cumplimiento con red de seguridad y reducir el coste de la evaluación de conformidad.

Del cumplimiento normativo a un sistema de gestión: el papel de la ISO 42001

El Reglamento de IA no exige ninguna certificación concreta: la certificación es voluntaria y no sustituye al cumplimiento legal. Ahora bien, apoyarse en una norma como la ISO 42001, norma internacional de sistemas de gestión de la Inteligencia Artificial facilita su cumplimiento de una manera estructurada bajo el enfoque ISO y además permite cara a partes interesadas acreditar su cumplimiento.

Un sistema de gestión de IA real, ya implantado, se articula en piezas muy reconocibles: el alcance y la política de IA aprobada por la dirección; la organización interna, con la designación de un responsable del sistema de IA y un canal de consultas; el análisis de riesgos y la evaluación de impacto (FRIA), con su metodología, matriz y plan de medidas; el control del ciclo de vida de cada sistema de IA con puertas de revisión; la gobernanza de los datos y las fichas de uso responsable por caso de uso; la información a las partes interesadas; la evaluación periódica de proveedores de IA; y la Declaración de Aplicabilidad . Como puedes ver, cada bloque responde directamente a una obligación del AI Act: cuando un cliente exija garantías las puedes acreditar con la ISO 42001.

Si quieres explorar esta vía, en Applicalia ofrecemos consultoría ISO 42001 y hemos publicado una guía de preguntas frecuentes sobre la ISO 42001 para resolver las dudas habituales antes de dar el paso.

Preguntas frecuentes sobre el Reglamento de IA

¿A partir de cuándo es obligatorio cumplir el Reglamento de IA?

Como hemos visto se establece una aplicación efectiva de manera escalonada: las prácticas prohibidas y la alfabetización en IA se exigen desde el 2 de febrero de 2025, y los modelos de propósito general desde agosto de 2025. El régimen general (transparencia y sanciones) se aplica desde el 2 de agosto de 2026; el alto riesgo, desde diciembre de 2027.

¿Qué diferencia hay entre proveedor y responsable del despliegue?

El proveedor desarrolla o comercializa el sistema de IA con su marca y asume la mayor carga de cumplimiento. El responsable del despliegue lo utiliza en su actividad: debe usarlo conforme a las instrucciones, garantizar supervisión humana e informar a las personas afectadas. Una empresa puede ser ambas cosas.

¿Mi empresa está obligada aunque solo use IA de terceros (ChatGPT, Copilot, chatbots)?

Sí. Como responsable del despliegue te aplican la alfabetización en IA del Artículo 4, las obligaciones de transparencia y el uso correcto de cada sistema. Y si alguna herramienta se emplea para decisiones sobre personas (selección, evaluación, crédito), pueden aplicarte las obligaciones de alto riesgo.

¿Qué es un sistema de IA de alto riesgo y qué ejemplos hay en el día a día de una empresa?

Son los sistemas incluidos en los Anexos III del IA Act. En el día a día: software de selección de personal y criba de currículums, evaluación del desempeño de empleados, scoring crediticio de clientes o sistemas de acceso a servicios esenciales.

¿Existen ayudas o periodos de adaptación para pymes?

Si, el Digital Omnibus de 2026 aplazó las obligaciones de alto riesgo hasta diciembre de 2027 (Anexo III) y agosto de 2028 (Anexo I), dando margen extra de adaptación.

¿Quién supervisa el cumplimiento del Reglamento de IA en España?

La AESIA, Agencia Española de Supervisión de la Inteligencia Artificial, es la autoridad de vigilancia del mercado desde el 2 de agosto de 2026. En los ámbitos que se tratan datos personales interviene también la AEPD, y las sanciones de ambas normas son acumulables.

¿Necesitas ayuda para adaptar tu empresa al Reglamento de IA?

En Applicalia acompañamos a las empresas en la adecuación al Reglamento de IA con nuestra consultoría en el Reglamento Europeo de Inteligencia Artificial, y en la implantación de sistemas de gestión y cumplimiento normativo: ISO 42001, ISO 27001, Esquema Nacional de Seguridad y protección de datos. Cuéntanos qué IA usa tu empresa y te diremos qué obligaciones te aplican y cómo abordarlas. Llámanos al 911 528 859 o escríbenos a través del formulario de contacto de nuestra web.

Contacta con nosotros.