¿Estás listo para el Reglamento de IA? Un autotest de 5 preguntas

Guía3 de julio de 2026· 13 min de lectura

¿Estás listo para el Reglamento de IA? Cinco preguntas rápidas de sí/no: ¿creas o usas IA?, ¿es de anexo III?, ¿eres proveedor o responsable?, ¿algo

Probablemente no de la forma que crees, y probablemente con menos trabajo del que temes. La mayoría de las empresas no se enfrentan a nada parecido al régimen completo de alto riesgo, porque el Reglamento (UE) 2024/1689 está escalonado por riesgo: tus obligaciones crecen según lo que hace tu IA, no por el mero hecho de que toques la IA. Esta página es un localizador rápido, no la metodología completa: cinco preguntas de sí/no para situar dónde estás y luego te encamina hacia las guías más profundas.

Antes de las preguntas: qué significa realmente "estar listo"

"Estar listo" es relativo a qué obligaciones te aplican. No hay una única línea de meta: una empresa que opera un chatbot y otra que vende un motor de clasificación de currículums se rigen por estándares completamente distintos, y ambas pueden estar perfectamente "listas" con esfuerzos muy diferentes.

La trampa está en suponer que "no es de alto riesgo" significa "nada que hacer". No es así: la alfabetización en IA del artículo 4 vincula a todo proveedor y responsable del despliegue desde el 2 de febrero de 2025, sea cual sea el nivel. El suelo nunca es cero. Las cinco preguntas siguientes te ordenan en el nivel correcto y muestran qué aplica.

Pregunta 1: ¿Creas IA o solo la usas?

La división entre crear y usar se asigna a las dos funciones centrales y decide la mayor parte de lo que sigue. Un proveedor desarrolla un sistema de IA o lo introduce en el mercado con su propio nombre o marca (artículo 3(3)). Un responsable del despliegue usa un sistema de IA bajo su autoridad (artículo 3(4)).

Comprar una herramienta SaaS y encenderla normalmente te convierte en responsable del despliegue. Punto. Pero la línea no está donde la traza la mayoría: entrenar o ajustar más allá de la finalidad prevista, o cambiar la marca de un sistema ajeno por la tuya, puede empujarte al terreno de proveedor bajo el artículo 25.

Por qué importa: para un sistema de alto riesgo, las obligaciones del proveedor (artículo 16) son mucho más pesadas que las del responsable del despliegue (artículo 26): la misma herramienta, distinto conjunto de deberes. Si tu respuesta es ambigua, repasa la frontera entre proveedor y responsable del despliegue antes de seguir.

Pregunta 2: ¿Algo de lo que operas está prohibido por el artículo 5?

Esta es la pregunta de mayor riesgo y la única parte del régimen que ya es plenamente exigible. Las prohibiciones del artículo 5 están en vigor desde el 2 de febrero de 2025: un "sí" aquí significa parar, no planificar. Las prácticas que una empresa podría toparse de forma plausible:

Técnicas subliminales, o deliberadamente manipuladoras o engañosas, que distorsionen sustancialmente el comportamiento.
Explotar vulnerabilidades ligadas a la edad, la discapacidad o la situación socioeconómica.
Puntuación social de personas físicas basada en su comportamiento o sus características personales.
Cierta categorización biométrica e inferencia de emociones en entornos laborales o educativos.

Hay dos añadidos: el 2 de diciembre de 2026 llegan dos nuevas prohibiciones, la de imágenes íntimas no consentidas de una persona identificable y la de material de abuso sexual infantil. Aparte, los deberes de marcado de contenido del artículo 50 se aplican desde el 2 de agosto de 2026. La sanción es la del nivel superior: hasta 35 millones de euros o el 7 % del volumen de negocios anual mundial total, la cantidad que sea mayor (artículo 99(3)). Si has respondido que sí, esto es lo único sobre lo que actúas hoy.

Pregunta 3: ¿Algún sistema toca un área de alto riesgo del anexo III?

