Ley de IA de la UE: qué exige y a quién

El Reglamento (UE) 2024/1689 — la Ley de IA de la UE — es la primera norma horizontal que regula la inteligencia artificial en todo un bloque económico. Se aplica a quien introduce un sistema de IA en el mercado de la UE o lo pone en servicio en la Unión, y alcanza a los proveedores establecidos fuera de la UE cuyos resultados se utilizan dentro de ella. Esta sección es el punto de entrada a la cobertura que Confir hace del Reglamento: qué dice, a quién obliga, cuándo empieza cada obligación y qué exige el cumplimiento.

La Ley es legislación de seguridad de los productos, no un código ético ni un marco voluntario. Las obligaciones se asocian a un sistema por lo que hace y por el contexto en el que opera, no por la tecnología que hay detrás: una herramienta de puntuación basada en reglas y una red neuronal que realizan la misma función soportan las mismas obligaciones.

Cómo se estructura el Reglamento

La Ley clasifica los sistemas de IA por riesgo; el nivel determina el conjunto de obligaciones.

Prácticas prohibidas (artículo 5). El artículo 5 prohíbe, entre otras prácticas, la manipulación subliminal, la explotación de vulnerabilidades, la puntuación social, la identificación biométrica remota en tiempo real en espacios de acceso público (excepciones limitadas para la garantía del cumplimiento del Derecho), la extracción no selectiva de imágenes faciales, el reconocimiento de emociones en el lugar de trabajo y en centros educativos (salvo por motivos médicos o de seguridad), la categorización biométrica para inferir atributos sensibles y la evaluación individual del riesgo penal basada únicamente en la elaboración de perfiles. Desde el 2 de diciembre de 2026 se suman dos prohibiciones más (artículo 5(1)(ba) y (bb)). Ningún mecanismo de consentimiento, salvaguardia o paso de revisión humana sana un sistema prohibido. La prohibición de puntuación social del artículo 5, apartado 1, letra c), no se limita a las autoridades públicas: también vincula a los actores privados.

Alto riesgo (artículo 6). Dos vías de entrada. El artículo 6, apartado 1, cubre la IA que actúa como componente de seguridad de un producto ya regulado por la legislación de armonización del anexo I. El artículo 6, apartado 2, cubre los sistemas cuya finalidad prevista entra en uno de los ocho ámbitos de casos de uso del anexo III: biometría, infraestructuras críticas, educación y formación profesional, empleo y gestión de los trabajadores, acceso a servicios esenciales públicos y privados, garantía del cumplimiento del Derecho, migración y control fronterizo, y administración de justicia y procesos democráticos. El artículo 6, apartado 3, ofrece una exención estrecha para los sistemas que no plantean un riesgo significativo de perjuicio, pero nunca se aplica a un sistema que elabore perfiles de personas físicas. El alto riesgo concentra el grueso del Reglamento: gestión de riesgos (artículo 9), gobernanza de datos (artículo 10), documentación técnica (artículo 11 y anexo IV), registro de eventos (artículo 12), transparencia hacia los responsables del despliegue (artículo 13), supervisión humana (artículo 14), precisión y ciberseguridad (artículo 15), evaluación de la conformidad (artículo 43), declaración UE de conformidad (artículo 47 y anexo V), marcado CE (artículo 48), registro (artículo 49) y vigilancia poscomercialización (artículo 72).

Riesgo limitado — transparencia (artículo 50). Los chatbots deben revelar que son IA, el contenido sintético debe marcarse y los sistemas de reconocimiento de emociones y de categorización biométrica deben informar a las personas que procesan.

Riesgo mínimo. Todo lo demás. Sin obligaciones específicas de la Ley, aunque el RGPD, la legislación sobre seguridad de los productos y las normas sectoriales siguen vigentes.

La GPAI va aparte. Los modelos de IA de uso general se rigen por un capítulo independiente — el Capítulo V, artículos 51 a 56 — y no por los cuatro niveles. Esas obligaciones recaen en el proveedor del modelo con independencia del nivel que corresponda a cualquier sistema posterior.

