Reglamento de IA de la UE: Guía completa de cumplimiento para 2026
Introducción
El Reglamento (UE) 2024/1689, conocido como el Reglamento de Inteligencia Artificial de la UE (AI Act), representa la primera legislación integral del mundo dedicada exclusivamente a regular los sistemas de inteligencia artificial. Publicado en el Diario Oficial de la Unión Europea el 12 de julio de 2024 y en vigor desde el 1 de agosto de 2024, este reglamento establece un marco jurídico basado en el riesgo que afecta a toda organización que desarrolle, despliegue o utilice sistemas de IA dentro del mercado europeo.
Para los responsables de cumplimiento, directores de tecnología y equipos legales, la pregunta ya no es si deben prepararse, sino cómo hacerlo antes de que venzan los plazos clave en 2025 y 2026. Las sanciones por incumplimiento pueden alcanzar los 35 millones de euros o el 7 % de la facturación global anual, lo que convierte este reglamento en uno de los marcos regulatorios más exigentes del panorama europeo.
Esta guía ofrece un recorrido práctico y detallado por las obligaciones del Reglamento de IA, con un enfoque en la implementación real dentro de las organizaciones.
Estructura del Reglamento: el enfoque basado en riesgos
El pilar central del Reglamento de IA es su clasificación por niveles de riesgo, establecida en el Título II y el Título III. Este enfoque determina las obligaciones específicas que recaen sobre cada tipo de sistema de IA.
Riesgo inaceptable (Artículo 5)
Ciertos usos de la IA quedan completamente prohibidos por considerarse contrarios a los valores fundamentales de la UE. Estas prohibiciones entraron en vigor el 2 de febrero de 2025 e incluyen:
- Manipulación subliminal: Sistemas que utilizan técnicas subliminales para distorsionar el comportamiento de las personas de manera perjudicial.
- Explotación de vulnerabilidades: IA que aprovecha la edad, discapacidad o situación socioeconómica de las personas.
- Puntuación social: Sistemas de clasificación de personas basados en su comportamiento social o características personales por parte de autoridades públicas.
- Identificación biométrica remota en tiempo real: En espacios públicos con fines de aplicación de la ley, salvo excepciones muy limitadas.
Alto riesgo (Artículos 6-49, Anexo III)
Los sistemas de IA de alto riesgo constituyen el grueso de las obligaciones regulatorias. El Anexo III enumera ocho categorías, entre las que destacan:
- Identificación biométrica y categorización de personas
- Gestión y explotación de infraestructuras críticas
- Educación y formación profesional
- Empleo, gestión de trabajadores y acceso al autoempleo
- Acceso a servicios esenciales y prestaciones públicas
- Aplicación de la ley
- Gestión de la migración, el asilo y el control de fronteras
- Administración de justicia y procesos democráticos
Para estos sistemas, el Artículo 9 exige un sistema de gestión de riesgos completo, el Artículo 10 establece requisitos estrictos de gobernanza de datos, y los Artículos 11-14 imponen obligaciones de documentación técnica, registro, transparencia y supervisión humana.
Riesgo limitado (Artículo 50)
Los sistemas de riesgo limitado - como chatbots, generadores de deepfakes o sistemas de reconocimiento de emociones - deben cumplir obligaciones de transparencia. Los usuarios deben ser informados de que están interactuando con un sistema de IA o de que el contenido ha sido generado artificialmente.
Riesgo mínimo
La gran mayoría de sistemas de IA (filtros de spam, videojuegos, sistemas de inventario) no tienen obligaciones específicas bajo el Reglamento, aunque se fomentan códigos de conducta voluntarios.
Calendario de aplicación: plazos que no puede ignorar
El Reglamento de IA se aplica de forma escalonada. Estos son los hitos clave:
| Fecha | Hito |
|---|---|
| 2 de febrero de 2025 | Prohibiciones de prácticas de IA inaceptables (Artículo 5) |
| 2 de agosto de 2025 | Obligaciones para modelos de IA de propósito general (GPAI) - Capítulo V |
| 2 de agosto de 2025 | Designación de autoridades nacionales competentes |
| 2 de agosto de 2026 | Obligaciones completas para sistemas de alto riesgo (Anexo III) |
| 2 de agosto de 2027 | Obligaciones para sistemas de alto riesgo integrados en productos regulados (Anexo I) |
La fecha crítica para la mayoría de las organizaciones es el 2 de agosto de 2026, momento en que las obligaciones para sistemas de alto riesgo del Anexo III serán plenamente exigibles.
