Si has oído hablar del EU AI Act y no tienes muy claro si te afecta, si tienes que hacer algo o si es otra de esas normativas europeas que tardan diez años en aterrizar de verdad: este artículo es para ti.
La respuesta corta: sí te afecta, al menos en algo. Pero probablemente mucho menos de lo que algunos titulares dan a entender.
La respuesta larga: depende de cómo uses la IA en tu empresa. Y eso es exactamente lo que vamos a desgranar aquí.
¿Qué es el EU AI Act, en tres frases?
El EU AI Act (Reglamento UE 2024/1689) es la primera ley del mundo que regula de forma integral el uso de la inteligencia artificial. La aprobó la Unión Europea y entró en vigor en agosto de 2024. Desde entonces, sus obligaciones se están aplicando en fases.
No es una ley que haya que leer. Es una ley que hay que entender para saber qué parte te toca cumplir.
¿A quién afecta realmente?
Aquí está el punto que más confusión genera: no solo afecta a las empresas que desarrollan IA. Afecta también a las que la usan.
En la terminología del reglamento, hay tres figuras:
Proveedor
Quien crea o pone en el mercado un sistema de IA (OpenAI, Anthropic, Microsoft…).
Desplegador
Quien usa un sistema de IA en su actividad. Esta categoría incluye a la gran mayoría de pymes.
Importador / distribuidor
Quien comercializa soluciones de IA de fuera de la UE.
Si tu empresa usa ChatGPT, Claude, Copilot, un chatbot en la web o cualquier herramienta de IA para tomar decisiones, eres desplegador y tienes obligaciones.
El alcance es extraterritorial, como el RGPD: aplica a cualquier empresa cuyos sistemas de IA se usen dentro de la Unión Europea, aunque la sede esté en otro país.
Los cuatro niveles de riesgo: en cuál está tu empresa
El AI Act no trata todos los usos de la IA igual. Los clasifica según el riesgo que implican para las personas. Cuanto mayor el riesgo, más obligaciones.
Riesgo inaceptable — Prohibido desde febrero de 2025
Usos de la IA directamente prohibidos en la UE. No hay que cumplir nada: simplemente, no se puede usar.
- Sistemas de puntuación social de ciudadanos para restringir servicios.
- Reconocimiento de emociones de empleados para evaluar su rendimiento.
- Manipulación subliminal de personas.
- Identificación biométrica en tiempo real en espacios públicos.
Alto riesgo — Obligaciones exigentes
Sistemas que pueden afectar a derechos fundamentales o a decisiones importantes sobre personas. Requieren documentación técnica, evaluación de impacto y supervisión humana.
- RRHH y selección de personal: filtrado de CVs, evaluación de candidatos.
- Scoring crediticio o evaluación de solvencia.
- Acceso a educación o formación.
- Infraestructuras críticas.
- Administración de justicia o servicios públicos esenciales.
Riesgo limitado — Transparencia obligatoria
Chatbots, asistentes virtuales y herramientas de generación de contenido con IA. La regla principal: el usuario tiene que saber que está interactuando con IA.
- Si tu web tiene un chatbot de atención al cliente con IA, debe identificarse como tal al inicio de la conversación.
- El contenido de marketing generado por IA debe ser identificable como tal.
- Los deepfakes deben etiquetarse de forma explícita.
Riesgo mínimo — Sin obligaciones específicas
La gran mayoría de usos cotidianos de la IA. No hay obligaciones adicionales. Puedes seguir usándolas con normalidad.
- Filtros de spam.
- Recomendaciones de productos.
- Correctores ortográficos y herramientas de escritura.
- Herramientas de productividad genéricas.
¿Qué tienes que hacer ahora si usas IA en tu empresa?
Dependiendo de cómo uses la IA, las acciones que necesitas tomar son diferentes. Pero hay tres cosas que prácticamente cualquier empresa debería hacer:
Forma a tu equipo
El artículo 4 del AI Act ya está en vigor. Establece la obligación de garantizar que las personas que trabajan con sistemas de IA tengan un nivel mínimo de comprensión sobre cómo funcionan, sus limitaciones y los riesgos que implican. No tiene que ser una formación técnica: tiene que ser formación real, documentada y con sentido común.
Haz un inventario de tus usos de IA
Identifica si algún uso entra en categoría de alto riesgo
Fechas clave para tenerlas en cuenta
El AI Act no entra en vigor de golpe. Se despliega en fases. Aquí tienes el calendario completo.
En vigor
El reglamento entra en vigor. Sin obligaciones aún.
Obligación de formación
Art. 4 en vigor. Usos prohibidos también activos.
Transparencia en IA generativa
Etiquetar contenido IA. Chatbots con aviso obligatorio.
Obligaciones de alto riesgo
La fase más importante para la mayoría de empresas.
Aplicación completa
Productos regulados (Anexo I). Ciclo cerrado.
- Ago 2024
En vigor
El reglamento entra en vigor. Sin obligaciones aún.
- Feb 2025
Obligación de formación
Art. 4 en vigor. Usos prohibidos también activos.
- Ago 2025
Transparencia en IA generativa
Etiquetar contenido IA. Chatbots con aviso obligatorio.
- HoyAgo 2026
Obligaciones de alto riesgo
La fase más importante para la mayoría de empresas.
- Ago 2027
Aplicación completa
Productos regulados (Anexo I). Ciclo cerrado.
Estamos a menos de 2 meses del hito más relevante para la mayoría de empresas (agosto 2026).
¿Qué pasa si no hago nada?
Las sanciones del AI Act pueden llegar hasta 35 millones de euros o el 7% de la facturación global en los casos más graves. Para obligaciones de transparencia o sistemas de alto riesgo, hasta 15 millones o el 3%.
Para una pyme con 2M€ de facturación, el máximo por incumplimiento de sistemas de alto riesgo sería 60.000€ (el 3% de 2M€), no 15 millones.
El riesgo real más inmediato no son las multas, sino:
- Perder contratos B2B con empresas grandes que ya exigen cumplimiento con el AI Act a sus proveedores.
- Problemas de reputación si se hace público un uso de IA que no cumple con los requisitos de transparencia.
- Quedar expuesto ante una inspección si hay una denuncia o incidente.
En España, la AESIA (Agencia Española de Supervisión de la Inteligencia Artificial) ya ha iniciado inspecciones preliminares y se coordina con otras autoridades europeas.
Buenas noticias: no tiene que ser un problema
El AI Act no está diseñado para frenar el uso de la IA en las empresas. Está diseñado para que ese uso sea responsable.
La gran mayoría de pymes que usan IA de forma razonable no tienen que hacer grandes cambios. Tienen que documentar lo que hacen, formar a su equipo de forma básica y asegurarse de que sus herramientas de cara al público se identifican como IA.
En resumen
- El EU AI Act ya es ley y sus primeras obligaciones están en vigor desde febrero de 2025.
- Afecta a cualquier empresa que use IA, no solo a quien la desarrolla.
- La mayoría de pymes caen en riesgo mínimo o limitado. Las obligaciones son asumibles.
- Si usas IA para tomar decisiones sobre personas, revisa si entras en categoría de alto riesgo antes de agosto de 2026.
- Lo más urgente ahora mismo: formar a tu equipo y hacer un inventario de tus usos de IA.
- Implementar la IA con criterio y responsabilidad no es solo una obligación legal. Es la forma de hacerlo bien.
Este artículo tiene finalidad informativa. No constituye asesoramiento legal. Para situaciones concretas que requieran análisis jurídico, consulta con un especialista en derecho digital.