El Reglamento (UE) 2024/1689 de Inteligencia Artificial, conocido popularmente como AI Act, es la primera normativa integral a escala mundial para regular el desarrollo, la comercialización y el uso de la inteligencia artificial. Tras su entrada en vigor en agosto de 2024, establece un calendario de aplicación que se extiende hasta 2027. Esta regulación afecta de lleno a las empresas que incorporan soluciones de IA en sus procesos, a los desarrolladores y a los asesores que acompañan a pymes y autónomos en su transformación digital.
¿Qué es el AI Act y por qué es relevante para las empresas españolas?
La primera regulación mundial de la IA
El AI Act supone un hito regulatorio internacional al abordar la inteligencia artificial con un enfoque sistémico. A diferencia del Reglamento General de Protección de Datos (RGPD), que centra su atención en el tratamiento de los datos personales, esta norma clasifica e impone requisitos a las herramientas en función de los riesgos que generan para la seguridad, los derechos fundamentales y la democracia.
Ámbito de aplicación: quién está sujeto a la norma
El reglamento obliga tanto a los proveedores que comercializan sistemas de IA en el mercado comunitario como a los desplegadores, es decir, las empresas o profesionales que los utilizan en el marco de su actividad. Por tanto, si en tu despacho o en la empresa de tu cliente empleáis asistentes virtuales como ChatGPT, herramientas de análisis de datos o sistemas de gestión, la norma os resulta plenamente aplicable bajo esta última figura.
El calendario de aplicación progresiva
El legislador europeo ha articulado un calendario escalonado para permitir la adaptación técnica y operativa:
- Desde febrero de 2025 aplican las prohibiciones de sistemas de IA que conllevan riesgos inaceptables.
- Desde agosto de 2025 resultan exigibles las obligaciones dirigidas a los modelos de IA de uso general.
- En agosto de 2026 entra en vigor la normativa específica para la mayoría de sistemas de alto riesgo.
- En agosto de 2027 se aplicarán las exigencias relativas a sistemas de alto riesgo regulados en combinación con otras directivas armonizadas.
Este calendario marca una hoja de ruta clara para realizar diagnósticos normativos e implementar los controles oportunos antes de la fecha límite.
La clasificación de riesgos: el corazón del reglamento
El enfoque basado en el riesgo
El AI Act no persigue restringir el uso de la tecnología, sino aportar seguridad jurídica mediante un enfoque proporcionado. Se establecen cuatro niveles de riesgo: inaceptable, alto, limitado y mínimo. La inmensa mayoría de las soluciones de productividad de uso cotidiano en las pequeñas empresas quedan encuadradas en las categorías de riesgo limitado o mínimo.
Sistemas de riesgo inaceptable: prohibidos desde febrero de 2025
Los sistemas catalogados bajo esta categoría amenazan directamente la seguridad o la dignidad de las personas. Quedan prohibidas las herramientas que utilizan técnicas subliminales o de manipulación para alterar la conducta de un individuo provocándole un daño, los sistemas de puntuación social administrados por entidades públicas, las herramientas de inferencia de emociones en el entorno de trabajo o educativo, y las soluciones de categorización biométrica que extraen datos sensibles como la afinidad política, el origen étnico o las creencias religiosas.
Sistemas de alto riesgo: obligaciones estrictas
Esta categoría abarca aquellas herramientas que influyen de manera sustancial en el acceso al empleo, la educación, los servicios esenciales o los derechos fundamentales. Un software destinado a la selección automatizada de personal, la evaluación del rendimiento laboral, la concesión de préstamos bancarios o la ponderación de perfiles crediticios es considerado un sistema de alto riesgo. Su despliegue exige el cumplimiento estricto de garantías de ciberseguridad, transparencia, solidez técnica y supervisión.
