EU AI Act: el marco normativo europeo para la inteligencia artificial

El reglamento regula los sistemas de IA según su riesgo. Las prácticas de riesgo inaceptable están prohibidas por el artículo 5, entre ellas el social scoring, las técnicas deliberadamente manipuladoras, el reconocimiento de emociones en el lugar de trabajo y determinada identificación biométrica remota en tiempo real con fines policiales. Los sistemas de alto riesgo (artículo 6 en relación con los anexos I y III) – por ejemplo en infraestructuras críticas, educación, empleo o aplicación de la ley – están sujetos a amplios requisitos de gestión de riesgos, calidad de los datos, documentación técnica, supervisión humana y evaluación de la conformidad. Para determinados sistemas, como los chatbots y la IA generativa, rigen obligaciones de transparencia conforme al artículo 50, que tratamos en detalle en una página de conocimiento propia. La gran mayoría de los sistemas de IA en uso pertenece a la categoría de riesgo mínimo y no está sujeta a obligaciones específicas.

Desde el 2 de febrero de 2025 rigen las prohibiciones del artículo 5 y la obligación de alfabetización en materia de IA (artículo 4); desde el 2 de agosto de 2025, las normas para los modelos de IA de uso general (GPAI) así como las disposiciones de gobernanza y sanción. A partir del 2 de agosto de 2026 el reglamento es aplicable en lo restante, incluidas las obligaciones de transparencia del artículo 50. Las obligaciones para los sistemas de alto riesgo fueron aplazadas por el Digital Omnibus: los sistemas independientes del anexo III solo deberán cumplir los requisitos a partir del 2 de diciembre de 2027, y los sistemas integrados en productos regulados del anexo I, a partir del 2 de agosto de 2028 (originalmente el 2 de agosto de 2026 y 2027, respectivamente). Los modelos GPAI introducidos en el mercado antes del 2 de agosto de 2025 disponen, conforme al artículo 111, apartado 3, de plazo hasta el 2 de agosto de 2027.

Las modificaciones propuestas por la Comisión a finales de 2025 son ya derecho vigente: el reglamento modificativo (UE) 2026/1744 («Digital Omnibus on AI») fue adoptado el 16 de junio de 2026 por el Parlamento y el 29 de junio de 2026 por el Consejo, se publicó en el Diario Oficial el 24 de julio de 2026 y entró en vigor el 27 de julio de 2026. Aplaza los plazos de alto riesgo a fechas fijas; el mecanismo debatido originalmente, que habría vinculado la aplicabilidad a la disponibilidad de normas armonizadas, fue descartado. Los sistemas generativos introducidos en el mercado antes del 2 de agosto de 2026 disponen de un período transitorio hasta el 2 de diciembre de 2026 para el marcado legible por máquina del artículo 50, apartado 2. Se incorporó al artículo 5 una nueva prohibición, aplicable a partir del 2 de diciembre de 2026, de los sistemas de IA que generen representaciones íntimas no consentidas o material de abuso sexual infantil; el plazo para los espacios controlados de pruebas nacionales de IA se aplazó al 2 de agosto de 2027, y para las pymes y las start-ups rigen facilidades, por ejemplo en documentación y gestión de la calidad.

El reglamento distingue en particular entre proveedores (providers), que desarrollan un sistema de IA o lo introducen en el mercado bajo su propio nombre, y responsables del despliegue (deployers), que utilizan un sistema profesionalmente bajo su propia responsabilidad. Los proveedores de sistemas de alto riesgo soportan la mayor carga (artículos 16 y siguientes): gestión de riesgos, documentación técnica, sistema de gestión de la calidad, evaluación de la conformidad y marcado CE. Conforme al artículo 26, los responsables del despliegue deben, entre otras cosas, utilizar los sistemas conforme a su finalidad prevista, garantizar una supervisión humana competente, vigilar el funcionamiento y notificar incidentes; quien modifique sustancialmente un sistema de alto riesgo o lo ofrezca bajo su propio nombre puede pasar a asumir él mismo el rol de proveedor. El ámbito de aplicación es además extraterritorial (artículo 2): también quedan comprendidos los proveedores de terceros países cuando la salida de sus sistemas se utilice en la UE.

El artículo 99 prevé tres niveles de multas. Las infracciones de las prohibiciones del artículo 5 pueden sancionarse con hasta 35 millones de euros o el 7 % del volumen de negocios anual mundial, la cantidad que sea mayor. Las infracciones de la mayoría de las demás obligaciones, incluidas las obligaciones de proveedores, de responsables del despliegue y de transparencia de los artículos 16, 26 y 50, cuestan hasta 15 millones de euros o el 3 %; la comunicación de información incorrecta o engañosa a las autoridades, hasta 7,5 millones de euros o el 1 %. Para las pymes y las start-ups se aplica en cada caso el menor de los dos importes. La ejecución corresponde a las autoridades nacionales de vigilancia del mercado; para los modelos GPAI es competente la Oficina de IA (AI Office) de la Comisión, cuyas facultades de ejecución rigen plenamente a partir del 2 de agosto de 2026.

ISO/IEC 42001:2023 define un sistema de gestión certificable para la IA (AIMS) y es un marco adecuado para anclar estructuralmente la gobernanza de la IA, especialmente en combinación con un SGSI existente conforme a ISO/IEC 27001. Sin embargo, una certificación ISO 42001 no fundamenta una presunción de conformidad conforme al artículo 40 del AI Act: esta solo surge de normas europeas armonizadas cuyas referencias se hayan publicado en el Diario Oficial de la UE. Estas normas las está desarrollando todavía el CEN/CENELEC JTC 21; para la gestión de la calidad del artículo 17 surge con la EN 18286 una norma europea propia, en lugar de una adopción directa de la ISO 42001 – se encuentra en votación final, y otros documentos solo existen como borradores prEN. A julio de 2026 todavía no se ha citado en el Diario Oficial ninguna norma armonizada sobre el AI Act; en la práctica se acredita por ello un enfoque combinado: ISO/IEC 42001 para la organización y las normas en desarrollo para cada sistema de alto riesgo.