Reglamento europeo de IA: claves jurídicas para España en 2026

La entrada en vigor del Reglamento (UE) 2024/1689, conocido como AI Act o Reglamento de Inteligencia Artificial, ha supuesto el mayor salto regulatorio en materia tecnológica desde el RGPD. Publicado en el DOUE el 12 de julio de 2024 y con aplicación escalonada hasta el 2 de agosto de 2027, el texto define un marco común para el desarrollo, comercialización y uso de sistemas de IA en toda la Unión Europea. En España, su despliegue coincide con la consolidación de la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), creada por el Real Decreto 729/2023 y con sede en A Coruña.

Un enfoque basado en el riesgo

El Reglamento articula su régimen jurídico sobre una clasificación piramidal del riesgo que determina las obligaciones aplicables a proveedores, importadores, distribuidores y usuarios profesionales (denominados responsables del despliegue).

• Riesgo inaceptable (art. 5): prácticas prohibidas desde el 2 de febrero de 2025, como el social scoring, la categorización biométrica para inferir datos sensibles, el reconocimiento de emociones en el ámbito laboral y educativo, o la identificación biométrica remota en tiempo real en espacios públicos (con excepciones tasadas para fines policiales).
• Alto riesgo (Anexo III): sistemas usados en infraestructuras críticas, educación, empleo, servicios esenciales, aplicación de la ley, migración o administración de justicia. Quedan sujetos a obligaciones reforzadas de gestión de riesgos, gobernanza de datos, documentación técnica, transparencia, supervisión humana y ciberseguridad.
• Riesgo limitado: obligaciones de transparencia, como informar al usuario de que interactúa con una IA o etiquetar los contenidos sintéticos (deepfakes).
• Riesgo mínimo: sin obligaciones específicas, aunque se promueven códigos de conducta voluntarios.

A esta estructura se suma un régimen específico para los modelos de IA de uso general (GPAI), incluidos los modelos fundacionales con riesgo sistémico, aplicable desde el 2 de agosto de 2025.

Calendario de aplicación

El despliegue normativo es progresivo:

1. 2 de febrero de 2025: prohibiciones del art. 5 y obligaciones de alfabetización en IA (art. 4).
2. 2 de agosto de 2025: régimen de modelos GPAI, gobernanza y sanciones.
3. 2 de agosto de 2026: plena aplicación, incluidos sistemas de alto riesgo del Anexo III.
4. 2 de agosto de 2027: sistemas de alto riesgo integrados en productos regulados por legislación sectorial (Anexo I).

En la fecha actual, junio de 2026, las empresas afrontan la cuenta atrás para el cumplimiento pleno, lo que ha intensificado la actividad de la AESIA y las consultas a despachos especializados.

Régimen sancionador

El artículo 99 del Reglamento establece un sistema de sanciones equiparable —e incluso superior— al del RGPD:

• Hasta 35 millones de euros o el 7% del volumen de negocio anual mundial por incumplir las prohibiciones del art. 5.
• Hasta 15 millones o el 3% por infracciones de obligaciones de proveedores y responsables.
• Hasta 7,5 millones o el 1% por suministrar información incorrecta a las autoridades.

En España, la Ley de gobernanza de la IA, actualmente en tramitación parlamentaria como complemento nacional al Reglamento, designa a la AESIA como autoridad competente principal, sin perjuicio de las competencias de la AEPD en materia de datos personales, del Banco de España en servicios financieros o de la CNMC en mercados.

Encaje con el ordenamiento español

El Reglamento es directamente aplicable, pero su implementación exige coordinarse con normativa nacional ya vigente:

• La LOPDGDD (Ley Orgánica 3/2018) y el RGPD, especialmente en lo relativo a decisiones automatizadas (art. 22 RGPD).
• El Estatuto de los Trabajadores, tras la reforma operada por la Ley 12/2021 (Ley Rider), que reconoce el derecho de los representantes legales a ser informados sobre los algoritmos que afectan a las condiciones laborales.
• La Ley 15/2022 integral para la igualdad de trato, que prohíbe la discriminación algorítmica.
• La Carta de Derechos Digitales de 2021, instrumento programático pero crecientemente citado por la jurisprudencia.

La Sentencia del Tribunal Supremo 1131/2025, sobre el uso de algoritmos de evaluación de riesgo en procedimientos administrativos, anticipa criterios interpretativos relevantes: exige motivación reforzada, trazabilidad y derecho efectivo a la revisión humana, alineándose con el espíritu del AI Act.

Obligaciones prácticas para empresas y profesionales

Los despachos que asesoran a empresas tecnológicas, sanitarias, educativas o de RR. HH. deben priorizar:

• Inventario y clasificación de los sistemas de IA utilizados o desarrollados.
• Evaluaciones de impacto sobre derechos fundamentales (FRIA), obligatorias para determinados responsables del despliegue (art. 27).
• Sistemas de gestión de riesgos y calidad documentados.
• Formación obligatoria del personal en alfabetización en IA (art. 4).
• Cláusulas contractuales específicas con proveedores de modelos y sistemas, en línea con las recomendaciones de la Comisión Europea de 2025.
• Registro en la base de datos europea para sistemas de alto riesgo.

Conclusión práctica

La regulación europea de la IA no es un mero ejercicio normativo: redefine la responsabilidad jurídica en el ecosistema digital y abre un nuevo nicho de práctica profesional. Para el abogado, conviene actuar ya: auditar los sistemas de los clientes, anticipar la evaluación de impacto y diseñar políticas internas de gobernanza algorítmica. Para el ciudadano, el Reglamento refuerza derechos —información, explicación, revisión humana— que pueden invocarse ante autoridades y tribunales. La ventana para adaptarse al cumplimiento pleno se cierra el 2 de agosto de 2026; quien llegue tarde se expondrá a un régimen sancionador que, como demostró el RGPD, las autoridades europeas no dudan en aplicar con contundencia.