Sistemas de riesgo limitado: obligaciones de transparencia
Los sistemas que interactúan de forma directa con usuarios, como los chatbots de atención al cliente o las herramientas de generación de contenido sintético, deben comunicar claramente al interlocutor que está interactuando con una inteligencia artificial. Garantizar esa información al usuario es la obligación principal dentro de este segmento.
Sistemas de riesgo mínimo: sin obligaciones específicas
Los filtros de correo no deseado, las aplicaciones de traducción automática, los correctores ortográficos y los recomendadores de contenido se ubican en esta categoría. No se les imponen requisitos específicos en el AI Act, sin perjuicio de la observancia del RGPD si tratan datos de carácter personal.
Las obligaciones de una empresa que usa IA
Quién es el desplegador y qué le obliga la norma
La condición de desplegador corresponde al profesional o empresa que integra una herramienta de IA dentro de su operativa comercial o administrativa. Las exigencias para el desplegador guardan proporción con el nivel de riesgo del sistema y buscan asegurar el uso correcto fijado por el desarrollador.
Obligaciones generales del desplegador
Todo desplegador debe seguir las instrucciones de uso facilitadas por el proveedor, capacitar adecuadamente al personal interno que maneja la herramienta, supervisar la operativa para detectar posibles anomalías y notificar al proveedor o a la autoridad competente cualquier incidente relevante que comprometa la seguridad o los derechos de las personas.
Obligaciones específicas cuando el sistema es de alto riesgo
Cuando la solución utilizada califique como de alto riesgo, el desplegador debe llevar a cabo una evaluación de impacto sobre los derechos fundamentales antes de ponerla en funcionamiento. Adicionalmente, es obligatorio conservar los registros o logs generados por el sistema durante el tiempo legal exigido, implementar medidas efectivas de supervisión humana y abstenerse de automatizar por completo decisiones que tengan efectos jurídicos o significativos sobre las personas.
La supervisión humana como principio transversal
La normativa establece que el factor humano debe mantener en todo momento el control final sobre los resultados producidos por la tecnología. En la práctica diaria de una asesoría, el principio de supervisión implica que las decisiones legales, tributarias o laborales no pueden descansar de forma exclusiva en la salida de un algoritmo. Un profesional cualificado debe revisar, validar y asumir la responsabilidad técnica sobre los escritos, borradores o liquidaciones finales.
Las obligaciones de los proveedores: qué debe hacer quien desarrolla o vende IA
El registro de sistemas de alto riesgo en la base de datos europea
Los creadores o comercializadores de soluciones de alto riesgo deben inscribir sus productos en la base de datos pública coordinada por la Comisión Europea. Este registro transparente facilita a los desplegadores comprobar que la solución contratada cumple los estándares legales vigentes.
La documentación técnica y el marcado CE
Las herramientas clasificadas de alto riesgo requieren la elaboración de una documentación técnica rigurosa que acredite la gestión de riesgos, el entrenamiento de los modelos y las métricas de precisión. Tras superar la evaluación de conformidad, el proveedor fijará el marcado CE como garantía de cumplimiento antes de su comercialización.
Los modelos de IA de uso general: las obligaciones de los grandes proveedores
Los proveedores de modelos de lenguaje o propósito general como GPT, Claude o Gemini afrontan el deber de publicar resúmenes informativos sobre los conjuntos de datos empleados en su entrenamiento, respetar la normativa sobre derechos de autor y adoptar salvaguardas de ciberseguridad. A los modelos que entrañen riesgos sistémicos se les exige un régimen reforzado de evaluación y cooperación.
El AI Act y los datos personales: la intersección con el RGPD
Dos normas que se aplican simultáneamente
La entrada en vigor del AI Act no desplaza al Reglamento General de Protección de Datos. Ambos marcos normativos convergen cuando una solución algorítmica procesa información de personas físicas. Para dar cobertura legal al tratamiento, la empresa debe contar con una base legitimadora del RGPD, garantizar la exactitud de los datos y aplicar de forma paralela las salvaguardas del AI Act.
