AI Act en 60 segundos
| Pregunta | Respuesta |
|---|---|
| ¿Qué es? | El Reglamento (UE) 2024/1689 sobre inteligencia artificial. |
| ¿Quién lo ha aprobado? | La Unión Europea. |
| ¿Qué regula? | El desarrollo, comercialización y uso de sistemas de IA según su nivel de riesgo. |
| ¿Cuándo entró en vigor? | 1 de agosto de 2024. |
| ¿Cuándo se aplica? | De forma escalonada, con aplicación general desde el 2 de agosto de 2026 y plazos específicos para determinadas obligaciones. |
| ¿A quién afecta? | Empresas, administraciones públicas y organizaciones que desarrollen, comercialicen o utilicen determinados sistemas de IA. |
Introducción
Durante los últimos años la inteligencia artificial ha pasado de ser una tecnología utilizada principalmente por investigadores y grandes compañías tecnológicas a convertirse en una herramienta cotidiana para millones de personas y empresas. Sistemas como ChatGPT, Gemini, Claude o Copilot han demostrado que la IA ya no pertenece al futuro: forma parte del presente.
Este crecimiento ha planteado importantes retos jurídicos y éticos. ¿Qué ocurre si una IA discrimina a una persona en un proceso de selección? ¿Quién responde cuando un algoritmo toma una decisión errónea en el ámbito sanitario? ¿Cómo garantizar que los sistemas de inteligencia artificial respeten los derechos fundamentales?
Para responder a estas cuestiones, la Unión Europea aprobó el Reglamento (UE) 2024/1689, conocido internacionalmente como AI Act, el primer marco jurídico integral del mundo dedicado específicamente a la regulación de la inteligencia artificial. Su objetivo es fomentar una IA fiable, proteger a las personas y ofrecer un marco común para el mercado europeo.
En esta guía encontrarás una explicación clara y rigurosa del funcionamiento del AI Act, sus objetivos, el enfoque basado en el riesgo, las obligaciones que impone y su calendario de aplicación, con referencias a las fuentes oficiales de la Unión Europea.
¿Qué es exactamente el AI Act?
El AI Act es el nombre con el que se conoce internacionalmente al Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, por el que se establecen normas armonizadas en materia de inteligencia artificial dentro de la Unión Europea.
Al tratarse de un Reglamento europeo, sus disposiciones son directamente aplicables en los Estados miembros, sin necesidad de una ley nacional de transposición, aunque algunos aspectos requieren la designación de autoridades competentes y normas nacionales complementarias.
El AI Act no pretende prohibir el desarrollo de la inteligencia artificial. Su finalidad es establecer un marco jurídico que permita impulsar la innovación y, al mismo tiempo, proteger la salud, la seguridad y los derechos fundamentales de las personas.
La norma adopta un enfoque basado en el riesgo. Cuanto mayor sea el impacto potencial de un sistema de IA sobre las personas o la sociedad, mayores serán las obligaciones que deberá cumplir.
Este planteamiento ha convertido al AI Act en el primer marco regulatorio integral sobre inteligencia artificial y en una referencia para otros países y organizaciones que están diseñando sus propias políticas de gobernanza de la IA.
Comisión Europea – AI ActAI Act Service Desk (texto navegable del Reglamento)Noticias de la Comisión Europea sobre la entrada en vigor del AI Act
¿Por qué era necesaria una regulación de la inteligencia artificial?
Esta sección es importante porque responde a una pregunta que muchos usuarios tienen antes incluso de entender el contenido del AI Act.
La rápida expansión de la inteligencia artificial
La inteligencia artificial ha evolucionado en pocos años desde aplicaciones muy especializadas hasta convertirse en una tecnología de uso cotidiano. Hoy es posible generar textos, imágenes, código, música o vídeo mediante modelos capaces de aprender de grandes cantidades de datos. Empresas, administraciones públicas y ciudadanos utilizan herramientas de IA para automatizar tareas, asistir en la toma de decisiones o mejorar la productividad.
Este crecimiento ha supuesto enormes beneficios económicos y sociales, pero también ha puesto de manifiesto nuevos riesgos que el marco jurídico tradicional no abordaba de forma específica.
Los riesgos que preocupan a la Unión Europea
La Comisión Europea identificó que determinados sistemas de IA podían afectar a bienes jurídicos especialmente protegidos, como:
- la dignidad de las personas;
- la igualdad y la no discriminación;
- la privacidad y la protección de datos;
- la libertad de expresión;
- la seguridad de productos y servicios;
- el acceso al empleo, la educación, la sanidad o la justicia.
Un algoritmo utilizado para seleccionar candidatos en un proceso de contratación, por ejemplo, puede reproducir sesgos presentes en los datos con los que fue entrenado. Del mismo modo, un sistema empleado para conceder préstamos podría generar decisiones discriminatorias si no se controla adecuadamente. Estos escenarios ilustran por qué la regulación se centra especialmente en los usos de mayor impacto sobre los derechos fundamentales.
Un equilibrio entre innovación y protección
Una idea equivocada bastante extendida es pensar que el AI Act pretende limitar el desarrollo de la inteligencia artificial.
En realidad, el Reglamento persigue un objetivo mucho más ambicioso: crear un entorno de confianza que favorezca la innovación responsable.
