La Ley de IA de la UE se aplica por etapas desde el 2 de febrero de 2025, y sus reglas para los sistemas de alto riesgo esperan ahora hasta el 2 de diciembre de 2027 y el 2 de agosto de 2028

La mayor parte de la Ley de IA de la UE ya está en vigor. Las prohibiciones de ocho tipos de uso de la IA se aplican desde el 2 de febrero de 2025, las reglas para los modelos de IA de uso general desde el 2 de agosto de 2025, y la fecha general de aplicación, el 2 de agosto de 2026, ya ha pasado, con lo que empezaron los deberes de transparencia y la supervisión nacional y europea de las reglas ya vigentes. Las reglas para los sistemas de alto riesgo no han comenzado. La Comisión Europea dice que se aplican ahora desde el 2 de diciembre de 2027 para los usos enumerados en el anexo III y desde el 2 de agosto de 2028 para la IA integrada en productos regulados.

Este es un resumen en lenguaje claro del Reglamento (UE) 2024/1689, no asesoramiento jurídico. Los números de artículo y las fechas proceden del Servicio de Ayuda de la Ley de IA (AI Act Service Desk) de la Comisión, cuyo texto es la versión consolidada a 27 de julio de 2026, y de páginas de la Comisión actualizadas entre el 28 de abril y el 7 de octubre de 2026.

Las fechas, en el orden en que llegan

El Reglamento se firmó el 13 de junio de 2024 y se publicó en el Diario Oficial el 12 de julio de 2024, según la página Legislative Train del Parlamento Europeo. El artículo 113 fija la entrada en vigor el vigésimo día tras la publicación, y la página de la Comisión sobre la Ley de IA da la fecha del 1 de agosto de 2024. El calendario del Servicio de Ayuda enumera después qué se aplica y cuándo:

• 2 de febrero de 2025: las definiciones, la alfabetización en IA y las prácticas prohibidas.
• 2 de agosto de 2025: las obligaciones de los proveedores de modelos de IA de uso general. Para esa fecha, los Estados miembros también debían designar autoridades nacionales y adoptar leyes sobre sanciones.
• 2 de agosto de 2026: la mayoría de las reglas restantes, incluidos los deberes de transparencia del artículo 50. La supervisión empieza a nivel nacional y europeo para los modelos de uso general, las prohibiciones, las reglas de transparencia y la alfabetización en IA.
• 2 de diciembre de 2026: una nueva prohibición de la IA que genera deepfakes sexuales sin consentimiento y material de abuso sexual infantil, y un plazo transitorio para algunos sistemas de contenido sintético que ya estaban en el mercado antes del 2 de agosto de 2026.
• 2 de agosto de 2027: cada Estado miembro debería tener en funcionamiento al menos un banco de pruebas regulatorio de IA (un espacio de pruebas supervisado). El artículo 111, apartado 3, da además hasta esta fecha para cumplir a los modelos de uso general comercializados antes del 2 de agosto de 2025.
• 2 de diciembre de 2027: las reglas de alto riesgo para los usos del anexo III.
• 2 de agosto de 2028: las reglas de alto riesgo para la IA en productos cubiertos por el anexo I, como ascensores, juguetes y maquinaria.

Qué se movió y dónde está la cuestión el 15 de octubre de 2026

El texto original fijaba el 2 de agosto de 2026 para los sistemas del anexo III y el 2 de agosto de 2027 para los del anexo I, según informó el despacho Gibson Dunn el 27 de mayo de 2026. La Comisión propuso el Ómnibus Digital sobre IA el 19 de noviembre de 2025. Su documento de preguntas frecuentes “Navigating the AI Act” dice que la propuesta vinculaba el inicio de las reglas de alto riesgo a la disponibilidad de medidas de apoyo como las normas técnicas.

Una noticia de la Comisión fechada el 27 de julio de 2026 dice que el Ómnibus de IA entró en vigor ese día y da las dos nuevas fechas. La misma nota enumera otros cambios: las obligaciones simplificadas que se aplicaban a las pequeñas empresas ahora cubren también a las empresas pequeñas de capitalización media, un nuevo banco de pruebas regulatorio a escala de la UE, un requisito de alfabetización en IA más sencillo, el permiso de tratar categorías especiales de datos personales para detectar y corregir sesgos, y una supervisión más amplia de la Oficina de IA sobre algunos sistemas construidos sobre modelos de uso general y sobre la IA integrada en plataformas en línea y motores de búsqueda de muy gran tamaño.

