La entrada en aplicación general del Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial, supone una transformación del marco normativo europeo en materia de tecnología y protección de derechos fundamentales. Lejos de tratarse de una norma sectorial dirigida exclusivamente a desarrolladores de tecnología, esta regulación introduce obligaciones que afectan a cualquier organización que diseñe, comercialice o simplemente utilice sistemas de inteligencia artificial en su actividad, desde la selección de personal hasta la atención al cliente o la elaboración de contenidos corporativos.
El 2 de agosto de 2026 marcó el momento en que estas obligaciones pasaron a ser plenamente exigibles, y con ello, las autoridades nacionales de supervisión en España, la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), quedaron habilitadas para inspeccionar y sancionar.
En este contexto, las empresas deben entender que el cumplimiento normativo en materia de IA ya no puede abordarse como una cuestión exclusivamente tecnológica, sino como un elemento estratégico que incide directamente en la gestión del riesgo legal, la relación contractual con proveedores y la reputación corporativa.
El Reglamento
Al igual que ocurre con otros instrumentos recientes de armonización europea, el Reglamento de IA es de aplicación directa en todos los Estados miembros, sin necesidad de transposición. A diferencia de otros reglamentos, la norma no se articula en torno a un objeto físico, sino en torno a un enfoque basado en el riesgo: la intensidad de las obligaciones no depende del sector en que opere la empresa, sino de la función concreta que cumple cada sistema respecto de las personas afectadas por su uso.
¿A quién aplica?
El ámbito de aplicación del Reglamento es notablemente amplio y no se limita a los proveedores que desarrollan sistemas de inteligencia artificial. Alcanza también a los responsables del despliegue, es decir, a cualquier empresa que utilice dichos sistemas bajo su propia autoridad, a los importadores, a los distribuidores y, de forma relevante para la práctica corporativa, a aquellas organizaciones que modifiquen sustancialmente un sistema existente o alteren su finalidad prevista.
Sistemas regulados
El Reglamento distingue niveles de riesgo antes que categorías de producto. En el extremo superior se sitúan las prácticas de riesgo inaceptable, prohibidas de forma absoluta, entre las que se incluyen la manipulación subliminal del comportamiento, la explotación de vulnerabilidades de colectivos determinados o la puntuación social de los ciudadanos. A continuación se encuentran los sistemas de alto riesgo, vinculados a decisiones que afectan de forma significativa a las personas, contratación, acceso al crédito, seguros, educación, sanidad o administración de justicia, sujetos a un régimen exigente de gestión de riesgos, calidad de los datos, documentación técnica y supervisión humana. Un tercer nivel, de riesgo limitado, agrupa a los sistemas que interactúan con personas o generan contenidos, sometidos principalmente a obligaciones de transparencia. Por último, la mayoría de las herramientas de productividad interna se sitúan en el nivel de riesgo mínimo, sin obligaciones específicas más allá de las buenas prácticas.
Novedades
Desde el punto de vista material, el Reglamento introduce obligaciones que hasta ahora no existían de forma expresa en el ordenamiento europeo. Entre ellas destacan el deber de informar a las personas cuando interactúan con un sistema de inteligencia artificial, el etiquetado obligatorio de contenidos sintéticos generados o alterados mediante IA, incluidas las denominadas ultrasuplantaciones, y las restricciones específicas aplicables a los sistemas que infieren emociones o categorizan a las personas a partir de datos biométricos, particularmente en el entorno laboral y educativo. A ello se suma una obligación de alcance general y frecuentemente subestimada: la alfabetización en materia de IA, que exige a proveedores y responsables del despliegue garantizar que su personal cuenta con un nivel de comprensión adecuado sobre los sistemas que utiliza.
La incorporación de estos elementos supone un cambio relevante en la forma en que las empresas deben abordar el uso de la tecnología en sus procesos internos. Ya no basta con evaluar la licitud del tratamiento de datos personales conforme al régimen de protección de datos; es necesario integrar, desde el diseño de cada proceso, un análisis específico sobre la clasificación de riesgo del sistema empleado, extremo que exige una coordinación estrecha entre los departamentos jurídico, de tecnología y de recursos humanos.
Impacto para las empresas
Desde una perspectiva práctica, el impacto del Reglamento es transversal. Incide de forma directa en la gestión del riesgo legal, dado que el incumplimiento puede dar lugar a sanciones administrativas de considerable cuantía, hasta el 7 % de la facturación global anual en el caso de prácticas prohibidas, y hasta el 3 % para el resto de infracciones relevantes, cifras que se sitúan en un orden de magnitud comparable al del Reglamento General de Protección de Datos.
Calendario
Aunque las obligaciones aplicables a los sistemas de alto riesgo del anexo III no serán plenamente exigibles hasta agosto de 2027, el periodo transitorio no debe interpretarse como una oportunidad para posponer la adaptación. Las obligaciones de transparencia, alfabetización en IA y prohibición de prácticas inaceptables, en cambio, ya son plenamente exigibles desde 2025 y 2026 respectivamente, con independencia de que la empresa despliegue o no sistemas de alto riesgo.
Recomendaciones
Desde el punto de vista jurídico, resulta altamente recomendable realizar un análisis de impacto normativo que permita identificar los sistemas de inteligencia artificial en uso, incluidos los integrados en herramientas de terceros y clasificar su nivel de riesgo conforme a los criterios del Reglamento. Este análisis debe extenderse a la revisión de los avisos de transparencia frente a empleados, candidatos y clientes, a la auditoría de los contenidos generados mediante IA en comunicación corporativa, y a la renegociación de las cláusulas contractuales con proveedores tecnológicos, con el fin de delimitar con precisión el reparto de obligaciones regulatorias a lo largo de la cadena de valor.
En definitiva, el Reglamento (UE) 2024/1689 representa un paso decisivo en la construcción de un marco europeo de inteligencia artificial centrado en la protección de las personas, pero plantea también retos organizativos significativos para las empresas. Su correcta implementación no solo permite evitar contingencias sancionadoras, sino que puede convertirse en un factor diferencial en términos de confianza, gobernanza y posicionamiento frente a clientes, socios e inversores.
Kengo Matsuoka
Vilá Abogados
Para más información, contacte con:
4 de septiembre de 2026