La evaluación de impacto sobre los derechos fundamentales
La evaluación de impacto requerida por el AI Act para sistemas de alto riesgo analiza el efecto global sobre los derechos y libertades de la ciudadanía. Esta medida resulta complementaria a la Evaluación de Impacto en Protección de Datos (EIPD) contemplada en el artículo 35 del RGPD. Es factible canalizar ambas revisiones en un expediente único para optimizar el cumplimiento organizativo.
Los datos de entrenamiento y el riesgo de sesgos
Los modelos entrenados con muestras imprecisas o sesgadas corren el riesgo de perpetuar conductas discriminatorias. Para evitar distorsiones en procedimientos como la evaluación de perfiles o la selección de personal, la norma exige utilizar datos de entrenamiento representativos, verificados y ajustados a criterios de equidad.
Las sanciones por incumplimiento
El régimen sancionador: las multas más altas del derecho europeo
El incumplimiento de lo dispuesto en el AI Act puede acarrear penalizaciones económicas de gran alcance:
La utilización de sistemas de IA prohibidos contempla sanciones de hasta 35 millones de euros o el 7% del volumen de negocio global anual de la empresa.
La vulneración de las obligaciones impuestas a los sistemas de alto riesgo o a los modelos de uso general prevé multas de hasta 15 millones de euros o el 3% del volumen de negocio.
Facilitar información falsa o engañosa a los organismos de control puede sancionarse con hasta 7,5 millones de euros o el 1,5% del volumen global.
La autoridad nacional de supervisión en España
En España, la Agencia Española de Supervisión de Inteligencia Artificial (AESIA) asume las competencias de supervisión, inspección y sanción previstas en la norma europea, coordinando sus actuaciones con la Agencia Española de Protección de Datos (AEPD) cuando el tratamiento afecte al derecho a la privacidad.
Las sanciones reducidas para pymes y startups
El marco legal estipula que las autoridades deben graduar la cuantía de los expedientes sancionadores atendiéndose al tamaño, peso económico y capacidad organizativa de la entidad. Las pymes y empresas emergentes disponen de márgenes sancionadores adaptados y acceso a entornos de prueba reglamentados o sandboxes regulatorios para facilitar la adopción tecnológica sin incurrir en contingencias graves.
Cómo prepararse para el AI Act: plan de acción para asesorías y sus clientes
Paso 1 — Inventario de sistemas de IA en uso
El primer paso consiste en auditar las herramientas tecnológicas desplegadas en la firma o en el negocio del cliente. Conviene identificar aplicaciones de gestión documental, agentes de soporte al cliente, gestores de tareas, asistentes de redacción y motores algorítmicos.
Paso 2 — Clasificación del riesgo de cada sistema
Tras inventariar la tecnología, es necesario encuadrar cada herramienta dentro de las cuatro categorías previstas en la norma. Este análisis preliminar permite descartar incidencias en aplicaciones de riesgo mínimo y concentrar la atención en soluciones de riesgo limitado o alto.
Paso 3 — Verificación del cumplimiento de los proveedores
En el caso de utilizar aplicaciones de alto riesgo o riesgo limitado, se debe exigir al proveedor la documentación técnica que certifique la superación de la evaluación de conformidad, las garantías de transparencia y la inclusión del marcado CE cuando corresponda.
Paso 4 — Actualización de los contratos con proveedores de IA
Conviene adaptar los contratos de prestación de servicios tecnológicos para incorporar cláusulas relativas al cumplimiento del AI Act, la titularidad del contenido procesado, el soporte ante incidencias y las garantías de la información técnica.
Paso 5 — Formación del personal que usa sistemas de IA
La alfabetización en materia de IA resulta obligatoria para el personal que opera estos sistemas. Formar al equipo en el uso ético, la identificación de errores o sesgos y la correcta aplicación de la supervisión humana garantiza un entorno operativo seguro y acorde a la ley.
