El 24 de julio de 2026 la Unión Europea publicó una reforma que mueve varias fechas del reglamento europeo de inteligencia artificial. Muchas empresas lo han leído como una prórroga general. No lo es.
Se ha aplazado una parte concreta de la norma. El resto sigue su curso, y hay obligaciones que llevan vigentes desde febrero de 2025.
En esta guía veremos qué exige el reglamento de inteligencia artificial a las empresas que usan IA. Verás qué está prohibido, qué se te exige, qué fechas hay que tener muy presente y las sanciones por incumplimiento. Los datos están actualizados a 30 de julio de 2026.
Qué es el reglamento europeo de inteligencia artificial y a quién obliga
El Reglamento (UE) 2024/1689 es la primera norma del mundo que regula la inteligencia artificial de forma horizontal. También se le conoce como reglamento europeo de IA o AI Act. Se aprobó el 13 de junio de 2024 y se publicó en el Diario Oficial el 12 de julio de 2024.
No regula una tecnología concreta. Regula usos, y reparte obligaciones según el daño que un sistema puede causar a las personas.
Su artículo 3 define el sistema de IA como un sistema basado en una máquina que funciona con distintos niveles de autonomía. Ese sistema infiere de la información de entrada cómo generar predicciones, contenidos, recomendaciones o decisiones. Es una definición amplia a propósito.
Los dos roles que fija el reglamento
El artículo 2 delimita a quién se aplica por el efecto de los sistemas, no por dónde tengas la sede. Alcanza a los proveedores que introducen IA en el mercado de la Unión Europea y a los responsables del despliegue establecidos aquí. También a los de fuera, cuando los resultados se usan en la Unión Europea.
Para una empresa que no desarrolla IA, el rol que importa es el segundo:
- Proveedor: quien desarrolla un sistema de IA, o lo encarga, y lo pone en el mercado con su nombre o marca.
- Responsable del despliegue: quien utiliza un sistema de IA bajo su propia autoridad, fuera de un uso personal ajeno a la actividad profesional.
Si compras software con IA y lo usas en tu empresa, eres responsable del despliegue. Ese es tu rol por defecto.
Da igual si la herramienta es corporativa o gratuita
La definición no habla de licencias ni de contratos. Habla de usar un sistema bajo tu autoridad, dentro de tu actividad.
Por tanto entra la plataforma corporativa que compraste. Y entra la cuenta gratuita que alguien de tu equipo abrió para agilizar una tarea. Esa segunda categoría, la IA en la sombra, es la que más problemas da.
Nadie la ha inventariado, nadie la ha aprobado y casi nadie la ha documentado.
Los cuatro niveles de riesgo del reglamento de inteligencia artificial
El reglamento no valora si la IA es buena o mala. Valora qué ocurre cuando se aplican prácticas que entran en conflicto con el reglamento y qué peso tiene el sistema de IA en decisiones sobre personas.
Lo importante para ti es que el nivel depende del uso, no de la herramienta. El mismo modelo es de riesgo mínimo si redacta una oferta de empleo. Y de alto riesgo si puntúa a los candidatos que responden a ella.
Nivel | Ejemplo en una empresa | Qué te exige | Desde cuándo |
Riesgo mínimo | Filtro antispam, corrector, recomendador de contenidos | Nada específico | No aplica |
Riesgo de transparencia | Chatbot de atención, contenido generado por IA, ultrasuplantaciones | Avisar de que hay IA detrás y marcar el contenido | 2 de agosto de 2026 |
Alto riesgo | Cribado de currículums, evaluación del rendimiento, decisiones de promoción o despido | Supervisión humana, registros, información a la plantilla | 2 de diciembre de 2027 |
Prácticas prohibidas | Reconocimiento de emociones en el trabajo, manipulación, puntuación de personas | Prohibición absoluta | 2 de febrero de 2025 |
La mayoría de la IA que usa una empresa cae en el riesgo mínimo, que no acarrea requisitos propios. El riesgo de transparencia lo cubre el artículo 50. Obliga a avisar de que hay una máquina detrás y a marcar el contenido sintético.
