6/25/2026
El Reglamento Europeo de Inteligencia Artificial —Reglamento (UE) 2024/1689— afecta a las empresas que utilizan sistemas de IA en su actividad ordinaria. En este caso, la empresa actúa habitualmente como responsable del despliegue o usuaria profesional del sistema, no como proveedora. El Reglamento es directamente aplicable en todos los Estados miembros y establece normas sobre el uso, la puesta en servicio y la explotación de sistemas de IA dentro de la Unión Europea.
¿Cuándo entra en vigor?
El 2 de febrero de 2025.
1. Identificar qué herramientas de IA utiliza la empresa
La primera obligación práctica es disponer de un inventario interno de las herramientas de IA utilizadas.
2. Clasificar el riesgo de cada uso
El Reglamento funciona por niveles de riesgo. Por ejemplo:
|
Categoría
|
Consecuencia práctica
|
|
Uso prohibido
|
No se puede utilizar.
|
|
Alto riesgo
|
Se exigen controles reforzados.
|
|
Riesgo de transparencia
|
Debe informarse de que se utiliza IA.
|
|
Riesgo limitado o bajo
|
Se requiere política interna, formación y control razonable.
|
Los sistemas de IA de alto riesgo pueden aparecer, especialmente, en ámbitos como recursos humanos, educación, servicios esenciales, acceso al crédito, seguros, biometría, infraestructuras críticas o decisiones que afecten a derechos de personas físicas. La Comisión Europea señala que los sistemas de alto riesgo son aquellos que pueden poner en peligro la salud, la seguridad o los derechos fundamentales.
3. Evitar usos prohibidos
La empresa debe prohibir internamente determinados usos de IA. Entre otros, no deberían utilizarse sistemas destinados a manipular a personas de forma engañosa o subliminal, explotar vulnerabilidades, realizar puntuación social, deducir emociones en el entorno laboral —salvo supuestos muy específicos— o categorizar biométricamente a personas en función de datos sensibles.
4. Formar al personal en el uso responsable de la IA
La empresa debe adoptar medidas para que el personal que utiliza sistemas de IA tenga un nivel suficiente de alfabetización en IA, teniendo en cuenta su formación, experiencia, funciones y el contexto de uso del sistema.
A nivel práctico, ello exige:
- formación mínima sobre qué es la IA y qué riesgos presenta;
- instrucciones sobre qué herramientas pueden utilizarse;
- prohibición de introducir datos confidenciales o sensibles en herramientas no autorizadas;
- obligación de revisar los resultados antes de utilizarlos;
- criterios para detectar errores, alucinaciones, sesgos o contenido no verificado;
- pautas específicas para documentos jurídicos, fiscales, laborales, financieros o técnicos.
5. Aprobar una política interna de uso de IA
La empresa debería disponer de una política interna de uso de IA, aunque el Reglamento no imponga un modelo formal único para todas las empresas.
Esta política debería regular:
- herramientas autorizadas y herramientas prohibidas;
- usos permitidos y usos que requieren autorización previa;
- tratamiento de datos personales;
- tratamiento de datos confidenciales, secretos empresariales e información de clientes;
- revisión humana obligatoria;
- responsabilidad del personal usuario;
- conservación de evidencias;
- procedimiento de incidencias;
- uso de IA en comunicaciones con clientes, personas trabajadoras o terceros;
- criterios para contratar nuevos proveedores de IA.
6. Informar cuando las personas interactúan con IA
Cuando la empresa utilice sistemas de IA que interactúen directamente con personas físicas, debe informarse de que se está interactuando con una IA, salvo cuando resulte evidente por el contexto. Esto afecta, por ejemplo, a chatbots de atención al cliente, asistentes virtuales, sistemas automatizados de respuesta o plataformas que generan interacciones con clientes o personas usuarias.
También debe actuarse con especial prudencia cuando se generen o manipulen contenidos mediante IA, como imágenes, audios, vídeos o textos que puedan inducir a error sobre su origen.
¿Cuáles pueden ser las sanciones?
Las sanciones pueden ser elevadas. El incumplimiento de las prácticas prohibidas puede alcanzar hasta 35.000.000€ o el 7% del volumen de negocio mundial anual. Otros incumplimientos pueden alcanzar hasta 15.000.000€ o el 3% del volumen de negocio mundial anual. La información inexacta, incompleta o engañosa facilitada a autoridades u organismos notificados puede sancionarse con hasta 7.500.000€ o el 1% del volumen de negocio mundial anual. Para pymes y empresas emergentes se aplica el menor de los importes correspondientes.
La empresa debe acreditar que utiliza la IA de forma controlada, transparente, segura y proporcionada. El riesgo principal no es solo la herramienta utilizada, sino la finalidad del tratamiento, los datos introducidos y el impacto que el resultado puede tener sobre personas físicas, clientes, personas trabajadoras o terceros.
¿Tienes dudas? Contacta con nosotros