El Reglamento (UE) 2024/1689, conocido como Reglamento de IA o AI Act, es la primera ley general sobre inteligencia artificial del mundo y ya se aplica por fases. En 2026 la UE aprobó un paquete de simplificación, el «Digital Omnibus» sobre IA, que retrasa las normas de alto riesgo y añade una prohibición nueva. Te explicamos el calendario vigente en octubre de 2026, qué está prohibido, qué etiquetas vas a ver en chatbots y deepfakes, quién vigila en España y qué tiene que hacer una pequeña empresa.
Qué es el Reglamento de IA en pocas palabras
Es un reglamento europeo, así que se aplica directamente en todos los Estados miembros sin necesidad de trasponerlo. No regula la tecnología en sí, sino sus usos, según el riesgo que suponen para la salud, la seguridad y los derechos fundamentales. Entró en vigor el 1 de agosto de 2024.
- Riesgo inaceptable: prácticas prohibidas, como la puntuación social.
- Alto riesgo: usos permitidos con obligaciones estrictas, como la IA para seleccionar personal o conceder créditos.
- Riesgo de transparencia: chatbots, contenido sintético y deepfakes, que deben identificarse como tales.
- Riesgo mínimo: la gran mayoría de aplicaciones, como filtros de spam o recomendaciones, sin obligaciones nuevas.
Aparte están los modelos de IA de uso general (los que hay detrás de ChatGPT, Claude o Gemini), con obligaciones propias de documentación, derechos de autor y, para los más potentes, seguridad.
Calendario de aplicación actualizado a octubre de 2026
El calendario original se ha modificado. El Reglamento (UE) 2026/1744, el llamado Digital Omnibus sobre IA, fue propuesto por la Comisión el 19 de noviembre de 2025, pactado por Parlamento y Consejo el 7 de mayo de 2026, aprobado definitivamente por el Consejo el 29 de junio y en vigor desde el 27 de julio de 2026. Así queda el calendario según la Comisión Europea:
| Fecha | Qué se aplica | Situación |
|---|---|---|
| 1 de agosto de 2024 | Entrada en vigor del Reglamento | Cumplido |
| 2 de febrero de 2025 | Ocho prácticas prohibidas y obligación de alfabetización en IA | En vigor |
| 2 de agosto de 2025 | Gobernanza y obligaciones de los modelos de IA de uso general | En vigor |
| 2 de agosto de 2026 | Aplicación general, obligaciones de transparencia y supervisión por las autoridades nacionales | En vigor |
| 2 de diciembre de 2026 | Nueva prohibición de las aplicaciones de «desnudar» y de material de abuso sexual infantil; fin del periodo de gracia para el marcado técnico de contenido generado por sistemas ya comercializados | Próximo |
| 2 de diciembre de 2027 | Sistemas de alto riesgo del anexo III (empleo, educación, crédito, servicios esenciales…) | Aplazado desde agosto de 2026 |
| 2 de agosto de 2028 | Sistemas de alto riesgo integrados en productos regulados del anexo I (máquinas, juguetes, ascensores…) | Aplazado desde agosto de 2027 |
Las prácticas prohibidas
Según la Comisión Europea, el Reglamento prohíbe hoy nueve prácticas. Las ocho primeras se aplican desde el 2 de febrero de 2025; la novena, añadida por el Omnibus, desde el 2 de diciembre de 2026.
- Manipulación y engaño dañinos mediante IA, por ejemplo técnicas subliminales que alteran tu comportamiento y te causan un perjuicio.
- Explotación dañina de vulnerabilidades por edad, discapacidad o situación social o económica.
- Puntuación social de personas.
- Evaluación o predicción del riesgo de que una persona cometa un delito basándose solo en su perfil o rasgos de personalidad.
- Extracción indiscriminada de imágenes faciales de internet o de cámaras para crear o ampliar bases de datos de reconocimiento facial.
- Reconocimiento de emociones en el trabajo y en centros educativos (con excepciones médicas o de seguridad).
- Categorización biométrica para deducir características protegidas como la orientación sexual, la religión o las opiniones políticas.
- Identificación biométrica remota en tiempo real en espacios públicos con fines policiales, salvo excepciones tasadas.
- Sistemas que generan contenido sexual explícito o íntimo no consentido o material de abuso sexual infantil, como las aplicaciones para «desnudar» fotos.
Para un usuario, la consecuencia práctica es que estas herramientas no pueden ofrecerse legalmente en la UE y que, si una empresa o administración las usa contigo, puedes denunciarlo. Las multas por prácticas prohibidas llegan a 35 millones de euros o el 7 % de la facturación mundial anual, la cifra que sea mayor.
Transparencia: chatbots, deepfakes y contenido generado
Desde el 2 de agosto de 2026 se aplican las obligaciones de transparencia del artículo 50. Son las que más vas a notar como usuario:
- Chatbots: cuando interactúas con un sistema de IA, como el asistente de atención al cliente de una tienda o un banco, te tienen que informar de que es una máquina, salvo que resulte obvio por el contexto.
