Qué es el AI Act y a quién obliga: guía clara
El AI Act es la primera ley completa del mundo que regula la inteligencia artificial, y ya está en aplicación por fases. Si en tu empresa se usa IA, conviene entender lo básico sin tecnicismos: qué es, cómo clasifica los sistemas, a quién obliga, qué plazos corren y qué pasa si no se cumple. Esta guía lo explica claro.
¿Qué es el AI Act?
El AI Act es el Reglamento (UE) 2024/1689, la primera regulación integral y vinculante sobre inteligencia artificial a escala mundial. Su enfoque es sencillo: en lugar de regular la tecnología en abstracto, clasifica los usos de la IA por su nivel de riesgo y exige obligaciones proporcionales a ese riesgo.
Al ser un reglamento europeo, es de aplicación directa en todos los Estados miembros, sin necesidad de trasposición. Su objetivo es que la IA usada en Europa sea segura, transparente y respetuosa con los derechos fundamentales.
¿Cuáles son los niveles de riesgo del AI Act?
El AI Act establece cuatro niveles de riesgo, resumidos aquí:
| Nivel | Qué implica | Ejemplo |
|---|---|---|
| Inaceptable | Prohibido directamente | Puntuación social de ciudadanos por parte del Estado |
| Alto | Obligaciones estrictas: gestión de riesgos, documentación, supervisión humana | Selección de personal, scoring crediticio |
| Limitado | Obligaciones de transparencia | Chatbots, contenido generado por IA |
| Mínimo | Sin obligaciones específicas | Filtros de spam, videojuegos con IA |
La clave es que la clasificación depende del uso, no de la tecnología en sí: un mismo tipo de IA puede caer en un nivel u otro según para qué se emplee. Saber en qué nivel caen tus sistemas es el primer paso para entender qué te obliga.
¿Qué prácticas de IA están directamente prohibidas?
El nivel de riesgo inaceptable agrupa un número reducido de prácticas que el AI Act prohíbe sin excepción, por considerarlas incompatibles con los derechos fundamentales. Entre ellas están los sistemas de puntuación social por parte de gobiernos, la manipulación subliminal o engañosa que provoque daño, la explotación de vulnerabilidades de colectivos específicos (por edad, discapacidad o situación económica), y determinados usos de identificación biométrica en tiempo real en espacios públicos con fines policiales, salvo excepciones muy tasadas.
Para la inmensa mayoría de empresas tech, esta lista no supone un problema real porque sus productos no se acercan a estos usos. Pero conviene revisarla al menos una vez, especialmente si tu producto incluye funcionalidades de perfilado, scoring o segmentación de usuarios vulnerables, para descartar con seguridad que no encaja en ninguna de estas prácticas.
¿Qué significa «transparencia» en la práctica?
Para los sistemas de riesgo limitado, que son los más comunes en pymes tech, la obligación central es la transparencia: la persona tiene que poder saber que está interactuando con IA o que un contenido ha sido generado o modificado por IA. En la práctica, esto se traduce en cosas concretas: un aviso visible en un chatbot que indica que no es una persona, una etiqueta en una imagen o un vídeo generado con IA, o una nota en un texto redactado por un asistente cuando el contexto lo requiere.
No es una obligación compleja de cumplir técnicamente, pero sí exige revisar todos los puntos de contacto donde tu empresa usa IA de cara al usuario y asegurarse de que ninguno pasa desapercibido como si fuera una interacción humana. Es un fallo habitual en productos que integran IA generativa sin haber revisado este punto.
¿A quién obliga el AI Act?
Obliga a proveedores, importadores, distribuidores y usuarios profesionales de sistemas de IA que operen en el mercado europeo, con independencia de su tamaño y de dónde tengan la sede. No es una norma solo para las grandes tecnológicas: alcanza a cualquier organización que desarrolle, comercialice o use IA en la UE.
Esto incluye a las pymes que usan IA comprada a terceros. Lo específico para una empresa pequeña lo desarrollamos en AI Act para pymes y SaaS.
¿Qué plazos marca el AI Act?
La aplicación es escalonada. Las prácticas prohibidas y la obligación de alfabetización en IA del personal son exigibles desde principios de 2025. Las obligaciones para modelos de IA de propósito general llegaron a mediados de 2025. Y los requisitos para los sistemas de alto riesgo entran en plena vigencia en agosto de 2026, con algún plazo adicional en 2027.
Que la aplicación sea progresiva no significa que puedas esperar: varias obligaciones ya son plenamente exigibles hoy.
¿Qué sanciones prevé el AI Act?
El AI Act contempla sanciones significativas que escalan según la gravedad, y que en los casos más graves pueden alcanzar un porcentaje relevante de la facturación anual mundial de la empresa. Las prácticas prohibidas son las más duramente penalizadas.
Para una empresa, sin embargo, el mayor riesgo suele ser el comercial y reputacional: perder contratos o quedar fuera de licitaciones por no poder demostrar cumplimiento. En España, la autoridad de supervisión es la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA).
¿Cómo me preparo para el AI Act?
El camino ordenado es hacer un inventario de tus sistemas de IA, clasificarlos por nivel de riesgo y estructurar el cumplimiento con un marco de gestión reconocido, que hoy es la norma ISO 42001. La explicamos en qué es la ISO 42001, y la relación completa entre ley y norma en la guía del AI Act e ISO 42001.
Clasifica tus sistemas de IA con nosotros
Cuéntanos qué hace cada sistema de IA de tu empresa. Te ayudamos a situarlo en el nivel de riesgo que le corresponde y a entender, sin tecnicismos, qué te obliga de verdad y qué no.
Es el Reglamento (UE) 2024/1689, la primera ley integral del mundo sobre inteligencia artificial. Clasifica los usos de la IA por nivel de riesgo e impone obligaciones proporcionales a ese riesgo, con aplicación directa en toda la Unión Europea.
Cuatro: inaceptable (prohibido), alto (obligaciones estrictas), limitado (transparencia) y mínimo (sin obligaciones específicas). La clasificación depende del uso concreto del sistema, no solo de la tecnología.
A proveedores, importadores, distribuidores y usuarios profesionales de IA en el mercado europeo, con independencia del tamaño y del país de origen. Incluye a las pymes que usan IA de terceros.
La Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña, es la autoridad de referencia para la aplicación del AI Act en España.
Un grupo reducido de usos, como la puntuación social por parte de gobiernos, la manipulación subliminal que provoque daño o determinados usos de identificación biométrica en tiempo real en espacios públicos. La mayoría de empresas tech no se acerca a estos casos.