El anexo III enumera las áreas autónomas de alto riesgo. Las que las empresas se encuentran de verdad son el empleo (punto 4: 4(a) selección y contratación, 4(b) decisiones durante el empleo), los componentes de seguridad de infraestructuras críticas (punto 2: agua, gas, calefacción, electricidad, tráfico rodado), además de la educación, el acceso a servicios privados y públicos esenciales —incluida la solvencia crediticia— y la biometría.

Sé honesto sobre lo que no está aquí. La mayor parte de la IA de marketing, publicidad programática y logística no es de alto riesgo. Si ese es tu caso, el régimen de alto riesgo es lo que no debes perseguir: vigila en su lugar la transparencia del artículo 50 (declara los chatbots de IA, marca las ultrafalsificaciones y el contenido sintético), además del suelo del artículo 4.

Una segunda vía de alto riesgo que la gente pasa por alto: la IA integrada en productos bajo el artículo 6(1) y el anexo I. La sección B del anexo I cubre la homologación de tipo de vehículos de motor bajo el Reglamento (UE) 2018/858, además de la aviación, el ferrocarril y el ámbito marítimo: si tu IA es un componente de seguridad de un producto regulado, llegas al alto riesgo por esa puerta.

Una vía de escape: bajo el artículo 6(3), un sistema del anexo III rebate la condición de alto riesgo si realiza solo una tarea procedimental limitada y no influye sustancialmente en el resultado, algo más estrecho de lo que parece. Para el test completo, consulta la guía de clasificación de alto riesgo.

Pregunta 4: ¿Cuándo te obligan de verdad tus obligaciones?

Cada "sí" necesita una fecha, o la preparación no tiene reloj. Algunos deberes ya están vivos; los discutidos quedan más lejos, y los titulares de "retraso" son solo la mitad de la historia.

Obligación	Fecha original	Fecha aplazada (Ómnibus Digital)	Estado
Prohibiciones del artículo 5	2 de febrero de 2025	—	En vigor
Alfabetización en IA del artículo 4	2 de febrero de 2025	—	En vigor
Obligaciones de los GPAI (artículos 51–55)	2 de agosto de 2025	—	En vigor
Artículo 50, incluido el marcado de contenido	2 de agosto de 2026	2 de diciembre de 2026 solo para sistemas generativos ya introducidos en el mercado	En vigor
Nuevas prohibiciones del artículo 5, letras ba) y bb)	2 de diciembre de 2026	—	Fecha fija
Alto riesgo autónomo (anexo III, artículo 6(2))	2 de agosto de 2026	2 de diciembre de 2027	Aplazamiento en vigor (Ómnibus Digital)
Alto riesgo integrado en productos (anexo I, artículo 6(1))	2 de agosto de 2027	2 de agosto de 2028	Aplazamiento en vigor (Ómnibus Digital)

La advertencia: el Ómnibus Digital ya está adoptado —votación en el pleno del Parlamento Europeo el 16 de junio de 2026, adopción formal del Consejo el 29 de junio de 2026—, se publicó en el DOUE el 24 de julio de 2026 y está en vigor desde el 27 de julio de 2026. El alto riesgo autónomo del anexo III se aplica ahora desde el 2 de diciembre de 2027. El aplazamiento son fechas de calendario fijas: la propuesta de la Comisión de noviembre de 2025 vinculaba el inicio del alto riesgo a la disponibilidad de normas, con fechas límite de reserva, pero los colegisladores adoptaron fechas fijas. No todo está retrasado: las filas en vigor no se mueven.

Pregunta 5: Si fallas, ¿qué te juegas?

La preparación necesita un anclaje de coste. Las sanciones corren en tres niveles, y el gradiente es lo importante: el peso refleja el riesgo.

Prácticas prohibidas: hasta 35 millones de euros o el 7 % del volumen de negocios anual mundial total, la cantidad que sea mayor (artículo 99(3)).
Alto riesgo y la mayoría de incumplimientos de obligaciones: hasta 15 millones de euros o el 3 % del volumen de negocios anual mundial total, la cantidad que sea mayor (artículo 99(4)).
Información incorrecta o engañosa a las autoridades: hasta 7,5 millones de euros o el 1 % del volumen de negocios anual mundial total, la cantidad que sea mayor (artículo 99(5)).

