Ley de IA europea: riesgo mínimo, limitado y alto, con los nuevos plazos

La Ley de IA europea, oficialmente el Reglamento (UE) 2024/1689, no regula la inteligencia artificial como tecnología, sino sus usos. Un filtro de spam, un chatbot de atención y un programa que ordena currículos pueden funcionar con modelos parecidos, pero la ley los trata de forma muy distinta porque el daño que pueden causar también lo es.

La respuesta corta: casi todo lo que hace una empresa normal con IA (redactar textos, resumir documentos, responder preguntas frecuentes) es riesgo mínimo o limitado. Las obligaciones pesadas se reservan para usos que deciden sobre personas: empleo, crédito, educación o servicios esenciales. Y desde julio de 2026 hay calendario nuevo, porque el Ómnibus digital retrasó las obligaciones de alto riesgo.

Cuatro niveles, no tres

Aunque se hable de riesgo mínimo, limitado y alto, el reglamento tiene un cuarto escalón por encima: las prácticas prohibidas. La Comisión Europea resume la pirámide así:

La clave es que el nivel lo marca la finalidad, no la herramienta. ChatGPT no es «de alto riesgo» por sí mismo; lo sería el sistema que una empresa montara con él para descartar candidatos.

Riesgo mínimo: la mayoría de los usos empresariales

Para los usos de riesgo mínimo, el reglamento no añade requisitos propios. Redactar una oferta, traducir un catálogo o resumir un contrato con un asistente como ChatGPT o Claude no exige registros, evaluaciones ni documentación técnica.

Eso no significa que no haya reglas. Si introduces datos personales de clientes, rige el RGPD. Y el artículo 4 pide a quien despliega IA que fomente la alfabetización en IA de su personal. El Ómnibus suavizó esta obligación: ahora basta con tomar medidas razonables según el contexto, sin garantizar un nivel concreto de conocimientos por persona. En la práctica, una formación breve y unas pautas internas claras cubren lo esencial.

Riesgo limitado: avisar de que es una máquina

El riesgo limitado se traduce en transparencia. El artículo 50 obliga a diseñar los sistemas que interactúan con personas para que estas sepan que hablan con una IA, salvo que sea evidente para una persona razonablemente atenta. También exige marcar en formato legible por máquina el audio, la imagen, el vídeo o el texto generados, y a quien publica ultrafalsificaciones, indicar que el contenido es artificial.

Estas obligaciones se aplican desde el 2 de agosto de 2026. Para los sistemas generativos comercializados antes de esa fecha, el Ómnibus concede hasta el 2 de diciembre de 2026 para cumplir con el marcado.

Para un chatbot de atención la receta es sencilla: un aviso visible al inicio («Estás hablando con un asistente de IA»), límites claros sobre lo que puede responder y una vía rápida para pasar a una persona. Que el asistente no invente condiciones de contratación es más una cuestión de calidad y de derecho del consumo que de la Ley de IA, pero conviene resolverlo a la vez.

Alto riesgo: cuando la IA decide sobre personas

El artículo 6 define dos vías hacia el alto riesgo. La primera son los componentes de seguridad de productos ya regulados por la UE (maquinaria, juguetes, ascensores, productos sanitarios), recogidos en el anexo I. La segunda es la lista del anexo III: biometría, infraestructuras críticas, educación, empleo y gestión de trabajadores, acceso a servicios esenciales como el crédito o determinados seguros, aplicación de la ley, migración y administración de justicia.

Hay una válvula importante: un sistema del anexo III no es de alto riesgo si solo realiza una tarea preparatoria o limitada y no influye de forma significativa en la decisión, salvo que elabore perfiles de personas. Corregir la ortografía de una oferta de empleo no es lo mismo que puntuar candidaturas.

Si tu empresa usa (no desarrolla) un sistema de alto riesgo, eres «responsable del despliegue». Tus deberes principales: usarlo según las instrucciones del proveedor, asignar una supervisión humana con autoridad real para corregir el resultado, vigilar su funcionamiento y conservar los registros. El grueso de la carga, como la evaluación de conformidad o la documentación técnica, recae en el proveedor. Antes de comprar una herramienta de selección o de scoring, pide por escrito su clasificación y su documentación.

Prácticas prohibidas desde 2025

El artículo 5 se aplica desde el 2 de febrero de 2025. Prohíbe, entre otras cosas, la manipulación y el engaño dañinos, el aprovechamiento de vulnerabilidades, la puntuación social, la predicción de delitos basada solo en perfiles, la creación de bases de reconocimiento facial con imágenes extraídas de internet o cámaras sin criterio, el reconocimiento de emociones en el trabajo y en centros educativos, y la categorización biométrica para inferir rasgos sensibles. El Ómnibus añade desde el 2 de diciembre de 2026 la prohibición de sistemas que generen desnudos no consentidos o material de abuso sexual infantil.

