Tu empresa ya tiene obligaciones del Reglamento de IA (y probablemente no lo sabe)
Cuando en julio de 2026 se publicó el llamado Omnibus Digital, muchos titulares resumieron la noticia en una palabra: aplazamiento. El Omnibus es el Reglamento (UE) 2026/1744, una norma que modifica el Reglamento Europeo de Inteligencia Artificial (conocido como RIA o, en inglés, AI Act) con el objetivo declarado de simplificar su aplicación. Y es cierto que aplaza cosas importantes. Pero la idea de que el Reglamento de IA "todavía no toca" es equivocada, y puede salir cara. Varias obligaciones se aplican ya a cualquier empresa que use inteligencia artificial, aunque no la desarrolle, y otra vence el próximo 2 de diciembre.
Este artículo abre una serie dedicada a explicar el Reglamento de IA en lenguaje llano, pensada para pequeñas y medianas empresas que usan estas herramientas sin contar con un departamento jurídico. Empezamos por lo más básico: qué obligaciones están ya en vigor y cuáles vienen después.
Una empresa cualquiera
Para situarnos, conviene pensar en un caso concreto. Imaginemos una empresa de logística de unos doscientos empleados. No se dedica a la tecnología ni se considera una empresa "de IA", pero en los últimos años ha ido incorporando herramientas que sí lo son: un programa que ayuda a Recursos Humanos a filtrar currículos, un sistema que planifica las rutas y reparte los servicios entre los conductores, un chatbot en la página web que responde a los clientes, un modelo que prevé la demanda de las próximas semanas y licencias de un asistente de IA para el personal de oficina. Es un retrato bastante fiel de muchas empresas medianas españolas.
Cabe añadir que el tamaño no cambia lo que se explica a continuación. El Reglamento prevé algunas facilidades para pymes y empresas medianas, sobre todo en la documentación que se exige a quien fabrica sistemas de alto riesgo, pero las obligaciones de las que trata este artículo se aplican igual a una empresa de veinte trabajadores que a una de dos mil.
La pregunta que se haría la dirección de esa empresa es sencilla: ¿nos afecta ya el Reglamento de IA? La respuesta es que sí, al menos en tres frentes.
Lo que ya se aplica
El primer frente es la formación. Desde el 2 de febrero de 2025, el artículo 4 del Reglamento exige que las empresas que usan sistemas de IA se ocupen de que su personal tenga los conocimientos necesarios para utilizarlos de forma adecuada. El texto habla de "alfabetización en materia de IA", una expresión algo pomposa para una idea razonable: quien usa una herramienta de este tipo debería entender qué hace, qué límites tiene y qué riesgos puede generar. El Omnibus ha suavizado la redacción original. Ahora la empresa debe "adoptar medidas para apoyar la promoción" de esa formación, y el propio artículo aclara que no se le exige garantizar un nivel concreto de conocimientos en cada persona. La obligación, por tanto, sigue existiendo, aunque es más flexible. En la práctica, lo sensato es poder demostrar que se ha hecho algo: una formación básica, una guía interna de uso o unas instrucciones específicas para cada herramienta.
El segundo frente son las prácticas prohibidas, reguladas en el artículo 5 y aplicables también desde febrero de 2025. El Reglamento considera inaceptables ciertos usos de la IA, con independencia de quién los lleve a cabo: por ejemplo, las técnicas que manipulan a las personas causándoles un perjuicio, la puntuación social de los ciudadanos o los sistemas que infieren las emociones de los trabajadores en el lugar de trabajo, salvo que se utilicen por motivos médicos o de seguridad. A esta lista, el Omnibus añade dos prohibiciones nuevas que se aplicarán desde el 2 de diciembre de 2026: los sistemas que generan imágenes íntimas o sexuales de personas reales sin su consentimiento y los que generan material de abuso sexual infantil. La mayoría de las empresas no tendrá nada que ver con estas prácticas, pero conviene comprobarlo. En el entorno laboral, el caso más delicado es el de cualquier herramienta que pretenda "leer" el estado de ánimo de los empleados a partir de su cara o su voz. Una precisión útil: según el propio Reglamento, detectar el cansancio o la somnolencia de un conductor para evitar accidentes no se considera reconocimiento de emociones.
