El Reglamento de IA de la UE para una empresa normal

Desde el 2 de agosto de 2026 se aplica la mayor parte del Reglamento de IA de la UE (AI Act). Para el gran grupo de empresas que simplemente usan IA, en un chatbot de la web, en imágenes generadas para una campaña o en un asistente en cada mesa, la pregunta es más sencilla: qué obligaciones son nuestras y desde cuándo.

Este es el punto en el que estamos tras las modificaciones de este verano. Es un resumen, no asesoramiento jurídico.

Lo que se aplica desde 2025

El reglamento entró en vigor el 1 de agosto de 2024 y llega por etapas. Desde el 2 de febrero de 2025 hay ocho prácticas prohibidas de forma tajante. Entre ellas están la manipulación y el engaño dañinos, la explotación de las vulnerabilidades de las personas, la puntuación social, el reconocimiento de emociones en el trabajo y en la educación, la extracción indiscriminada de rostros para bases de datos de reconocimiento y la categorización biométrica que deduce características protegidas. Una novena prohibición, la de los sistemas que generan contenido sexual sin consentimiento o material de abuso sexual infantil, se aplica desde el 2 de diciembre de 2026. Pocas empresas corrientes se acercan a estas líneas. El reconocimiento de emociones en un centro de llamadas o en una herramienta de entrevistas sí lo haría.

Esa misma fecha trajo la obligación de alfabetización en IA. Se aplica a los proveedores y a toda empresa que use un sistema de IA en el trabajo. El ómnibus suavizó la redacción este verano: las empresas deben ahora adoptar medidas para favorecer el desarrollo de la alfabetización en IA, y el texto dice que no tienen que garantizar un nivel concreto a cada persona. La obligación en sí se mantiene.

Desde el 2 de agosto de 2025, los proveedores de modelos de IA de uso general tienen sus propias obligaciones: documentación técnica, información para las empresas que construyen sobre sus modelos, una política de cumplimiento de la legislación de derechos de autor de la UE y un resumen público de los contenidos usados para el entrenamiento. Recaen sobre quienes fabrican los modelos, no sobre sus clientes. Una empresa que ajusta un modelo se convierte en proveedora de un modelo nuevo solo en casos excepcionales. El umbral orientativo de la Comisión es una modificación que utilice más de un tercio de la capacidad de cálculo del entrenamiento original.

Lo que se aplica desde agosto

Las normas de transparencia llegaron con el resto del reglamento el 2 de agosto de 2026, y son las que la mayoría de las empresas se encuentran. Hay que informar a las personas cuando interactúan con una máquina, como un chatbot. Los proveedores de IA generativa deben marcar lo que producen sus sistemas de forma legible por máquina, para que pueda detectarse como generado. Los responsables del despliegue deben etiquetar los deepfakes: imágenes, audio o vídeo que se parecen a personas, objetos, lugares o hechos reales y que parecerían falsamente auténticos. También hay que declarar el texto publicado para informar al público sobre asuntos de interés público, salvo que una persona lo haya revisado y alguien asuma la responsabilidad editorial.

El 10 de junio de 2026, la Comisión publicó un código de buenas prácticas voluntario sobre marcado y etiquetado, con un conjunto de iconos de la UE para las etiquetas. A finales de julio lo habían firmado unas 190 organizaciones. Los proveedores de sistemas generativos que ya estaban en el mercado antes del 2 de agosto de 2026 tienen hasta el 2 de diciembre de 2026 para añadir el marcado.

La aplicación efectiva empezó ese mismo día, a cargo de las autoridades nacionales y de la Oficina de IA de la Comisión. Las multas llegan a 35 millones de euros o al 7 por ciento de la facturación mundial por prácticas prohibidas, y a 15 millones de euros o al 3 por ciento por incumplimientos de los proveedores de modelos.

Lo que ha movido el ómnibus

El mayor cambio del año es el Reglamento (UE) 2026/1744, el ómnibus digital sobre IA. La Comisión lo propuso el 19 de noviembre de 2025, el Parlamento y los Estados miembros alcanzaron un acuerdo político el 7 de mayo de 2026 y entró en vigor el 27 de julio de 2026.