Las multas son serias: hasta 35 millones de euros o el 7 % del volumen de negocios mundial por prácticas prohibidas, y hasta 15 millones o el 3 % por otras infracciones. Para las pymes, el artículo 99 fija la cuantía menor de las dos, una salvaguarda sensata.

El calendario tras el Ómnibus digital

La Comisión propuso el Ómnibus digital sobre IA el 19 de noviembre de 2025. Ya no es una propuesta: se adoptó como Reglamento (UE) 2026/1744, firmado el 8 de julio de 2026, y entró en vigor el 27 de julio de 2026. Así queda el artículo 113:

1. 2 de febrero de 2025: prácticas prohibidas y alfabetización en IA.
2. 2 de agosto de 2025: modelos de IA de uso general, gobernanza y régimen sancionador.
3. 2 de agosto de 2026: aplicación general del reglamento, incluida la transparencia del artículo 50.
4. 2 de diciembre de 2026: nuevas prohibiciones del Ómnibus y plazo de marcado para sistemas generativos ya comercializados.
5. 2 de diciembre de 2027: obligaciones de alto riesgo del anexo III (en el texto original, 2 de agosto de 2026).
6. 2 de agosto de 2028: alto riesgo en productos del anexo I (en el texto original, 2 de agosto de 2027).

El aplazamiento es una buena noticia y una corrección razonable: las normas técnicas armonizadas no estaban listas y exigir el cumplimiento sin ellas habría encarecido la adopción de IA justo en las empresas que menos margen tienen. El Ómnibus también extiende a las pequeñas empresas de mediana capitalización las simplificaciones que antes solo tenían las pymes. Eso sí, aplazar no es derogar: quien prepare ahora un proceso de selección o de crédito con IA debe diseñarlo pensando en 2027.

Qué aporta la AESIA en España

En España, la supervisión corresponde a la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA). Su recurso más útil para una empresa es la colección de guías prácticas elaboradas en el sandbox regulatorio español: una guía introductoria, otra de ejemplos prácticos y guías técnicas sobre supervisión humana, transparencia, gestión de riesgos o documentación. No son vinculantes y la propia agencia avisa de que las actualizará tras el Ómnibus, pero ofrecen listas de comprobación gratuitas que ahorran horas de consultoría.

Una ventaja de que la ley sea un reglamento europeo: las reglas son las mismas en Madrid, Lisboa o Helsinki. Una empresa que vende en varios países de la UE cumple una sola vez.

Vídeo: sistemas de IA y riesgos según el INAP

▶

Fuente: Instituto Nacional de Administración Pública (INAP), ponencia de Noelia Betetos, YouTube.

La sesión del INAP, centro de formación de la Administración española, recorre en castellano qué se considera sistema de IA y cómo se clasifican los riesgos en el reglamento. Es útil para entender la lógica de la pirámide con calma. Ten en cuenta que se grabó antes del Ómnibus: para las fechas de alto riesgo, utiliza el calendario de este artículo.

Si te preocupa el lado operativo, en Innohub hemos tratado también la seguridad de la IA sin perder el control y cómo cambian las reglas con los agentes de IA autónomos.

Preguntas frecuentes

¿Qué es la IA de riesgo mínimo?

Son los usos para los que el Reglamento de IA no fija obligaciones específicas, como los filtros de spam o los videojuegos con IA. Siguen aplicándose el RGPD, la normativa de consumo y la obligación general de alfabetización en IA del artículo 4.

¿Un chatbot de atención al cliente es de alto riesgo?

No, si solo informa o resuelve consultas. Entra en el riesgo limitado del artículo 50, que exige avisar a la persona de que habla con una IA salvo que resulte evidente. Sería de alto riesgo si, por ejemplo, decidiera sobre un crédito o una candidatura.

¿Desde cuándo se aplican las obligaciones de alto riesgo?

Tras el Ómnibus digital (Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026), desde el 2 de diciembre de 2027 para los usos del anexo III y desde el 2 de agosto de 2028 para la IA integrada en productos del anexo I.

¿Qué prácticas de IA están prohibidas?

Las del artículo 5, vigentes desde el 2 de febrero de 2025, entre ellas la manipulación dañina, la puntuación social, el reconocimiento de emociones en el trabajo y la escuela y la creación de bases de reconocimiento facial con imágenes extraídas sin criterio. Desde el 2 de diciembre de 2026 se añade la prohibición de generar desnudos no consentidos y material de abuso sexual infantil.

¿Qué multas prevé la Ley de IA?

Hasta 35 millones de euros o el 7 % del volumen de negocios mundial por prácticas prohibidas, y hasta 15 millones o el 3 % por incumplir otras obligaciones. En las pymes se aplica la cuantía menor de las dos.

¿Quién supervisa la Ley de IA en España?

La Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), que además publica guías prácticas gratuitas elaboradas en el sandbox regulatorio español.

Fechas y artículos comprobados en EUR-Lex el 8 de noviembre de 2026.