El AI Act (Reglamento (UE) 2024/1689) también obliga a las empresas que solo usan inteligencia artificial, no solo a quien la desarrolla. Si tu empresa usa un chatbot, un callbot o una herramienta de extracción de documentos, hoy tienes dos obligaciones principales: formar a tu equipo y avisar a las personas de que hablan con una IA. Si la IA interviene en decisiones sobre empleo, crédito o acceso a servicios, el sistema puede ser de alto riesgo, y sus obligaciones se aplican desde el 2 de diciembre de 2027.
Si buscas una introducción a los agentes de IA, empieza por nuestra guía de agentes de IA para empresas.
Qué es el AI Act y a quién se aplica
El Reglamento (UE) 2024/1689, conocido como reglamento europeo de IA o ley de inteligencia artificial de la UE, regula los sistemas de IA según su riesgo. Entró en vigor el 1 de agosto de 2024 y se aplica por fases, directamente en toda la UE. Afecta a cualquier empresa que use IA en su actividad profesional; el uso puramente personal queda fuera.
Proveedor o responsable del despliegue: qué rol tienes
El reglamento reparte las obligaciones por roles (artículo 3):
| Rol | Definición resumida | Ejemplo |
|---|---|---|
| Proveedor | Desarrolla un sistema de IA, o lo encarga, y lo comercializa o pone en servicio con su nombre o marca | Una empresa que vende un software de selección de personal con IA |
| Responsable del despliegue (deployer) | Usa un sistema de IA bajo su autoridad en una actividad profesional | Una empresa que usa ese software para filtrar candidatos |
La mayoría de las empresas son responsables del despliegue. Pero hay matices importantes:
- Si encargas un sistema a medida y lo pones en servicio con tu nombre, puedes ser proveedor de ese sistema, aunque lo programe otra empresa. La definición de proveedor incluye a quien “encarga el desarrollo”.
- Si modificas un sistema de alto riesgo, le pones tu marca o cambias su finalidad para que pase a ser de alto riesgo, asumes las obligaciones del proveedor (artículo 25).
- Si usas un modelo como GPT, Claude o Gemini por API, no eres proveedor del modelo. Eres proveedor o responsable del despliegue del sistema que construyes encima.
Antes de encargar un proyecto de IA, define por escrito quién es cada uno: eso fija quién documenta y quién responde ante la autoridad.
Las cuatro categorías de riesgo
1. Prácticas prohibidas (artículo 5)
Están prohibidas desde el 2 de febrero de 2025. Las más relevantes para una empresa:
- Manipular a las personas con técnicas subliminales o engañosas que les causen un perjuicio.
- Explotar vulnerabilidades por edad, discapacidad o situación económica.
- Reconocer emociones en el trabajo o en centros educativos, salvo por motivos médicos o de seguridad.
- Categorizar a personas por datos biométricos para deducir su raza, opiniones políticas, religión u orientación sexual.
La modificación de 2026 añade, desde el 2 de diciembre de 2026, la prohibición de sistemas que generan imágenes íntimas de personas identificables sin su consentimiento o material de abuso sexual infantil (Comisión Europea).
Ejemplo: un callbot que analiza el tono de voz de tus empleados para medir su estado emocional está prohibido.
2. Alto riesgo (anexos I y III)
- Anexo I: IA que es componente de seguridad de productos ya regulados (maquinaria, productos sanitarios, juguetes, ascensores, etc.).
- Anexo III: IA usada en ámbitos sensibles. Los más habituales:
- Empleo: publicar ofertas dirigidas, filtrar o evaluar candidaturas, decidir ascensos o despidos, asignar tareas según el comportamiento o evaluar el rendimiento.
- Acceso a servicios esenciales: evaluar la solvencia de personas físicas o fijar precios de seguros de vida y salud.
- Educación: admisión, evaluación de estudiantes o detección de copias en exámenes.
- Biometría: identificación biométrica remota o reconocimiento de emociones.
Un sistema del anexo III no es de alto riesgo si no influye de forma significativa en la decisión: por ejemplo, si realiza una tarea de procedimiento limitada o una tarea preparatoria (artículo 6.3). La excepción no se aplica nunca si el sistema elabora perfiles de personas.
3. Riesgo de transparencia (artículo 50)
Desde el 2 de agosto de 2026:
- Chatbots y agentes de voz: las personas deben saber que interactúan con una IA, salvo que sea obvio. La información se da, como tarde, en la primera interacción.
- Contenido generado por IA (audio, imagen, vídeo o texto): el proveedor debe marcarlo en un formato legible por máquina. Los sistemas comercializados antes del 2 de agosto de 2026 tienen hasta el 2 de diciembre de 2026 para cumplirlo.
