Puede que hayas leído que, a partir de agosto, Europa empezará a inspeccionar a las empresas por su uso de la inteligencia artificial. La idea genera inquietud, sobre todo en pymes que han empezado a usar IA hace poco. La realidad es bastante más matizada y, en buena parte, más tranquilizadora.
En este artículo te explicamos sin tecnicismos qué es el Reglamento Europeo de IA, a quién afecta, qué obligaciones trae y, sobre todo, qué entra en vigor en cada fecha. La intención no es asustar, sino que entiendas el panorama y sepas qué hacer con tiempo.
Qué es el Reglamento Europeo de IA (EU AI Act)
El Reglamento Europeo de IA, conocido como EU AI Act (Reglamento UE 2024/1689), es la primera ley integral del mundo que regula la inteligencia artificial. Entró en vigor el 1 de agosto de 2024 y, desde entonces, sus normas se van aplicando de forma escalonada, no todas de golpe.
Su lógica es sencilla: no prohíbe usar IA, sino que la ordena según el riesgo que cada uso supone para las personas. Cuanto mayor es ese riesgo, más garantías exige. Igual que ocurrió con el RGPD de protección de datos, tiene alcance extraterritorial: afecta a cualquier empresa que ponga sistemas de IA en el mercado de la Unión Europea o los utilice dentro de ella, esté donde esté su sede.
Cómo clasifica la IA: los cuatro niveles de riesgo
El reglamento divide los usos de IA en cuatro categorías. Entender en cuál encaja lo que haces en tu empresa es el primer paso para saber qué te corresponde.
- Riesgo inaceptable. Usos directamente prohibidos, como la manipulación de comportamientos, la puntuación social de ciudadanos por parte de administraciones o ciertos usos de identificación biométrica. Están prohibidos desde febrero de 2025.
- Alto riesgo. IA aplicada a ámbitos sensibles: selección de personal, concesión de crédito, educación, infraestructuras críticas, biometría o gestión migratoria. Es la categoría con obligaciones más exigentes.
- Riesgo limitado. Sistemas que solo deben cumplir obligaciones de transparencia: avisar de que el usuario está hablando con una IA o de que un contenido ha sido generado por IA.
- Riesgo mínimo. La inmensa mayoría de usos cotidianos: asistentes, automatizaciones internas, herramientas de productividad. Sin obligaciones específicas más allá del sentido común.
Aquí va el dato que más tranquiliza a una pyme: la mayoría de los usos habituales (un chatbot de atención al cliente, automatizar respuestas de email, IA para prever averías o impagos) caen en riesgo mínimo o limitado, no en alto riesgo. El bloque más duro del reglamento está pensado para casos concretos y sensibles, no para cualquiera que use IA en su día a día.
El calendario por fases: qué ya aplica y qué viene
El reglamento no se activa en un solo día. Estas son las fechas que importan:
- 2 de febrero de 2025 (ya en vigor): prohibición de los usos inaceptables y obligación de alfabetización en IA, es decir, que el personal que usa estas herramientas tenga una formación mínima para entenderlas.
- 2 de agosto de 2025 (ya en vigor): normas para los modelos de IA de propósito general (los grandes modelos tipo GPT), creación de la gobernanza europea (la Oficina de IA y las autoridades nacionales) y entrada en funcionamiento del marco de sanciones.
- Agosto de 2026: obligaciones de transparencia para el contenido generado por IA (texto, imagen, audio y vídeo deben poder identificarse como creados por una máquina).
- 2 de diciembre de 2027: obligaciones para los sistemas de alto riesgo de uso general (los del Anexo III).
- 2 de agosto de 2028: obligaciones para la IA de alto riesgo integrada en productos ya regulados, como maquinaria o dispositivos médicos.
¿Qué pasa de verdad en agosto de 2026?
Aquí está la parte que conviene aclarar. La fecha del 2 de agosto de 2026 era, en el plan original, el gran momento en que entraban en vigor las obligaciones de alto riesgo. Eso es lo que ha alimentado la idea de las "inspecciones a partir de agosto".
Sin embargo, en mayo de 2026 las instituciones europeas alcanzaron un acuerdo político (el llamado Digital Omnibus) para aplazar esas obligaciones de alto riesgo hasta el 2 de diciembre de 2027. El motivo es práctico: los estándares técnicos que las empresas necesitan para cumplir todavía no están listos, así que no tendría sentido exigir su cumplimiento. Este aplazamiento está pendiente de su adopción formal, prevista antes de agosto, pero el calendario que manejan ya las autoridades y los expertos es el nuevo.
¿Significa eso que en agosto de 2026 no pasa nada? No del todo. Hay obligaciones que sí entran en esa fecha (las de transparencia, que vemos en el siguiente apartado), y el marco de sanciones y las autoridades de supervisión ya están activos desde 2025. En resumen: agosto de 2026 no es el muro que muchos temían, pero tampoco es una fecha vacía.
