Reglamento de IA de la UE: la guía completa de conformidad (2026)

El Reglamento de IA es una ley basada en el riesgo. En lugar de tratar toda la IA por igual, clasifica los sistemas en categorías e impone obligaciones proporcionadas al riesgo que cada uno representa para la salud, la seguridad y los derechos fundamentales. Es extraterritorial: si personas en la UE utilizan su sistema de IA, o si sus resultados se usan en la UE, usted queda dentro del ámbito de aplicación aunque esté establecido fuera de la UE.

Cada sistema de IA se encuadra en una de las cuatro categorías:

• Prohibido (art. 5) — prácticas prohibidas como la puntuación social o determinadas aplicaciones manipuladoras.
• Alto riesgo (anexo III) — sistemas empleados en ámbitos como el empleo, la educación, los servicios esenciales, la aplicación de la ley y la biometría. Soportan las obligaciones más exigentes.
• Riesgo limitado (art. 50) — los sistemas que interactúan con personas (chatbots) o generan contenidos sintéticos están sujetos a obligaciones de transparencia.
• Riesgo mínimo — todo lo demás, sin obligaciones vinculantes.

Las obligaciones dependen de su papel: proveedor (art. 16), responsable del despliegue (art. 26), importador (art. 23) o distribuidor (art. 24). Quien comercialice un sistema de alto riesgo con su propio nombre o lo modifique sustancialmente se convierte en proveedor (art. 25) —con el conjunto completo de obligaciones, incluida la evaluación de la conformidad.

Los proveedores de IA de alto riesgo deben garantizar, entre otras cosas:

• un sistema de gestión de riesgos (art. 9)
• la gobernanza de datos y el control de sesgos (art. 10)
• la documentación técnica — anexo IV (art. 11)
• el registro de eventos (art. 12)
• la supervisión humana (art. 14)
• la exactitud, la solidez y la ciberseguridad (art. 15)
• la evaluación de la conformidad (art. 43), el marcado CE (art. 48) y el registro en la base de datos de la UE (art. 49)

El Reglamento se aplica de forma escalonada:

• 2 de febrero de 2025 — prohibición de las prácticas prohibidas + alfabetización en materia de IA (art. 4)
• 2 de agosto de 2025 — obligaciones para los proveedores de modelos de IA de uso general (GPAI)
• 2 de agosto de 2026 — la mayoría de las obligaciones de alto riesgo (anexo III) y de transparencia (art. 50)
• 2 de agosto de 2027 — sistemas de alto riesgo que son componentes de seguridad de productos regulados

El Reglamento prevé multas escalonadas: hasta 35 millones de EUR o el 7 % del volumen de negocios anual mundial por infringir las prácticas prohibidas (art. 5), y hasta 15 millones de EUR o el 3 % por la mayoría de los demás incumplimientos. Para las pymes y las empresas emergentes se aplica el menor de los dos importes.