El tercer frente, y el más reciente, es la transparencia. Desde el 2 de agosto de 2026 se aplica el artículo 50, que parte de un principio fácil de entender: las personas tienen derecho a saber cuándo están hablando con una máquina y cuándo un contenido ha sido creado por una inteligencia artificial. Esto se traduce en varias obligaciones distintas, y para entenderlas hay que conocer antes una distinción que recorre todo el Reglamento: la diferencia entre el proveedor de un sistema de IA, que es quien lo desarrolla y lo pone en funcionamiento con su nombre, y el responsable del despliegue, que es quien simplemente lo utiliza en su actividad profesional.
Volvamos a la empresa de logística. Si el chatbot de su web lo ha desarrollado su propio departamento de informática, aunque sea sobre un modelo de lenguaje de otra compañía, lo normal es que la empresa sea considerada su proveedor. La Comisión Europea lo confirma en sus directrices de julio de 2026, donde pone precisamente este ejemplo: un chatbot desarrollado internamente y puesto en servicio para uso propio. Como proveedor, la empresa debe asegurarse de que el chatbot está diseñado para que los clientes sepan que hablan con una IA, algo que puede resolverse con un aviso claro al inicio de la conversación. Esta obligación es exigible desde agosto.
Además, los sistemas que generan contenido (textos, imágenes, audios o vídeos) deben dejar en ese contenido una marca que permita detectar su origen artificial. No se trata de una etiqueta visible, sino de una señal técnica, como unos metadatos o una marca de agua digital, que otros programas puedan reconocer. Las respuestas de un chatbot son texto generado, así que también les afecta. Para los sistemas que ya estaban funcionando antes de agosto, hay un plazo adicional que termina el 2 de diciembre de 2026, y la empresa puede apoyarse en la solución de marcado que ofrezca el proveedor del modelo de lenguaje.
Hay aquí un matiz que conviene conocer. El texto del Reglamento limita ese plazo adicional a los sistemas "introducidos en el mercado", es decir, a los que se venden o se ofrecen a terceros. Las directrices de la Comisión lo extienden también a los sistemas "puestos en servicio" para uso propio, como el chatbot del ejemplo. Es la interpretación que previsiblemente seguirán las autoridades, pero no es exactamente lo que dice la letra de la ley.
Por último, el artículo 50 obliga a quien publique un deepfake (una imagen, un audio o un vídeo manipulado o generado por IA que parece auténtico) a indicar que es artificial. Lo mismo ocurre con los textos generados por IA que se publican para informar al público sobre asuntos de interés general, salvo que hayan pasado por una revisión editorial humana.
Lo que se aplazó
Lo que el Omnibus retrasó son las obligaciones de los sistemas de alto riesgo. El Reglamento clasifica como tales los sistemas de IA que pueden afectar de forma significativa a la salud, la seguridad o los derechos de las personas, y los enumera en dos anexos. El Anexo III recoge usos concretos en ámbitos sensibles, como la selección de personal, la gestión de trabajadores, la educación o el acceso al crédito. Para ellos, las obligaciones se aplicarán desde el 2 de diciembre de 2027. El Anexo I se refiere a los sistemas de IA que forman parte de productos ya regulados, como máquinas o vehículos, y sus obligaciones llegarán el 2 de agosto de 2028.
En la empresa del ejemplo, el filtro de currículos y el sistema que reparte el trabajo entre los conductores según su rendimiento entran de lleno en el Anexo III. Cuando llegue la fecha, la empresa tendrá que garantizar que una persona supervisa las decisiones de esas herramientas, conservar los registros que generan, informar a los representantes de los trabajadores antes de utilizarlas y ser capaz de explicar sus decisiones a quien se vea afectado por ellas. Quince meses pueden parecer mucho tiempo, pero no lo son si la empresa ni siquiera sabe todavía qué herramientas de IA utiliza, quién las usa y para qué.
