Ley de Inteligencia Artificial: esto es todo lo que debes saber

La Ley de Inteligencia Artificial, conocida como AI Act o Reglamento (UE) 2024/1689, es el primer marco jurídico integral del mundo destinado a regular el desarrollo, comercialización y uso de la Inteligencia Artificial.

Su objetivo es impulsar una IA segura, transparente y fiable, estableciendo normas comunes para todos los Estados miembros de la Unión Europea y garantizando la protección de los derechos fundamentales de la ciudadanía sin frenar la innovación tecnológica.

Aunque el Reglamento entró en vigor el 1 de agosto de 2024 su aplicación se está realizando de forma progresiva.

Desde febrero de 2025 ya son exigibles determinadas obligaciones, como la prohibición de ciertos usos de la IA y la obligación de promover la alfabetización en Inteligencia Artificial dentro de las empresas.

Ahora, el 2 de agosto de 2026 marca una nueva fase en la implantación del AI Act, con nuevas obligaciones para proveedores, desarrolladores y responsables del despliegue de sistemas de IA.

En este post encontrarás toda la información actualizada sobre la Ley de Inteligencia Artificial, las obligaciones que ya están en vigor, las novedades que entran en aplicación en agosto de 2026 y los cambios previstos para los próximos años.

Ley de Inteligencia Artificial: todo lo que necesitas saber:

¿Qué es la Ley de Inteligencia Artificial?

La Ley de Inteligencia Artificial, conocida internacionalmente como AI Act, es el nombre con el que se conoce al Reglamento (UE) 2024/1689, aprobado por la Unión Europea para establecer un marco jurídico común sobre el desarrollo, comercialización y utilización de sistemas de Inteligencia Artificial.

A diferencia de otras normas relacionadas con la tecnología o la protección de datos, el AI Act no regula una herramienta concreta, sino que establece un conjunto de obligaciones aplicables a todo el ciclo de vida de los sistemas de IA.

Además, determina responsabilidades específicas para los distintos operadores que intervienen en su desarrollo o utilización, como proveedores, importadores, distribuidores y responsables del despliegue.

Al tratarse de un Reglamento europeo sus disposiciones son directamente aplicables en todos los Estados miembros, lo que garantiza un marco normativo uniforme para empresas y organizaciones que operan en el mercado europeo.

¿Por qué era necesario una regulación específica de Inteligencia Artificial?

La Inteligencia Artificial ofrece importantes beneficios en ámbitos como la productividad, la salud, la educación, la industria o la investigación.

Sin embargo, también puede generar riesgos cuando se utiliza para tomar decisiones que afectan a las personas o cuando carece de mecanismos adecuados de control y supervisión.

Entre los principales riesgos que pretende abordar el Reglamento se encuentran:

• La discriminación derivada de algoritmos sesgados.
• La falta de transparencia en la toma de decisiones automatizadas.
• La utilización de sistemas que vulneren derechos fundamentales.
• La manipulación del comportamiento de las personas.
• Los riesgos para la privacidad y la protección de datos.
• La utilización de sistemas inseguros o insuficientemente supervisados.

Con esta normativa la Unión Europea pretende crear un entorno de confianza que favorezca la adopción de la Inteligencia Artificial sin comprometer la seguridad jurídica ni la protección de la ciudadanía.

¿Cómo clasifica la Ley de Inteligencia Artificial los sistemas de IA?

Uno de los aspectos más innovadores del Reglamento (UE) 2024/1689 es que no impone las mismas obligaciones a todos los sistemas de Inteligencia Artificial.

En su lugar, adopta un enfoque basado en el riesgo, de modo que las exigencias aumentan en función del impacto que un sistema pueda tener sobre la salud, la seguridad y los derechos fundamentales de las personas.

Este modelo permite equilibrar la innovación tecnológica con la protección de la ciudadanía. Así, mientras que algunas aplicaciones de IA apenas están sujetas a obligaciones, otras deben cumplir estrictos requisitos técnicos, de transparencia y supervisión antes de poder utilizarse.

El AI Act distingue cuatro niveles de riesgo:

1. Riesgo inaceptable: sistemas de IA prohibidos

El Reglamento prohíbe aquellos sistemas de Inteligencia Artificial cuyo uso se considera incompatible con los valores y derechos fundamentales de la Unión Europea.

