IA Act 2026: Guía completa para las empresas

<div class="container"> <article class="article-body"> <div class="key-points"> <h4><i class="bi bi-lightning-charge"></i> Lo esencial en 30 segundos</h4> <ul> <li><strong>El <a href="/glossaire/es/ia-act" class="glossary-link" title="Ver la definición">IA Act</a></strong> es la primera regulación mundial completa sobre inteligencia artificial</li> <li>Las <strong>prácticas prohibidas</strong> se aplican desde febrero de 2025 (scoring social, manipulación...)</li> <li>Las <strong>obligaciones <a href="/glossaire/es/gpai" class="glossary-link" title="Ver la definición">GPAI</a></strong> (modelos como <a href="/glossaire/es/chatgpt" class="glossary-link" title="Ver la definición">ChatGPT</a>, <a href="/glossaire/es/claude" class="glossary-link" title="Ver la definición">Claude</a>) se aplican desde agosto de 2025</li> <li>Los <strong>sistemas de alto riesgo</strong> estarán regulados a partir de agosto de 2026</li> <li>Sanciones de hasta <strong>35 M EUR o 7% de la facturación mundial</strong></li> </ul> </div> <p>La Unión Europea adoptó en abril de 2024 el reglamento sobre inteligencia artificial, comúnmente llamado <strong>IA Act</strong> o <strong>AI Act</strong>. Esta legislación histórica establece el primer marco jurídico completo del mundo para regular el desarrollo y el uso de la IA. Para las empresas, comprender y anticipar estas obligaciones ya no es una opción — es una necesidad estratégica.</p> <h2>Calendario de aplicación: ¿en qué punto estamos?</h2> <p>El IA Act adopta un enfoque progresivo. No todas las obligaciones entran en vigor simultáneamente, lo que deja a las empresas tiempo para prepararse.</p> <div class="timeline"> <div class="timeline-item past"> <div class="timeline-date">1 de agosto de 2024</div> <div class="timeline-content">Entrada en vigor del reglamento</div> </div> <div class="timeline-item past"> <div class="timeline-date">2 de febrero de 2025</div> <div class="timeline-content"><strong>Prácticas prohibidas</strong> + obligación de alfabetización en IA</div> </div> <div class="timeline-item past"> <div class="timeline-date">2 de agosto de 2025</div> <div class="timeline-content"><strong>Obligaciones GPAI</strong> (modelos de uso general) + gobernanza</div> </div> <div class="timeline-item current"> <div class="timeline-date">Diciembre de 2025</div> <div class="timeline-content">Herramienta de denuncia whistleblower lanzada por la Comisión</div> </div> <div class="timeline-item"> <div class="timeline-date">2 de agosto de 2026</div> <div class="timeline-content"><strong>Sistemas IA de alto riesgo</strong> (Anexo III)</div> </div> <div class="timeline-item"> <div class="timeline-date">2 de agosto de 2027</div> <div class="timeline-content">IA de alto riesgo en productos regulados + conformidad de GPAI existentes</div> </div> </div> <div class="warning-box"> <h4><i class="bi bi-exclamation-triangle"></i> Posible aplazamiento</h4> <p>En noviembre de 2025, la Comisión Europea propuso a través del "Digital Omnibus" aplazar ciertos plazos a diciembre de 2027. Sin embargo, las prácticas prohibidas y las obligaciones GPAI siguen vigentes.</p> </div> <h2>Los cuatro niveles de riesgo</h2> <p>El IA Act clasifica los sistemas de inteligencia artificial en cuatro categorías según su nivel de riesgo. Este enfoque proporcionado busca no frenar la innovación a la vez que protege los derechos fundamentales.