Las páginas más recientes consultadas para este artículo son la página de la Comisión sobre la Ley de IA (actualizada el 3 de agosto de 2026) y su documento de preguntas frecuentes “Navigating the AI Act” (7 de agosto de 2026). Ambas recogen las fechas del 2 de diciembre de 2027 y el 2 de agosto de 2028 y describen el Ómnibus como vigente. Ninguna de las páginas de la Comisión consultadas aquí, la última actualizada el 7 de octubre de 2026, menciona un nuevo aplazamiento.

Cuatro niveles de riesgo

La página de la Comisión sobre la Ley de IA clasifica los sistemas de IA en cuatro niveles. Los usos de riesgo inaceptable están prohibidos. Los sistemas de alto riesgo afrontan obligaciones estrictas antes de llegar al mercado. Los sistemas de riesgo de transparencia, como los chatbots y los generadores de deepfakes, deben revelar que interviene una IA. Todo lo demás es de riesgo mínimo y no recibe reglas adicionales; la página cita como ejemplos los videojuegos y los filtros de correo basura. Los modelos de IA de uso general tienen su propio conjunto de deberes junto a estos niveles.

La lista de prohibiciones

El artículo 5, apartado 1, prohíbe, en las letras a) a h), lo siguiente:

• técnicas ocultas o engañosas que distorsionan de forma sustancial el comportamiento y causan un daño significativo
• aprovechar la edad, la discapacidad o la situación social o económica de una persona con el mismo efecto
• la puntuación social que conduce a un trato injusto o desproporcionado
• juzgar el riesgo de que una persona cometa un delito solo a partir de la elaboración de perfiles o de rasgos de personalidad
• crear bases de datos de reconocimiento facial mediante la extracción de imágenes de internet o de cámaras de videovigilancia sin un objetivo específico
• inferir emociones en el trabajo o en la escuela, salvo por razones médicas o de seguridad
• usar datos biométricos para inferir la raza, las opiniones políticas, la afiliación sindical, las creencias religiosas, la vida sexual o la orientación sexual
• la identificación biométrica en tiempo real en espacios públicos con fines policiales, salvo en casos limitados como la búsqueda de víctimas de secuestro, la prevención de amenazas graves e inminentes o la localización de sospechosos de delitos graves

El Ómnibus añadió dos puntos nuevos, (ba) y (bb), sobre los deepfakes íntimos o sexualmente explícitos y el material de abuso sexual infantil. La página de la Comisión cuenta la nueva prohibición como la novena. Según el artículo 113, se aplica desde el 2 de diciembre de 2026. El artículo 99, apartado 3, fija la multa máxima por una práctica prohibida en 35 millones de euros o el 7% del volumen de negocios anual mundial, la cifra que sea mayor.

Sistemas de alto riesgo

El artículo 6 da dos vías para obtener la etiqueta de alto riesgo. Una es un sistema de IA que es un componente de seguridad de un producto, o es en sí mismo un producto, cubierto por las leyes de armonización de la UE enumeradas en el anexo I, cuando ese producto necesita una evaluación de conformidad por un tercero. La otra es cualquier sistema enumerado en el anexo III.

El anexo III nombra ocho ámbitos: biometría, infraestructuras críticas, educación y formación profesional, empleo y gestión de los trabajadores, acceso a servicios esenciales y prestaciones (incluida la puntuación crediticia), aplicación de la ley, migración, asilo y control de fronteras, y administración de justicia y procesos democráticos.

El artículo 6, apartado 3, permite a un proveedor concluir que un sistema del anexo III no es de alto riesgo si solo realiza una tarea procedimental limitada, mejora el resultado de una actividad humana ya completada, detecta patrones sin sustituir la valoración humana o realiza una tarea preparatoria. Un sistema que elabora perfiles de personas es siempre de alto riesgo. El proveedor que opte por la vía de la exención debe documentar la evaluación y registrarla.

Según el artículo 16, el proveedor de un sistema de alto riesgo debe mantener un sistema de gestión de la calidad, conservar la documentación y los registros generados automáticamente, someter el sistema a una evaluación de conformidad antes de venderlo o usarlo, redactar una declaración UE de conformidad, colocar el marcado CE, registrarlo y adoptar medidas correctoras cuando haga falta. Ninguno de esos deberes obliga hasta las fechas indicadas más arriba.

Deberes de transparencia

El artículo 50 se aplica desde el 2 de agosto de 2026, según la Comisión. Tiene cuatro deberes principales:

• Los proveedores deben diseñar los chatbots y sistemas similares para que las personas sepan que hablan con una IA, salvo que sea evidente.
• Los proveedores de sistemas que generan audio, imágenes, vídeo o texto sintéticos deben marcar el resultado en un formato legible por máquina para que pueda detectarse como generado por IA.
• Quienes despliegan sistemas de reconocimiento de emociones o de categorización biométrica deben informar a las personas expuestas a ellos.
• Quienes despliegan sistemas deben revelar los deepfakes y los textos generados por IA y publicados para informar al público sobre asuntos de interés público, salvo que el texto haya pasado por una revisión editorial humana y alguien tenga la responsabilidad editorial.