Se trata de aplicaciones que pueden manipular el comportamiento de las personas, generar discriminación o suponer una amenaza grave para la dignidad, la privacidad o la igualdad.

Entre los principales ejemplos se encuentran:

• Sistemas que utilicen técnicas subliminales o manipuladoras para alterar el comportamiento de una persona de forma que pueda causarle un perjuicio significativo.
• Sistemas que exploten vulnerabilidades relacionadas con la edad, una discapacidad o la situación socioeconómica de una persona para influir en sus decisiones.
• Sistemas de puntuación social (social scoring) utilizados para clasificar a las personas en función de su comportamiento o características personales y otorgarles un trato desfavorable.
• Determinados sistemas destinados a predecir la probabilidad de que una persona cometa un delito basándose únicamente en perfiles o características personales.
• La recopilación indiscriminada de imágenes faciales procedentes de internet o de cámaras de vigilancia para crear bases de datos de reconocimiento facial.
• Determinados sistemas de reconocimiento de emociones en centros educativos o lugares de trabajo, salvo en los supuestos expresamente permitidos por el Reglamento.
• Sistemas de categorización biométrica que utilicen datos especialmente sensibles, como el origen étnico, las creencias religiosas, la orientación sexual o las opiniones políticas.

Estas prácticas están prohibidas porque se consideran incompatibles con los principios de una Inteligencia Artificial fiable y respetuosa con los derechos fundamentales.

2. Alto riesgo: sistemas sujetos a requisitos estrictos

No toda Inteligencia Artificial representa un peligro para las personas. Sin embargo, existen aplicaciones cuyo funcionamiento puede influir de forma decisiva en aspectos como el acceso al empleo, la educación, la asistencia sanitaria o determinados servicios esenciales.

Por este motivo, el AI Act clasifica estos sistemas como IA de alto riesgo.

Entre los ámbitos en los que pueden encontrarse sistemas de alto riesgo destacan:

• Infraestructuras críticas, como el suministro de energía o transporte.
• Educación y formación profesional.
• Productos sanitarios y dispositivos médicos.
• Procesos de selección de personal y gestión de recursos humanos.
• Acceso al empleo o al trabajo por cuenta propia.
• Servicios financieros esenciales, como la concesión de créditos.
• Migración, asilo y gestión de fronteras.
• Administración de Justicia.
• Determinados usos por parte de las fuerzas y cuerpos de seguridad.

Antes de su comercialización o puesta en servicio estos sistemas deberán cumplir requisitos mucho más exigentes que el resto de aplicaciones de IA.

Entre ellos destacan:

• Implantar un sistema de gestión de riesgos durante todo el ciclo de vida del sistema.
• Elaborar una documentación técnica completa que permita demostrar el cumplimiento del Reglamento.
• Garantizar la calidad y trazabilidad de los datos utilizados.
• Mantener registros automáticos que faciliten la trazabilidad de las operaciones.
• Garantizar una supervisión humana efectiva.
• Cumplir elevados estándares de precisión, robustez y ciberseguridad.
• Superar, cuando proceda, la correspondiente evaluación de conformidad antes de su comercialización.

3. Riesgo limitado: transparencia como principal obligación

En estos casos, el Reglamento no impone complejos procedimientos de evaluación, pero sí exige que las personas usuarias dispongan de información suficiente para saber cuándo están interactuando con un sistema de Inteligencia Artificial o cuándo un contenido ha sido generado o manipulado mediante IA, siempre que así lo establezca la normativa.

Algunos ejemplos son:

• Chatbots de atención al cliente.
• Asistentes virtuales.
• Herramientas de generación de texto.
• Sistemas capaces de crear imágenes, audio o vídeo mediante IA.
• Determinados contenidos sintéticos o deepfakes sujetos a obligaciones de transparencia.

El objetivo es evitar que las personas sean inducidas a error sobre el origen o la autenticidad de los contenidos con los que interactúan.

4. Riesgo mínimo: la mayoría de aplicaciones de IA

El último nivel engloba aquellas aplicaciones cuyo impacto sobre los derechos fundamentales es reducido.