La Unión Europea parte de la premisa de que la innovación y la protección de los derechos fundamentales no son objetivos incompatibles. Al contrario, considera que un marco jurídico claro puede ofrecer seguridad tanto a las empresas como a los usuarios, facilitando la adopción de tecnologías fiables y competitivas. Este enfoque también busca reforzar la posición de Europa como referente mundial en inteligencia artificial centrada en las personas.
Objetivos principales del AI Act
El artículo 1 del Reglamento resume con claridad la finalidad de la norma, que puede sintetizarse en cinco grandes objetivos:
| Objetivo | ¿Qué significa en la práctica? |
|---|---|
| Fomentar una IA fiable | Impulsar sistemas seguros, transparentes y respetuosos con los derechos fundamentales. |
| Proteger a las personas | Reducir los riesgos para la salud, la seguridad y los derechos fundamentales. |
| Armonizar el mercado europeo | Establecer reglas comunes para todos los Estados miembros y evitar marcos regulatorios fragmentados. |
| Favorecer la innovación | Facilitar el desarrollo de soluciones de IA, con especial atención a las pymes y startups. |
| Generar confianza | Incrementar la aceptación de la IA por parte de ciudadanos, empresas y administraciones públicas. |
¿Por qué el AI Act es diferente de otras normas tecnológicas?
A diferencia del Reglamento General de Protección de Datos (RGPD), que regula el tratamiento de datos personales, el AI Act no se centra en un tipo concreto de información, sino en los riesgos derivados del uso de sistemas de inteligencia artificial.
Por ello, ambos reglamentos pueden aplicarse simultáneamente. Un sistema de IA que trate datos personales deberá cumplir tanto con el RGPD como con el AI Act, además de cualquier otra normativa sectorial que resulte aplicable.
Del mismo modo, el AI Act convive con otras normas europeas, como el Reglamento de Máquinas, el Reglamento de Productos Sanitarios, la Directiva NIS2 o el Reglamento de Resiliencia Operativa Digital (DORA), formando parte de un ecosistema regulatorio cada vez más amplio para la economía digital.
Los principios fundamentales del AI Act
Aunque el Reglamento no contiene un artículo específico titulado «Principios», toda su estructura se construye sobre una serie de valores y objetivos que inspiran el desarrollo y el uso de la inteligencia artificial en Europa. Estos principios explican por qué el AI Act adopta determinadas obligaciones y ayudan a comprender la lógica de la norma más allá de su articulado.
1. Un enfoque basado en el riesgo
El AI Act no regula todos los sistemas de inteligencia artificial de la misma forma.
En lugar de imponer obligaciones idénticas para cualquier aplicación, el Reglamento utiliza un modelo de regulación basado en el nivel de riesgo que un sistema puede representar para la salud, la seguridad o los derechos fundamentales de las personas.
Esta decisión responde a un criterio de proporcionalidad. Un sistema que recomienda canciones o filtra correo no deseado no plantea los mismos riesgos que un algoritmo utilizado para seleccionar candidatos en un proceso de contratación, evaluar solicitudes de crédito o asistir en un diagnóstico médico.
Por ello, el AI Act establece cuatro grandes categorías:
| Nivel de riesgo | Consecuencia |
|---|---|
| Riesgo inaceptable | El sistema queda prohibido, salvo excepciones muy concretas. |
| Alto riesgo | Debe cumplir estrictos requisitos técnicos, organizativos y documentales antes de su comercialización o uso. |
| Riesgo limitado | Se aplican principalmente obligaciones de transparencia. |
| Riesgo mínimo | No existen obligaciones específicas, aunque se fomenta la adopción voluntaria de buenas prácticas. |
💡 Ejemplo práctico
Un chatbot que responde preguntas sobre el horario de una tienda normalmente se considerará de riesgo mínimo o limitado. En cambio, una IA que decide qué candidatos pasan a una entrevista de trabajo puede entrar en la categoría de alto riesgo y estar sujeta a obligaciones mucho más exigentes.
2. Protección de los derechos fundamentales
Uno de los pilares del AI Act es garantizar que la inteligencia artificial respete los derechos reconocidos por la Carta de los Derechos Fundamentales de la Unión Europea.
La regulación pretende evitar que los sistemas de IA provoquen discriminación, vulneren la privacidad, limiten la libertad de expresión o generen decisiones automatizadas con consecuencias injustas para las personas. Este enfoque explica por qué determinados usos, como algunas prácticas de manipulación o de categorización biométrica, están prohibidos o sometidos a fuertes restricciones.
3. Innovación responsable
El AI Act no parte de la idea de que la inteligencia artificial sea peligrosa por naturaleza.
Al contrario, reconoce expresamente que la IA puede aportar enormes beneficios en ámbitos como:
- la medicina;
- la investigación científica;
- la educación;
- la industria;
- la sostenibilidad;
- la administración pública;
- la productividad empresarial.
Por ello, uno de los objetivos del Reglamento es favorecer la innovación, especialmente entre pequeñas y medianas empresas y startups, creando un marco jurídico previsible que reduzca la incertidumbre regulatoria. Entre las medidas previstas se encuentran los espacios controlados de pruebas (AI regulatory sandboxes) y otras iniciativas de apoyo a la innovación.
4. Transparencia y confianza
Muchas aplicaciones de inteligencia artificial funcionan como una «caja negra»: producen un resultado sin que el usuario conozca cómo se ha generado.