- Contenido sintético: los proveedores de IA generativa deben marcar sus imágenes, audios, vídeos y textos de forma legible por máquinas, para que se pueda detectar que son artificiales. Para los sistemas que ya estaban en el mercado antes del 2 de agosto de 2026 hay un periodo de gracia hasta el 2 de diciembre de 2026.
- Deepfakes: quien publique imágenes, audio o vídeo manipulados que parezcan reales debe indicarlo de forma clara y visible. En obras artísticas, satíricas o de ficción basta con hacerlo de un modo que no estropee la obra.
- Textos de interés público: los textos generados con IA y publicados para informar sobre asuntos de interés público deben identificarse, salvo que hayan pasado revisión humana o control editorial y alguien asuma la responsabilidad.
- Reconocimiento de emociones y categorización biométrica permitidos: hay que avisar a las personas expuestas.
Para ayudar a cumplir, la Comisión impulsa un Código de Buenas Prácticas sobre marcado y etiquetado de contenido generado por IA, de adhesión voluntaria, que incluye iconos comunes para señalar imágenes, audio y texto artificiales. Ojo: estas marcas ayudan, pero no sustituyen al sentido crítico. Los detectores de texto generado tampoco son infalibles, como explicamos en nuestra guía de detectores de IA.
Qué cambia para ti como usuario particular
Si usas ChatGPT, Claude o Gemini para asuntos personales, el Reglamento no te impone obligaciones: el uso puramente personal y no profesional queda fuera de su ámbito. Lo que sí te da son garantías y derechos:
- Saber que hablas con una máquina y poder reconocer contenido generado o manipulado.
- Protección frente a las prácticas prohibidas, como la puntuación social o las apps para desnudar fotos.
- Cuando se apliquen las normas de alto riesgo (diciembre de 2027), derecho a una explicación de las decisiones que te afecten tomadas con ayuda de esos sistemas, por ejemplo en un proceso de selección o la concesión de un préstamo.
- Derecho a presentar una reclamación ante la autoridad de vigilancia del mercado si crees que se incumple el Reglamento.
- Los derechos del RGPD siguen intactos. Para limitar lo que los chatbots guardan de ti, consulta nuestra guía de privacidad en chatbots.
Si publicas en redes un vídeo o una imagen hiperrealista creada con IA, la obligación de etiquetar los deepfakes recae en quien despliega el sistema con fines profesionales. Aun así, etiquetarlo es buena práctica, y las propias redes sociales suelen exigirlo en sus normas.
Qué deben hacer las pequeñas empresas
La mayoría de pymes son «responsables del despliegue»: usan sistemas de IA de otros en su actividad profesional. Sus obligaciones dependen del uso, no del tamaño, y eso incluye los agentes de IA que actúan en nombre de la empresa.
| Uso típico en una pyme | Categoría | Qué hacer |
|---|---|---|
| Redactar correos o textos de marketing con ChatGPT o Claude | Riesgo mínimo | Formar al personal; revisar los textos antes de publicarlos |
| Chatbot de atención al cliente en la web | Transparencia | Avisar claramente de que es un asistente automático |
| Imágenes o vídeos realistas creados con IA para anuncios | Transparencia (deepfake si imita personas o hechos reales) | Etiquetar el contenido como generado o manipulado |
| Filtrar currículos o evaluar empleados con IA | Alto riesgo (anexo III) | Preparar supervisión humana, registros e información a los afectados antes de diciembre de 2027 |
| Puntuar la solvencia de clientes particulares | Alto riesgo (anexo III) | Igual que el anterior; consultar con un asesor |
| Detectar emociones de empleados en videollamadas | Prohibido | No usarlo |
Además, desde febrero de 2025 rige la obligación de alfabetización en IA del artículo 4. Tras el Omnibus, el texto pide a proveedores y responsables del despliegue que adopten medidas para apoyar la alfabetización en IA de su personal, sin exigir garantizar un nivel concreto para cada persona; la Comisión y los Estados miembros asumen un papel mayor en su promoción. En la práctica, conviene documentar una formación básica sobre qué herramientas se usan, sus límites y qué datos no se introducen.
- Haz inventario de las herramientas de IA que usa tu equipo, incluidas las que cada empleado usa por su cuenta.
- Clasifica cada uso con la tabla anterior.
- Escribe una política interna de una página: herramientas permitidas, datos prohibidos, revisión humana obligatoria.
- Forma a la plantilla y guarda constancia de la formación.
- Añade los avisos de transparencia en chatbots y contenidos sintéticos.
- Si tienes usos de alto riesgo, empieza ya a preparar la documentación aunque el plazo sea diciembre de 2027.
