La Ley de IA de la UE

El Reglamento (UE) 2024/1689 — la Ley de IA de la UE — es la primera norma horizontal que regula la inteligencia artificial en todo un bloque económico. Se aplica a quien introduce un sistema de IA en el mercado de la UE o lo pone en servicio en la Unión, y alcanza a los proveedores establecidos fuera de la UE cuyos resultados se utilizan dentro de ella. Esta sección es el punto de entrada a la cobertura que Confir hace del Reglamento: qué dice, a quién obliga, cuándo empieza cada obligación y qué exige el cumplimiento.

La Ley es legislación de seguridad de los productos, no un código ético ni un marco voluntario. Las obligaciones se asocian a un sistema por lo que hace y por el contexto en el que opera, no por la tecnología que hay detrás: una herramienta de puntuación basada en reglas y una red neuronal que realizan la misma función soportan las mismas obligaciones.

Cómo se estructura el Reglamento

La Ley clasifica los sistemas de IA por riesgo; el nivel determina la pila de obligaciones.

Prácticas prohibidas (artículo 5). Ocho prácticas están prohibidas de plano: la manipulación subliminal, la explotación de vulnerabilidades, la puntuación social, la identificación biométrica remota en tiempo real en espacios de acceso público (excepciones limitadas para la garantía del cumplimiento del Derecho), la identificación biométrica remota a posteriori, el reconocimiento de emociones en el lugar de trabajo y en centros educativos, la categorización biométrica para inferir atributos sensibles y la evaluación individual del riesgo penal basada únicamente en la elaboración de perfiles. Ningún mecanismo de consentimiento, salvaguardia o paso de revisión humana sana un sistema prohibido. La prohibición de puntuación social del artículo 5, apartado 1, letra c), no se limita a las autoridades públicas: también vincula a los actores privados.

Alto riesgo (artículo 6). Dos vías de entrada. El artículo 6, apartado 1, cubre la IA que actúa como componente de seguridad de un producto ya regulado por la legislación de armonización del Anexo I. El artículo 6, apartado 2, cubre los sistemas cuya finalidad prevista entra en uno de los ocho ámbitos de casos de uso del Anexo III: biometría, infraestructuras críticas, educación y formación profesional, empleo y gestión de los trabajadores, acceso a servicios esenciales públicos y privados, garantía del cumplimiento del Derecho, migración y control fronterizo, y administración de justicia y procesos democráticos. El artículo 6, apartado 3, ofrece una exención estrecha para los sistemas que no plantean un riesgo significativo de perjuicio, pero nunca se aplica a un sistema que elabore perfiles de personas físicas. El alto riesgo concentra el grueso del Reglamento: gestión de riesgos (artículo 9), gobernanza de datos (artículo 10), documentación técnica (artículo 11 y Anexo IV), registro de eventos (artículo 12), transparencia hacia los responsables del despliegue (artículo 13), supervisión humana (artículo 14), exactitud y ciberseguridad (artículo 15), evaluación de la conformidad (artículo 43), declaración UE de conformidad (artículo 47 y Anexo V), marcado CE (artículo 48), registro (artículo 49) y vigilancia poscomercialización (artículo 72).

Riesgo limitado — transparencia (artículo 50). Los chatbots deben revelar que son IA, el contenido sintético debe marcarse y los sistemas de reconocimiento de emociones y de categorización biométrica deben informar a las personas que procesan.

Riesgo mínimo. Todo lo demás. Sin obligaciones específicas de la Ley, aunque el RGPD, la legislación sobre seguridad de los productos y las normas sectoriales siguen vigentes.

La GPAI va aparte. Los modelos de IA de uso general se rigen por un capítulo independiente — el Capítulo V, artículos 51 a 56 — y no por los cuatro niveles. Esas obligaciones recaen en el proveedor del modelo con independencia del nivel que corresponda a cualquier sistema posterior.

A quién obliga

El Reglamento asigna deberes por rol, no por tamaño de la empresa.

• Proveedor — desarrolla un sistema de IA y lo introduce en el mercado bajo su propio nombre. Soporta las obligaciones más pesadas, incluida la evaluación de la conformidad.
• Responsable del despliegue — utiliza un sistema bajo su propia autoridad en un contexto profesional. Debe seguir las instrucciones de uso, garantizar la supervisión humana y, cuando se aplique el artículo 27, realizar una evaluación de impacto relativa a los derechos fundamentales (EIDF) antes del despliegue.
• Importador — introduce en el mercado de la UE el sistema de un proveedor de un tercer país y debe verificar que la evaluación de la conformidad está completa antes de importar.
• Distribuidor — comercializa un sistema en la cadena de suministro y debe comprobar que están presentes la documentación exigida y el marcado CE.

Los roles no son fijos. En virtud del artículo 25, un responsable del despliegue, importador o distribuidor se convierte en proveedor — y hereda toda la pila del proveedor — si pone su propio nombre en un sistema de alto riesgo, lo modifica sustancialmente o cambia su finalidad prevista. Así es como muchas organizaciones adquieren obligaciones que nunca previeron.

El calendario por fases

La Ley entró en vigor en agosto de 2024 y se aplica por etapas:

• 2 de febrero de 2025 — prohibiciones del artículo 5 y obligaciones de alfabetización en materia de IA del artículo 4.
• 2 de agosto de 2025 — obligaciones para los modelos GPAI.
• 2 de agosto de 2026 — obligaciones generales de transparencia del artículo 50.
• 2 de diciembre de 2026 — marcado legible por máquina del contenido sintético del artículo 50, apartado 2.
• 2 de diciembre de 2027 — sistemas de alto riesgo autónomos enumerados en el Anexo III.
• 2 de agosto de 2028 — IA de alto riesgo integrada como componente de seguridad en productos del Anexo I.

Las dos fechas de alto riesgo proceden del Ómnibus Digital, adoptado en junio de 2026 (Parlamento Europeo el 16 de junio, Consejo el 29 de junio); entra en vigor con su publicación en el Diario Oficial. El aplazamiento movió el plazo, no la carga de trabajo: solo los artículos 9 a 15 exigen a la mayoría de las organizaciones entre seis y nueve meses para documentarse adecuadamente.

Las sanciones están en el artículo 99. El incumplimiento de las prohibiciones del artículo 5 conlleva hasta 35 000 000 EUR o el 7 % del volumen de negocios anual mundial total, si esta última cifra es mayor. Otros incumplimientos de alto riesgo y de transparencia tienen techos inferiores. Son máximos, no multas fijas ni automáticas.

Por dónde empezar

Si el Reglamento le resulta nuevo, lea en este orden: qué es la Ley; si le aplica siquiera, incluido el alcance extraterritorial del artículo 2; cómo clasificar sus sistemas conforme al artículo 6 y al Anexo III; qué rol ocupa en virtud de los artículos 16 y 26; y después su calendario. Las páginas por país cubren la aplicación nacional, que varía según el Estado miembro aunque el Reglamento se aplique directamente en todos ellos; las páginas de artículos van cláusula por cláusula.

Cómo ayuda Confir

Confir convierte el Reglamento en un proceso trabajado. Un cuestionario guiado establece la finalidad prevista y el contexto de cada sistema; después, un motor determinista y basado en reglas lo clasifica frente al artículo 6 y al Anexo III y delimita los controles que se derivan: documentación técnica del Anexo IV, la EIDF del artículo 27 cuando proceda, la declaración UE de conformidad, la transparencia del artículo 50 y la notificación de incidentes del artículo 73. Cada decisión es trazable hasta la regla que la produjo y queda recogida en un registro de auditoría inmutable en virtud del artículo 12.