El AI Act intenta reducir esa opacidad imponiendo obligaciones de transparencia en determinados supuestos. Dependiendo del tipo de sistema, puede ser necesario informar a los usuarios de que están interactuando con una IA, identificar contenidos generados o manipulados artificialmente o proporcionar documentación técnica a las autoridades competentes. El objetivo es aumentar la confianza en la tecnología sin impedir su desarrollo.
5. Responsabilidad durante todo el ciclo de vida
El Reglamento no se limita a controlar el momento en que un sistema de IA se comercializa.
También impone obligaciones relacionadas con:
- el diseño;
- el desarrollo;
- la evaluación;
- la puesta en el mercado;
- el despliegue;
- la supervisión posterior;
- la vigilancia de incidentes.
Esto significa que el cumplimiento normativo no es un trámite puntual, sino un proceso continuo que acompaña al sistema de IA durante toda su vida útil.
Comparativa visual
| Principio | ¿Qué busca conseguir? | Ejemplo |
|---|---|---|
| Riesgo | Aplicar obligaciones proporcionales | Más requisitos para un sistema médico que para un filtro de spam. |
| Derechos fundamentales | Evitar daños a las personas | Reducir decisiones discriminatorias. |
| Innovación | Favorecer el desarrollo tecnológico | Facilitar la creación de nuevos productos mediante reglas claras. |
| Transparencia | Que el usuario comprenda cuándo interactúa con IA | Avisar cuando un contenido ha sido generado por IA. |
| Responsabilidad | Garantizar el cumplimiento continuo | Supervisión y documentación durante todo el ciclo de vida del sistema. |
📌 ¿Sabías que…?
El AI Act no pretende autorizar previamente todos los sistemas de inteligencia artificial. La mayoría de las aplicaciones utilizadas cada día por ciudadanos y empresas no necesitan una autorización específica. El Reglamento concentra sus obligaciones en aquellos usos que pueden afectar significativamente a la salud, la seguridad o los derechos fundamentales, aplicando un modelo de regulación proporcional basado en el riesgo.
🧠 Concepto clave
El AI Act no regula la inteligencia artificial por la tecnología que utiliza, sino por el impacto que puede tener su uso.
Esta idea es fundamental para comprender todo el Reglamento y explica por qué dos sistemas técnicamente similares pueden estar sometidos a obligaciones muy diferentes según el contexto en el que se utilicen.
¿A quién afecta el AI Act?
Una de las dudas más frecuentes es pensar que el AI Act solo se aplica a las grandes empresas tecnológicas que desarrollan modelos de inteligencia artificial. Sin embargo, el Reglamento tiene un ámbito de aplicación mucho más amplio y alcanza a numerosos actores que intervienen en el ciclo de vida de un sistema de IA.
Dependiendo de la actividad realizada, una misma organización puede asumir distintos roles jurídicos y, por tanto, estar sujeta a obligaciones diferentes.
Un Reglamento con alcance internacional
El AI Act no se limita a las empresas establecidas en la Unión Europea.
Al igual que ocurrió con el Reglamento General de Protección de Datos (RGPD), el legislador europeo ha optado por un criterio extraterritorial. Esto significa que determinadas organizaciones situadas fuera de la Unión también deberán cumplir el Reglamento cuando comercialicen sistemas de IA o cuando los resultados generados por esos sistemas se utilicen en territorio europeo.
En la práctica, una empresa con sede en Estados Unidos, Japón o Latinoamérica puede verse obligada a cumplir el AI Act si ofrece un sistema de inteligencia artificial a clientes europeos o si sus resultados producen efectos dentro de la Unión Europea. Este enfoque pretende evitar que la protección de los ciudadanos europeos dependa únicamente del lugar donde esté establecido el proveedor de la tecnología. (Reglamento (UE) 2024/1689, art. 2).
Los principales actores del AI Act
El Reglamento distingue varios perfiles, cada uno con responsabilidades específicas.
1. Proveedor (Provider)
El proveedor es la persona física o jurídica que desarrolla un sistema de inteligencia artificial o un modelo de IA de propósito general, o que lo hace desarrollar, y lo introduce en el mercado o lo pone en servicio bajo su propio nombre o marca.
En términos sencillos, suele ser quien crea el producto o decide comercializarlo como propio.
Ejemplos
- Una startup que desarrolla un sistema para seleccionar candidatos mediante IA.
- Una empresa que crea un software de diagnóstico médico basado en aprendizaje automático.
- Una compañía que publica un modelo fundacional de inteligencia artificial bajo su propia marca.
Los proveedores asumen algunas de las obligaciones más exigentes del Reglamento, especialmente cuando el sistema pertenece a la categoría de alto riesgo.
2. Responsable del despliegue (Deployer)
El Reglamento utiliza el término deployer, traducido habitualmente como responsable del despliegue.
Se trata de la organización que utiliza un sistema de IA dentro de su actividad profesional.
No es necesario haber desarrollado la herramienta.
Basta con utilizarla.
Ejemplos
- Una empresa que utiliza IA para contratar empleados.
- Un hospital que emplea un sistema de apoyo al diagnóstico.
- Un banco que utiliza algoritmos para evaluar solicitudes de financiación.
- Una aseguradora que incorpora IA para detectar fraude.
