Si desarrollas o vendes software con funcionalidades de IA a clientes de la Unión Europea, la Ley de IA ya no es una preocupación de futuro. Algunas obligaciones se aplican desde 2025, las normas de transparencia empezaron el 2 de agosto de 2026 y los plazos para los sistemas de alto riesgo se aplazaron —no se cancelaron— con el Digital Omnibus adoptado en verano de 2026. Esta guía explica con lenguaje sencillo qué normas se aplican a productos de software típicos como chatbots, agentes de IA y automatización documental, cómo queda el nuevo calendario y qué hacer este trimestre.
Este artículo es información general, no asesoramiento jurídico. Para un producto concreto, cuenta con un abogado que conozca la Ley de IA.
La Ley de IA en un párrafo
La Ley de IA, el Reglamento (UE) 2024/1689, es la norma horizontal de la UE sobre inteligencia artificial. Entró en vigor el 1 de agosto de 2024 y regula la IA según el riesgo: unas pocas prácticas están prohibidas, los sistemas de alto riesgo afrontan requisitos estrictos, los sistemas que interactúan con personas tienen obligaciones de transparencia y el resto queda en gran medida sin regular (Comisión Europea: Ley de IA). Como el RGPD, se aplica a empresas de fuera de la UE cuando sus sistemas de IA se comercializan en el mercado de la UE o sus resultados se usan en la UE, algo relevante para los proveedores ucranianos, latinoamericanos y de otros países que trabajan con clientes europeos.
El calendario tras el Digital Omnibus
En 2026 la UE adoptó el Digital Omnibus sobre IA, que entró en vigor el 27 de julio de 2026 y aplazó los plazos de alto riesgo manteniendo la mayoría de las demás fechas (resumen de Gibson Dunn).
| Fecha | Qué se aplica |
|---|---|
| 2 de febrero de 2025 | Prácticas prohibidas (artículo 5) y la obligación de alfabetización en IA (artículo 4) |
| 2 de agosto de 2025 | Obligaciones de los proveedores de modelos de IA de uso general, gobernanza y sanciones |
| 2 de agosto de 2026 | Obligaciones de transparencia (artículo 50) y la mayoría de las disposiciones restantes |
| 2 de diciembre de 2026 | Fin del periodo de gracia para marcar el contenido generado por IA en sistemas ya comercializados |
| 2 de diciembre de 2027 | Sistemas de alto riesgo del anexo III (empleo, crédito, educación, biometría, infraestructuras críticas y otros) |
| 2 de agosto de 2028 | IA de alto riesgo integrada en productos cubiertos por la legislación de seguridad de productos de la UE (anexo I) |
La conclusión práctica: la transparencia ya está en vigor, y el cumplimiento de alto riesgo tiene aproximadamente año y medio más de margen, no una exención.
¿En qué categoría de riesgo está tu producto?
Prácticas prohibidas
El artículo 5 prohíbe, entre otras cosas, las técnicas manipuladoras que causan daños significativos, aprovechar las vulnerabilidades de grupos concretos, la puntuación social, el reconocimiento de emociones en lugares de trabajo y centros educativos (con excepciones limitadas) y la extracción no selectiva de imágenes faciales (artículo 5). El software B2B típico está muy lejos de esto, pero revisa con cuidado funciones como la "monitorización del sentimiento de los empleados".
Sistemas de alto riesgo
El anexo III enumera usos que son de alto riesgo con independencia de la tecnología: IA para selección de personal y evaluación de empleados, calificación crediticia, acceso a la educación, servicios públicos y privados esenciales, infraestructuras críticas, aplicación de la ley, migración y justicia (anexo III). Si tu producto filtra currículos, clasifica candidatos o puntúa solicitantes de préstamos, probablemente estés construyendo un sistema de alto riesgo y necesitarás gestión de riesgos, gobernanza de datos, documentación técnica, registros, supervisión humana, medidas de precisión y robustez y una evaluación de la conformidad.
Riesgo limitado: obligaciones de transparencia
Aquí caen la mayoría de los chatbots, agentes de IA y herramientas de contenido. El artículo 50 exige, en resumen (artículo 50):
- Las personas deben ser informadas de que interactúan con un sistema de IA, salvo que sea evidente por el contexto.
- El audio, las imágenes, el vídeo y el texto sintéticos generados por IA deben marcarse de forma legible por máquina como generados artificialmente.
- Quienes desplieguen deepfakes deben revelar que el contenido se ha generado o manipulado artificialmente, y el texto generado por IA que se publique para informar al público sobre asuntos de interés público debe identificarse salvo que haya pasado por una revisión editorial humana.
Riesgo mínimo
Los filtros de spam, la recomendación de documentos internos, el autocompletado de código y la mayor parte de la automatización interna no tienen obligaciones específicas más allá de la alfabetización en IA, aunque el RGPD, el derecho del consumidor y las normas sectoriales siguen aplicándose.
¿Proveedor o responsable del despliegue?
La Ley asigna obligaciones según el papel:
- Proveedor: desarrolla un sistema de IA, o encarga su desarrollo, y lo comercializa con su propio nombre. Una empresa SaaS que lanza un asistente de IA es proveedora.