Si eres una pyme o una empresa emergente, el artículo 99(6) te limita a la menor de la suma fija o el porcentaje, no a la cifra mayor que asume la mayoría de los lectores. Usa los niveles como palanca de priorización: corrige primero la exposición del artículo 5 y luego las brechas de alto riesgo. El detalle de la remediación vive en las páginas de preparación y de análisis de brechas.

Ejemplo práctico: situar a una empresa mediana en cinco respuestas

Meridian Talent es una empresa de software de selección de personal de Berlín con 180 personas.

P1 — ¿crear o usar? Meridian crea y vende una herramienta de clasificación de currículums con su propio nombre. Eso la convierte en proveedor (artículo 3(3)), no en mero responsable del despliegue.

P2 — ¿algo prohibido? No aplica ninguna práctica del artículo 5. La herramienta clasifica; no manipula, no puntúa socialmente ni infiere emociones. Despejado.

P3 — ¿anexo III? Sí. La clasificación automatizada de candidatos es anexo III, punto 4(a), empleo, así que la herramienta es de alto riesgo. La exención de tarea limitada del artículo 6(3) no aplica, porque la clasificación influye sustancialmente en quién resulta seleccionado.

P4 y P5 — ¿cuándo y qué se juega? Meridian planifica contra el 2 de diciembre de 2027, la fecha adoptada por el aplazamiento del Ómnibus Digital. Se enfrenta al nivel de 15 millones de euros o el 3 % (artículo 99(4)), con el alivio del límite inferior del artículo 99(6) por ser pyme. Sus clientes que usan la herramienta son responsables del despliegue bajo el artículo 26, así que su documentación también debe sostener las obligaciones de aquellos, lo que la sitúa de lleno en el flujo de trabajo de evaluación de preparación.

A dónde ir después según tus respuestas

Encamínate según tus respuestas:

Sí en el artículo 5 — detén la práctica y consigue revisión jurídica inmediata. Esto no es un proyecto que se programa.
Sí en el anexo III o el anexo I — ejecuta una clasificación completa y luego una evaluación de preparación frente al calendario.
No en ambos — define tus deberes de transparencia del artículo 50 y de alfabetización del artículo 4, y vuelve a revisarlo en cuanto un sistema cambie.

Este autotest es la puerta de entrada. Las páginas de evaluación de preparación, análisis de brechas y por dónde empezar son las habitaciones detrás de ella, cada una con la profundidad que esta página deja deliberadamente fuera.

Cómo ayuda Confir

Una vez que sabes a grandes rasgos dónde estás, el siguiente trabajo es precisarlo para cada sistema que operas. Confir (confir.eu) asigna cada sistema a su nivel, su función y su conjunto de obligaciones, de modo que la autolocalización se convierte en un registro documentado en lugar de una conjetura.

El motor es determinista y basado en reglas: sin inferencia de modelos, sin alucinaciones. Codifica las reglas explícitas del Reglamento, de modo que las mismas entradas producen la misma clasificación cada vez, y la regla que se activó es legible para una persona y defendible en una auditoría. Recorre tus sistemas a través de los filtros del artículo 5 y el artículo 6, deriva tu función mediante la lógica del artículo 25 y señala qué obligaciones desencadena cada uno. La cobertura de proveedor de GPAI (artículos 51–55) es parcial y está en la hoja de ruta.

Preguntas frecuentes

¿Cómo sé si soy proveedor o responsable del despliegue bajo el Reglamento de IA?

