Resumen de la ley de IA de la UE para pymes: niveles de riesgo, deberes y fechas

Qué es la ley de IA de la UE y a quién afecta

Este resumen de la ley de ia de la ue empieza por lo básico. La ley de IA es el Reglamento (UE) 2024/1689, que la Comisión Europea presenta como el primer marco jurídico integral sobre IA del mundo. Se basa en el riesgo: cuanto más peligro plantea un sistema, más estrictas son las reglas. Entró en vigor el 1 de agosto de 2024 y sus obligaciones se activan por etapas.

Las preguntas y respuestas de la Comisión indican que la norma alcanza a actores públicos y privados dentro y fuera de la UE que comercializan un sistema de IA en el mercado de la UE o lo usan en ella. Distingue entre proveedores, que desarrollan un sistema, y responsables del despliegue, que lo utilizan; una tienda con un asistente de chat comprado suele ser de los segundos. Quedan fuera la investigación previa a la comercialización y los sistemas exclusivamente militares o de seguridad nacional.

Los cuatro niveles de riesgo en lenguaje llano

La Comisión describe cuatro niveles. El riesgo inaceptable abarca los sistemas que amenazan la seguridad, el sustento o los derechos, y están prohibidos. El alto riesgo abarca usos que pueden afectar gravemente a la salud, la seguridad o los derechos fundamentales, por ejemplo en empleo, educación, servicios esenciales, aplicación de la ley y migración, y tienen obligaciones estrictas antes de llegar al mercado.

El tercer nivel es el riesgo de transparencia: sistemas en los que las personas deben saber que interviene una IA, como los chatbots y los deepfakes. El cuarto es el riesgo mínimo o nulo, sin reglas específicas. La Comisión afirma que aquí cabe la mayor parte de la IA que se usa hoy, por ejemplo la de los videojuegos o los filtros de spam. Para una empresa pequeña, la tarea es averiguar en qué nivel está cada herramienta.

Las prácticas que la ley prohíbe sin matices

La página de la Comisión enumera nueve prácticas prohibidas. Incluyen la manipulación y el engaño dañinos, la puntuación social, la extracción indiscriminada de rostros de internet o de cámaras de vigilancia, el reconocimiento de emociones en el trabajo y en centros educativos y la identificación biométrica remota en tiempo real por la policía en espacios públicos. La novena, añadida por las enmiendas del ómnibus, trata de la IA que genera contenido sexual sin consentimiento o material de abuso infantil.

Las primeras prohibiciones se aplican desde el 2 de febrero de 2025, junto con el deber de alfabetización. Para la nueva prohibición de deepfakes sexuales sin consentimiento y de material de abuso, el Servicio de Ayuda de la ley da la fecha del 2 de diciembre de 2026. Pocas empresas corrientes se acercan a esta lista, pero una herramienta que promete detectar el ánimo de empleados o candidatos es justo la función por la que hay que preguntar al proveedor.

Deberes de transparencia para chatbots y contenido generado

El artículo 50 fija las reglas de transparencia. Según el Servicio de Ayuda de la ley, los proveedores deben diseñar los sistemas que interactúan directamente con personas de modo que estas sepan que tratan con una IA, salvo que sea evidente para una persona razonablemente informada. Los proveedores de sistemas que generan audio, imagen, vídeo o texto deben hacer que el resultado sea legible por máquina e identificable como generado por IA, en la medida en que sea técnicamente viable.

Quienes despliegan los sistemas tienen sus propios deberes. Deben informar a las personas expuestas a sistemas de reconocimiento de emociones o de categorización biométrica sobre cómo funcionan, y revelar los deepfakes. También deben señalar el texto generado por IA que se publica para informar al público sobre asuntos de interés público, salvo que una persona lo haya revisado y alguien asuma la responsabilidad editorial. El Servicio de Ayuda da el 2 de agosto de 2026 como inicio de estas reglas, con una transición hasta el 2 de diciembre de 2026 para algunos proveedores de sistemas de contenido sintético que ya estaban en el mercado.