Este punto es especialmente importante porque muchas empresas creen erróneamente que el AI Act solo afecta a quienes desarrollan inteligencia artificial. En realidad, numerosos usuarios profesionales también deberán cumplir determinadas obligaciones.
3. Importador
El importador introduce en el mercado europeo un sistema de IA desarrollado fuera de la Unión Europea.
Antes de hacerlo debe comprobar, entre otros aspectos, que el proveedor ha cumplido las obligaciones exigidas por el Reglamento cuando resulten aplicables.
4. Distribuidor
El distribuidor participa en la cadena de suministro poniendo un sistema de IA a disposición del mercado europeo sin ser su proveedor ni su importador.
Aunque sus obligaciones son más limitadas, el Reglamento también le exige actuar con la diligencia necesaria para evitar la comercialización de sistemas que incumplan la normativa.
5. Representante autorizado
Algunos proveedores establecidos fuera de la Unión Europea deberán designar un representante autorizado dentro del territorio de la Unión.
Su función consiste en actuar como interlocutor frente a las autoridades competentes y colaborar en determinadas obligaciones de cumplimiento.
Tabla resumen
| Actor | ¿Quién es? | Ejemplo práctico | Nivel de responsabilidad |
|---|---|---|---|
| Proveedor | Desarrolla o comercializa el sistema bajo su nombre | Empresa que crea un software de IA | Muy alto |
| Responsable del despliegue | Utiliza la IA en su actividad profesional | Empresa que usa ChatGPT Enterprise para procesos internos o una IA para selección de personal | Medio/alto (según el uso) |
| Importador | Introduce sistemas de IA desde fuera de la UE | Empresa que importa un software estadounidense | Medio |
| Distribuidor | Comercializa un sistema ya existente | Revendedor de software | Medio |
| Representante autorizado | Representa a un proveedor extracomunitario | Consultora designada por una empresa extranjera | Variable |
¿Puede una empresa desempeñar varios roles?
Sí.
Y ocurre con mucha frecuencia.
Por ejemplo:
Una empresa desarrolla un sistema de inteligencia artificial para analizar currículums.
Posteriormente lo utiliza internamente para contratar empleados.
Además, vende licencias del mismo software a otras compañías.
En ese escenario podría actuar simultáneamente como:
- proveedor;
- responsable del despliegue;
- distribuidor (según el modelo comercial).
Esta circunstancia implica que deberá cumplir las obligaciones correspondientes a cada uno de esos roles.
Errores habituales
❌ «Solo afecta a OpenAI o Google»
Incorrecto.
Miles de empresas europeas pueden quedar afectadas simplemente por utilizar determinados sistemas de IA en procesos sensibles.
❌ «Si compro un software ya hecho, no tengo obligaciones»
Tampoco es correcto.
Dependiendo del tipo de sistema y del uso que se haga de él, el responsable del despliegue puede tener obligaciones específicas de supervisión, utilización conforme a las instrucciones, conservación de registros o colaboración con las autoridades competentes.
❌ «Solo afecta a empresas europeas»
No.
El Reglamento tiene un alcance extraterritorial y puede aplicarse a organizaciones establecidas fuera de la Unión Europea cuando comercialicen sistemas o cuando los resultados de esos sistemas se utilicen en territorio europeo.
📌 ¿Sabías que…?
Una empresa puede convertirse en «proveedor» sin haber desarrollado originalmente el sistema de IA. En determinados supuestos, modificar sustancialmente un sistema existente o comercializarlo bajo una marca propia puede hacer que la organización asuma las obligaciones previstas para los proveedores. Este aspecto es especialmente relevante para empresas que integran soluciones de terceros en sus propios productos o servicios.
El enfoque basado en el riesgo: el corazón del AI Act
El elemento más innovador del AI Act es que no regula la inteligencia artificial por la tecnología empleada, sino por el riesgo que el uso de esa tecnología puede generar para las personas y la sociedad.
Este enfoque permite aplicar obligaciones proporcionadas: cuanto mayor sea el impacto potencial sobre la salud, la seguridad o los derechos fundamentales, más exigentes serán los requisitos legales.
La clasificación en niveles de riesgo constituye el eje central del Reglamento y determina qué obligaciones deberán cumplir proveedores, responsables del despliegue y demás operadores económicos.
¿Por qué la Unión Europea eligió este modelo?
Regular todos los sistemas de IA con la misma intensidad habría generado dos problemas:
- imponer cargas desproporcionadas a aplicaciones de bajo impacto;
- dificultar la innovación tecnológica.
Por ese motivo, el AI Act adopta un sistema escalonado que concentra las obligaciones en aquellas aplicaciones capaces de producir consecuencias relevantes para las personas.
Este modelo regulatorio también facilita la adaptación de la normativa a la rápida evolución tecnológica, ya que el análisis se centra en el uso concreto del sistema y no únicamente en la tecnología utilizada.