El alto riesgo lo define el artículo 6 por dos vías, y la que te afecta son los casos de uso del anexo III. Las prácticas prohibidas del artículo 5 no admiten excepción por tamaño, ni por consentimiento del trabajador, ni por buena intención. Están vigentes desde el 2 de febrero de 2025 y cargan la multa más alta.
Las 5 áreas donde más afecta la normativa de inteligencia artificial para empresas
El anexo III, punto 4, sitúa el empleo y la gestión de trabajadores entre los ámbitos de alto riesgo. Cubre la selección, por un lado, y las decisiones sobre la relación laboral, por otro.
1. Selección y contratación
Entra aquí cualquier sistema destinado a publicar anuncios de empleo dirigidos, filtrar candidaturas o evaluar candidatos, según la definición literal del anexo III.
Eso alcanza al cribado automático de tu ATS, a los rankings de idoneidad y a las pruebas de vídeo analizadas por algoritmo. Si la herramienta ordena o descarta personas, estás en alto riesgo.
2. Evaluación del rendimiento
El anexo III incluye los sistemas destinados a supervisar y evaluar el rendimiento y el comportamiento de las personas trabajadoras.
Aquí caen los cuadros de mando de productividad con puntuación algorítmica y las herramientas de seguimiento de actividad. La pregunta importante no es si puedes usarlos, sino con qué garantías.
3. Decisiones sobre condiciones, promoción y salida
Las decisiones que afectan a las condiciones de la relación laboral, a la promoción o a la rescisión están expresamente listadas.
Apoyar un despido en una métrica automatizada, sin revisión humana con criterio propio, es el escenario que la norma quiere evitar. No lo prohíbe, pero lo somete a requisitos exigentes.
4. Asignación de tareas y gestión de turnos
El anexo III menciona la asignación de tareas a partir de comportamientos individuales o de rasgos personales. Los planificadores de turnos que reparten carga según perfiles entran de lleno.
Suele estar dentro del software de gestión, funcionando desde hace años y sin que nadie lo haya clasificado.
5. La IA generativa del día a día
Redactar una oferta, resumir una entrevista o preparar un plan de acogida con un asistente generativo es, en principio, riesgo mínimo. La cosa cambia cuando ese mismo asistente empieza a comparar candidatos.
Y aunque el uso sea de riesgo mínimo, no queda al margen. Sigue contando para la alfabetización del artículo 4 y para tus deberes de protección de datos.
Qué prohíbe el reglamento de IA
El artículo 5 marca la línea roja. De sus ocho supuestos, cuatro pueden aparecer en un entorno de trabajo corriente.
- Reconocimiento de emociones en el trabajo: prohibido inferir emociones de una persona en el lugar de trabajo, salvo por motivos médicos o de seguridad. Cubre el análisis del tono de voz o del gesto en entrevistas.
- Técnicas manipuladoras o engañosas: prohibido usar técnicas subliminales o deliberadamente engañosas que alteren de forma sustancial el comportamiento de alguien y le causen perjuicios considerables.
- Explotación de vulnerabilidades: prohibido aprovechar la vulnerabilidad derivada de la edad, la discapacidad o la situación económica para alterar el comportamiento de esa persona.
- Puntuación social de personas: prohibido clasificar a personas por su comportamiento social o sus características personales cuando eso provoque un trato desfavorable injustificado.
También queda prohibida la categorización biométrica que deduzca raza, opiniones políticas, afiliación sindical, convicciones religiosas u orientación sexual.
El artículo 5 no distingue por tamaño ni por sector de empresa. Y su incumplimiento es el único que activa el tramo máximo de multa.
Qué exige el reglamento si usas IA de alto riesgo
Aquí conviene leer el artículo 26, que recoge las obligaciones del responsable del despliegue. Son las tuyas si compras la herramienta y la usas.