Aplaza las normas de los sistemas de alto riesgo. Los sistemas usados en las áreas sensibles enumeradas en el anexo III, como la selección de currículos, la puntuación crediticia, la educación, la biometría y la migración, tendrán ahora sus obligaciones desde el 2 de diciembre de 2027 en lugar del 2 de agosto de 2026. La IA de alto riesgo integrada en productos que la legislación de productos de la UE ya regula sigue el 2 de agosto de 2028.

También extiende el alivio de las empresas pequeñas a las small mid caps, definidas como empresas con menos de 750 empleados y una facturación de hasta 150 millones de euros. Podrán usar la documentación técnica simplificada y un sistema de gestión de la calidad proporcionado.

Para una empresa que usa IA en lugar de construirla, el aplazamiento cambia poco. La obligación de alfabetización y las de transparencia se aplican ya. El tiempo extra importa para el grupo más reducido cuyos sistemas deciden sobre personas: a quién se contrata y a quién se concede crédito.

Empresas suizas que venden en la UE

El reglamento es derecho de la UE, pero su alcance sigue al mercado. Se aplica a los proveedores que comercializan sistemas de IA o modelos de uso general en el mercado de la UE, estén establecidos en la Unión o en un tercer país, y a los proveedores y responsables del despliegue de terceros países cuyos sistemas generan resultados que se utilizan en la Unión. Un proveedor de un sistema de alto riesgo de fuera de la UE debe designar allí a un representante autorizado, por escrito, antes de vender.

En la práctica, una empresa suiza con un chatbot en la versión alemana de su web, o con una campaña de imágenes generadas dirigida a compradores en Francia, debería considerar suyas las obligaciones de transparencia.

En casa, Suiza va por su propio camino. No existe una ley de IA. El 12 de febrero de 2025, el Consejo Federal decidió ratificar el convenio del Consejo de Europa sobre IA y modificar la ley por sectores siempre que sea posible, y está previsto un borrador de consulta para finales de 2026. Hasta entonces, la ley de protección de datos se aplica directamente a la IA, y el comisionado federal de protección de datos (FDPIC) espera prácticamente lo mismo: las personas tienen derecho a saber si están hablando o escribiendo con una máquina, y los rostros, imágenes o voces manipulados de personas identificables deben marcarse siempre con claridad.

Una lista de comprobación breve

Haz una lista de todos los sistemas de IA en uso: quién los provee, quién los usa, qué deciden y a qué mercados llegan sus resultados.

Contrástalos con las prohibiciones, empezando por el reconocimiento de emociones de empleados o candidatos.

Di cuándo las personas hablan con una máquina: en la ventana de chat, por teléfono, en el email que ha escrito un agente.

Etiqueta las imágenes y los vídeos generados que parezcan reales, y conserva los originales y los prompts que hay detrás.

Forma a las personas que usan IA, deja por escrito lo que han aprendido y repítelo cuando cambien las herramientas.

Señala los sistemas que deciden sobre personas, en contratación, crédito o educación, y aprovecha el tiempo hasta diciembre de 2027 para prepararlos.

Pregunta por escrito a tus proveedores cómo cumplen sus propias obligaciones: marcado, documentación, política de derechos de autor. Después nombra a una persona responsable de la lista.

Dónde siguen mandando las personas

En el fondo, el reglamento es una norma sobre responsabilidad. Una máquina puede redactar, clasificar y proponer, mientras una persona con nombre responde de lo que sale. Es una buena norma por razones que nada tienen que ver con las multas: el criterio y la responsabilidad son aquello en lo que se apoya un cliente, y no se automatizan.

Nuestros productos están construidos en la misma línea. Twin da a cada rol solo la parte del cerebro de la empresa que necesita, con aprobaciones por rol y cada paso registrado. Reel guarda cada imagen y cada clip en una biblioteca de medios con todas sus versiones y la receta que hay detrás, y una persona elige cada imagen que se usa, de modo que una pregunta sobre el origen puede responderse con el registro. Eigna, creado por nuestro socio Eigna Labs, es un modelo privado que funciona en la nube propia de la empresa o en sus propios servidores, diseñado para el RGPD y el Reglamento de IA de la UE.

Las fechas seguirán moviéndose. Una empresa que sabe qué IA usa y quién responde de ella puede moverse con ellas.