IA Act en España: qué es, a quién aplica y qué obliga ya

El AI Act es la norma europea que regula el uso de la inteligencia artificial según el riesgo que suponga para las personas. Está en vigor desde agosto de 2024 y sus obligaciones se aplican por fases, algunas ya exigibles y otras que llegan hasta 2028. Si tu empresa usa IA, aunque sea solo un asistente como ChatGPT o Copilot, el reglamento ya le asigna un papel y al menos una obligación en vigor.

En esta guía vemos qué es exactamente el AI Act, a quién aplica según lo que hace tu empresa con la IA, cómo clasifica el riesgo, qué plazos y sanciones tiene, y qué obligación de formación ya es exigible hoy.

Qué es el AI Act

El AI Act es el Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo. Circula con varios nombres, AI Act, Reglamento de Inteligencia Artificial (RIA) o "ley de IA", pero todos se refieren al mismo texto. Entró en vigor el 1 de agosto de 2024 y clasifica los usos de la inteligencia artificial en distintos niveles según el riesgo que suponen para las personas.

Un detalle que genera confusión en España: es un reglamento europeo, no una directiva, y eso tiene una consecuencia práctica importante. Un reglamento se aplica de forma directa en todos los países de la Unión desde la fecha que fija, sin necesidad de que cada país lo traduzca en una ley propia. Por eso el texto no aparece en el BOE, y buscarlo ahí no lleva a ninguna parte. España sí desarrolla dos piezas complementarias: la Agencia Española de Supervisión de la Inteligencia Artificial, creada en 2023, y una ley orgánica de gobernanza en tramitación que concreta el régimen sancionador interno. Pero las obligaciones para tu empresa nacen del reglamento europeo, con esa ley española o sin ella.

AI Act frente a RGPD

Regulan cosas distintas y se aplican a la vez, no una en lugar de la otra. El RGPD protege los datos personales, use IA quien los trate o los gestione con una hoja de cálculo. El AI Act regula los usos de la inteligencia artificial, traten datos personales o no. Un filtro de currículums con IA activa los dos a la vez: el RGPD por los datos de los candidatos, el AI Act por ser un uso de alto riesgo en empleo.

Cuando un sistema de alto riesgo trata datos personales, es habitual que la evaluación de impacto que exige el AI Act se solape con la evaluación de impacto en protección de datos que ya exige el RGPD, y conviene coordinar ambas en el mismo proceso en lugar de duplicar el trabajo. Las sanciones, en cambio, son independientes: incumplir las dos normas a la vez puede suponer dos sanciones distintas, no una sola.

A quién aplica: tu papel según el reglamento

El AI Act reparte obligaciones según lo que cada organización hace con la IA, no según su tamaño o su sector. Los dos papeles que importan a la mayoría de las empresas son el de proveedor, quien desarrolla o comercializa un sistema de IA, y el de responsable del despliegue, quien simplemente lo usa. Esta tabla resume los perfiles más habituales:

La mayoría de las empresas que usan IA sin desarrollarla caen en el primer perfil, y tienden a pensar que eso las deja fuera del reglamento. No es así: usarla ya te coloca dentro, con el paquete de obligaciones más ligero, pero dentro.

Dos matices que evitan sorpresas. El reglamento alcanza también a proveedores de fuera de la Unión Europea cuando los resultados de su sistema se usan dentro del mercado europeo, así que tener un proveedor americano o asiático no te saca del mapa. Y si el sistema lo ha desarrollado un tercero, sigues siendo responsable del despliegue y con obligaciones propias: verificar que cumple los requisitos, informar a los usuarios y mantener supervisión humana real. No puedes trasladar toda la responsabilidad a la licencia que has contratado.

Niveles de riesgo del AI Act

Todo el reglamento se organiza sobre la misma idea: cuanto más puede dañar un uso de la IA a una persona, más obligaciones carga. Son cuatro escalones:

Riesgo inaceptable

Prácticas prohibidas directamente, como la manipulación subliminal, la puntuación social de ciudadanos o el reconocimiento de emociones en el entorno laboral. Vetadas desde febrero de 2025 sin excepciones.

Alto riesgo

Usos en ámbitos como selección de personal, crédito, educación o servicios esenciales, entre ellos el cribado de currículums o la puntuación crediticia. Exigen gestión de riesgos, documentación técnica y supervisión humana reforzada.

Riesgo limitado

Obliga sobre todo a transparencia: informar de que se está interactuando con una IA o de que un contenido, como una imagen o un vídeo, ha sido generado o manipulado por ella.

Riesgo mínimo

Donde vive la mayoría de las herramientas cotidianas, como los filtros de spam o los videojuegos con IA, sin obligaciones específicas más allá de la transparencia general. La formación aplica igual, esté en el nivel que esté.

AI Act y RRHH: el área de mayor riesgo en muchas empresas

Si hay un departamento donde el AI Act aparece con más frecuencia de la esperada, es RRHH. El Anexo III del reglamento incluye explícitamente los sistemas de IA usados en el empleo, y muchas empresas no son conscientes de que ya tienen alguno funcionando.