- Ultrasuplantaciones (deepfakes) y textos de interés público generados por IA: quien los publica debe indicarlo. Los textos quedan exentos si una persona asume la responsabilidad editorial.
4. Riesgo mínimo
Un filtro de spam o un clasificador de documentos internos solo tiene la obligación de alfabetización en IA. El RGPD se aplica si trata datos personales.
Alfabetización en IA (artículo 4)
Desde el 2 de febrero de 2025, proveedores y responsables del despliegue deben tomar medidas para que su personal tenga conocimientos suficientes de IA. La modificación de 2026 suaviza la redacción: hay que “apoyar” esa alfabetización, sin exigir un nivel concreto a cada persona (EUR-Lex). En la práctica, documenta una formación breve: qué hace cada sistema, sus límites y cuándo revisar su resultado.
Modelos de IA de uso general (GPAI)
Los modelos de uso general (los grandes modelos de lenguaje) tienen obligaciones propias desde el 2 de agosto de 2025: documentación técnica, información para quien los integra, política de derechos de autor y un resumen de los datos de entrenamiento. Son obligaciones del proveedor del modelo (OpenAI, Anthropic, Google, Mistral, etc.), no de la empresa que lo usa por API. A ti te interesa pedir esa documentación y revisar sus condiciones de tratamiento de datos.
Calendario de aplicación actualizado (2026)
El Reglamento (UE) 2026/1744, conocido como “Digital Omnibus” o “AI Omnibus”, se adoptó el 8 de julio de 2026 y entró en vigor el 27 de julio de 2026. Retrasa las obligaciones de alto riesgo. El calendario vigente, según la Comisión Europea, es este:
| Fecha | Qué se aplica |
|---|---|
| 1 de agosto de 2024 | Entrada en vigor del reglamento |
| 2 de febrero de 2025 | Prácticas prohibidas y alfabetización en IA |
| 2 de agosto de 2025 | Gobernanza y obligaciones de los modelos de uso general |
| 2 de agosto de 2026 | Aplicación general, incluidas las obligaciones de transparencia del artículo 50 |
| 2 de diciembre de 2026 | Nuevas prohibiciones (imágenes íntimas no consentidas) y fin del plazo transitorio para marcar contenido generado |
| 2 de diciembre de 2027 | Sistemas de alto riesgo del anexo III (empleo, crédito, educación, biometría) |
| 2 de agosto de 2028 | Sistemas de alto riesgo integrados en productos regulados (anexo I) |
El retraso no es una razón para esperar: un sistema de selección que encargues hoy seguirá en uso en diciembre de 2027, y adaptarlo después cuesta más.
Obligaciones del responsable del despliegue de un sistema de alto riesgo
Si usas un sistema de alto riesgo, el artículo 26 te exige, entre otras cosas:
- Usarlo según las instrucciones del proveedor y vigilar su funcionamiento.
- Asignar la supervisión humana a personas con formación y autoridad suficientes.
- Conservar los registros (logs) que controlas durante al menos seis meses.
- Informar a los representantes de los trabajadores y a los trabajadores afectados antes de usarlo en el trabajo.
- Informar a las personas sobre las que el sistema toma o ayuda a tomar decisiones.
Quienes evalúan solvencia, fijan precios de seguros de vida y salud o prestan servicios públicos deben hacer además una evaluación de impacto en los derechos fundamentales (artículo 27).
Multas (artículo 99)
| Infracción | Multa máxima |
|---|---|
| Prácticas prohibidas | 35 millones de euros o el 7 % del volumen de negocio mundial anual, la cifra mayor |
| Otras obligaciones (alto riesgo, transparencia del artículo 50) | 15 millones de euros o el 3 %, la cifra mayor |
| Información incorrecta o engañosa a las autoridades | 7,5 millones de euros o el 1 %, la cifra mayor |
Para las pymes y empresas emergentes se aplica la cifra menor de las dos. Cada Estado miembro fija y aplica las sanciones concretas.
AESIA y la ley española de IA
La Agencia Española de Supervisión de Inteligencia Artificial (AESIA), con sede en A Coruña, tiene atribuidas por su estatuto funciones de inspección, comprobación y sanción en materia de IA (Real Decreto 729/2023). Publica guías prácticas para aplicar el reglamento. La AEPD sigue siendo la autoridad para todo lo que afecta a datos personales.
La ley española que debía adaptar el reglamento no está aprobada. El Gobierno aprobó el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial en mayo de 2026. El Congreso lo tramitó con el número 121/000096, pero su ficha oficial lo da por “Concluido - (Caducado)” desde el 6 de octubre de 2026. El AI Act se aplica igualmente, porque es un reglamento europeo.