En estos casos, el AI Act no establece obligaciones específicas adicionales, más allá del cumplimiento de la normativa general que resulte aplicable, como la relativa a protección de datos, consumo o propiedad intelectual.

Algunos ejemplos habituales son:

• Filtros de correo no deseado (spam).
• Sistemas de recomendación de música, películas o productos.
• Correctores ortográficos y gramaticales.
• Herramientas de apoyo en videojuegos.
• Algoritmos de organización de contenidos.

Este enfoque permite evitar cargas regulatorias innecesarias para aplicaciones cuyo nivel de riesgo es muy bajo, favoreciendo así la innovación y el desarrollo tecnológico.

¿Se pueden utilizar sistemas de identificación biométrica en tiempo real en espacios públicos?

Esta es una de las cuestiones que más dudas genera. La respuesta es que como regla general, no.

El AI Act limita de forma muy estricta el uso de sistemas de identificación biométrica remota en tiempo real en espacios de acceso público al considerar que pueden afectar gravemente a derechos fundamentales como la privacidad, la libertad de circulación o la protección de datos personales.

No obstante, el Reglamento contempla excepciones muy concretas y sometidas a estrictas garantías jurídicas.

¿Cuándo pueden utilizarse?

Su utilización únicamente podrá autorizarse cuando resulte estrictamente necesaria y siempre dentro de los supuestos previstos por la normativa, entre ellos:

• La búsqueda selectiva de víctimas de secuestro, trata de seres humanos o explotación sexual.
• La localización de personas desaparecidas.
• La prevención de una amenaza inminente para la vida o la integridad física de las personas.
• La identificación de personas sospechosas de haber cometido determinados delitos graves cuando sea necesaria para una investigación penal o para la ejecución de una condena.

En todos estos casos, el uso deberá cumplir las condiciones y garantías establecidas por el Reglamento y por la normativa nacional aplicable.

No se trata, por tanto, de una autorización general para utilizar reconocimiento facial en espacios públicos, sino de excepciones muy limitadas sujetas a control y supervisión.

¿Qué ocurre si una empresa utiliza un sistema de IA prohibido?

Las empresas que desarrollen, comercialicen o utilicen sistemas de IA incluidos dentro de las prácticas prohibidas podrán enfrentarse a las sanciones más elevadas previstas por el Reglamento Europeo de Inteligencia Artificial.

En función de la gravedad de la infracción, las multas pueden alcanzar hasta 35 millones de euros o el 7% del volumen de negocio anual mundial del ejercicio anterior, si esta última cantidad fuera superior.

Además de las sanciones económicas, las autoridades competentes podrán adoptar otras medidas, como ordenar el cese del uso del sistema, exigir medidas correctoras o impedir su comercialización en el mercado europeo.

Ejemplo:

¿Qué entra en vigor el 2 de agosto de 2026 con la Ley de Inteligencia Artificial?

El 2 de agosto de 2026 comienza una nueva fase de aplicación del Reglamento (UE) 2024/1689, conocido como Ley de Inteligencia Artificial (AI Act).

Aunque el Reglamento entró en vigor el 1 de agosto de 2024 y algunas de sus disposiciones ya eran aplicables desde 2025, esta nueva fecha marca el inicio de importantes obligaciones para determinados operadores y consolida el sistema europeo de supervisión previsto por la normativa.

Sin embargo, es importante tener en cuenta que la aprobación del Reglamento (UE) 2026/1744, conocido como AI Omnibus, ha modificado parcialmente el calendario inicialmente previsto, introduciendo un período transitorio para determinadas obligaciones de transparencia.

Por ello, no todas las obligaciones previstas inicialmente serán exigibles desde el 2 de agosto de 2026.

Entran en vigor nuevas obligaciones de transparencia

A partir del 2 de agosto de 2026 comienzan a aplicarse diversas obligaciones de transparencia previstas en el Reglamento para determinados sistemas de Inteligencia Artificial.

Entre ellas destacan:

• Informar a las personas usuarias cuando estén interactuando con un sistema de IA, como un chatbot, salvo las excepciones previstas en la normativa.
• Identificar determinados contenidos generados o manipulados mediante Inteligencia Artificial cuando así lo exija el Reglamento.
• Cumplir las obligaciones de transparencia aplicables a determinados sistemas de IA de riesgo limitado.