Supervisión humana con competencia y autoridad
El apartado 2 exige encomendar la supervisión a personas físicas que tengan la competencia, la formación y la autoridad necesarias. Las tres cosas.
Poner a alguien a validar decisiones sin capacidad efectiva para revocarlas no cumple. Tampoco asignar la supervisión a un perfil que no entiende qué hace el sistema.
Datos de entrada pertinentes y registros conservados
El apartado 4 obliga a que los datos de entrada sean pertinentes y suficientemente representativos, en la medida en que los controles. Si alimentas un sistema de selección con tu histórico de contrataciones, ese histórico es tu responsabilidad.
El apartado 6 exige conservar los archivos de registro que el sistema genera de forma automática. El plazo mínimo es de seis meses, salvo que otra norma diga otra cosa.
Informar a la plantilla y a sus representantes
Este es el punto que más se pasa por alto. El apartado 7 obliga al empleador a informar a los representantes de los trabajadores y a los afectados. Y hay que hacerlo antes de poner el sistema en servicio.
No vale una nota en la intranet cuando ya lleva meses funcionando. El apartado 11 añade otra capa. Cuando el sistema decide sobre personas físicas, o ayuda a decidir, hay que informar a esas personas.
El derecho a una explicación
El artículo 86 reconoce un derecho a explicación a quien sufra una decisión basada en un sistema de alto riesgo del anexo III. Cubre el papel del sistema en el proceso y los elementos principales de la decisión.
Un candidato descartado puede preguntarte qué pintó el algoritmo. Y tienes que poder responder.
Cuándo un sistema del anexo III no es de alto riesgo
El artículo 6, apartado 3, abre una salida. Un sistema del anexo III deja de ser de alto riesgo si no plantea un riesgo importante de causar perjuicio. Ocurre, por ejemplo, cuando solo realiza una tarea de procedimiento limitada.
La excepción tiene un límite tajante. Los sistemas del anexo III siempre son de alto riesgo cuando elaboran perfiles de personas físicas. Y quien se acoge a la excepción debe documentar su evaluación y facilitarla a las autoridades.
Artículo 4: la formación en IA
De todas las obligaciones del reglamento, esta es la que más empresas incumplen sin saberlo.
El artículo 4 exige a proveedores y responsables del despliegue adoptar medidas de alfabetización en IA. Alcanza a su personal y a quienes operen sistemas de IA en su nombre. Hay que atender a sus conocimientos, su experiencia, su formación y el contexto de uso.
Está vigente desde el 2 de febrero de 2025, junto con las prácticas prohibidas.
Qué cambió con el Ómnibus digital - Actualización julio 2026
La reforma de julio de 2026 reformula el artículo 4. Pasa de exigir garantizar un nivel suficiente de conocimiento, a exigir adoptar medidas que apoyen el desarrollo de la alfabetización.
En lenguaje jurídico, deja de ser una obligación de resultado para quedarse en obligación de medios. Es una rebaja, aunque no una exención.
Lo que se sigue pidiendo es prueba de que has hecho acciones formativas razonables y documentadas. Formar sin documentarlo equivale, ante una inspección, a no haber formado.
Qué medidas se requieren
La norma no impone formato, ni horas, ni un certificado concreto. Deja margen para adaptarlo al tamaño y contexto de cada empresa.
- Segmenta por perfil: no necesita lo mismo quien usa un asistente generativo para redactar que quien supervisa un sistema de cribado.
- Cubre límites y errores: sesgos, alucinaciones, información que no debe salir de la empresa y cuándo hay que escalar a una persona.
- Documenta: contenidos, asistentes, fechas y actualizaciones. Sin registro no hay forma de acreditarlo.
- Actualiza: las herramientas cambian cada pocos meses y una formación de hace dos años dice poco de tu diligencia actual.