Las obras artísticas, satíricas y de ficción reciben una forma más ligera de aviso. El calendario del Servicio de Ayuda da a algunos sistemas de contenido sintético que ya estaban en el mercado antes del 2 de agosto de 2026 hasta el 2 de diciembre de 2026 para cumplir el deber de marcado. Cómo se comparan estas reglas de etiquetado con las de la India y las de Estados Unidos se explica en nuestro artículo sobre los deepfakes y las elecciones.

Modelos de IA de uso general

Según el artículo 53, todo proveedor de un modelo de IA de uso general debe mantener documentación técnica para la Oficina de IA y las autoridades nacionales, dar a los proveedores posteriores la información que necesiten, mantener una política de cumplimiento de la ley de derechos de autor de la UE y publicar un resumen suficientemente detallado del contenido usado para el entrenamiento, con una plantilla de la Oficina de IA. Los modelos publicados con una licencia libre y de código abierto están exentos de los dos primeros deberes salvo que entrañen riesgo sistémico, y el artículo 53 nombra solo esos dos, de modo que la política de derechos de autor y el resumen del entrenamiento siguen aplicándose a ellos. Tribunales de la India, Alemania y Estados Unidos se han pronunciado en 2026 sobre el entrenamiento y los derechos de autor sin zanjar la cuestión, como expone este artículo anterior.

Se presume que un modelo tiene riesgo sistémico cuando la capacidad de cálculo usada para entrenarlo supera las 10^25 operaciones de punto flotante, dice el documento de preguntas frecuentes de la Comisión. Las preguntas y respuestas de la Oficina de IA dicen que el proveedor debe notificarlo a la Comisión en un plazo de dos semanas desde que alcanza ese umbral. Los proveedores de modelos de riesgo sistémico deben además evaluar el modelo, valorar y mitigar los riesgos sistémicos, notificar los incidentes graves y proteger el modelo frente a ciberataques.

El Código de buenas prácticas de IA de uso general de la Comisión, presentado el 10 de julio de 2025, es una vía voluntaria para demostrar el cumplimiento, con capítulos sobre transparencia, derechos de autor, y seguridad y protección. Su página, actualizada el 7 de octubre de 2026, enumera 22 empresas firmantes, entre ellas Amazon, Anthropic, Google, IBM, Microsoft, Mistral AI y OpenAI. xAI firmó solo el capítulo de seguridad y protección, por lo que la página dice que debe demostrar el cumplimiento de los demás deberes por otros medios.

Según las preguntas y respuestas de la Oficina de IA, la Comisión puede multar a un proveedor de modelos con hasta el 3% del volumen de negocios mundial o 15 millones de euros, la cifra que sea mayor. El calendario sitúa el inicio de esa supervisión el 2 de agosto de 2026.

Multas para todos los demás y empresas de fuera de la UE

El artículo 99 fija tres límites de multa para las demás infracciones de la Ley: 35 millones de euros o el 7% del volumen de negocios para las prácticas prohibidas, 15 millones de euros o el 3% para las infracciones de las obligaciones enumeradas de los operadores y los organismos notificados, y 7,5 millones de euros o el 1% por dar a las autoridades información incorrecta o engañosa. Para las pymes, cada multa tiene como tope la menor de las dos cifras. El Ómnibus añadió el mismo tope de la cifra menor para las empresas pequeñas de capitalización media.

El artículo 2 dice que el Reglamento se aplica a los proveedores que introducen sistemas de IA o modelos de uso general en el mercado de la UE, estén establecidos en la Unión o en un tercer país. También abarca a proveedores y a quienes despliegan sistemas con sede fuera de la Unión cuando el resultado del sistema se usa en la Unión. El documento de preguntas frecuentes de la Comisión describe el mismo alcance para los agentes dentro y fuera de la UE. Ninguna de las páginas consultadas para este artículo nombra a la India ni a ningún otro país, así que la situación de una empresa india depende de esos criterios: si introduce un sistema o un modelo en el mercado de la UE, o si el resultado de su sistema se usa allí.

El calendario de la Comisión muestra como próximas fechas fijas el 2 de diciembre de 2026, el 2 de agosto de 2027, el 2 de diciembre de 2027 y el 2 de agosto de 2028.