Paso 6 — Designación del responsable de cumplimiento del AI Act
Nombrar a un coordinador interno o externalizar la supervisión de la política de inteligencia artificial facilita la centralización del inventario, el seguimiento de actualizaciones normativas y el reporte inmediato de eventuales fallos de seguridad.
El AI Act y la práctica de las asesorías: implicaciones específicas
Los sistemas de IA usados en la gestión de personal son de alto riesgo
Si utilizas o asesoras a clientes sobre herramientas que ponderan candidaturas, automatizan la contratación o miden el rendimiento de la plantilla, debes considerar que se trata de aplicaciones de alto riesgo. El despliegue de estos sistemas exige verificar de forma rigurosa la trazabilidad de los datos, la ausencia de sesgos y la intervención directiva en las decisiones laborales.
Los sistemas de generación de documentos jurídicos son de riesgo limitado
Las herramientas destinadas a la redacción asistida de contratos, requerimientos o documentos corporativos se encuadran con carácter general dentro del riesgo limitado. La obligación básica consiste en guardar transparencia sobre su uso y mantener un control sobre el contenido generado antes de ponerlo a disposición de terceros.
La responsabilidad profesional del asesor que usa IA
El empleo de soluciones inteligentes en la tramitación fiscal, contable o laboral no modifica el régimen de responsabilidad profesional del asesor. La tecnología actúa como un medio de soporte, pero la responsabilidad jurídica del dictamen o escrito recae de forma exclusiva sobre el profesional firmado. La revisión del resultado constituye un deber deontológico y legal ineludible.
Preguntas frecuentes
¿Usar ChatGPT en el trabajo obliga a cumplir el AI Act?
Sí, las empresas que emplean asistentes como ChatGPT actúan en calidad de desplegadores. Si la herramienta se utiliza para tareas administrativas o de soporte general, se encuadra como riesgo mínimo o limitado, requiriendo únicamente transparencia y la formación adecuada del personal sobre las políticas de uso seguro.
¿Qué pasa si el proveedor de la herramienta de IA no cumple el AI Act?
El desplegador que mantiene en funcionamiento una aplicación sin las garantías exigidas en la normativa puede incurrir en responsabilidad organizativa. Ante el incumplimiento constatado del proveedor, la empresa debe suspender el uso del sistema hasta que se acredite la conformidad legal correspondiente.
¿El AI Act se aplica también a las asesorías con menos de diez empleados?
La norma resulta aplicable a todas las entidades con independencia de su tamaño o plantilla, ya que el criterio delimitador se basa en el tipo de riesgo que genera el sistema utilizado y no en la dimensión económica de la empresa.
¿Cuándo empieza a ser exigible el cumplimiento para las pymes?
El calendario es progresivo: las prohibiciones de sistemas inaceptables aplican desde febrero de 2025, las normas sobre modelos generales en agosto de 2025 y las exigencias sobre sistemas de alto riesgo serán exigibles de forma general a partir de agosto de 2026.
¿El AI Act y el RGPD son compatibles o se contradicen?
Ambas regulaciones son totalmente compatibles y acumulativas. Mientras que el RGPD salvaguarda los datos de carácter personal, el AI Act evalúa la seguridad técnica y los derechos fundamentales frente al uso de algoritmos.
Para ampliar la información sobre los aspectos éticos y legales derivados de la tecnología en la práctica diaria, el
Memento Derecho Digital 2026-2027 de Lefebvre ofrece un análisis detallado sobre el marco de responsabilidad y el uso de herramientas en el despacho.
Permisos parentales en 2025
Ley de Vivienda
Desde Espacio Asesoría no disponemos de un servicio gratuito de asesoramiento, por lo que su comentario solo podrá ser respondido por otros lectores.
Si necesita una respuesta profesional, le recomendamos realice su pregunta desde el siguiente enlace, desde donde podrá establecer un contacto privado con un abogado.
Tu comentario ha sido enviado para ser revisado antes de ser publicado.