- Responsable del despliegue: utiliza un sistema de IA bajo su propia autoridad en un contexto profesional. Tu cliente que usa ese asistente con sus clientes es responsable del despliegue.
Muchas empresas de software son ambas cosas: proveedoras de su propio producto y responsables del despliegue de modelos de terceros dentro de él. Usar un modelo de uso general a través de una API no te convierte en proveedor del modelo, pero si construyes un sistema de IA sobre él, eres el proveedor de ese sistema.
Qué hacer ahora: una lista práctica
- Crea un inventario de IA. Enumera cada funcionalidad que usa IA, qué modelo utiliza, quién la usa y para qué decisiones.
- Clasifica cada funcionalidad. Prohibida, de alto riesgo (anexo III), de transparencia (artículo 50) o de riesgo mínimo. Documenta el razonamiento.
- Implanta la información del artículo 50. Avisa a los usuarios cuando hablan con una IA y marca el contenido multimedia generado. En atención al cliente es además una buena práctica para generar confianza, como explico en agentes de IA para soporte: dónde funcionan y dónde no.
- Forma en alfabetización en IA. Quien construye, vende u opera funcionalidades de IA necesita entender sus capacidades, límites y riesgos. Conserva un registro.
- Actualiza los contratos. Define las responsabilidades de proveedor y de responsable del despliegue con clientes y proveedores de modelos, incluida la notificación de incidentes y el intercambio de información.
- Prepárate pronto para el alto riesgo si te afecta. La documentación técnica, los registros y la supervisión humana llevan meses de trabajo bien hecho. Diciembre de 2027 está más cerca de lo que parece.
- Refuerza la seguridad y los registros. Los requisitos de robustez y ciberseguridad se solapan mucho con las buenas prácticas de seguridad de agentes: mínimo privilegio, registros de auditoría y protección frente al prompt injection, tratados en seguridad de agentes de IA.
AI inventory entry (example)
Feature: Support assistant on customer portal
Model: Third-party LLM via API
Role: Provider (our product), client is deployer
Users: End customers of our clients (EU)
Decisions: Answers questions, drafts tickets; no automated refunds
Risk category: Limited risk — Article 50 disclosure
Controls: "You're chatting with an AI assistant" banner, human handoff,
logging 180 days, monthly quality review
Owner: Product lead, support platform
Sanciones
Las multas dependen de la infracción: hasta 35 millones de euros o el 7% del volumen de negocio anual mundial por prácticas prohibidas, hasta 15 millones o el 3% por la mayoría de las demás obligaciones, y hasta 7,5 millones o el 1% por facilitar información incorrecta a las autoridades, con límites menores para las pymes (artículo 99).
Cómo encaja la Ley de IA con otras normas de la UE
La Ley de IA no sustituye al RGPD: los datos personales en prompts, registros y conjuntos de entrenamiento siguen necesitando una base jurídica, minimización y contratos de encargo de tratamiento. Los productos con elementos digitales también están sujetos al Reglamento de Ciberresiliencia, cuyas obligaciones de notificación de vulnerabilidades empezaron el 11 de septiembre de 2026 (Comisión Europea: CRA), y los servicios digitales dirigidos al consumidor pueden tener que cumplir la Ley Europea de Accesibilidad.
Guías relacionadas
La Ley de IA convive con el RGPD, que regula los datos personales de tus prompts, registros y embeddings; consulta privacidad en aplicaciones LLM.
Preguntas frecuentes
¿La Ley de IA se aplica a una empresa de fuera de la UE? Sí, si comercializas sistemas de IA en el mercado de la UE o sus resultados se usan en la UE.
¿Un chatbot de atención al cliente es de alto riesgo? Normalmente no. Suele ser de riesgo limitado con obligaciones de transparencia, salvo que tome decisiones en ámbitos del anexo III, como el acceso a servicios esenciales o al crédito.
Solo llamamos a la API de un modelo de terceros. ¿Nos afecta? Sí, como proveedor o responsable del despliegue del sistema de IA que construyes, aunque el proveedor del modelo asuma las obligaciones de los modelos de uso general.
¿El Digital Omnibus lo ha retrasado todo? No. Aplazó los plazos de alto riesgo a diciembre de 2027 y agosto de 2028, pero las prohibiciones, la alfabetización en IA, las normas de los modelos de uso general y la transparencia del artículo 50 ya se aplican.
¿Tenemos que registrar nuestro sistema de IA en algún sitio? Los proveedores de sistemas de alto riesgo del anexo III deben registrarlos en una base de datos de la UE antes de comercializarlos. Los sistemas de riesgo limitado, como los chatbots, no tienen obligación de registro, solo de transparencia.
Fuentes
- Reglamento (UE) 2024/1689 (Ley de Inteligencia Artificial), EUR-Lex.
- Comisión Europea. AI Act — regulatory framework for AI.
- Texto de la Ley de IA por artículos: artículo 5, artículo 50, artículo 99, anexo III.
- Gibson Dunn (2026). EU AI Act Omnibus agreement — postponed high-risk deadlines and other key changes.
- Comisión Europea. Cyber Resilience Act.