Los cuatro niveles de riesgo
Aquí recomiendo incluir una tabla visual destacada.
| Nivel | Situación jurídica | Ejemplos |
|---|---|---|
| 🔴 Riesgo inaceptable | Prohibido (salvo excepciones previstas por la ley) | Manipulación cognitiva, determinadas prácticas de puntuación social, algunos usos de identificación biométrica en tiempo real. |
| 🟠 Alto riesgo | Permitido, pero sujeto a estrictas obligaciones | IA para contratación, diagnóstico médico, infraestructuras críticas, educación, justicia o servicios esenciales. |
| 🟡 Riesgo limitado | Obligaciones de transparencia | Chatbots, sistemas capaces de generar contenido sintético cuando resulte aplicable la obligación de informar. |
| 🟢 Riesgo mínimo | Sin obligaciones específicas del AI Act | Filtros antispam, videojuegos con IA, recomendaciones musicales o sistemas similares de bajo impacto. |
Consejo de diseño: utiliza estos colores de forma coherente en toda la web. El usuario asociará rápidamente el rojo con prohibiciones, el naranja con alto riesgo, el amarillo con transparencia y el verde con bajo riesgo.
Riesgo inaceptable
Los sistemas de riesgo inaceptable son aquellos cuyo uso se considera incompatible con los valores fundamentales de la Unión Europea debido al nivel de amenaza que representan para los derechos fundamentales.
En estos casos, la regla general es la prohibición.
Entre las prácticas prohibidas figuran, por ejemplo, determinados sistemas destinados a manipular de forma subliminal el comportamiento de las personas, ciertas formas de explotación de personas vulnerables o algunos sistemas de categorización biométrica y puntuación social. El Reglamento también regula de forma muy específica determinados usos de la identificación biométrica remota por parte de las fuerzas y cuerpos de seguridad, estableciendo excepciones muy tasadas. Estas materias merecerán una página específica dentro de IARegulacion.com por su complejidad.
Ejemplo práctico
Una aplicación diseñada para manipular el comportamiento de menores mediante técnicas subliminales con el objetivo de inducir compras podría entrar dentro de las prácticas prohibidas por el AI Act, dependiendo de sus características y del contexto de uso.
Alto riesgo
Los sistemas de alto riesgo constituyen el núcleo del Reglamento.
No están prohibidos.
Al contrario, pueden desarrollarse, comercializarse y utilizarse, siempre que cumplan una extensa lista de obligaciones destinadas a garantizar que el sistema sea seguro, fiable y respetuoso con los derechos fundamentales.
Entre otros requisitos, los proveedores deberán implantar sistemas de gestión de riesgos, garantizar la calidad de los datos, elaborar documentación técnica, mantener registros, facilitar supervisión humana y establecer procedimientos de vigilancia una vez el sistema esté en funcionamiento.
Este será uno de los capítulos más amplios de la web y enlazará con páginas específicas sobre obligaciones, documentación técnica, marcado CE, evaluación de conformidad y vigilancia posterior.
Riesgo limitado
En esta categoría el legislador considera suficiente imponer obligaciones de transparencia.
El objetivo principal es que los usuarios sepan cuándo están interactuando con un sistema de inteligencia artificial o cuándo determinados contenidos han sido generados o manipulados mediante IA, cuando así lo exige el Reglamento.
La transparencia permite preservar la confianza sin imponer cargas excesivas a tecnologías cuyo impacto suele ser reducido.
Riesgo mínimo
La inmensa mayoría de los sistemas de inteligencia artificial utilizados actualmente pertenecen a esta categoría.
El AI Act no establece obligaciones específicas para estos sistemas.
Sin embargo, la Comisión Europea fomenta la adopción voluntaria de buenas prácticas y códigos de conducta que contribuyan a desarrollar una inteligencia artificial fiable incluso cuando el Reglamento no impone obligaciones concretas.
Errores frecuentes
❌ «Toda la inteligencia artificial está regulada igual»
Falso.
El Reglamento aplica un sistema de obligaciones progresivas basado en el nivel de riesgo.
❌ «Si utilizo ChatGPT incumplo automáticamente el AI Act»
Incorrecto.
El cumplimiento depende del uso concreto, del contexto y del papel que desempeñe la organización. No todas las aplicaciones de IA tienen la misma clasificación ni generan las mismas obligaciones.
❌ «Los sistemas de alto riesgo están prohibidos»
No.
Precisamente el AI Act permite su utilización, siempre que se cumplan los requisitos legales establecidos.
📌 ¿Sabías que…?
El mismo sistema de inteligencia artificial puede estar sometido a obligaciones diferentes según el uso que se haga de él. Un modelo de IA de propósito general puede utilizarse para tareas de bajo riesgo, como resumir documentos, o integrarse en un producto que desempeñe funciones de alto riesgo. En ese caso, el análisis jurídico no depende únicamente del modelo, sino también del contexto, la finalidad y la integración concreta del sistema.
Ámbito de aplicación del AI Act
¿Cuándo se aplica realmente el Reglamento Europeo de Inteligencia Artificial?
Una de las primeras preguntas que se plantean las empresas es si el AI Act les resulta aplicable. La respuesta no depende únicamente de dónde esté establecida la organización, sino también de cómo desarrolla, comercializa o utiliza sistemas de inteligencia artificial y de si esos sistemas producen efectos dentro del mercado de la Unión Europea.
El Reglamento adopta un enfoque amplio y, en determinados supuestos, tiene un alcance extraterritorial, de forma similar a lo que ocurre con el Reglamento General de Protección de Datos (RGPD). Esto significa que una organización ubicada fuera de la Unión Europea también puede quedar sujeta a determinadas obligaciones cuando sus sistemas de IA se comercializan o utilizan en territorio europeo.
¿Qué regula exactamente el AI Act?