Modificaciones del Ómnibus digital sobre IA
El Reglamento (UE) 2026/1744, de 8 de julio de 2026, es la primera reforma de peso del AI Act. Se publicó en el Diario Oficial el 24 de julio de 2026 y entró en vigor tres días después.
Su nombre oficial habla de simplificar la aplicación de las normas armonizadas en materia de inteligencia artificial. En términos prácticos, alivia la carga de cumplimiento, sobre todo para pymes, y extiende el plazo para determinadas obligaciones de cumplimiento.
Qué se aplaza
El núcleo del régimen de alto riesgo, que son las secciones 1, 2 y 3 del capítulo III, se retrasa en dos bloques.
- Alto riesgo del anexo III: pasa del 2 de agosto de 2026 al 2 de diciembre de 2027. Aquí está el empleo y la gestión de trabajadores.
- Alto riesgo del anexo I: pasa del 2 de agosto de 2027 al 2 de agosto de 2028. Son los sistemas integrados en productos regulados.
Qué no se aplaza
Esta es la parte que conviene subrayar, porque es donde se están cometiendo errores de lectura.
- Las prácticas prohibidas del artículo 5 siguen vigentes desde febrero de 2025, sin cambios.
- La alfabetización del artículo 4 sigue vigente desde febrero de 2025, reformulada pero exigible.
- La transparencia del artículo 50 empieza a aplicarse el 2 de agosto de 2026. El marcado de contenido de sistemas ya en el mercado tiene un transitorio hasta el 2 de diciembre.
- El régimen sancionador lleva aplicándose desde el 2 de agosto de 2025.
El Ómnibus añade además prohibiciones nuevas, aplicables desde el 2 de diciembre de 2026. Entre ellas, la generación de material íntimo no consentido y de material de abuso sexual infantil.
Resumido en una frase, se ha aplazado el alto riesgo, no el reglamento.
Calendario del reglamento europeo de IA tras el Ómnibus
Estas son las fechas vigentes a 30 de julio de 2026, ya con la reforma incorporada.
Fecha | Qué ocurre |
1 de agosto de 2024 | Entrada en vigor del Reglamento (UE) 2024/1689 |
2 de febrero de 2025 | Prácticas prohibidas del artículo 5 y alfabetización del artículo 4 |
2 de agosto de 2025 | Gobernanza, modelos de IA de uso general y régimen sancionador |
2 de agosto de 2026 | Aplicación general de la norma y transparencia del artículo 50 |
2 de diciembre de 2026 | Fin del transitorio de marcado y nuevas prohibiciones del Ómnibus |
2 de diciembre de 2027 | Alto riesgo del anexo III, incluido empleo y gestión de trabajadores |
2 de agosto de 2028 | Alto riesgo del anexo I, integrado en productos regulados |
Según el artículo 111, apartado 2, algunos sistemas de alto riesgo quedan fuera de la norma. Son los que ya estaban en el mercado antes del 2 de agosto de 2026, salvo que sufran cambios significativos en su diseño.
Sanciones del reglamento de IA
El artículo 99 del reglamento europeo de IA define los topes de las sanciones aplicables. Cada Estado miembro será el responsable de aplicar las sanciones por posibles incumplimientos.
Los tres tramos de sanciones
- Hasta 35 millones de euros o el 7 % del volumen de negocios mundial: por incumplir las prácticas prohibidas del artículo 5.
- Hasta 15 millones de euros o el 3 %: por incumplir el resto de obligaciones. Incluidas las del artículo 26 y las de transparencia del artículo 50.
- Hasta 7,5 millones de euros o el 1 %: por facilitar información inexacta, incompleta o engañosa a las autoridades.
En cada tramo se aplica la cifra mayor entre el importe fijo y el porcentaje.
Sanciones específicas para pymes
El apartado 6 del artículo 99 invierte esa regla para pymes y empresas emergentes. En su caso, la multa se calcula por el importe o el porcentaje que resulte menor.
