Ley de IA de la UE: niveles de riesgo, plazos y multas

La Ley de IA de la Unión Europea es un reglamento que clasifica los sistemas de inteligencia artificial según el riesgo que representan y establece normas acordes a cada nivel. Entró en vigor el 1 de agosto de 2024 y se aplica de forma gradual durante varios años. Las prohibiciones, el deber de alfabetización en IA y las normas para los modelos de IA de propósito general (GPAI) ya son aplicables. Las normas para los sistemas de alto riesgo se aplazaron hasta diciembre de 2027 y agosto de 2028 mediante una modificación conocida como Digital Omnibus, adoptada en 2026.

Esta guía refleja la situación a octubre de 2026. Algunos detalles del calendario revisado todavía se están aclarando. Antes de tomar decisiones de cumplimiento, consulte el texto publicado en el Diario Oficial y las propias páginas de la Comisión Europea sobre la Ley de IA.

¿Qué es la Ley de IA de la UE?

La Ley de IA es un reglamento y no una directiva. Esto significa que se aplica directamente en todos los Estados miembros, sin que los gobiernos nacionales necesiten incorporarla a su propio derecho. Su referencia oficial es el Reglamento (UE) 2024/1689, publicado en julio de 2024. El servicio de estudios del Parlamento Europeo señaló que se diseñó para tardar al menos tres años en aplicarse por completo.

Suele describirse como el primer marco jurídico horizontal y completo para la IA, lo que significa que abarca todos los sectores en lugar de dirigirse a una sola industria. Los sistemas de IA se regulan según su riesgo, mientras que los modelos de propósito general se regulan según sus capacidades. Las directrices, las normas armonizadas y los códigos de buenas prácticas voluntarios aportan el detalle técnico.

¿Cuáles son las categorías de riesgo de la Ley de IA?

El texto de la Ley establece cuatro niveles de riesgo para los sistemas de IA, además de una vía independiente para los modelos de propósito general. El resumen siguiente sigue la estructura de la Ley. Los límites exactos se definen en el artículo 5, el artículo 6, los anexos I y III, y el artículo 50.

Riesgo inaceptable (prohibido): Incluye la puntuación social y la IA que manipula a las personas o aprovecha sus vulnerabilidades. Queda prohibido el rastreo indiscriminado de imágenes faciales, así como el reconocimiento de emociones en el trabajo y en las escuelas, con excepciones. También están prohibidas determinadas categorizaciones biométricas, la vigilancia predictiva basada únicamente en perfiles y la identificación biométrica remota en tiempo real en espacios públicos con fines policiales (con excepciones muy acotadas).

Alto riesgo: Hay dos tipos. El anexo I cubre la IA que actúa como componente de seguridad en productos ya regulados por la legislación de productos de la UE, como maquinaria, productos sanitarios o juguetes. El anexo III abarca los sistemas independientes utilizados en ámbitos sensibles, entre ellos la biometría, las infraestructuras críticas, la educación, el empleo, los servicios esenciales y el crédito, la aplicación de la ley, la migración y el control de fronteras, y la justicia y los procesos democráticos.

Los proveedores de sistemas de alto riesgo deben implantar una gestión de riesgos, una gobernanza de datos y una documentación técnica. También necesitan registros, supervisión humana y una precisión y solidez adecuadas. A ello se suman una evaluación de la conformidad, el marcado CE y el registro en una base de datos de la UE.

Riesgo limitado (transparencia, artículo 50): Las personas deben ser informadas cuando interactúen con un chatbot, y los deepfakes deben estar etiquetados. El contenido generado por IA también debe incluir una marca legible por máquina. Riesgo mínimo: las herramientas cotidianas, como los filtros de spam o los videojuegos, no tienen nuevas obligaciones.

Modelos de IA de propósito general: Todo proveedor de GPAI debe mantener documentación y disponer de una política de derechos de autor. Los modelos considerados de "riesgo sistémico" tienen obligaciones adicionales. La Ley presume que existe riesgo sistémico por encima de un umbral de cómputo de entrenamiento de 10^25 FLOP.

¿Cuándo se aplica la Ley de IA de la UE? El calendario actual

Según el calendario original, las prohibiciones y las obligaciones de alfabetización en IA entraron en vigor el 2 de febrero de 2025. Las normas sobre GPAI, las disposiciones de gobernanza y las sanciones llegaron el 2 de agosto de 2025. La mayoría de las disposiciones restantes, incluidas las normas de alto riesgo del anexo III, debían aplicarse el 2 de agosto de 2026. Las normas de alto riesgo del anexo I estaban previstas para el 2 de agosto de 2027.