El AI Act establece normas armonizadas para el desarrollo, la comercialización, la puesta en servicio y el uso de determinados sistemas de inteligencia artificial dentro del mercado europeo.
No regula cualquier software.
No regula todos los algoritmos.
Y tampoco regula toda la innovación tecnológica.
Su ámbito se centra específicamente en los sistemas de inteligencia artificial, definidos por el propio Reglamento y desarrollados con determinadas técnicas capaces de generar resultados como predicciones, recomendaciones, decisiones o contenidos que influyen sobre entornos físicos o virtuales.
En otras palabras, el Reglamento no pretende controlar toda la informática, sino aquellos sistemas cuya capacidad de aprendizaje, inferencia o generación de resultados pueda tener un impacto relevante sobre personas, organizaciones o la sociedad.
⚖️ Base jurídica
Reglamento (UE) 2024/1689, artículo 2 (Ámbito de aplicación) y artículo 3 (Definiciones).
¿Quién debe prestar atención al AI Act?
Aunque muchas noticias se centran en grandes empresas tecnológicas, el Reglamento afecta a un conjunto mucho más amplio de organizaciones.
En términos generales, deberán analizar su situación:
- empresas que desarrollan sistemas de inteligencia artificial;
- organizaciones que comercializan soluciones de IA bajo su propia marca;
- compañías que integran IA en productos o servicios;
- entidades públicas que utilizan IA para adoptar decisiones o asistir en procedimientos administrativos;
- hospitales, aseguradoras, entidades financieras, universidades y centros educativos cuando empleen sistemas comprendidos dentro del ámbito del Reglamento;
- importadores y distribuidores de soluciones de IA.
La clave no está en el tamaño de la empresa, sino en el papel que desempeña y en el tipo de sistema de IA utilizado.
Casos en los que el AI Act NO se aplica
Una de las mejores formas de comprender el ámbito del Reglamento es conocer también sus límites.
Existen supuestos expresamente excluidos o que, por sus características, quedan fuera del alcance de la norma.
Ejemplos frecuentes
| Situación | ¿Se aplica el AI Act? | Explicación |
|---|---|---|
| Uso estrictamente personal y privado de una herramienta de IA | Generalmente no | El Reglamento se dirige principalmente a actividades profesionales y de mercado. |
| Investigación científica en determinados supuestos | Puede existir un régimen específico o exclusiones según el caso | El análisis debe realizarse conforme al texto del Reglamento. |
| Sistemas que no cumplen la definición de IA del Reglamento | No | No todo software constituye un sistema de IA a efectos jurídicos. |
| Actividades relacionadas con la seguridad nacional | Fuera del ámbito del Reglamento en determinados supuestos | Corresponden a los Estados miembros. |
💡 Importante: Que un sistema quede fuera del ámbito del AI Act no significa que esté exento de cumplir otras normas, como el RGPD, la legislación sobre consumo, la normativa de productos o las reglas de responsabilidad civil.
Ejemplo práctico
Empresa española de recursos humanos
Una empresa utiliza una plataforma basada en inteligencia artificial para clasificar automáticamente miles de currículums antes de que intervenga un técnico de selección.
Aunque la empresa no haya desarrollado el algoritmo, actúa como responsable del despliegue y deberá analizar si el sistema entra dentro de la categoría de alto riesgo y qué obligaciones le corresponden.
Este ejemplo demuestra que el cumplimiento del AI Act no depende únicamente de quién desarrolla la tecnología.
Ejemplo internacional
Startup estadounidense
Una startup con sede en California desarrolla un sistema de inteligencia artificial destinado a hospitales europeos.
Aunque no tenga oficinas dentro de la Unión Europea, puede quedar sometida al AI Act si introduce el sistema en el mercado europeo o si los resultados del sistema se utilizan dentro de la Unión.
Este principio de extraterritorialidad busca evitar diferencias de protección entre ciudadanos europeos en función del país de origen del proveedor.
Errores habituales
❌ «Mi empresa es pequeña, así que el AI Act no me afecta.»
El Reglamento no distingue entre grandes y pequeñas empresas para determinar si resulta aplicable. Una pyme puede desarrollar o utilizar un sistema de IA de alto riesgo y quedar sujeta a obligaciones específicas, aunque algunas medidas del Reglamento buscan facilitar el cumplimiento por parte de pequeñas empresas y startups.
❌ «Solo afecta a empresas tecnológicas.»
Incorrecto.
Sectores como la sanidad, la educación, la banca, los seguros, los recursos humanos o la administración pública pueden utilizar sistemas comprendidos dentro del ámbito del Reglamento.
❌ «Si la IA la desarrolla un proveedor externo, yo no tengo responsabilidades.»
No necesariamente.
El papel de responsable del despliegue también puede generar obligaciones, especialmente cuando el sistema se utiliza para adoptar decisiones relevantes.
📌 ¿Sabías que…?
Una misma empresa puede estar sujeta simultáneamente a varias normas europeas relacionadas con la inteligencia artificial.
Por ejemplo, un hospital que utilice un sistema de IA para apoyar diagnósticos médicos podría tener que cumplir el AI Act, el Reglamento General de Protección de Datos (RGPD), el Reglamento sobre Productos Sanitarios y otras normas sectoriales. Comprender cómo interactúan entre sí será una de las claves del cumplimiento normativo en los próximos años.