Quién vigila en España: la AESIA
La Agencia Española de Supervisión de Inteligencia Artificial (AESIA), con sede en A Coruña, es la autoridad que se encarga de supervisar el cumplimiento de la normativa de IA en España. Comparte competencias con otros organismos según el sector: la AEPD en protección de datos y, en sus ámbitos, el Banco de España, la CNMV o la Dirección General de Seguros.
El desarrollo español del Reglamento sigue pendiente. El Consejo de Ministros aprobó el 26 de mayo de 2026 el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial (publicado en el Boletín Oficial de las Cortes Generales el 12 de junio de 2026), pero la iniciativa caducó el 6 de octubre de 2026 con la disolución de las Cortes, según la ficha de tramitación del Congreso. Mientras no se apruebe una nueva ley, el Reglamento europeo se aplica directamente y la AESIA sigue siendo la autoridad de referencia, pero las cuantías concretas del régimen sancionador español no están fijadas. Si tienes una empresa, lo explicamos en detalle en la ley de IA en España: obligaciones para empresas.
Errores frecuentes sobre el Reglamento
- «Usar ChatGPT en la empresa está regulado como alto riesgo.» No: depende del uso. Redactar textos es riesgo mínimo; filtrar candidatos, alto riesgo.
- «El Omnibus ha aplazado todo.» No: prohibiciones, alfabetización, transparencia y modelos de uso general siguen en sus fechas.
- «Solo afecta a las grandes tecnológicas.» Las obligaciones de los responsables del despliegue alcanzan a cualquier empresa que use IA profesionalmente.
- «Si etiqueto el contenido, ya cumplo con todo.» El etiquetado no cubre la protección de datos, los derechos de imagen ni la propiedad intelectual.
Fichas de las herramientas citadas
ChatGPT
OpenAI · Asistente conversacional
El asistente generalista de OpenAI para escribir, analizar, programar y buscar en un solo sitio.
Claude
Anthropic · Asistente conversacional
El asistente de Anthropic para escribir con matiz, programar y trabajar con documentos largos.
Gemini
Google · Asistente conversacional
El asistente de Google, integrado en Gmail, Docs, Drive y Android, con planes que incluyen almacenamiento.
Microsoft Copilot
Microsoft · Asistente conversacional / productividad
La IA de Microsoft: chat gratuito para particulares y Copilot dentro de Word, Excel, Outlook y Teams para empresas.
Preguntas frecuentes
¿Cuándo se aplica el Reglamento europeo de IA?
Por fases: prohibiciones y alfabetización desde el 2 de febrero de 2025, modelos de uso general desde el 2 de agosto de 2025, aplicación general y transparencia desde el 2 de agosto de 2026, y alto riesgo desde el 2 de diciembre de 2027 o el 2 de agosto de 2028 tras el Digital Omnibus.
¿Qué es el Digital Omnibus sobre IA?
Es el Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026. Aplaza las obligaciones de alto riesgo, prohíbe las aplicaciones para desnudar imágenes desde el 2 de diciembre de 2026, recalibra la alfabetización en IA y amplía simplificaciones para pymes.
¿Tengo que etiquetar las imágenes que hago con IA?
Si las usas con fines profesionales y son deepfakes, es decir, imitan de forma realista personas, lugares o hechos, sí debes indicar que son artificiales. Para uso personal no hay obligación legal del Reglamento, aunque es buena práctica y muchas redes lo exigen.
¿Me tienen que avisar si hablo con un chatbot?
Sí. Desde el 2 de agosto de 2026 los sistemas diseñados para interactuar con personas deben informar de que son IA, salvo que resulte evidente por el contexto.
¿Quién vigila el cumplimiento en España?
La Agencia Española de Supervisión de Inteligencia Artificial (AESIA), junto con la AEPD y los supervisores sectoriales. El proyecto de ley orgánica que iba a desarrollar el régimen sancionador español caducó el 6 de octubre de 2026 con la disolución de las Cortes, así que habrá que esperar a una nueva iniciativa legislativa.
¿Qué multas prevé el Reglamento?
Hasta 35 millones de euros o el 7 % de la facturación mundial por prácticas prohibidas, y hasta 15 millones o el 3 % por otros incumplimientos. Para pymes se aplica la cifra menor de las dos.
Fuentes consultadas
- Comisión Europea: marco regulador de la IA (AI Act)
- Comisión Europea: el AI Omnibus entra en vigor
- Reglamento (UE) 2026/1744 (Diario Oficial de la UE)
- Reglamento (UE) 2024/1689 (EUR-Lex)
- Consejo de la UE: luz verde final a la simplificación de las normas de IA (29/06/2026)
- William Fry: acuerdo sobre el Omnibus, marcado y prohibición de desnudos
- Economist & Jurist: proyecto de Ley Orgánica de IA en España
- AESIA: Agencia Española de Supervisión de Inteligencia Artificial
¿Has visto un precio desactualizado o un error? Escríbenos desde la página de contacto y lo revisamos. Consulta también cómo elaboramos nuestras guías.