La regla de trabajo para un negocio es revisar cada lugar donde una IA habla con un cliente o produce material público: el chat del sitio web, una línea de voz, imágenes generadas para publicidad, respuestas automáticas. Comprueba qué hace ya el proveedor de cada herramienta y si tu aviso al usuario es claro y llega en el primer contacto. Qué parte debe qué en tu caso es una consulta para un abogado.

Alfabetización en IA: qué pide la ley sobre la formación del personal

El artículo 4 exige a proveedores y responsables del despliegue que tomen medidas para fomentar la alfabetización en IA de su personal y de otras personas que operan o usan sistemas de IA en su nombre. Las medidas deben ajustarse al conocimiento de esas personas y al contexto de uso. Según la Comisión, el deber se aplica desde el 2 de febrero de 2025.

La Comisión explica también lo que no es. El artículo no exige a ninguna persona un nivel concreto de alfabetización y no se necesita certificación; bastan registros internos de la formación y de otras iniciativas. La supervisión empieza el 2 de agosto de 2026 a cargo de las autoridades nacionales de vigilancia del mercado, y el ómnibus digital mantuvo el deber sin exigir ningún nivel concreto. En la práctica: sabe quién usa cada herramienta, explícales sus límites y deja por escrito que lo hiciste.

Las fechas de 2024 a 2028 tras los cambios del ómnibus

El Servicio de Ayuda de la ley de IA da el calendario. La norma rige desde el 1 de agosto de 2024. Las prohibiciones y la alfabetización empezaron el 2 de febrero de 2025. La mayor parte de la ley se aplica desde el 2 de agosto de 2026, cuando arrancan las reglas de transparencia y la supervisión a escala nacional y de la UE.

El ómnibus digital sobre IA modificó algunas fechas. La Comisión dice que entró en vigor en julio de 2026. Las reglas para los sistemas de alto riesgo del anexo III se aplican ahora desde el 2 de diciembre de 2027, y las de la IA de alto riesgo integrada en productos regulados, desde el 2 de agosto de 2028. Estas fechas ya se movieron una vez, así que consulta el Servicio de Ayuda antes de apoyarte en un día concreto.

Qué multas existen y qué dejar por escrito

La página de preguntas y respuestas de la Comisión da tres techos de sanción: hasta 35 millones de euros o el 7 por ciento del volumen de negocio mundial por prácticas prohibidas, hasta 15 millones o el 3 por ciento por otros requisitos, y hasta 7,5 millones o el 1 por ciento por dar información incorrecta o engañosa. Para las pequeñas y medianas empresas se aplica el menor de los dos importes de cada categoría.

Las multas son el final del camino; el papeleo es el principio. Anota qué herramientas de IA usas, quién es responsable de cada una, para qué sirve, qué datos recibe, si habla con el público o produce material publicado y qué dice el proveedor sobre su clase. Añade una norma interna breve sobre cómo puede el personal usar la IA y un registro de la formación impartida. Esas páginas son las que primero pedirían un regulador, un cliente o un socio.

Qué preparar antes de encargar un paquete de preparación para la ley de IA

Reúne la lista de todas las funciones de IA que usas, incluidas las escondidas en otros programas: el widget de chat de la web, la herramienta de transcripción, el asistente de redacción, el generador de diseños. Anota para cada una el proveedor y el plan. Señala dónde llega la salida de la IA al público y quién del equipo la usa a diario.

VITON13 Studio ofrece esto como un paquete llamado Preparación para la ley de IA de la UE. Incluye un inventario de los sistemas de IA que usa tu empresa, una clasificación de riesgo de cada uno, avisos de transparencia para los usuarios y una política interna de uso de IA para el personal. Antes del pago, el estudio rellena la plantilla de inventario de IA con tres de tus herramientas, para que valores el formato sobre tu caso.

El precio fijo es de 113 $ y el trabajo lleva de 5 a 8 días laborables. La clasificación es un borrador de trabajo para tus archivos, no un dictamen jurídico, y un abogado debe confirmar todo lo que toque un ámbito de alto riesgo. La página del paquete y la del borrador gratuito muestran las condiciones exactas.