</p> <h3>1. Riesgo inaceptable: las prácticas prohibidas</h3> <p>Desde el <strong>2 de febrero de 2025</strong>, estos usos de la IA están pura y simplemente prohibidos en Europa:</p> <table> <thead> <tr> <th>Práctica prohibida</th> <th>Descripción</th> </tr> </thead> <tbody> <tr> <td><strong>Scoring social</strong></td> <td>Calificación de individuos basada en su comportamiento social o sus características personales</td> </tr> <tr> <td><strong>Manipulación subliminal</strong></td> <td>Técnicas que explotan las vulnerabilidades psicológicas para influir en los comportamientos</td> </tr> <tr> <td><strong>Reconocimiento de emociones</strong></td> <td>Detección de emociones en el lugar de trabajo o en centros educativos</td> </tr> <tr> <td><strong>Scraping biométrico</strong></td> <td>Recopilación no dirigida de imágenes faciales en Internet para crear bases de datos</td> </tr> <tr> <td><strong>Policía predictiva</strong></td> <td>Predicción de la criminalidad basada únicamente en el perfilado</td> </tr> <tr> <td><strong>Identificación biométrica en tiempo real</strong></td> <td>En lugares públicos (salvo excepciones estrictamente reguladas para las fuerzas del orden)</td> </tr> </tbody> </table> <h3>2. Riesgo elevado: documentación y conformidad</h3> <p>Los sistemas de IA de alto riesgo están listados en el <strong>Anexo III</strong> del reglamento. Afectan a ámbitos donde la IA puede tener un impacto significativo en los derechos de las personas:</p> <ul> <li><strong>Biometría</strong>: Identificación, categorización, reconocimiento de emociones</li> <li><strong>Infraestructuras críticas</strong>: Gestión del tráfico, energía, agua</li> <li><strong>Educación</strong>: Acceso a centros educativos, evaluación, detección de trampas</li> <li><strong>Empleo</strong>: Reclutamiento, promoción, vigilancia de empleados</li> <li><strong>Servicios esenciales</strong>: Scoring crediticio, seguros, prestaciones sociales</li> <li><strong>Aplicación de la ley</strong>: Detección de mentiras, perfilado</li> <li><strong>Migración</strong>: Control fronterizo, solicitudes de asilo</li> </ul> <p>Para estos sistemas, los proveedores deben implementar:</p> <ul> <li>Un sistema de gestión de riesgos</li> <li>Una gobernanza de los datos de entrenamiento</li> <li>Una documentación técnica completa</li> <li>Mecanismos de trazabilidad</li> <li>Un control humano apropiado</li> <li>El marcado CE tras evaluación de conformidad</li> </ul> <h3>3. Riesgo limitado: transparencia obligatoria</h3> <p>Ciertos sistemas de IA presentan un riesgo limitado pero requieren una <strong>obligación de transparencia</strong>:</p> <ul> <li><strong>Chatbots</strong>: El usuario debe saber que está interactuando con una IA, no con un humano</li> <li><strong><a href="/glossaire/es/deepfake" class="glossary-link" title="Ver la definición">Deepfakes</a></strong>: Los contenidos sintéticos que imitan a personas reales deben estar claramente marcados</li> <li><strong>Sistemas de categorización</strong>: Información sobre el funcionamiento</li> <li><strong>Generación de contenido</strong>: Mención de que el contenido ha sido generado por IA</li> </ul> <div class="key-points"> <h4><i class="bi bi-chat-dots"></i> Impacto en los chatbots de marketing</h4> <ul> <li>Todos los chatbots en tus sitios web deben informar a los visitantes de que están interactuando con una IA</li> <li>Una mención visible al inicio de la conversación es suficiente</li> <li>Los asistentes virtuales de atención al cliente están afectados</li> </ul> </div> <h3>4. Riesgo mínimo: sin obligación específica</h3> <p>La gran mayoría de los sistemas de IA (filtros antispam, videojuegos, asistentes de productividad básicos...) presentan un riesgo mínimo y no están sujetos a ninguna obligación particular.</p> <h2>Las obligaciones GPAI: ChatGPT, Claude, Gemini afectados</h2> <p>Los <strong>modelos de IA de uso general</strong> (<a href="/glossaire/es/gpai" class="glossary-link" title="Ver la definición">GPAI</a> - General Purpose AI) son objeto de un régimen específico. Desde el <strong>2 de agosto de 2025</strong>, los proveedores de estos modelos deben respetar obligaciones de transparencia y documentación.</p> <h3>¿Quién está afectado?