Es una diferencia de orden de magnitud que suele omitirse en los resúmenes. Para una empresa de 8 millones de facturación, el 7 % son 560.000 euros. El apartado 1 obliga además a atender a la viabilidad económica de las pymes.
Cómo se determina la multa
El apartado 7 lista los criterios que la autoridad debe ponderar. Entre ellos, la gravedad y la duración de la infracción, el tamaño del operador, la intencionalidad y las acciones de mitigación.
Dos criterios premian el trabajo previo. El grado de cooperación con las autoridades y el grado de responsabilidad del operador, valorado según las medidas técnicas y organizativas aplicadas.
Dicho de otro modo, tu inventario, tu política interna y tus registros de formación son el argumento con el que se defiende una empresa diligente.
Normativa de inteligencia artificial en España
El reglamento europeo es directamente aplicable en todos los Estados miembros. Pero deja a cada país designar autoridades y concretar el régimen sancionador.
La autoridad de referencia es la AESIA, la Agencia Española de Supervisión de la Inteligencia Artificial. La creó el Real Decreto 729/2023, de 22 de agosto y tiene sede en A Coruña.
El desarrollo nacional está en el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial. El Consejo de Ministros lo aprobó el 26 de mayo de 2026 y llegó al Congreso el 11 de junio.
A 30 de julio de 2026 ese proyecto sigue en tramitación. Mientras no se apruebe, España no tiene todavía en vigor el régimen sancionador nacional. Las obligaciones del reglamento europeo, en cambio, sí son exigibles.
Es una ventana de margen, no un permiso. El texto en tramitación reparte la vigilancia por sectores, con la AESIA como ventanilla única. Y perfila deberes de inventario, documentación, gobernanza interna, supervisión humana y formación.
Cómo prepararte para el reglamento europeo de inteligencia artificial
El aplazamiento del alto riesgo a diciembre de 2027 da aire para poder prepararse en este apartado. Sin embargo, no lo da para el artículo 4 ni para el artículo 5, que llevan más de un año en vigor.
Así que, si todavía no has empezado, sigue estos pasos para preparar a tu empresa y estar cubiertos ante posibles inspecciones.
1. Levanta el inventario, incluida la IA que no controlas
Lista todos los sistemas con IA que se usan en tu empresa, los contratados y los que alguien abrió por su cuenta. Sin ese mapa no puedes clasificar nada, y es lo primero que se pide para acreditar diligencia.
2. Clasifica por uso, no por herramienta
Para cada sistema, anota para qué se usa y sobre quién decide, porque un mismo asistente puede tener dos usos distintos. Marca en rojo todo lo que toque selección, rendimiento, promoción, salida o asignación de tareas.
3. Revisa que no haya nada del artículo 5
Comprueba si alguna herramienta infiere emociones de trabajadores o candidatos. Es la prohibición que más se cuela sin querer, dentro de módulos de análisis de entrevistas.
4. Escribe una política interna de uso
Qué herramientas están aprobadas, qué información no puede salir, qué decisiones nunca se automatizan y a quién se escala una duda. En dos folios se dice todo.
5. Forma y documenta
Diseña la formación por perfiles y guarda la traza de contenidos, asistentes, fechas y actualizaciones. Es la obligación vigente que más barato sale cumplir y más cara sale ignorar.
6. Nombra supervisión humana con autoridad
Para cada sistema que roce el alto riesgo, designa quién revisa y con qué capacidad de decisión. Déjalo por escrito.
7. Revisa contratos e informa a la plantilla
Pide a tus proveedores la documentación e instrucciones de uso que la norma les exige. Y prepara la información previa a los representantes de los trabajadores, que el artículo 26.7 exige antes del despliegue.
FAQ - Preguntas frecuentes
¿El reglamento europeo de inteligencia artificial se aplica a las pymes?