El objetivo es que las personas puedan reconocer cuándo están interactuando con Inteligencia Artificial y cuándo determinados contenidos han sido generados o alterados mediante estas tecnologías.

Comienza una nueva fase del sistema europeo de supervisión

El 2 de agosto de 2026 también marca un paso importante en la aplicación del sistema europeo de gobernanza previsto por el Reglamento.

A partir de esta fecha adquieren mayor protagonismo las autoridades competentes encargadas de supervisar el cumplimiento de la normativa, así como los mecanismos de coordinación entre los Estados miembros y la Oficina Europea de IA (AI Office).

Este marco pretende garantizar una aplicación homogénea del Reglamento en toda la Unión Europea y ofrecer mayor seguridad jurídica tanto a empresas como a personas usuarias.

También será aplicable gran parte del régimen sancionador

Con esta nueva fase del Reglamento también comienzan a desplegar plenamente sus efectos buena parte de las disposiciones relativas al control y cumplimiento de la normativa.

Las empresas, proveedores y responsables del despliegue de sistemas de IA deberán asegurarse de cumplir las obligaciones que ya resulten exigibles, ya que el incumplimiento puede dar lugar a importantes sanciones económicas previstas en el Reglamento.

¿Qué obligaciones de la Ley de Inteligencia Artificial se retrasan hasta el 2 de diciembre de 2026?

Aunque algunas obligaciones de transparencia estaban previstas para el 2 de agosto de 2026, la Unión Europea aprobó el denominado AI Omnibus, que introduce un período transitorio para determinados proveedores de sistemas de IA.

En concreto, los proveedores de sistemas de IA, incluidos los modelos de IA de uso general (GPAI), que generen contenido sintético de texto, imagen, audio o vídeo y cuyos sistemas ya hubieran sido introducidos en el mercado antes del 2 de agosto de 2026, dispondrán de cuatro meses adicionales para adaptarse a las obligaciones previstas en el artículo 50.2 del Reglamento (UE) 2024/1689.

Por tanto, estos proveedores deberán cumplir dichas obligaciones como máximo el 2 de diciembre de 2026.

¿Será obligatoria una marca de agua en todos los contenidos generados mediante IA?

Aunque habitualmente se habla de la obligación de incorporar una marca de agua, el Reglamento utiliza una formulación más amplia.

Lo que exige el artículo 50.2 es que los proveedores adopten soluciones técnicas que permitan detectar que un contenido ha sido generado o manipulado mediante Inteligencia Artificial.

Estas soluciones pueden consistir, entre otras opciones, en:

• Metadatos.
• Marcas de agua digitales visibles o invisibles.
• Firmas criptográficas.
• Sistemas de autenticidad de contenidos, como Content Credentials (C2PA).
• Otras técnicas equivalentes que permitan identificar el origen del contenido.

Por tanto, el Reglamento no obliga necesariamente a insertar una marca de agua visible en todas las imágenes, vídeos, audios o textos creados con IA, sino a incorporar mecanismos técnicos adecuados que hagan posible identificar su origen cuando resulte exigible conforme a la normativa.

¿A quién afecta este aplazamiento?

Este período transitorio afecta únicamente a los proveedores cuyos sistemas ya estaban comercializados antes del 2 de agosto de 2026.

Los sistemas que se introduzcan en el mercado con posterioridad deberán cumplir directamente las obligaciones que les resulten aplicables conforme al calendario establecido por el Reglamento.

Calendario de aplicación de la Ley de Inteligencia Artificial 

Para facilitar la comprensión del calendario del Reglamento Europeo de IA este es un resumen de las principales fechas de aplicación:

¿A quién afecta la Ley de Inteligencia Artificial?

La Ley de Inteligencia Artificial tiene un ámbito de aplicación muy amplio. No solo afecta a las empresas que desarrollan sistemas de IA, sino también a muchas organizaciones que los utilizan en su actividad diaria.

La normativa se aplica tanto a entidades públicas como privadas, dentro y fuera de la Unión Europea, siempre que los sistemas de IA se comercialicen, pongan en servicio o sus resultados se utilicen en el mercado europeo.

En función del papel que desempeñe cada organización el Reglamento establece obligaciones específicas para distintos operadores.