</h3> <table> <thead> <tr> <th>Proveedor</th> <th>Modelos afectados</th> </tr> </thead> <tbody> <tr> <td>OpenAI</td> <td>GPT-5, GPT-4o, DALL-E</td> </tr> <tr> <td>Anthropic</td> <td>Claude Opus 4.5, Sonnet, Haiku</td> </tr> <tr> <td>Google</td> <td><a href="/glossaire/es/gemini" class="glossary-link" title="Ver la definición">Gemini</a> 3.0, PaLM</td> </tr> <tr> <td>Meta</td> <td>Llama 3.3</td> </tr> <tr> <td>Mistral</td> <td>Mistral Large, Mixtral</td> </tr> </tbody> </table> <h3>Obligaciones de los proveedores GPAI</h3> <ul> <li><strong>Documentación técnica</strong>: Arquitectura, proceso de entrenamiento, consumo energético</li> <li><strong>Política de uso</strong>: Usos autorizados, restricciones, prohibiciones</li> <li><strong>Resumen de los datos de entrenamiento</strong>: Conformidad con los derechos de autor</li> <li><strong>Instrucciones para los implementadores</strong>: Guía de integración y buenas prácticas</li> </ul> <h3>El caso de los modelos con <a href="/glossaire/es/risque-systemique" class="glossary-link" title="Ver la definición">riesgo sistémico</a></h3> <p>Los modelos GPAI que superan el umbral de <strong>10 elevado a 25 FLOPs</strong> (potencia de cálculo de entrenamiento) se consideran de riesgo sistémico. Además, deben:</p> <ul> <li>Realizar evaluaciones del modelo y pruebas adversariales</li> <li>Documentar y notificar los incidentes graves</li> <li>Asegurar la ciberseguridad del modelo y su infraestructura</li> <li>Notificar a la Comisión en las 2 semanas siguientes si se alcanza el umbral</li> </ul> <p>GPT-5, Claude Opus 4.5 y Gemini 3.0 Pro probablemente entran en esta categoría.</p> <h2>Sanciones: importes disuasorios</h2> <table> <thead> <tr> <th>Tipo de infracción</th> <th>Multa máxima</th> </tr> </thead> <tbody> <tr> <td>Prácticas prohibidas (Artículo 5)</td> <td><strong>35 M EUR</strong> o <strong>7%</strong> de la facturación mundial</td> </tr> <tr> <td>No conformidad de sistemas de alto riesgo</td> <td><strong>15 M EUR</strong> o <strong>3%</strong> de la facturación mundial</td> </tr> <tr> <td>Información incorrecta a las autoridades</td> <td><strong>7,5 M EUR</strong> o <strong>1%</strong> de la facturación mundial</td> </tr> </tbody> </table> <p>Para las pymes, se prevén importes reducidos: se aplica el menor entre la multa a tanto alzado y el porcentaje de la facturación.</p> <h2>¿Cómo ponerse en <a href="/glossaire/es/conformite-ia" class="glossary-link" title="Ver la definición">conformidad</a>?</h2> <h3>Paso 1: Cartografiar tus sistemas de IA</h3> <p>Primer paso indispensable: <strong>censar todas las herramientas que utilizan IA</strong> en tu organización:</p> <ul> <li>Software profesional con funcionalidades de IA</li> <li>Plugins y extensiones (ChatGPT en tus herramientas)</li> <li>Servicios cloud y API de terceros</li> <li>Chatbots en tus sitios web</li> <li>Herramientas de marketing automation</li> <li>Soluciones de RRHH (filtrado de CV, evaluación...)</li> </ul> <h3>Paso 2: Clasificar los riesgos</h3> <p>Para cada sistema identificado, determina su categoría de riesgo según el IA Act. Los sistemas que afectan al empleo, al crédito o a la seguridad son generalmente de alto riesgo.</p> <h3>Paso 3: Documentar</h3> <p>Para los sistemas afectados, constituye un expediente que incluya:</p> <ul> <li>Descripción y objetivos del sistema</li> <li>Datos utilizados y su procedencia</li> <li>Métricas de rendimiento</li> <li>Limitaciones y sesgos identificados</li> <li>Medidas de control humano</li> </ul> <h3>Paso 4: Informar y formar</h3> <ul> <li>Actualizar las menciones legales de tus chatbots</li> <li>Informar a los empleados del uso de IA en los procesos de RRHH</li> <li>Formar a los equipos sobre los retos de la IA responsable</li> <li>Designar un responsable de conformidad IA</li> </ul> <h2>Impacto en la visibilidad IA y el marketing digital</h2> <p>El IA Act tiene implicaciones directas para las estrategias <a href="/glossaire/es/aeo" class="glossary-link" title="Ver la