A quién obliga

El Reglamento asigna deberes por rol, no por tamaño de la empresa.

• Proveedor — desarrolla un sistema de IA y lo introduce en el mercado bajo su propio nombre. Soporta las obligaciones más pesadas, incluida la evaluación de la conformidad.
• Responsable del despliegue — utiliza un sistema bajo su propia autoridad en un contexto profesional. Debe seguir las instrucciones de uso, garantizar la supervisión humana y, cuando se aplique el artículo 27, realizar una evaluación de impacto relativa a los derechos fundamentales (EIDF) antes del despliegue.
• Importador — introduce en el mercado de la UE el sistema de un proveedor de un tercer país y debe verificar que la evaluación de la conformidad está completa antes de importar.
• Distribuidor — comercializa un sistema en la cadena de suministro y debe comprobar que están presentes la documentación exigida y el marcado CE.

Los roles no son fijos. En virtud del artículo 25, un responsable del despliegue, importador o distribuidor se convierte en proveedor — y hereda todo el conjunto de obligaciones del proveedor — si pone su propio nombre en un sistema de alto riesgo, lo modifica sustancialmente o cambia su finalidad prevista. Así es como muchas organizaciones adquieren obligaciones que nunca previeron.

El calendario por fases

La Ley entró en vigor en agosto de 2024 y se aplica por etapas:

• 2 de febrero de 2025 — prohibiciones del artículo 5 y obligaciones de alfabetización en materia de IA del artículo 4.
• 2 de agosto de 2025 — obligaciones para los modelos GPAI.
• 2 de agosto de 2026 — obligaciones de transparencia del artículo 50, incluido el marcado legible por máquina del contenido sintético del apartado 2.
• 2 de diciembre de 2026 — dos nuevas prohibiciones del artículo 5 (letras ba y bb) y fin de la transición de marcado para los sistemas generativos introducidos en el mercado antes del 2 de agosto de 2026.
• 2 de diciembre de 2027 — sistemas de alto riesgo autónomos enumerados en el anexo III.
• 2 de agosto de 2028 — IA de alto riesgo integrada como componente de seguridad en productos del anexo I.

Las dos fechas de alto riesgo proceden del Ómnibus Digital (Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026). El aplazamiento movió el plazo, no la carga de trabajo: solo los artículos 9 a 15 exigen a la mayoría de las organizaciones entre seis y nueve meses para documentarse adecuadamente.

Las sanciones están en el artículo 99. El incumplimiento de las prohibiciones del artículo 5 conlleva hasta 35 000 000 EUR o el 7 % del volumen de negocios anual mundial total, si esta última cifra es mayor. Otros incumplimientos de alto riesgo y de transparencia tienen techos inferiores. Son máximos, no multas fijas ni automáticas.

Por dónde empezar

Si el Reglamento te resulta nuevo, lee en este orden: qué es la Ley; si te aplica siquiera, incluido el alcance extraterritorial del artículo 2; cómo clasificar tus sistemas conforme al artículo 6 y al anexo III; qué rol ocupas en virtud de los artículos 16 y 26; y después tu calendario. Las páginas por país cubren la aplicación nacional, que varía según el Estado miembro aunque el Reglamento se aplique directamente en todos ellos; las páginas de artículos van cláusula por cláusula.

Cómo ayuda Confir

Confir convierte el Reglamento en un proceso trabajado. Un cuestionario guiado establece la finalidad prevista y el contexto de cada sistema; después, un motor determinista y basado en reglas lo clasifica frente al artículo 6 y al anexo III y delimita los controles que se derivan: documentación técnica del anexo IV, la EIDF del artículo 27 cuando proceda, la declaración UE de conformidad, la transparencia del artículo 50 y la notificación de incidentes del artículo 73. Cada decisión es trazable hasta la regla que la produjo y queda recogida en un registro de auditoría, con sello de tiempo y bloqueada frente a ediciones.