Sí. El artículo 2 del Reglamento (UE) 2024/1689 delimita el ámbito por rol y por territorio, sin umbral de plantilla ni de facturación.
Cualquier empresa establecida en la Unión que use un sistema de IA bajo su autoridad es responsable del despliegue. Lo que sí hace la norma es modular la carga. El artículo 99, apartado 1, obliga a tener en cuenta los intereses de las pymes y su viabilidad económica.
¿Un software de selección con IA es de alto riesgo?
Depende del uso, aunque en la mayoría de los casos sí. El anexo III, punto 4, del Reglamento (UE) 2024/1689 clasifica como alto riesgo los sistemas que filtran candidaturas y evalúan candidatos.
El artículo 6, apartado 3, permite salir de esa categoría en casos tasados, como una tarea de procedimiento limitada. Pero cierra la puerta cuando el sistema elabora perfiles de personas físicas, que es lo que hace la mayoría de herramientas de cribado.
¿Puedo usar IA para medir el estado de ánimo de mi plantilla?
No. El artículo 5, apartado 1, letra f), del Reglamento (UE) 2024/1689 prohíbe inferir emociones de una persona física en el lugar de trabajo.
La única excepción son los sistemas instalados por motivos médicos o de seguridad. La prohibición está vigente desde el 2 de febrero de 2025. Su incumplimiento activa el tramo más alto, de hasta 35 millones o el 7 % del volumen de negocios mundial.
¿Tengo que informar al comité de empresa antes de usar IA en RRHH?
Sí, si el sistema es de alto riesgo. El artículo 26, apartado 7, del Reglamento (UE) 2024/1689 obliga a informar a los representantes de los trabajadores y a los afectados. Hay que hacerlo antes de poner el sistema en servicio.
El apartado 11 añade el deber de informar a las personas físicas cuando el sistema decide sobre ellas.
¿Usar ChatGPT en el trabajo entra en el reglamento?
Sí. El artículo 3, apartado 4, del Reglamento (UE) 2024/1689 define responsable del despliegue como quien utiliza un sistema de IA bajo su propia autoridad. Solo se excluye el uso personal ajeno a la actividad profesional.
Un asistente generativo para tareas corrientes suele ser de riesgo mínimo. Pero cuenta para la alfabetización del artículo 4 y para la transparencia del artículo 50 si sus resultados salen fuera.
¿Se ha retrasado el reglamento europeo de IA?
Solo en parte. El Reglamento (UE) 2026/1744, de 8 de julio de 2026, se publicó en el Diario Oficial el 24 de julio. Aplaza el alto riesgo del anexo III al 2 de diciembre de 2027 y el del anexo I al 2 de agosto de 2028.
No se aplazan las prácticas prohibidas del artículo 5 ni la alfabetización del artículo 4. Tampoco la transparencia del artículo 50, aplicable desde el 2 de agosto de 2026. El marcado de contenido tiene un transitorio hasta el 2 de diciembre de ese año.
¿Puede la AESIA multarme ya?
Todavía no. La AESIA existe desde el Real Decreto 729/2023, de 22 de agosto, que aprueba su Estatuto. Pero el régimen sancionador nacional sigue en el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial.
Ese texto seguía en tramitación en el Congreso a 30 de julio de 2026. El artículo 99, apartado 1, encarga a cada Estado miembro establecer ese régimen. Mientras España no lo apruebe, las obligaciones europeas son exigibles pero falta la pieza nacional.
¿Cuánto puede costarme incumplir si soy una pyme?
Menos de lo que sugieren los titulares. El artículo 99, apartado 6, del Reglamento (UE) 2024/1689 invierte el cálculo para pymes y empresas emergentes. En su caso se aplica el porcentaje o el importe que resulte menor, al revés que para las grandes.
Sobre una facturación de 8 millones de euros, el tramo máximo del 7 % supone 560.000 euros en lugar de 35 millones. El apartado 7 permite además atenuar según la cooperación y las medidas ya aplicadas.