Proveedores de sistemas de IA

Los proveedores son las personas físicas o jurídicas que desarrollan un sistema de Inteligencia Artificial o un modelo de IA de propósito general y lo comercializan o ponen en servicio bajo su propio nombre o marca.

Entre sus principales obligaciones se encuentran:

• Garantizar que el sistema cumple los requisitos establecidos en el Reglamento.
• Elaborar la documentación técnica correspondiente.
• Implantar sistemas de gestión de riesgos cuando proceda.
• Cumplir las obligaciones de transparencia aplicables.
• Realizar el seguimiento del sistema una vez comercializado.

Empresas que utilizan sistemas de IA

Las empresas que utilizan herramientas de Inteligencia Artificial también pueden verse afectadas por el Reglamento, especialmente cuando emplean sistemas considerados de alto riesgo.

Además, todas las empresas que utilicen IA en el desarrollo de su actividad deberán asegurarse de que las personas que trabajan con estas herramientas disponen de una formación adecuada sobre su funcionamiento, limitaciones y riesgos, de acuerdo con el artículo 4 del Reglamento.

Importadores y distribuidores

El Reglamento también establece obligaciones para importadores y distribuidores de sistemas de IA.

En particular, deberán comprobar que:

• El proveedor ha realizado correctamente la evaluación de conformidad cuando sea exigible.
• El sistema incorpora la documentación obligatoria.
• Se incluyen las instrucciones de uso necesarias.
• El producto cumple los requisitos establecidos por la normativa antes de su comercialización.

Responsables del despliegue

La normativa también regula a los llamados responsables del despliegue, es decir, las organizaciones que utilizan sistemas de IA bajo su propia responsabilidad.

Estas entidades deberán utilizar los sistemas conforme a las instrucciones del proveedor, garantizar la supervisión humana cuando sea necesaria y cumplir las obligaciones específicas previstas para determinados usos de la Inteligencia Artificia.

¿Cómo afecta la Ley de Inteligencia Artificial a las empresas españolas?

Muchas empresas piensan que el Reglamento solo afecta a quienes desarrollan modelos como ChatGPT, Gemini o Claude.

Sin embargo, el AI Act también tiene consecuencias para empresas que simplemente utilizan herramientas de IA en su actividad diaria.

Por ejemplo, puede afectar a empresas que emplean Inteligencia Artificial para:

• Redactar documentos o propuestas comerciales.
• Automatizar tareas administrativas.
• Atender consultas mediante asistentes virtuales.
• Analizar grandes volúmenes de información.
• Generar imágenes o contenido audiovisual.
• Traducir documentación.
• Clasificar currículums.
• Apoyar procesos de selección de personal.
• Elaborar campañas de marketing.
• Analizar datos de clientes.

En la mayoría de estos casos no será necesario cumplir las obligaciones previstas para los sistemas de alto riesgo, pero sí será recomendable implantar políticas internas que regulen el uso responsable de la Inteligencia Artificial.

¿Qué deben hacer las empresas para adaptarse al AI Act?

Aunque las obligaciones concretas dependerán del tipo de sistema utilizado, existen una serie de medidas que cualquier organización debería comenzar a implantar.

1. Identificar qué herramientas de IA utiliza

El primer paso consiste en elaborar un inventario de los sistemas de Inteligencia Artificial utilizados por la empresa.

Este análisis permitirá conocer:

• Qué herramientas se utilizan.
• Con qué finalidad.
• Qué departamentos las emplean.
• Qué tipo de datos procesan.
• Si pueden estar sujetas a obligaciones específicas del Reglamento.

Sin este inventario resulta prácticamente imposible evaluar el nivel de riesgo y adoptar medidas adecuadas de cumplimiento.

2. Clasificar el nivel de riesgo

Una vez identificadas las herramientas utilizadas, conviene determinar si se trata de:

• Sistemas de riesgo mínimo.
• Sistemas sujetos a obligaciones de transparencia.
• Sistemas de alto riesgo.
• Modelos de IA de propósito general.

Esta clasificación permitirá conocer qué obligaciones resultan aplicables en cada caso.

3. Aprobar una política interna sobre Inteligencia Artificial

Cada vez más organizaciones están incorporando políticas internas que regulan el uso de herramientas de IA por parte de su plantilla.

