IA segura y confiable
Busca crear un marco común en la UE para que los sistemas de IA se desarrollen y utilicen respetando seguridad, salud y derechos fundamentales.
Reglamento Europeo de Inteligencia Artificial
AI Act: lo importante, explicado para poder usarlo.
Una lección práctica en castellano para entender el Reglamento (UE) 2024/1689: qué regula, cómo clasifica el riesgo, qué obligaciones introduce, qué fechas hay que vigilar y qué debería empezar a revisar una organización.
Importante. Esta página es material divulgativo y docente. Resume el Reglamento para facilitar su comprensión, pero no sustituye la lectura de la norma ni el asesoramiento jurídico especializado cuando sea necesario.
01
La idea esencial: regular según el riesgo
El AI Act no trata todas las aplicaciones de IA igual. La intensidad de las obligaciones aumenta con el riesgo que el sistema puede generar.
No se regula “la IA” en abstracto
Lo relevante es el uso concreto, el rol de cada actor y el nivel de riesgo asociado al sistema o modelo.
¿Qué papel tengo?
No es lo mismo ser proveedor, importador, distribuidor o responsable del despliegue. La obligación depende también del papel que desempeña la organización.
02
Los cuatro grandes niveles de riesgo
Una forma útil de orientarse antes de entrar en artículos y anexos.
🚫 Prácticas prohibidas
Determinados usos quedan prohibidos: entre ellos ciertas técnicas manipuladoras o engañosas perjudiciales, explotación de vulnerabilidades, determinados sistemas de puntuación social y otros supuestos definidos por el artículo 5.
⚠️ Requisitos reforzados
Usos en ámbitos sensibles pueden quedar sujetos a gestión de riesgos, calidad de datos, documentación, registros, supervisión humana, precisión, robustez y otras obligaciones específicas.
👁️ Hay que informar
Determinados sistemas deben informar de que el usuario interactúa con IA o que cierto contenido ha sido generado o manipulado artificialmente, según los casos previstos en el artículo 50.
✅ Uso ordinario
Muchos sistemas de IA no están sometidos a requisitos específicos de alto riesgo, aunque siguen siendo relevantes otras normas: protección de datos, propiedad intelectual, consumo, confidencialidad o regulación sectorial.
La herramienta no determina por sí sola el riesgo
Utilizar una IA generativa para resumir un documento interno no es equivalente a utilizar un sistema para tomar o apoyar decisiones que afecten al acceso de una persona a empleo, educación, servicios esenciales u otros ámbitos sensibles.
Hay que inventariar usos, no solo aplicaciones
Una misma herramienta puede utilizarse en procesos muy diferentes. El inventario útil debe identificar para qué se usa, con qué datos, quién decide y qué efecto tiene el resultado.
03
Obligaciones que conviene tener ya en el radar
Especialmente relevantes para empresas, universidades y organizaciones que utilizan IA en procesos reales.
Alfabetización en IA
Proveedores y responsables del despliegue deben adoptar medidas para procurar un nivel suficiente de alfabetización en IA de las personas que operan o utilizan los sistemas en su nombre, teniendo en cuenta conocimientos, experiencia, formación y contexto de uso.
Transparencia
Hay obligaciones específicas para determinados sistemas, como informar de la interacción con una IA o identificar determinados contenidos generados o manipulados artificialmente. Estas reglas son aplicables desde el 2 de agosto de 2026.
Privacidad y confidencialidad
El AI Act convive con el RGPD y otras normas. Introducir información en una herramienta de IA exige revisar datos personales, secretos empresariales, propiedad intelectual y políticas internas.
Supervisión humana
En contextos de riesgo no basta con “la IA lo ha dicho”. Debe quedar claro cuándo interviene una persona, qué revisa y cómo puede corregir o detener el sistema.
Documentar
Cuanto mayor sea el riesgo, más importante es poder acreditar finalidad, controles, datos utilizados, validaciones, responsabilidades, incidencias y decisiones.
04
IA de propósito general: ChatGPT, modelos fundacionales y similares
El Reglamento incorpora un régimen específico para los modelos de IA de propósito general (GPAI).
Obligaciones del proveedor del modelo
- Documentación técnica del modelo.
- Información para proveedores que integren el modelo en sistemas posteriores.
- Política de cumplimiento de derechos de autor.
- Resumen suficientemente detallado del contenido utilizado para entrenamiento.
- Obligaciones adicionales cuando exista riesgo sistémico.
¿Y la empresa que simplemente lo utiliza?
No asume automáticamente las mismas obligaciones que el fabricante del modelo. Pero sí debe revisar cómo lo despliega, qué proceso soporta, qué datos utiliza, qué decisiones se apoyan en la salida y si ese uso entra en categorías sujetas a requisitos específicos.
La pregunta correcta no es solo “¿uso ChatGPT?”, sino “¿para qué lo uso y qué consecuencias tiene ese uso?”.
05
Calendario: qué está ya en vigor y qué viene después
El Reglamento entró en vigor en 2024, pero su aplicación se ha escalonado.
1 ago 2024
Entrada en vigor.
Comienza el calendario de aplicación progresiva del Reglamento.
2 feb 2025
Prohibiciones + alfabetización IA.APLICABLE
Empiezan a aplicarse las prácticas prohibidas, determinadas definiciones y la obligación de alfabetización en materia de IA.
2 ago 2025
Gobernanza + IA de propósito general.APLICABLE
Entran en aplicación, entre otras, reglas de gobernanza y obligaciones para proveedores de modelos GPAI.