Ese plan cambió. El 19 de noviembre de 2025, la Comisión propuso el "Digital Omnibus sobre IA", en parte como respuesta a las preocupaciones sobre la complejidad regulatoria planteadas en el informe Draghi de 2024. El Parlamento y el Consejo alcanzaron un acuerdo provisional el 7 de mayo de 2026. El Parlamento dio su aprobación final el 16 de junio y el Consejo adoptó el texto el 29 de junio. Se firmó el 8 de julio y entró en vigor al publicarse en el Diario Oficial el 27 de julio de 2026.

Con las fechas revisadas, las normas de alto riesgo independientes del anexo III se aplican desde el 2 de diciembre de 2027. Las normas del anexo I para la IA integrada en productos regulados comienzan en agosto de 2028. Según el análisis de Formalize, las prohibiciones generales y las normas sobre GPAI no se aplazaron.

Quedan algunos puntos abiertos. Entre ellos, la fecha exacta posterior al Omnibus para las obligaciones de transparencia y marcado de agua del artículo 50, si se añadieron nuevas prohibiciones y el alcance preciso de las medidas de alivio para las empresas más pequeñas. También se ha informado de retrasos en las normas armonizadas. Compruébelo en el texto oficial.

¿A quién se aplica la Ley de IA?

Según el artículo sobre el ámbito de aplicación de la Ley, esta abarca a los proveedores que introducen sistemas de IA en el mercado de la UE, independientemente de dónde tengan su sede. También incluye a los responsables del despliegue (organizaciones que usan IA) establecidos en la UE, así como a importadores, distribuidores y fabricantes de productos. Los proveedores y responsables del despliegue fuera de la UE también quedan incluidos cuando los resultados de su sistema se utilizan dentro de la Unión.

Este alcance extraterritorial funciona de forma muy similar al RGPD. Una empresa de Turquía, de Estados Unidos o de cualquier otro país que venda IA en la UE, o cuyos resultados de IA se utilicen allí, puede quedar dentro del ámbito de aplicación. Los proveedores no comunitarios de sistemas de alto riesgo y de modelos GPAI deben designar un representante autorizado en la UE.

Algunos usos están excluidos: el ámbito militar, la defensa y la seguridad nacional; la IA utilizada exclusivamente para investigación científica; y el uso puramente personal y no profesional. La mayor parte del software libre y de código abierto también queda fuera del ámbito, con algunas excepciones.

¿Cuáles son las multas previstas en la Ley de IA de la UE?

El artículo 99 establece tres niveles de multas. El incumplimiento de las prohibiciones puede costar hasta 35 millones de euros o el 7 % de la facturación anual mundial, la cifra que sea más alta. La mayoría de las demás obligaciones de los operadores conllevan multas de hasta 15 millones de euros o el 3 %. Facilitar información incorrecta o engañosa a las autoridades puede acarrear multas de hasta 7,5 millones de euros o el 1 %.

Para las pymes y las startups se aplica la cifra más baja de las dos (artículo 99, apartado 6). Según se informa, el Omnibus extiende este trato a las "pequeñas empresas de mediana capitalización". Los Estados miembros fijan las normas nacionales de sanciones detalladas, y el artículo 99 se aplica desde el 2 de agosto de 2025. Los proveedores de GPAI pueden ser multados por la Comisión, con hasta 15 millones de euros o el 3 %.

Los niveles de sanción vinculados a obligaciones aplazadas solo surten efecto cuando estas obligaciones son aplicables. Algunos artículos más antiguos todavía indican que las sanciones por alto riesgo empiezan el 2 de agosto de 2026. Eso ya no es exacto.

¿Qué deben hacer las organizaciones ahora?

El aplazamiento no es un motivo para dejar de prepararse, porque las prohibiciones, la alfabetización en IA y las normas GPAI ya están en vigor. Un primer paso práctico es inventariar los sistemas de IA que desarrolla, compra o vende y asignar cada uno a un nivel de riesgo.

Para los proveedores de alto riesgo, elaborar la documentación y los procesos de gobernanza de datos y de supervisión humana requiere tiempo, así que diciembre de 2027 está más cerca de lo que parece. Para información fiable, recurra a EUR-Lex, a las páginas de la Comisión sobre la Ley de IA y a la Oficina de IA, en lugar de resúmenes secundarios.