Los 10 pasos para lograr el cumplimiento
1. Realizar un inventario completo de sistemas de IA
El primer paso es identificar todos los sistemas de IA que su organización desarrolla, despliega o utiliza. Esto incluye herramientas de terceros, API integradas y modelos embebidos en productos existentes. Muchas organizaciones descubren que utilizan más sistemas de IA de los que inicialmente creían.
2. Clasificar cada sistema según su nivel de riesgo
Aplique los criterios del Artículo 6 y el Anexo III para determinar si cada sistema es de alto riesgo, riesgo limitado o riesgo mínimo. Preste especial atención a los sistemas que toman decisiones que afectan a personas (contratación, crédito, seguros).
3. Verificar que no se utilizan prácticas prohibidas
Revise que ningún sistema de IA de su organización incurra en las prácticas prohibidas del Artículo 5. Esta obligación ya está en vigor desde febrero de 2025.
4. Implementar un sistema de gestión de riesgos (Artículo 9)
Para cada sistema de alto riesgo, establezca un proceso continuo e iterativo de gestión de riesgos que incluya la identificación, el análisis, la estimación y la evaluación de los riesgos conocidos y previsibles.
5. Garantizar la gobernanza de datos (Artículo 10)
Los conjuntos de datos de entrenamiento, validación y prueba deben cumplir criterios de calidad específicos: relevancia, representatividad, ausencia de errores y completitud. Documente las decisiones sobre los datos utilizados.
6. Preparar la documentación técnica (Artículo 11)
La documentación técnica debe elaborarse antes de la comercialización del sistema y mantenerse actualizada. Debe incluir una descripción general del sistema, el proceso de desarrollo, las capacidades y limitaciones, y los resultados de las pruebas.
7. Establecer registros automáticos (Artículo 12)
Los sistemas de alto riesgo deben incorporar funciones de registro (logging) que permitan la trazabilidad de su funcionamiento durante todo su ciclo de vida.
8. Garantizar la transparencia e informar a los usuarios (Artículo 13)
Proporcione instrucciones de uso claras y comprensibles que incluyan la identidad del proveedor, las características del sistema, las medidas de supervisión humana y la vida útil esperada.
9. Implementar la supervisión humana (Artículo 14)
Los sistemas de alto riesgo deben diseñarse para permitir una supervisión humana efectiva. Las personas que supervisen deben poder comprender las capacidades del sistema, detectar anomalías y decidir no utilizar el sistema o anular sus resultados.
10. Garantizar la exactitud, robustez y ciberseguridad (Artículo 15)
Los sistemas de alto riesgo deben alcanzar niveles adecuados de exactitud, robustez y ciberseguridad, y mantener estos niveles de forma coherente a lo largo de su ciclo de vida.
Obligaciones según el rol: proveedor vs. implementador
El Reglamento distingue claramente entre proveedores (quienes desarrollan o comercializan sistemas de IA) e implementadores (quienes utilizan sistemas de IA en un contexto profesional). Sus obligaciones difieren significativamente:
Proveedores (Artículos 16-22)
- Sistema de gestión de calidad (Artículo 17)
- Evaluación de conformidad antes de la comercialización (Artículo 43)
- Declaración de conformidad UE (Artículo 47)
- Marcado CE (Artículo 48)
- Registro en la base de datos de la UE (Artículo 49)
- Vigilancia poscomercialización (Artículo 72)
- Notificación de incidentes graves (Artículo 73)
Implementadores (Artículo 26)
- Uso del sistema conforme a las instrucciones del proveedor
- Supervisión humana por personas competentes
- Datos de entrada pertinentes y representativos
- Supervisión del funcionamiento y notificación de riesgos al proveedor
- Conservación de registros generados automáticamente (mínimo 6 meses)
- Evaluación de impacto sobre derechos fundamentales para determinados implementadores (Artículo 27)
Modelos de IA de propósito general (GPAI)
El Capítulo V del Reglamento introduce obligaciones específicas para los modelos de IA de propósito general (como los grandes modelos de lenguaje). Desde agosto de 2025:
- Todos los proveedores de GPAI deben preparar documentación técnica, compartir información con los proveedores downstream e implementar una política de derechos de autor.