Estas políticas suelen abordar cuestiones como:

• Qué herramientas están autorizadas.
• Qué información puede introducirse.
• Qué datos no deben compartirse con sistemas externos.
• Cómo deben revisarse los resultados generados por IA.
• Qué controles humanos deben mantenerse.

Disponer de una política clara ayuda a reducir riesgos relacionados con la protección de datos, la confidencialidad y el cumplimiento normativo.

4. Promover la alfabetización en Inteligencia Artificial en la empresa

La formación constituye uno de los elementos más importantes del AI Act.

No basta con permitir que las personas trabajadoras utilicen herramientas de Inteligencia Artificial. Es necesario que comprendan:

• Cómo funcionan.
• Cuáles son sus limitaciones.
• Qué riesgos presentan.
• Cómo detectar errores o alucinaciones.
• Qué obligaciones legales deben respetar.

Precisamente por ello, el Reglamento incorpora la obligación de que los proveedores y responsables del despliegue adopten medidas para promover la alfabetización en Inteligencia Artificial.

¿Es obligatoria la formación en Inteligencia Artificial? (Artículo 4 del Reglamento de IA)

Desde el 2 de febrero de 2025 el artículo 4 del AI Act obliga a los proveedores y responsables del despliegue de sistemas de Inteligencia Artificial a adoptar medidas para promover la alfabetización en IA entre las personas que utilizan estas tecnologías.

Las empresas deben impulsar medidas proporcionadas que favorezcan un uso informado, seguro y responsable de la Inteligencia Artificial, teniendo en cuenta el contexto de uso y las funciones desempeñadas

Esto significa que el AI Act no impone la realización de un curso concreto ni la obtención de una certificación oficial.

Cada empresa podrá decidir cómo promover la alfabetización en IA, siempre que adopte medidas razonables acordes con su actividad y con los sistemas de Inteligencia Artificial que utilice.

¿Qué deben conocer las personas que utilizan IA?

La formación debe permitir comprender, entre otras cuestiones:

• Qué puede y qué no puede hacer un sistema de IA.
• Cómo se generan los resultados.
• Qué riesgos pueden derivarse de su utilización.
• Cómo detectar posibles errores o sesgos.
• Qué medidas deben adoptarse para proteger los datos personales y la información confidencial.

Las acciones de formación o sensibilización deberán adaptarse al tipo de sistemas de IA utilizados, al contexto de uso y a las funciones desempeñadas por las personas que interactúan con ellos.

¿A quién afecta esta obligación?

La obligación formar a la plantilla en Inteligencia Artificial no se limita al departamento de IT ni a perfiles técnicos.

El artículo 4 del Reglamento (UE) 2024/1689 se refiere a todas las personas que utilicen, operen o supervisen sistemas de IA en el marco de su actividad profesional.

Esto incluye a cualquier profesional que utilice IA para generar contenidos, analizar información, automatizar proyectos o apoyar decisiones.

Por ejemplo, si una empresa utiliza herramientas como ChatGPT para redactar correos electrónicos, resumir documentos o generar contenidos, resulta recomendable que las personas usuarias conozcan sus posibilidades, limitaciones y riesgos.

Promover este tipo de conocimientos contribuye a un uso más seguro, responsable y alineado con los objetivos del AI Act.

¿Cómo es el Código de buenas prácticas para la IA de uso general?

La Comisión Europea ha elaborado un Código de buenas prácticas para ayudar a las empresas a cumplir la Ley de IA.

Aunque su adhesión es voluntaria, este Código ofrece una guía práctica para demostrar el cumplimiento de determinados requisitos del AI Act y reducir la carga administrativa derivada de la aplicación del Reglamento.

El Código se centra principalmente en tres ámbitos:

• Transparencia, para facilitar información sobre el funcionamiento y las características de los modelos.
• Derechos de autor, estableciendo buenas prácticas para el uso de contenidos protegidos durante el entrenamiento de los modelos.
• Seguridad y protección, especialmente para aquellos modelos de IA de propósito general que puedan generar riesgos sistémicos.

La adhesión al Código puede proporcionar una mayor seguridad jurídica a los proveedores, aunque el cumplimiento del Reglamento podrá acreditarse también por otros medios.