¿Cómo define el AI Act un sistema de inteligencia artificial?
Comprender esta definición es imprescindible para saber si el Reglamento resulta aplicable.
Una de las primeras cuestiones que debe resolver cualquier empresa o profesional es si la tecnología que utiliza constituye realmente un sistema de inteligencia artificial a efectos del Reglamento (UE) 2024/1689.
Puede parecer una pregunta sencilla, pero tiene importantes consecuencias jurídicas. Si una aplicación no encaja en la definición del AI Act, el resto de obligaciones previstas en el Reglamento, con carácter general, no resultarán aplicables.
Por este motivo, el legislador europeo ha incorporado una definición específica que sirve como punto de partida para todo el sistema normativo.
La definición jurídica
El artículo 3 del Reglamento define un sistema de inteligencia artificial como un sistema basado en máquinas diseñado para operar con distintos niveles de autonomía y que puede mostrar capacidad de adaptación tras su despliegue, inferir a partir de las entradas que recibe cómo generar resultados —como predicciones, contenidos, recomendaciones o decisiones— capaces de influir en entornos físicos o virtuales.
Aunque esta definición puede parecer compleja, contiene varios elementos esenciales que conviene analizar por separado.
⚖️ Base jurídica
Reglamento (UE) 2024/1689, artículo 3.
Los elementos esenciales de la definición
1. Sistema basado en máquinas
El AI Act se refiere a sistemas implementados mediante medios informáticos.
No regula procesos puramente humanos ni decisiones adoptadas exclusivamente por personas.
El componente tecnológico es imprescindible.
2. Cierto grado de autonomía
No es necesario que la inteligencia artificial funcione completamente sola.
Basta con que pueda generar resultados con un determinado nivel de autonomía respecto de la intervención humana.
Por ejemplo:
- sugerir una decisión;
- clasificar documentos;
- priorizar expedientes;
- generar texto;
- recomendar productos.
La supervisión humana puede seguir existiendo.
3. Capacidad de inferencia
Este es probablemente el aspecto más importante.
La inteligencia artificial no se limita a ejecutar instrucciones fijas.
Debe ser capaz de obtener resultados mediante procesos de inferencia.
Es decir:
Analiza información.
Detecta patrones.
Genera conclusiones.
Produce resultados.
Esta característica diferencia a la IA de muchos programas tradicionales.
4. Generación de resultados
El Reglamento menciona expresamente varios tipos de resultados.
Entre ellos:
- predicciones;
- recomendaciones;
- decisiones;
- contenidos;
- clasificaciones.
Esto demuestra que el AI Act no regula únicamente herramientas como ChatGPT.
También puede afectar a numerosos sistemas empresariales utilizados diariamente.
5. Influencia sobre el entorno
Finalmente, los resultados deben poder influir sobre un entorno físico o virtual.
Esa influencia puede ser muy diversa.
Por ejemplo:
- aprobar un crédito;
- recomendar un tratamiento médico;
- ordenar documentos;
- seleccionar candidatos;
- controlar un robot industrial;
- generar una respuesta para un cliente.
¿Qué NO es necesariamente inteligencia artificial?
Aquí quiero introducir algo que prácticamente ninguna guía explica correctamente.
Muchas personas creen que cualquier automatización constituye IA.
No es cierto.
Un programa que únicamente aplica reglas fijas previamente definidas puede no entrar dentro de la definición del AI Act.
Ejemplo.
SI
edad >18
ENTONCES
permitir acceso
SINO
denegar accesoEso constituye una lógica programada.
No necesariamente un sistema de IA.
En cambio.
Si el programa analiza miles de variables para determinar automáticamente el riesgo de fraude mediante técnicas de aprendizaje o inferencia, la situación cambia considerablemente.
Tabla comparativa
| Sistema | ¿Es IA según el AI Act?* | Comentario |
|---|---|---|
| Calculadora | Generalmente no | Ejecuta operaciones matemáticas predeterminadas. |
| Hoja Excel con fórmulas | Generalmente no | Sigue reglas definidas por el usuario. |
| ChatGPT | Sí | Modelo de IA de propósito general (GPAI). |
| Sistema de reconocimiento de imágenes | Normalmente sí | Analiza patrones y genera clasificaciones. |
| Recomendador avanzado de productos | Dependerá de su funcionamiento | Debe analizarse la definición del Reglamento. |
| Software tradicional basado únicamente en reglas fijas | En principio no | Salvo que incorpore capacidades propias de IA. |
*La clasificación definitiva depende de las características concretas del sistema y del análisis jurídico correspondiente.
Caso práctico
Empresa de seguros
Una aseguradora desarrolla una aplicación que calcula automáticamente el importe de una prima.
Escenario A
La aplicación aplica exclusivamente reglas establecidas por actuarios.
No aprende.
No modifica su comportamiento.
No infiere nuevos patrones.
En principio, podría no tratarse de un sistema de IA a efectos del Reglamento.
Escenario B
La aplicación analiza millones de datos históricos.
Aprende continuamente.
Detecta patrones de fraude.
Modifica automáticamente sus modelos predictivos.
Genera recomendaciones.
En este caso es mucho más probable que nos encontremos ante un sistema comprendido dentro de la definición del AI Act.
📌 ¿Sabías que…?