definición">AEO</a> y <a href="/glossaire/es/geo" class="glossary-link" title="Ver la definición">GEO</a>:</p> <ul> <li><strong>Chatbots de marketing</strong>: Obligación de informar a los visitantes</li> <li><strong>Contenidos generados por IA</strong>: Potencial obligación de marcado</li> <li><strong>Conformidad como señal de confianza</strong>: Los motores e IA podrían valorar a los actores responsables</li> <li><strong>Transparencia algorítmica</strong>: Documentación de los sistemas de recomendación</li> </ul> <div class="key-points"> <h4><i class="bi bi-graph-up"></i> La conformidad como ventaja competitiva</h4> <ul> <li>Transforma la restricción regulatoria en garantía de seriedad</li> <li>Posiciónate como actor responsable de la IA</li> <li>Anticipa los criterios de conformidad en las licitaciones</li> <li>Los motores de búsqueda podrían valorar los sitios conformes</li> </ul> </div> <h2>FAQ: Preguntas frecuentes sobre el IA Act</h2> <div class="faq-item"> <div class="faq-question"> Mi empresa usa ChatGPT. ¿Me afecta el IA Act? <i class="bi bi-chevron-down"></i> </div> <div class="faq-answer"> Como <strong>implementador</strong> (usuario) de un sistema de IA, tienes obligaciones limitadas. Principalmente debes asegurarte de que el uso sea conforme a las condiciones del proveedor e informar a las personas afectadas si la IA impacta sus derechos (ej: decisiones de RRHH). Es OpenAI, como proveedor, quien soporta la mayoría de las obligaciones GPAI. </div> </div> <div class="faq-item"> <div class="faq-question"> ¿Las startups se benefician de exenciones? <i class="bi bi-chevron-down"></i> </div> <div class="faq-answer"> El IA Act prevé <strong>sandboxes regulatorios</strong> (regulatory sandboxes) que permiten a las startups y pymes probar sus innovaciones en un marco aligerado. Además, los importes de las sanciones están limitados a cantidades más bajas para las pequeñas estructuras. </div> </div> <div class="faq-item"> <div class="faq-question"> ¿Mi chatbot de atención al cliente debe ser modificado? <i class="bi bi-chevron-down"></i> </div> <div class="faq-answer"> Sí. Desde febrero de 2025, todos los chatbots deben <strong>informar claramente a los usuarios</strong> de que están interactuando con una IA. Una mención al inicio de la conversación ("Soy un asistente virtual impulsado por IA") generalmente es suficiente. </div> </div> <div class="faq-item"> <div class="faq-question"> ¿El IA Act se aplica a las empresas fuera de la UE? <i class="bi bi-chevron-down"></i> </div> <div class="faq-answer"> Sí. Como el RGPD, el IA Act tiene un <strong>alcance extraterritorial</strong>. Se aplica a las empresas no europeas desde el momento en que sus sistemas de IA se utilizan en la UE o que los outputs afectan a personas situadas en la UE. </div> </div> <!-- CTA --> <div class="cta-box"> <h3>Verifica la visibilidad de tus clientes en las IA</h3> <p>Descubre cómo aparece la marca de un cliente en ChatGPT, Claude, Gemini y Perplexity</p> <a href="/partner-request" class="btn"> <i class="bi bi-rocket-takeoff"></i> Empezar una primera auditoría </a> </div> <!-- Related Articles --> <div class="related-articles"> <h3><i class="bi bi-link-45deg"></i> Artículos relacionados</h3> <div class="related-grid"> <a href="/blog/es/aeo-answer-engine-optimization-guide" class="related-link"> <i class="bi bi-arrow-right-circle"></i> Guía AEO: Answer Engine Optimization </a> <a href="/blog/es/geo-generative-engine-optimization-guide" class="related-link"> <i class="bi bi-arrow-right-circle"></i> Guía GEO: Generative Engine Optimization </a> <a href="/blog/es/ia-conversationnelles-surveiller-2025" class="related-link"> <i class="bi bi-arrow-right-circle"></i> IA conversacionales a vigilar en 2025 </a> <a href="/glossaire/es/ia-act" class="related-link"> <i class="bi bi-book"></i> Glosario: IA Act </a> </div> </div> </article> </div>