Como ya informamos en circulares anteriores, el marco regulatorio europeo sobre inteligencia artificial entró en vigor el 1 de agosto de 2024. No obstante, el Reglamento establece una aplicación progresiva de sus disposiciones y, con carácter general, será plenamente aplicable a partir del 2 de agosto de 2026, aunque determinadas obligaciones ya se encuentran vigentes. :contentReference[oaicite:0]{index=0}
Se trata del primer marco jurídico integral del mundo destinado a regular la inteligencia artificial. Es aplicable en la Unión Europea y establece una serie de obligaciones para las personas físicas y jurídicas que intervienen en el desarrollo, comercialización, distribución o utilización de sistemas de IA.
A continuación, resumimos los aspectos del Reglamento de Inteligencia Artificial que tienen una mayor relevancia práctica para las empresas.
Índice de contenidos
El Reglamento de Inteligencia Artificial se aplica a cualquier empresa que desarrolle, comercialice, ponga en servicio, distribuya o utilice sistemas de IA en la Unión Europea. También puede afectar a entidades establecidas fuera de la UE cuando los resultados generados por sus sistemas se utilicen dentro del territorio europeo.
Por tanto, una empresa perteneciente a un sector tradicional, como la industria, la alimentación, la logística, la distribución o los despachos profesionales, puede quedar incluida en el ámbito de aplicación del Reglamento por utilizar herramientas de inteligencia artificial en sus procesos internos, aunque no haya desarrollado directamente esos sistemas.
Este sería el caso, por ejemplo, de una compañía que emplea una herramienta de IA para seleccionar personal mediante el análisis automatizado de currículums.
El Reglamento de IA no se aplica exclusivamente en función del tamaño de la empresa, su facturación o su número de trabajadores. Las obligaciones dependen principalmente del papel que desempeñe la entidad respecto al sistema de IA y del nivel de riesgo que presente su utilización.
En consecuencia, pueden existir grandes compañías que apenas se vean afectadas por determinadas obligaciones y pequeñas empresas que deban adoptar medidas relevantes por el tipo de sistema de inteligencia artificial que utilizan.
El Reglamento identifica diferentes operadores en función de su relación con el sistema de inteligencia artificial:
Es la persona física o jurídica que desarrolla un sistema de IA o un modelo de inteligencia artificial de uso general, o encarga su desarrollo, y lo introduce en el mercado o lo pone en servicio con su propio nombre o marca, tanto de forma gratuita como mediante contraprestación económica.
Es la persona física o jurídica que utiliza un sistema de IA bajo su autoridad, salvo cuando dicho uso se realice en el marco de una actividad personal y no profesional.
Es la persona física o jurídica establecida en la Unión Europea que introduce en el mercado un sistema de IA que lleva el nombre o la marca de una entidad establecida en un tercer país.
Es la empresa que introduce en el mercado o pone en servicio un sistema de inteligencia artificial junto con su producto y bajo su propio nombre o marca.
Es la persona física o jurídica establecida en la Unión Europea que ha recibido un mandato escrito de un proveedor no establecido en la UE para actuar en su nombre y cumplir determinadas obligaciones previstas en el Reglamento.
El Reglamento de IA establece un sistema basado en el nivel de riesgo. Esto significa que, cuanto mayor sea el peligro que presenta un sistema para la seguridad, la salud o los derechos fundamentales de las personas, mayores serán las obligaciones legales exigibles.
El marco europeo distingue cuatro niveles principales de riesgo: inaceptable, alto, limitado y mínimo. Además, establece un régimen específico para los modelos de inteligencia artificial de uso general. :contentReference[oaicite:1]{index=1}
Son aquellos usos de la inteligencia artificial que están prohibidos debido a su especial peligrosidad para los derechos fundamentales.
Entre estas prácticas se encuentran determinadas técnicas manipuladoras destinadas a distorsionar el comportamiento de una persona, algunos sistemas utilizados para evaluar o predecir el riesgo de que alguien cometa un delito y ciertos sistemas de identificación biométrica remota en tiempo real en espacios de acceso público con fines policiales, salvo las excepciones expresamente previstas por la normativa.
Cuando una práctica de inteligencia artificial está calificada como prohibida, la empresa no puede implantarla ni utilizarla, aunque adopte medidas de seguridad o supervisión adicionales.
Los sistemas de alto riesgo son aquellos que se utilizan en ámbitos especialmente sensibles o críticos.
Dentro de esta categoría pueden encontrarse determinados sistemas relacionados con la biometría, la gestión de infraestructuras críticas, los suministros de agua, gas o electricidad, el transporte, el acceso a servicios esenciales, la banca, los seguros, la concesión de créditos, el empleo o la gestión de trabajadores.