Los casos más habituales que caen en alto riesgo son el cribado automático de currículums, las herramientas que puntúan o clasifican candidatos, los sistemas que evalúan el rendimiento con apoyo de IA y los que influyen en decisiones de promoción o despido. No hace falta haber desarrollado la herramienta: si tu software de selección o de gestión del talento incorpora algún componente de IA, aunque lo hayas contratado a un proveedor, la obligación de supervisión y transparencia recae sobre tu empresa como responsable del despliegue.

Esto convierte a RRHH en el punto de partida lógico para cualquier plan de cumplimiento, no solo por el riesgo regulatorio, sino porque es también el departamento mejor situado para liderar la formación del resto de la empresa una vez que sabe lo que tiene entre manos.

Qué pasa con ChatGPT y los modelos de uso general

Los grandes modelos que hay detrás de ChatGPT, Gemini, Copilot o Claude tienen un capítulo propio en el reglamento, aparte de la escala de riesgo por uso: el de los modelos de IA de uso general. Sus obligaciones, documentación técnica, política de derechos de autor, resumen público de los datos de entrenamiento, recaen sobre quien desarrolla el modelo, no sobre quien lo usa.

Para tu empresa, eso es tranquilizador: ese paquete le corresponde a la compañía que construyó el modelo. Tu papel sigue siendo el de responsable del despliegue de la herramienta concreta, con las obligaciones que le tocan según cómo la uses. El matiz aparece si coges un modelo de uso general, lo adaptas y lo comercializas como producto propio, en ese caso puedes pasar a ser proveedor del sistema resultante.

Calendario: qué se aplica ya y qué llega después

El reglamento entró en vigor en agosto de 2024 y sus obligaciones se activan por fases, no todas a la vez:

• Febrero de 2025. Entran en vigor las prácticas prohibidas y la obligación de formación del personal.
• Agosto de 2025. Empiezan a aplicar las obligaciones de los modelos de uso general, a cargo de quien los desarrolla.
• Agosto de 2026. El reglamento pasa a aplicarse con carácter general, incluida la transparencia frente a terceros y el régimen sancionador.
• Diciembre de 2027 y agosto de 2028. Entran las obligaciones de alto riesgo, aplazadas por la reforma conocida como Ómnibus Digital.

Ese aplazamiento genera un malentendido habitual: cubre solo las obligaciones de alto riesgo, no el calendario completo. La formación del personal y las prohibiciones ya rigen desde 2025, y la aplicación general con sanciones llega en agosto de 2026.

Sanciones: cuánto y quién las pone

El régimen sancionador se activa en agosto de 2026 y tiene tres tramos, según la gravedad del incumplimiento:

• Hasta 35 millones de euros o el 7 % de la facturación global. Por usar prácticas prohibidas.
• Hasta 15 millones de euros o el 3 % de la facturación global. Por incumplir el resto de obligaciones, incluidas las de alto riesgo.
• Hasta 7,5 millones de euros o el 1 % de la facturación global. Por facilitar información incorrecta a las autoridades.

Para pymes y startups, el reglamento prevé aplicar la cifra menor de cada tramo, una de las pocas concesiones explícitas al tamaño de la empresa. En la práctica, la sanción rara vez es el primer coste real: antes suele llegar el contrato que un cliente grande exige revisar, o la licitación que pide evidencias de cumplimiento.

Mitos habituales sobre el AI Act

Estas son las ideas equivocadas que más se repiten cuando una empresa se plantea si el reglamento le afecta:

Esto va con las tecnológicas

El reglamento reparte obligaciones a cualquier organización que use IA en su actividad, sea un despacho de tres personas o una industria con quinientos empleados. El paquete mínimo, formación y transparencia, alcanza a prácticamente todas.

Hasta 2027 hay margen para todo

El aplazamiento cubre solo las obligaciones de alto riesgo. La formación y las prohibiciones ya están vigentes desde 2025, y la aplicación general con sanciones llega en agosto de 2026.

Cuando salga la ley española, ya me pondré

Las obligaciones nacen del reglamento europeo y son exigibles con ley española o sin ella. Esperar a que se apruebe la norma interna deja descubierto lo que ya es obligatorio.

La IA que usamos solo por dentro no cuenta

El uso interno también entra en el reglamento. La formación aplica a cualquier uso profesional de IA, y un filtro interno de currículums puede ser de alto riesgo aunque ningún cliente lo vea nunca.

La obligación que ya está en vigor: formación del personal

De todas las obligaciones del AI Act, la de formación es la que menos se conoce y la más fácil de cumplir. Desde febrero de 2025 es exigible que las empresas garanticen un nivel mínimo de conocimiento sobre IA entre el personal que la usa, no que sepan programarla, sino que entiendan qué hace, qué riesgos tiene y cuándo desconfiar de un resultado.

Esta obligación no distingue entre empresas grandes o pequeñas, ni entre sectores. Aplica igual a quien solo usa ChatGPT para redactar correos que a quien tiene un sistema de selección de personal basado en IA. Es, junto con tener una política de uso clara, la medida más barata de todo el reglamento y la primera que pedirá cualquier revisión o auditoría.