Depende de si creas el sistema o solo lo usas. Un proveedor desarrolla o introduce un sistema de IA en el mercado con su propio nombre o marca (artículo 3(3)); un responsable del despliegue usa uno bajo su autoridad (artículo 3(4)). Comprar y encender una herramienta SaaS normalmente te convierte en responsable del despliegue, pero bajo el artículo 25 te conviertes en proveedor si cambias la marca de un sistema de alto riesgo, lo modificas sustancialmente o cambias su finalidad prevista. Importa porque los deberes del proveedor (artículo 16) son mucho más pesados que los del responsable del despliegue (artículo 26).

Mi empresa solo usa IA para marketing, ¿estoy dentro del ámbito?

La mayor parte de la IA de marketing y publicidad programática no es de alto riesgo, así que evitas el régimen del anexo III, pero sigues dentro del ámbito de deberes más ligeros. La transparencia del artículo 50 aplica si operas un chatbot o generas ultrafalsificaciones o contenido sintético, y la alfabetización en IA del artículo 4 vincula a proveedores y responsables del despliegue desde el 2 de febrero de 2025. También debes evitar las prácticas prohibidas del artículo 5, como las técnicas subliminales o manipuladoras y la explotación de vulnerabilidades. Así que "no es de alto riesgo" significa obligaciones más ligeras, no ninguna.

¿Está el Reglamento de IA realmente en vigor o está todo retrasado?

Hay partes plenamente vivas. Las prohibiciones del artículo 5 y los deberes de alfabetización en IA del artículo 4 se aplican desde el 2 de febrero de 2025, y las obligaciones de los GPAI (artículos 51–55) desde el 2 de agosto de 2025. Los plazos de alto riesgo ya están resueltos: los sistemas autónomos del anexo III se aplican desde el 2 de diciembre de 2027, bajo el aplazamiento del Ómnibus Digital, ya adoptado —votación del Parlamento el 16 de junio de 2026, adopción del Consejo el 29 de junio de 2026—, publicado en el DOUE el 24 de julio de 2026 y en vigor desde el 27 de julio de 2026.

¿Qué cuesta si me equivoco con el Reglamento de IA?

Las sanciones están escalonadas por gravedad. Las prácticas prohibidas (artículo 5) llevan el nivel superior: hasta 35 millones de euros o el 7 % del volumen de negocios anual mundial (artículo 99(3)). El alto riesgo y la mayoría de los demás incumplimientos de obligaciones se sitúan en 15 millones de euros o el 3 % (artículo 99(4)). La información incorrecta o engañosa a las autoridades es de 7,5 millones de euros o el 1 % (artículo 99(5)). Para las pymes y las empresas emergentes, el artículo 99(6) limita la multa a la menor de la suma fija o el porcentaje, no a la cifra mayor que asume la mayoría de los lectores.

¿En qué se diferencia este autotest de una evaluación de preparación completa?

Esta página es un localizador rápido: cinco preguntas de sí/no que te dicen a grandes rasgos dónde estás —proveedor o responsable del despliegue, alto riesgo o no, algo prohibido, cuándo te obligan tus deberes—. Una evaluación de preparación es el método completo detrás de ella: construir un registro de sistemas de IA, clasificar cada sistema, comprobar las brechas de los requisitos de alto riesgo control por control y puntuar la remediación frente al calendario. Usa esta página para encontrar tu punto de partida y luego sigue las guías de evaluación de preparación y de análisis de brechas para la profundidad.

¿Qué es lo más urgente que hay que comprobar primero?

Si algo de lo que operas está prohibido bajo el artículo 5. Es la única parte del régimen de alto riesgo ya plenamente exigible (desde el 2 de febrero de 2025) y lleva la multa más pesada: hasta 35 millones de euros o el 7 % del volumen de negocios mundial (artículo 99(3)). Un "sí" aquí significa detener la práctica, no programar un proyecto. Después, filtra las áreas del anexo III como el empleo (punto 4) y las infraestructuras críticas (punto 2), que impulsan el grueso del conjunto de obligaciones.

Guías relacionadas

Gestiona el cumplimiento de la Ley de IA en un solo lugar

Confir automatiza la clasificación de riesgos, la documentación técnica y los registros de auditoría para tu empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.

Prueba gratis 14 días →