El AI Act evita utilizar una definición excesivamente ligada a una tecnología concreta. De este modo, el Reglamento puede seguir siendo aplicable aunque en el futuro aparezcan nuevas técnicas de inteligencia artificial diferentes de las actuales. La intención del legislador es que la norma mantenga su utilidad a medida que evolucione la tecnología.
🚨 Error frecuente
«Si utiliza inteligencia artificial generativa, automáticamente es un sistema de alto riesgo.»
❌ Incorrecto.
La utilización de un modelo generativo, como ChatGPT o un modelo similar, no determina por sí sola el nivel de riesgo. Lo relevante es el uso concreto que se haga del sistema y el contexto en el que se integre.
Interpretación oficial y criterios de aplicación del AI Act
Cómo está interpretando la Unión Europea el Reglamento de Inteligencia Artificial
La aprobación del AI Act no supone el final del proceso regulatorio. Como ocurre con otros grandes reglamentos europeos, la aplicación práctica de sus disposiciones requiere la publicación progresiva de directrices, documentos interpretativos y criterios técnicos que ayuden a empresas, administraciones públicas y autoridades nacionales a aplicar correctamente la norma.
Por este motivo, el Reglamento ha creado un sistema de gobernanza específico que permitirá desarrollar una interpretación homogénea en toda la Unión Europea y adaptarse a la evolución tecnológica.
El AI Office
Uno de los elementos más innovadores del AI Act es la creación del AI Office, una oficina especializada de la Comisión Europea encargada de coordinar la aplicación del Reglamento, especialmente en relación con los modelos de IA de propósito general (GPAI). Entre sus funciones se encuentran el apoyo a la aplicación uniforme del Reglamento, la elaboración de orientaciones y la coordinación con otras autoridades europeas.
¿Por qué es importante?
Porque muchas de las dudas que hoy tienen las empresas terminarán resolviéndose mediante documentos y guías publicados por el AI Office.
El European Artificial Intelligence Board (AI Board)
El AI Act crea igualmente el European Artificial Intelligence Board, integrado por representantes de todos los Estados miembros y apoyado por el AI Office. Su misión principal es favorecer una aplicación coherente del Reglamento en toda la Unión Europea, promoviendo la cooperación entre autoridades nacionales y emitiendo recomendaciones y opiniones cuando resulte necesario.
En la práctica, este órgano desempeñará un papel similar al que el Comité Europeo de Protección de Datos (EDPB) ha tenido en la interpretación del RGPD.
Las guías oficiales de la Comisión Europea
El AI Act prevé la publicación de numerosas guías prácticas destinadas a facilitar el cumplimiento de la norma.
Estas orientaciones no sustituyen al texto legal, pero ayudan a interpretar conceptos complejos y a aplicar correctamente las obligaciones en situaciones reales.
Entre las materias que la Comisión ya está desarrollando o ha anunciado destacan:
- clasificación práctica de los sistemas de alto riesgo;
- aplicación de las obligaciones de transparencia;
- interacción del AI Act con otras normas europeas;
- notificación de incidentes graves;
- investigación e innovación;
- modelos de IA de propósito general (GPAI).
Códigos de buenas prácticas
El propio Reglamento fomenta la elaboración de Códigos de Buenas Prácticas, especialmente para facilitar el cumplimiento por parte de proveedores y responsables del despliegue.
Por ejemplo, ya existen iniciativas impulsadas por el AI Office relacionadas con las obligaciones de transparencia aplicables a contenidos generados mediante inteligencia artificial, que ayudan a las organizaciones a cumplir el artículo 50 del AI Act. Aunque la adhesión a estos códigos puede ser voluntaria, las obligaciones legales siguen siendo exigibles.
¿Qué valor tienen estas guías?
Es importante distinguir entre:
| Documento | ¿Es jurídicamente vinculante? | ¿Debe tenerse en cuenta? |
|---|---|---|
| Reglamento (UE) 2024/1689 | ✅ Sí | Obligatorio. |
| Guías de la Comisión Europea | ❌ No directamente | Sí, orientan la aplicación práctica y suelen ser seguidas por las autoridades. |
| Opiniones del AI Board | ❌ No directamente | Muy relevantes para lograr una interpretación uniforme. |
| Códigos de buenas prácticas | ❌ Depende del caso | Facilitan el cumplimiento y pueden aportar seguridad jurídica. |
| Sentencias del Tribunal de Justicia de la UE | ✅ Sí, cuando existan | Interpretación vinculante del Derecho de la Unión. |
Evolución futura
Al igual que ocurrió con el RGPD, es previsible que el AI Act evolucione durante los próximos años mediante:
- nuevas guías de la Comisión Europea;
- decisiones de las autoridades nacionales competentes;
- opiniones del AI Board;
- sentencias del Tribunal de Justicia de la Unión Europea;
- normas técnicas armonizadas;
- estándares europeos e internacionales;
- modificaciones legislativas cuando la evolución tecnológica lo requiera.
Por ello, el cumplimiento del AI Act no debe entenderse como un ejercicio puntual, sino como un proceso continuo de adaptación.
📌 ¿Sabías que…?
El AI Act no será interpretado únicamente por los tribunales. La Comisión Europea, el AI Office, el AI Board y las autoridades nacionales desempeñarán un papel esencial en la elaboración de guías, criterios y documentos técnicos que ayudarán a aplicar el Reglamento de forma uniforme en toda la Unión Europea.