AI Act y RGPD: cómo se combinan
El AI Act no sustituye al RGPD. Si el sistema trata datos personales, cumples los dos:
- Artículo 22 del RGPD: las personas tienen derecho a no ser objeto de decisiones únicamente automatizadas que les afecten de forma significativa. Mantén una revisión humana real.
- Artículo 35 del RGPD: la evaluación de impacto (EIPD) es obligatoria cuando el tratamiento supone un alto riesgo, algo habitual con IA que evalúa personas. El AI Act obliga al proveedor de alto riesgo a darte la información necesaria para hacerla (artículo 26.9).
- Artículo 28 del RGPD: el proveedor del modelo o de la plataforma es encargado del tratamiento. Necesitas un contrato y saber dónde se procesan los datos.
Checklist para una pyme según el caso de uso
| Caso de uso | Categoría habitual | Qué hacer |
|---|---|---|
| Chatbot web o de WhatsApp | Transparencia | Avisa de que es una IA al inicio e informa del tratamiento de datos. Limita qué datos consulta. Firma el contrato de encargado con el proveedor del modelo. |
| Callbot o agente de voz | Transparencia | Di al principio de la llamada que es un asistente automático e informa del tratamiento de datos. Registra cada llamada. Ofrece pasar a una persona. |
| Extracción de datos de documentos | Mínimo, salvo que decida sobre personas | Revisa los datos críticos. Si el resultado decide sobre crédito, empleo o acceso a servicios, revisa la clasificación. |
| Cribado de candidatos en RRHH | Alto riesgo (anexo III) | Pide al proveedor su documentación y declaración de conformidad. Haz la EIPD. Informa a los representantes de los trabajadores y a los candidatos. Asigna supervisión humana real. |
Y, para todos los casos:
- Haz un inventario de los sistemas de IA que usa tu empresa, incluidas las herramientas generalistas.
- Clasifica cada uno y define tu rol: proveedor o responsable del despliegue.
- Documenta la formación del personal que los usa.
- Revisa los contratos con los proveedores y repasa todo una vez al año.
Cómo lo aplicamos en LCApps
En LCApps diseñamos y operamos todos nuestros proyectos de IA respetando el RGPD y el AI Act. En los callbots que hemos desarrollado, el agente informa del tratamiento de datos al inicio de la llamada y registramos cada conversación. En los chatbots multicanal (web, WhatsApp, SMS y Telegram), el agente consulta datos reales del negocio solo con los permisos necesarios. En la extracción de datos, procesamos la documentación con IA, extraemos la información relevante del expediente y la volcamos directamente en él, con revisión humana donde el dato es crítico.
En un sistema de IA a medida, el cumplimiento empieza en el diseño: qué datos ve, qué acciones necesitan confirmación y cómo se registra cada decisión. Es un proyecto de software a medida más (ver cuánto cuesta).
Preguntas frecuentes
¿El AI Act se aplica a una pyme que solo usa ChatGPT?
Sí, pero con pocas obligaciones: apoyar la alfabetización en IA de tu equipo, cumplir el RGPD con los datos que introduces e indicar los deepfakes que publiques.
¿Tengo que avisar de que mi chatbot es una IA?
Sí, desde el 2 de agosto de 2026, salvo que sea obvio para una persona razonablemente informada. Un mensaje inicial claro, en el chat o al principio de la llamada, es la forma más sencilla de cumplir.
¿Se ha retrasado la aplicación del AI Act?
Solo en parte. El Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026, retrasa el alto riesgo del anexo III al 2 de diciembre de 2027 y el del anexo I al 2 de agosto de 2028. Las prohibiciones, la alfabetización, los modelos de uso general y la transparencia mantienen sus fechas.
¿Usar IA para filtrar currículos es de alto riesgo?
Normalmente, sí: el anexo III incluye analizar y filtrar candidaturas y evaluar candidatos. Las obligaciones de alto riesgo se aplican desde el 2 de diciembre de 2027, pero el artículo 22 y el artículo 35 del RGPD ya se aplican hoy.
Conclusión
El AI Act no prohíbe usar chatbots, callbots o extracción de documentos. Exige saber qué rol tienes, avisar a las personas y formar al equipo. El esfuerzo serio llega con los sistemas que deciden sobre personas.
En LCApps desarrollamos chatbots, callbots, extracción de datos de documentos y agentes de IA que cumplen el RGPD y el AI Act desde el diseño. Cuéntanos qué proceso quieres mejorar.