Regulación de la Inteligencia Artificial en el Marco Legal Europeo

La irrupción de la inteligencia artificial generativa y los sistemas algorítmicos de toma de decisiones ha obligado al legislador europeo a actuar con celeridad. El Reglamento (UE) 2024/1689, conocido como AI Act o Reglamento Europeo de Inteligencia Artificial, publicado en el DOUE el 12 de julio de 2024, constituye el primer marco normativo integral del mundo en esta materia. A mediados de 2026, gran parte de sus disposiciones ya despliegan efectos plenos en España, generando un escenario jurídico nuevo para empresas, administraciones y particulares.

Un enfoque basado en el riesgo

El AI Act adopta una arquitectura regulatoria basada en niveles de riesgo, clasificando los sistemas de IA en cuatro categorías:

• Riesgo inaceptable: prácticas prohibidas en su totalidad (artículo 5). Entre ellas se incluyen los sistemas de puntuación social al estilo chino, la manipulación subliminal, el reconocimiento de emociones en el ámbito laboral o educativo, y la categorización biométrica basada en datos sensibles.
• Alto riesgo: sistemas empleados en infraestructuras críticas, educación, empleo, servicios esenciales, aplicación de la ley, migración o administración de justicia (Anexo III). Están sujetos a obligaciones estrictas de evaluación de conformidad, documentación técnica y supervisión humana.
• Riesgo limitado: obligaciones de transparencia, como informar al usuario de que interactúa con una IA o etiquetar contenidos generados artificialmente (los llamados deepfakes).
• Riesgo mínimo: sin obligaciones específicas, aunque se fomenta la adhesión voluntaria a códigos de conducta.

Calendario de aplicación

La entrada en vigor del Reglamento se ha escalonado para permitir la adaptación del tejido empresarial:

• 2 de febrero de 2025: aplicación de las prohibiciones del artículo 5 y obligaciones de alfabetización en IA.
• 2 de agosto de 2025: obligaciones para los modelos de IA de propósito general (GPAI), como GPT, Gemini o Claude.
• 2 de agosto de 2026: aplicación general del Reglamento, incluyendo el régimen sancionador completo.
• 2 de agosto de 2027: obligaciones plenas para sistemas de alto riesgo integrados en productos regulados (Anexo I).

A fecha de publicación de este artículo, España se encuentra en el umbral de la aplicación general, lo que obliga a operadores públicos y privados a tener sus programas de cumplimiento operativos.

La AESIA: el regulador español

España ha sido pionera en la creación de una autoridad supervisora nacional. La Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña, fue creada por el Real Decreto 729/2023, de 22 de agosto, y es responsable de la vigilancia, inspección y régimen sancionador en el territorio español. Sus competencias se han visto ampliadas tras el desarrollo reglamentario aprobado durante 2025 para coordinar su actuación con la AEPD, la CNMC y el Banco de España, entre otros.

La AESIA participa además en el Consejo Europeo de IA, órgano de coordinación creado por el AI Act, lo que sitúa a España en una posición relevante en la gobernanza europea de esta tecnología.

Obligaciones clave para las empresas

Las organizaciones que desarrollen, distribuyan o utilicen sistemas de IA deben revisar urgentemente sus procedimientos. Entre las obligaciones más relevantes destacan:

1. Inventario y clasificación de los sistemas de IA utilizados o desarrollados.
2. Evaluación de conformidad para sistemas de alto riesgo, con marcado CE.
3. Sistema de gestión de riesgos documentado y actualizado.
4. Gobernanza de datos: calidad, representatividad y trazabilidad de los conjuntos de entrenamiento.
5. Transparencia y supervisión humana efectiva sobre las decisiones automatizadas.
6. Registro en la base de datos europea de sistemas de alto riesgo.
7. Formación del personal (alfabetización en IA conforme al artículo 4).

Para los proveedores de modelos GPAI, se añaden obligaciones específicas de documentación técnica, política de cumplimiento de la normativa de derechos de autor (en conexión con la Directiva 2019/790) y publicación de resúmenes de los datos de entrenamiento.

Régimen sancionador

El AI Act establece uno de los regímenes sancionadores más severos del derecho europeo, comparable al RGPD:

• Hasta 35 millones de euros o el 7% del volumen de negocio mundial por incumplir las prohibiciones del artículo 5.
• Hasta 15 millones o el 3% por incumplir obligaciones de proveedores o usuarios de sistemas de alto riesgo.
• Hasta 7,5 millones o el 1% por suministrar información incorrecta a las autoridades.

Las pymes y startups disfrutan de un régimen proporcionalmente más favorable, aplicándose siempre el importe menor.

Interacción con otras normas

El Reglamento no opera en el vacío. Se integra con un ecosistema normativo que incluye el RGPD, la LOPDGDD, la Ley de Servicios Digitales (DSA), la Ley de Mercados Digitales (DMA) y la futura Directiva de Responsabilidad por IA. Especial atención merece la Directiva (UE) 2024/2853 sobre responsabilidad por productos defectuosos, que ya incluye expresamente al software y los sistemas de IA como producto a efectos de responsabilidad.

La jurisprudencia comienza a perfilarse. El TJUE, en el asunto C-203/22 (sentencia de 7 de diciembre de 2023), ya advirtió sobre las exigencias de transparencia en decisiones automatizadas con efectos jurídicos sobre las personas, doctrina aplicable por analogía al nuevo marco.

Conclusión práctica

La regulación europea de la inteligencia artificial ya no es una expectativa futura: es derecho vigente con sanciones tangibles. Toda organización que use IA —desde un despacho que emplea herramientas generativas para redactar borradores hasta una multinacional que despliega algoritmos de selección de personal— debe auditar sus sistemas, clasificar sus usos según el riesgo y documentar su cumplimiento. La recomendación práctica es clara: designar un responsable de cumplimiento en IA, implantar un protocolo de gobernanza similar al del RGPD y formar al personal. El coste de la prevención es siempre inferior al de una sanción de la AESIA o a la pérdida reputacional derivada de un uso indebido de estas tecnologías.