El calendario completo, con las modificaciones del Omnibus, queda así:
| Fecha | Qué se aplica |
|---|---|
| 2 de febrero de 2025 | Formación en IA (art. 4) y prácticas prohibidas (art. 5) |
| 2 de agosto de 2026 | Transparencia (art. 50): chatbots, contenido generado y deepfakes |
| 2 de diciembre de 2026 | Fin del plazo adicional para marcar el contenido generado; nuevas prácticas prohibidas |
| 2 de diciembre de 2027 | Sistemas de alto riesgo del Anexo III (empleo, educación, crédito…) |
| 2 de agosto de 2028 | Sistemas de alto riesgo del Anexo I (productos regulados) |
Tres preguntas para empezar
Para saber si una empresa está ya afectada por el Reglamento, basta con hacerse tres preguntas. La primera, si en su web, su aplicación o su servicio de atención al cliente hay algún chatbot o asistente que converse con personas. La segunda, si alguna de sus herramientas genera textos, imágenes o audios que salen de la empresa. Y la tercera, si su personal utiliza herramientas de IA, con o sin licencia de la empresa, y si ha recibido alguna formación o instrucción sobre ellas.
Una respuesta afirmativa a cualquiera de ellas significa que el Reglamento ya tiene consecuencias. Pero la respuesta más frecuente no es "sí" ni "no", sino "no lo sé", porque la mayoría de las empresas no dispone de un inventario de la inteligencia artificial que utiliza. Para quien quiera comprobarlo con algo más de detalle, este autodiagnóstico ofrece un resultado orientativo en un minuto:
Autodiagnóstico: ¿afecta ya el Reglamento de IA a la empresa?
Seis preguntas, un minuto. Las respuestas no se guardan ni se envían a ningún sitio: todo se calcula en el navegador.
1. ¿Se usa en la empresa alguna herramienta de IA? Incluidos asistentes como ChatGPT o Copilot, con licencia de empresa o con cuentas personales.
2. ¿Hay algún chatbot o asistente que converse con clientes u otras personas de fuera de la empresa?
3. ¿Alguna herramienta genera textos, imágenes, audios o vídeos que se publican o salen de la empresa?
4. ¿Alguna herramienta intenta detectar emociones o estados de ánimo de empleados o clientes a partir de su cara o su voz? Detectar cansancio o somnolencia no cuenta como emoción.
5. ¿Se usa IA para seleccionar personal, asignar tareas o turnos, o evaluar el rendimiento de los trabajadores?
6. ¿Existe una lista de las herramientas de IA que se usan en la empresa, de quién las usa y para qué?
Resultado orientativo basado en el Reglamento (UE) 2024/1689 consolidado a 27-07-2026 y en las directrices de la Comisión Europea. No constituye asesoramiento jurídico.
El inventario es, de hecho, el punto de partida de todo lo demás. Sin saber qué herramientas se utilizan, quién las usa y con qué fin, es imposible determinar qué obligaciones se aplican. Por eso el próximo artículo de esta serie tratará precisamente de cómo construirlo, incluida la inteligencia artificial que nadie en la empresa considera como tal.
Fuentes
- Reglamento (UE) 2024/1689, texto consolidado a 27 de julio de 2026, artículos 4, 5, 50, 111 y 113, y considerando 18
- Reglamento (UE) 2026/1744 (Omnibus Digital)
- Comisión Europea: directrices sobre las obligaciones de transparencia del artículo 50 (julio de 2026)
Este artículo es divulgativo y no constituye asesoramiento jurídico. Las interpretaciones que contiene se basan en el texto del Reglamento y en documentos no vinculantes de la Comisión Europea vigentes a la fecha de publicación.
Comentarios
Publicar un comentario