¿Qué sanciones contempla la Ley de Inteligencia Artificial?

El Reglamento (UE) 2024/1689 establece un régimen sancionador para garantizar el cumplimiento de las obligaciones previstas en la Ley de Inteligencia Artificial.

Las autoridades competentes podrán imponer importantes multas económicas en función de la gravedad de la infracción, del tipo de operador implicado y de la naturaleza del incumplimiento:

• Hasta 35 millones de euros o el 7% del volumen de negocios anual total a escala mundial del ejercicio financiero anterior, si este importe fuera superior, por las infracciones por incumplimiento o prácticas prohibidas en relación con los requisitos sobre los datos.
• Hasta 15 millones de euros o el 3% del volumen de negocios anual total a escala mundial del ejercicio financiero anterior por el incumplimiento de cualquier otro requisito u obligación del Reglamento, incluidas las infracciones de las normas sobre los modelos de inteligencia artificial de uso general.
• Hasta 7,5 millones de euros o el 1,5% del volumen de negocios total anual a escala mundial del ejercicio anterior por el suministro de información incorrecta, incompleta o engañosa a los organismos notificados y a las autoridades nacionales competentes en respuesta a una solicitud.

¿Desde cuándo pueden imponerse estas sanciones?

La aplicación del régimen sancionador forma parte del calendario progresivo del Reglamento.

Con la nueva fase que comienza el 2 de agosto de 2026, muchas de las obligaciones cuyo incumplimiento puede dar lugar a sanciones pasan a ser plenamente exigibles para los operadores afectados.

No obstante, determinadas obligaciones cuentan con períodos transitorios, como ocurre con las previstas en el artículo 50.2, cuya adaptación para ciertos proveedores podrá realizarse hasta el 2 de diciembre de 2026 gracias al AI Omnibus.

¿Las mismas sanciones se aplican a todas las empresas?

No necesariamente. El AI Act introduce un enfoque más proporcionado para proteger a las pequeñas y medianas empresas sin renunciar al cumplimiento de la normativa.

Para ello, el Reglamento prevé que las autoridades puedan tener en consideración distintos factores al fijar la cuantía definitiva de la sanción, entre ellos:

• El tamaño de la empresa.
• La capacidad económica del infractor.
• La gravedad de la infracción.
• La duración del incumplimiento.
• El número de personas afectadas.
• El grado de negligencia o intencionalidad.
• La colaboración con las autoridades.
• Las medidas adoptadas para corregir la situación.

De este modo, el régimen sancionador busca ser eficaz y disuasorio, pero también proporcional a las circunstancias de cada caso.

¿Quién puede imponer estas sanciones?

Cada Estado miembro deberá designar las autoridades competentes encargadas de supervisar el cumplimiento del AI Act y, en su caso, imponer las sanciones correspondientes.

Estas autoridades trabajarán de forma coordinada con la Oficina Europea de IA (AI Office) y con el Consejo Europeo de Inteligencia Artificial, especialmente en cuestiones relacionadas con los modelos de IA de propósito general y la aplicación uniforme del Reglamento en toda la Unión Europea.

¿Cómo puede evitar una empresa estas sanciones?

La mejor estrategia no consiste únicamente en reaccionar cuando entra en vigor una obligación, sino en implantar un sistema de gobernanza de la Inteligencia Artificial que permita demostrar un uso responsable de estas tecnologías.

Entre las medidas más recomendables destacan:

• Identificar todos los sistemas de IA utilizados por la empresa.
• Clasificar el nivel de riesgo de cada uno de ellos.
• Elaborar políticas internas sobre el uso de la Inteligencia Artificial.
• Formar a la plantilla en el uso seguro y responsable de estas herramientas.
• Revisar periódicamente el cumplimiento del AI Act y del resto de normativa aplicable, como el RGPD.

Prepararse con antelación no solo reduce el riesgo de sanciones, sino que también mejora la confianza de clientes, personas trabajadoras y socios comerciales.

Preguntas frecuentes sobre la Ley de Inteligencia Artificial (FAQ)

¿Cuándo entra en vigor la Ley de Inteligencia Artificial?

El AI Act entró en vigor el 1 de agosto de 2024, pero su aplicación es progresiva.