Checklist de cumplimiento

Cumplir el AI Act no exige un expediente legal de cientos de páginas. Exige poder demostrar, si alguien lo pide, que se ha hecho el trabajo básico de gobernanza. Estas son las evidencias mínimas que conviene tener preparadas:

1. Inventario de herramientas de IA. La contratada oficialmente, la integrada en otro software, y la que cada equipo usa por su cuenta sin que nadie más lo sepa. Este último grupo suele ser el más grande.
2. Clasificación de riesgo por herramienta. Con qué perfil actúa tu empresa en cada caso y en qué nivel de riesgo cae. Si algo roza el alto riesgo, trátalo como prioritario.
3. Formación documentada. No basta con formar, hay que poder acreditar quién se ha formado, cuándo y con qué contenido.
4. Supervisión humana por escrito. Quién revisa los resultados de cada sistema de riesgo alto o limitado, y con qué frecuencia.
5. Documentación técnica del proveedor. Para sistemas de alto riesgo contratados a terceros, conviene guardar lo que el proveedor facilite sobre cómo funciona y con qué datos se entrenó.
6. Procedimiento ante incidencias. Qué hacer si un sistema falla o produce un resultado problemático, y quién debe enterarse.
7. Política interna de IA generativa. Qué herramientas están autorizadas y qué no se debe introducir en ellas, como datos de clientes o información confidencial.
8. Contratos actualizados con proveedores. Que reflejen quién asume qué obligación cuando la IA la aporta un tercero.

Un inventario simple, en forma de tabla con la herramienta, su uso principal, su nivel de riesgo y si tiene activada la obligación de transparencia, suele ser el primer documento que cualquier revisión pide ver. Una pyme que parte de cero puede tenerlo operativo en pocas semanas con un responsable interno dedicado a tiempo parcial.

Para dudas puntuales sobre cómo clasificar un sistema concreto, la Comisión Europea mantiene el AI Act Service Desk, un servicio de asesoramiento gratuito pensado especialmente para pymes que no tienen equipo legal propio.

Preguntas frecuentes

Estas son las dudas más habituales que surgen al revisar cómo afecta el AI Act a una empresa:

¿El AI Act ya está en vigor?

Sí. Entró en vigor en agosto de 2024 y se aplica por fases. Las prohibiciones y la formación rigen desde febrero de 2025, la aplicación general llega en agosto de 2026, y las obligaciones de alto riesgo entre diciembre de 2027 y agosto de 2028.

¿Aplica a mi empresa si solo usamos ChatGPT?

Sí, con el paquete más ligero de obligaciones. Usar herramientas de IA te convierte en responsable del despliegue, lo que obliga a formar a quien las usa y, desde agosto de 2026, a cumplir la transparencia si el contenido generado llega a clientes o al público.

¿El aplazamiento del Ómnibus Digital afecta a toda la norma?

No, solo a las obligaciones de alto riesgo, que pasan a diciembre de 2027 y agosto de 2028. Las prohibiciones, la formación y la aplicación general mantienen su calendario original, sin ningún retraso.

¿Qué pasa si no cumplimos?

Multas de hasta 35 millones de euros o el 7 % de la facturación global por prácticas prohibidas, hasta 15 millones o el 3 % por el resto de obligaciones, y hasta 7,5 millones o el 1 % por informar mal a las autoridades. Para pymes se aplica siempre la cifra menor de cada tramo.

¿Quién vigila el cumplimiento en España?

La Agencia Española de Supervisión de la Inteligencia Artificial es la autoridad de referencia. Cuando el uso de IA implica datos personales, la Agencia de Protección de Datos mantiene también sus competencias, así que un mismo sistema puede responder ante las dos.

¿Qué pasa si el sistema lo desarrolló un proveedor externo?

Sigues siendo responsable del despliegue y con obligaciones propias: comprobar que el sistema cumple los requisitos, informar a los usuarios y mantener supervisión humana real. Contratar la herramienta a un proveedor no traslada esa responsabilidad.

¿Hay un mínimo de empleados a partir del cual aplica la obligación de formación?

No. La obligación de formación es directa y no fija ningún umbral mínimo de plantilla. Aplica igual a una empresa de tres personas que a una de trescientas, siempre que use IA en su actividad profesional.

Conclusión

El AI Act no es una norma que solo afecte a quien desarrolla inteligencia artificial. Cualquier empresa que la use, por poco que sea, tiene ya al menos una obligación en vigor: formar a las personas que la manejan. Y si tu empresa usa IA en procesos de selección, evaluación o gestión del talento, esa obligación viene además acompañada de un riesgo regulatorio que conviene no ignorar.

Si quieres empezar por la parte más sencilla y barata del reglamento, puedes revisar Booster IA Insights, la solución de Booster para mapear el nivel de conocimiento de IA de tu plantilla y cubrir la obligación de formación con contenido aplicado a cada perfil.

‍