- Proveedores de GPAI con riesgo sistémico (modelos entrenados con potencia de cálculo superior a 10^25 FLOP) deben además realizar evaluaciones de modelos, evaluar y mitigar riesgos sistémicos, notificar incidentes graves y garantizar niveles adecuados de ciberseguridad.
Cómo Matproof facilita el cumplimiento del Reglamento de IA
El cumplimiento del Reglamento de IA requiere una gestión coordinada de documentación, evaluaciones de riesgos y registros continuos. Matproof ofrece una plataforma de gestión de cumplimiento que automatiza gran parte de este proceso, permitiendo a las organizaciones:
- Realizar inventarios de sistemas de IA y clasificarlos según su nivel de riesgo
- Generar y mantener la documentación técnica exigida por el Artículo 11
- Gestionar evaluaciones de riesgos conforme al Artículo 9
- Mantener registros de auditoría y trazabilidad
- Preparar evaluaciones de conformidad
Puede evaluar el estado actual de preparación de su organización con nuestra Evaluación gratuita de conformidad IA, que analiza sus sistemas actuales y genera un informe de brechas personalizado.
Preguntas frecuentes
Q: ¿El Reglamento de IA se aplica a empresas fuera de la UE?
A: Sí. El Artículo 2 establece que el Reglamento se aplica a proveedores que comercialicen o pongan en servicio sistemas de IA en la UE, independientemente de dónde estén establecidos. También se aplica a implementadores ubicados en la UE y a proveedores o implementadores en terceros países cuando los resultados generados por el sistema de IA se utilicen en la UE.
Q: ¿Cuándo debo empezar a prepararme para el cumplimiento?
A: Ahora mismo. Las prohibiciones del Artículo 5 ya están en vigor desde febrero de 2025. Las obligaciones para sistemas de alto riesgo serán exigibles en agosto de 2026. Dado que la implementación de un sistema de gestión de riesgos, la preparación de documentación técnica y la realización de evaluaciones de conformidad requieren meses de trabajo, retrasar la preparación supone un riesgo significativo.
Q: ¿Qué ocurre si utilizo un sistema de IA de un proveedor externo?
A: Como implementador, tiene obligaciones propias bajo el Artículo 26. Debe asegurarse de que utiliza el sistema conforme a las instrucciones del proveedor, mantiene la supervisión humana y conserva los registros generados. No puede delegar completamente la responsabilidad en el proveedor.
Q: ¿Cómo se relaciona el Reglamento de IA con el RGPD?
A: Ambos reglamentos se aplican de forma complementaria. El Reglamento de IA no sustituye al RGPD. Si su sistema de IA procesa datos personales, debe cumplir ambas normativas simultáneamente. El Artículo 10.5 del Reglamento de IA permite el tratamiento de categorías especiales de datos personales para detectar y corregir sesgos, siempre que se cumplan las garantías del RGPD.
Q: ¿Las PYMES tienen obligaciones reducidas?
A: El Reglamento incluye algunas disposiciones para reducir la carga sobre las PYMES, como la posibilidad de utilizar entornos de pruebas regulatorios (sandboxes) establecidos por las autoridades nacionales (Artículos 57-62). Sin embargo, las obligaciones sustantivas para sistemas de alto riesgo se aplican independientemente del tamaño de la empresa.
Q: ¿Necesito realizar una evaluación de conformidad para mis sistemas de IA?
A: Solo si son sistemas de alto riesgo. El Artículo 43 establece dos vías: control interno (Anexo VI) o evaluación por un organismo notificado (Anexo VII). La mayoría de los sistemas de alto riesgo pueden utilizar la vía de control interno, excepto los sistemas de identificación biométrica remota, que requieren la intervención de un organismo notificado.
Próximos pasos
El Reglamento de IA de la UE no es una normativa que pueda abordarse a última hora. Requiere una planificación metódica, una comprensión profunda de los sistemas de IA en uso y una infraestructura de gobernanza sólida.
Comience hoy mismo realizando nuestra Evaluación gratuita de conformidad IA para identificar las brechas en su organización. Si necesita una plataforma que centralice todo el proceso de cumplimiento, inicie una prueba gratuita de Matproof y descubra cómo simplificar la gestión del Reglamento de IA junto con otros marcos normativos como DORA, NIS2 o el RGPD.