La transparencia: la obligación que sí llega en agosto de 2026 (artículo 50)
Conviene detenerse aquí, porque es la parte del reglamento que más afecta al marketing, a la generación de contenidos y a la atención al cliente. A diferencia de las normas de alto riesgo, las obligaciones de transparencia del artículo 50 no se han aplazado: siguen entrando en vigor el 2 de agosto de 2026. Y se aplican aunque tu sistema no sea de alto riesgo; basta con que interactúe con personas o genere contenido.
En la práctica, supone tres deberes concretos:
- Avisar de que es una IA. Si tienes un chatbot o un asistente de voz en tu web, debe quedar claro y desde el primer momento que quien atiende es una IA, no una persona.
- Etiquetar el contenido generado por IA. Todo texto, imagen, vídeo o audio creado o manipulado con IA debe incorporar marcas o metadatos legibles por máquina que permitan identificarlo como contenido artificial.
- Identificar los deepfakes. Las imágenes o vídeos que simulen a personas reales deben etiquetarse de forma clara y permanente, incluso cuando no haya intención de engañar.
Dos matices importantes. El primero: existe un periodo transitorio hasta el 2 de diciembre de 2026 para los sistemas y contenidos que ya estuvieran en el mercado antes de agosto, y el contenido publicado antes de esa fecha no hay que etiquetarlo de forma retroactiva. El segundo: incumplir estas obligaciones puede acarrear multas de hasta 15 millones de euros o el 3 % de la facturación global, así que, aunque no sean tan complejas como las de alto riesgo, conviene tomárselas en serio. Recuerda además que, por su alcance extraterritorial, afectan también a una empresa de fuera de la UE cuyo chatbot o contenido llegue a usuarios europeos.
¿A quién afecta y qué obligaciones implica?
El reglamento distingue principalmente entre dos papeles. El proveedor es quien desarrolla o comercializa un sistema de IA. El usuario profesional (o "responsable del despliegue") es la empresa que lo utiliza en su actividad. La mayoría de las pymes son lo segundo: no fabrican IA, la usan.
Si tu empresa simplemente utiliza herramientas de IA en usos de riesgo mínimo o limitado, tus obligaciones son razonables:
- Asegurarte de que quien usa estas herramientas tiene una formación mínima sobre ellas (alfabetización en IA).
- Ser transparente: avisar cuando un cliente interactúa con una IA y etiquetar el contenido generado automáticamente.
- Mantener supervisión humana sobre las decisiones importantes; la IA propone, pero una persona valida.
- Usar los sistemas conforme a las instrucciones del proveedor.
Si en cambio desarrollas o personalizas IA para un uso de alto riesgo (por ejemplo, una herramienta que filtra candidatos en procesos de selección), entonces sí entran en juego obligaciones más serias: gestión de riesgos, calidad de los datos, documentación, registro de actividad y supervisión reforzada.
Multas, inspecciones y supervisión: qué hay de cierto
Las sanciones existen y son notables. El reglamento prevé multas de hasta 35 millones de euros o el 7 % de la facturación global anual para los usos prohibidos; hasta 15 millones o el 3 % por incumplir las normas de alto riesgo; y hasta 7,5 millones o el 1 % por dar información incorrecta a las autoridades. Para pymes y startups se aplican topes proporcionados, pensados para que la sanción no sea desproporcionada respecto a su tamaño.
Sobre las "inspecciones": no hay un inspector llamando a la puerta de cada pyme que use un chatbot. La supervisión la ejercen las autoridades nacionales y la Oficina Europea de IA, y se centra sobre todo en los usos prohibidos y en los sistemas de alto riesgo. El marco existe y es real, pero está orientado al riesgo, no a perseguir el uso cotidiano y responsable de la IA.
Qué puede hacer tu empresa ahora
El aplazamiento te da margen, y lo más sensato es usarlo para prepararte sin prisas. Unos primeros pasos prácticos:
- Haz un inventario de dónde usas IA hoy y para qué.
- Clasifica cada uso por nivel de riesgo; verás que casi todo es mínimo o limitado.
- Forma a tu equipo: que entiendan qué hacen las herramientas y dónde están sus límites.
- Añade avisos de transparencia donde corresponda y deja siempre una persona supervisando las decisiones relevantes.
- Apóyate en herramientas que dejen rastro de qué hace la IA y con qué datos, porque la trazabilidad es la base para demostrar que actúas bien.
Conclusión
El Reglamento Europeo de IA no busca frenar a las empresas que usan inteligencia artificial, sino que la utilicen de forma responsable y con garantías. Para la mayoría de las pymes, cumplir es sobre todo cuestión de transparencia, formación y supervisión humana; el aplazamiento de las obligaciones de alto riesgo a diciembre de 2027 da, además, tiempo para hacerlo bien. Cumplir resulta mucho más fácil cuando la IA no es una pieza suelta, sino que está integrada en una única plataforma que registra qué hace, sobre qué datos y bajo qué control. Ese es el enfoque de un ERP gobernado por IA como el de Kubysoft: la IA trabaja dentro de tus procesos, con tus datos gobernados y con la trazabilidad y la supervisión que la normativa pide, de modo que aplicar IA y cumplir el reglamento dejan de ser dos tareas separadas.