Las principales fechas son:

• 2 de febrero de 2025: comienzan a aplicarse las prohibiciones sobre prácticas de IA de riesgo inaceptable y la obligación de promover la alfabetización en IA.
• 2 de agosto de 2025: se aplican las obligaciones para los modelos de IA de propósito general (GPAI).
• 2 de agosto de 2026: entra en vigor una nueva fase con obligaciones adicionales para distintos operadores.
• 2 de diciembre de 2026: finaliza el periodo transitorio previsto por el AI Omnibus para determinadas obligaciones de transparencia.
• 2 de agosto de 2027: comienzan a aplicarse determinadas obligaciones para algunos sistemas de IA de alto riesgo.

¿A qué empresas afecta el AI Act?

El Reglamento afecta tanto a las empresas que desarrollan sistemas de Inteligencia Artificial como a aquellas que los utilizan en el ejercicio de su actividad profesional.

Dependiendo del papel que desempeñen pueden actuar como:

• Proveedores.
• Responsables del despliegue (deployers).
• Importadores.
• Distribuidores.

Las obligaciones variarán en función del tipo de sistema utilizado y del rol desempeñado por cada empresa.

¿Mi empresa tiene que cumplir el AI Act si solo utiliza ChatGPT?

Depende del uso que haga de la herramienta.

El hecho de utilizar ChatGPT, Claude, Gemini, Microsoft Copilot u otra solución similar no convierte automáticamente a una empresa en proveedor de Inteligencia Artificial ni implica que utilice un sistema de alto riesgo.

No obstante, la empresa deberá cumplir las obligaciones que le correspondan como responsable del despliegue, por ejemplo:

• Promover la alfabetización en IA de las personas que utilizan estas herramientas.
• Establecer políticas internas para su uso responsable.
• Respetar las obligaciones de transparencia cuando resulten aplicables.
• Garantizar un uso conforme al resto de la normativa, como el RGPD.

¿Es obligatorio formar a la plantilla en Inteligencia Artificial?

Desde el 2 de febrero de 2025 el artículo 4 del AI Act exige que los proveedores y responsables del despliegue de sistemas de Inteligencia Artificial adopten medidas para promover la alfabetización en IA entre las personas que utilizan estas tecnologías.

Tras la modificación introducida por el Reglamento (UE) 2026/1744 (AI Omnibus), el Reglamento no exige garantizar que cada persona alcance un nivel específico de alfabetización en IA.

En su lugar, las empresas deben impulsar medidas proporcionadas que fomenten un uso informado, seguro y responsable de la Inteligencia Artificial, teniendo en cuenta el contexto de uso, las funciones desempeñadas y los riesgos asociados.

¿El AI Act sustituye el RGPD?

No. El AI Act y el Reglamento General de Protección de Datos (RGPD) son normas complementarias.

Mientras que el RGPD regula el tratamiento de datos personales, el AI Act establece requisitos específicos para el desarrollo y el uso de sistemas de Inteligencia Artificial.

Por ello, una empresa que utilice IA puede estar obligada a cumplir simultáneamente ambas normativas.

Grupo2000, centro especializado en contratos de formación y formación bonificada para empresas

Grupo2000 somos un centro acreditado por el SEPE para dar formación bonificada con más de 25 años de experiencia en el sector.

Disponemos de un amplio Catálogo de cursos en el que podrás encontrar el que mejor se adapte a las necesidades de tu plantilla.

En concreto, somos conscientes de la importancia de formarse en ciberseguridad y protección de datos. Por este motivo, disponemos de acciones formativas específicas para ayudar a las empresas a capacitar a su personal.

Nuestros cursos pueden ser bonificados a través de los créditos de formación de la empresa. Nos encargamos de realizar todas las gestiones relacionadas con FUNDAE.

Además, en Grupo2000 estamos especializados en contratos de formación en alternancia.

Si estás interesado/a en ampliar tu plantilla el contrato de formación es una opción muy útil. Te permitirá contratar durante 2 años y aplicar hasta tres bonificaciones durante la vigencia del contrato.

Para más información, ¡contáctanos! Puedes chatear online con nuestro equipo o llamarnos al 958 80 67 60.

Fuentes: Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, Reglamento (UE) 2026/1744 del Parlamento Europeo y del Consejo