2 ago 2026
Aplicación general de una gran parte del Reglamento.YA APLICABLE
También se aplican las obligaciones de transparencia del artículo 50 y las facultades de ejecución de la Comisión respecto de las obligaciones de GPAI.
2 ago 2027
Nuevos hitos para determinados sistemas de alto riesgo y GPAI anteriores.PRÓXIMO HITO
Los proveedores de modelos GPAI introducidos en el mercado antes del 2 de agosto de 2025 deben cumplir las obligaciones correspondientes a más tardar en esta fecha. Determinadas reglas de alto riesgo tienen también aplicación diferida.
2 ago 2028
IA integrada en determinados productos regulados.MÁS ADELANTE
La Comisión señala este hito para determinadas reglas aplicables a sistemas de IA integrados en productos físicos regulados.
06
¿Qué debería hacer una organización?
Una traducción del Reglamento a tareas de gestión.
1
Crear un inventario de usos de IA
Herramienta, proveedor, área, finalidad, usuarios, datos tratados y proceso en el que interviene.
2
Clasificar el riesgo
Preguntar si afecta a personas, derechos, empleo, educación, acceso a servicios, evaluación, seguridad o decisiones relevantes.
3
Definir qué datos pueden introducirse
Especial atención a datos personales, información confidencial, documentación de clientes, propiedad intelectual y secretos empresariales.
4
Asignar responsabilidades
Quién puede utilizar cada sistema, quién valida los resultados, quién autoriza usos sensibles y quién gestiona incidencias.
5
Formar al personal
No basta con enseñar prompts. La alfabetización debe incluir capacidades, límites, riesgos, verificación, datos, sesgos, seguridad y contexto de uso.
6
Establecer supervisión humana
Definir cuándo una salida de IA debe revisarse y cuándo nunca debe convertirse automáticamente en una decisión.
7
Revisar transparencia
Comprobar si hay obligación de informar al usuario de que interactúa con IA o de identificar contenido artificial.
8
Guardar evidencias
Políticas, formación, evaluaciones, autorizaciones, incidencias, proveedores y controles aplicados.
Regla práctica para dirección
No empezar por “qué IA compramos”, sino por “qué usos tenemos”. El mapa de usos permite después analizar riesgo, proveedor, datos, transparencia, supervisión y documentación de una manera mucho más útil.
07
Sanciones: por qué no es solo una recomendación
El Reglamento establece un régimen de multas administrativas con distintos máximos según la infracción.
| Supuesto | Máximo previsto en el Reglamento | Lectura práctica |
|---|---|---|
| Incumplimiento de prácticas de IA prohibidas | Hasta 35 M€ o, para empresas, hasta el 7 % del volumen de negocios mundial anual anterior, si esta cifra es superior. | Es el nivel sancionador más severo. |
| Otros incumplimientos de obligaciones específicas de operadores y organismos notificados | Hasta 15 M€ o hasta el 3 % del volumen de negocios mundial anual anterior, según proceda. | Refuerza la necesidad de gobernanza, documentación y controles. |
| Información incorrecta, incompleta o engañosa a determinadas autoridades u organismos | El Reglamento contempla también un escalón sancionador específico. | Documentar bien no es solo guardar papeles: la información debe ser fiable. |
Las sanciones concretas dependen del supuesto, del tipo de operador y de los criterios establecidos en el propio Reglamento. Conviene consultar siempre el texto vigente.
08
Preguntas rápidas que merece la pena hacerse
Una pequeña autoevaluación antes de utilizar IA en un proceso profesional.
¿Qué decisión afecta?
¿La IA solo ayuda a redactar o está influyendo en una decisión sobre una persona, cliente, empleado, alumno o proveedor?
¿Qué datos recibe?
¿Estoy introduciendo información personal, confidencial, contractual, estratégica o protegida por propiedad intelectual?
¿Quién verifica?
¿Existe una persona identificada que comprueba la salida antes de utilizarla profesionalmente?
¿El usuario lo sabe?
¿Hay algún supuesto en el que deba informarse de que está interactuando con IA o de que el contenido es artificial?
¿Podría explicarlo?
Si mañana me preguntan por este uso, ¿puedo describir finalidad, datos, proveedor, controles y responsabilidad?
¿Está formado el equipo?
¿Las personas que usan la herramienta conocen suficientemente sus capacidades, limitaciones y riesgos?
09
Fuentes oficiales para seguir actualizando esta lección
Conviene priorizar fuentes primarias de la Unión Europea.
📄 Descargar el Reglamento (UE) 2024/1689 · PDF oficial en castellanoEUR-Lex · texto publicado en el Diario Oficial de la Unión Europea.
⚖️ AI Act · texto oficial navegableEUR-Lex · permite consultar el acto y acceder a las versiones disponibles.
🧭 Navegar por la Ley de IAComisión Europea · preguntas frecuentes, aplicación y calendario.
🧠 Obligaciones para IA de propósito generalComisión Europea · documentación, copyright, transparencia y riesgo sistémico.
👁️ Directrices sobre transparencia · artículo 50Comisión Europea · directrices publicadas en julio de 2026.
Cómo mantener esta miniweb viva
Cuando aparezcan nuevas directrices, códigos de buenas prácticas, decisiones de la Comisión o cambios relevantes, basta con actualizar tres zonas: calendario, obligaciones y fuentes oficiales. Así la página puede evolucionar sin perder su estructura didáctica.