Las herramientas de inteligencia artificial utilizadas para seleccionar personal, filtrar currículums, puntuar candidaturas, asignar tareas o evaluar el rendimiento profesional pueden quedar clasificadas como sistemas de alto riesgo.
Los sistemas de riesgo limitado están permitidos, pero deben cumplir determinadas obligaciones de transparencia.
En esta categoría se incluyen, entre otros, algunos sistemas que interactúan directamente con personas y determinadas herramientas que generan o manipulan contenidos, como los chatbots y los asistentes virtuales.
En estos casos, la persona debe ser informada de manera clara de que está interactuando con un sistema de inteligencia artificial, salvo que resulte evidente por las circunstancias y el contexto de uso.
La mayoría de los sistemas de inteligencia artificial de uso cotidiano pueden considerarse de riesgo mínimo. En estos supuestos, el Reglamento no establece obligaciones especialmente intensas, aunque las empresas pueden aplicar voluntariamente códigos de conducta y medidas internas de utilización responsable.
Por otra parte, los modelos de inteligencia artificial de uso general cuentan con un régimen específico. Sus proveedores pueden estar sujetos a obligaciones relacionadas con la documentación técnica, la información facilitada a otros operadores, el respeto de la normativa sobre derechos de autor y, en determinados casos, la evaluación y mitigación de riesgos sistémicos.
La inteligencia artificial de uso general no constituye exactamente un nivel de riesgo adicional, sino una categoría específica sometida a obligaciones propias según sus características y capacidades.
Las medidas que debe adoptar cada empresa dependen de su función respecto al sistema de inteligencia artificial y del nivel de riesgo que presente su utilización.
La empresa no puede desarrollar, implantar ni utilizar las prácticas expresamente prohibidas por el Reglamento.
Los sistemas de alto riesgo exigen implantar un sistema de gestión de riesgos durante todo su ciclo de vida. La empresa deberá identificar, analizar, evaluar y mitigar los posibles riesgos, incluyendo los derivados de usos indebidos que sean razonablemente previsibles.
También deberá garantizar una supervisión humana efectiva mediante personas que cuenten con la formación, autoridad y capacidad necesarias para vigilar el funcionamiento del sistema y prevenir o reducir sus posibles efectos negativos.
Cuando una empresa utilice una herramienta de IA para filtrar currículums, puntuar candidaturas o evaluar el rendimiento de su plantilla, puede resultar necesario, entre otras actuaciones:
La adquisición de una herramienta de IA a un proveedor externo no libera a la empresa usuaria de sus propias responsabilidades como responsable del despliegue.
Cuando se utilicen chatbots, asistentes virtuales u otros sistemas que interactúan directamente con personas, deberá facilitarse información clara y comprensible sobre su naturaleza.
Como medidas básicas, es recomendable:
Las obligaciones de transparencia previstas en el artículo 50 del Reglamento serán aplicables, con carácter general, desde el 2 de agosto de 2026. :contentReference[oaicite:2]{index=2}
Los proveedores y responsables del despliegue deben adoptar medidas para garantizar, en la mayor medida posible, que las personas que utilizan sistemas de IA por cuenta de la organización dispongan de conocimientos y competencias suficientes.
Esta obligación, conocida como alfabetización en materia de inteligencia artificial, implica proporcionar una formación adaptada al contexto de uso, a los conocimientos previos de las personas usuarias y a los riesgos asociados al sistema.
Las obligaciones relativas a la alfabetización en IA son aplicables desde el 2 de febrero de 2025. :contentReference[oaicite:3]{index=3}
Entre las primeras actuaciones que deberían realizar las empresas se encuentran:
En Escura disponemos de un área especializada en cumplimiento normativo desde la que asesoramos a las empresas sobre las obligaciones derivadas del Reglamento de Inteligencia Artificial.
Nuestro equipo puede ayudar a identificar los sistemas de IA utilizados por la organización, determinar su nivel de riesgo, revisar las obligaciones aplicables y preparar la documentación y los procedimientos internos necesarios.
La proximidad del 2 de agosto de 2026 hace recomendable que las empresas revisen desde ahora cómo utilizan la inteligencia artificial y qué medidas deben implantar.
Una evaluación anticipada permite detectar riesgos, adaptar los procedimientos internos y evitar posibles incumplimientos cuando las nuevas obligaciones resulten plenamente aplicables.
Despacho experto en compliance penal, familia, fiscal, internacional, laboral, nuevas tecnologías, mercantil, prevención de blanqueo de capitales, procesal, sector asistencial y farmacias y urbanismo.
Comte d’Urgell 240, 7º B
08036 Barcelona
Telf. +34 93 494 01 31
Fax. 93 321 74 89
Formar parte de este portal es una garantía de calidad y de confianza
Llegamos mensualmente a más de 80.000 empresas de todo el territorio español.
Mantente al día con las últimas tendencias y noticias del ámbito legal.
