Casi todo lo que se escribe sobre el Reglamento europeo de IA va dirigido a las empresas que crean IA: desarrolladores de modelos, fabricantes de software, fabricantes de productos sanitarios. La mayoría de nuestros clientes no crea IA. La usa. Un chatbot en la web, descripciones de producto redactadas con ChatGPT, una imagen generada en una landing.
El Reglamento tiene un nombre para eso: responsable del despliegue. Las obligaciones del responsable del despliegue son más ligeras de lo que sugieren los titulares, pero algunas ya se aplican, y una de ellas está en vigor desde febrero de 2025.
Esto no es asesoramiento legal y no somos abogados. Es la orientación práctica que damos a nuestros clientes, con enlaces a los textos oficiales. Para cualquier cosa que tenga que ver con contratación de personal, crédito o datos de clientes, habla con un abogado.
¿Eres proveedor o responsable del despliegue?
El Reglamento de IA (Reglamento (UE) 2024/1689) define las dos figuras en su artículo 3:
- Un proveedor desarrolla un sistema de IA, o encarga su desarrollo, y lo introduce en el mercado o lo pone en servicio con su propio nombre o marca, sea de pago o gratuito.
- Un responsable del despliegue usa un sistema de IA bajo su propia autoridad, salvo que sea para un uso personal y no profesional.
Si en tu negocio usas ChatGPT, Claude, Gemini, las herramientas de imagen de Canva o el widget de chatbot de un proveedor, eres responsable del despliegue de esas herramientas. La empresa que las fabrica es el proveedor.
La cosa se complica cuando construyes algo tú mismo. Si encargas un chatbot montado sobre un modelo y lo pones en tu web con tu propia marca, puede que cuentes como proveedor de ese chatbot. Esa es una pregunta para un abogado, no para un artículo de blog, y cambia qué apartados del Reglamento se te aplican.
¿Cómo queda el calendario?
El Reglamento entró en vigor el 1 de agosto de 2024 y se aplica por fases. En 2026 la UE aprobó además el Ómnibus de IA, el Reglamento (UE) 2026/1744 de 8 de julio de 2026, que entró en vigor el 27 de julio de 2026 y movió algunas fechas. Así están las cosas hoy:
- 2 de febrero de 2025: prácticas prohibidas y la obligación de alfabetización en IA
- 2 de agosto de 2025: normas para los modelos de IA de uso general (los grandes fabricantes de modelos)
- 2 de agosto de 2026: aplicación general, incluidas las obligaciones de transparencia del artículo 50
- 2 de diciembre de 2026: fecha límite para que los proveedores de sistemas generativos que ya estaban en el mercado antes del 2 de agosto de 2026 cumplan la obligación de marcado legible por máquina del artículo 50, apartado 2. El Ómnibus lo añadió como artículo 111, apartado 4. Ese mismo día empiezan a aplicarse dos prohibiciones nuevas: la IA que genera material íntimo o sexualmente explícito de personas identificables sin su consentimiento y la IA que genera material de abuso sexual infantil
- 2 de diciembre de 2027: sistemas de alto riesgo en los ámbitos del anexo III, como la contratación de personal
- 2 de agosto de 2028: IA de alto riesgo integrada en productos regulados, como máquinas y juguetes
Las fechas de alto riesgo eran en un principio el 2 de agosto de 2026 para el anexo III y el 2 de agosto de 2027 para los productos. El Ómnibus movió las dos. No movió las obligaciones de transparencia, que se aplican desde el 2 de agosto de 2026. La única excepción es el periodo de gracia de arriba, y ese es para los proveedores, no para ti.
¿Qué tiene que pasar cuando usas un chatbot?
El punto de partida del Reglamento es que las personas tienen que saber cuándo hablan con una máquina. En sentido estricto, el artículo 50, apartado 1, pone esa obligación en el proveedor: el sistema tiene que estar diseñado para que las personas sean informadas, salvo que resulte evidente para una persona razonablemente bien informada.
En la práctica, si el chatbot está en tu web, quien habla con él es tu cliente. Nuestro consejo es sencillo: indícalo. Una línea encima de la ventana del chat que diga que es un asistente automático, y una forma de hablar con una persona. No cuesta nada, te cubre sea cual sea el papel que acabes teniendo y es lo honesto.
El artículo 50, apartado 5, añade que la información tiene que ser clara y distinguible, y darse como muy tarde en la primera interacción.
¿Tienes que etiquetar el contenido generado con IA?
Son dos obligaciones distintas y es fácil confundirlas.
Marcado (proveedores). El artículo 50, apartado 2, obliga a los proveedores de sistemas que generan audio, imágenes, vídeo o texto sintéticos a marcar el resultado de forma legible por máquina, para que se pueda detectar que está generado con IA. Eso le toca al fabricante de la herramienta, no a ti.
Etiquetado (responsables del despliegue). El artículo 50, apartado 4, es el que se te aplica como usuario. Dos casos:
- Ultrasuplantaciones (deepfakes). Si publicas imagen, audio o vídeo generado o manipulado con IA que parece mostrar personas, lugares o hechos reales, tienes que indicarlo. En obras claramente artísticas, creativas, satíricas o de ficción, el aviso puede ser lo bastante discreto como para no estropearlas.
- Textos sobre asuntos de interés público. Si publicas texto generado con IA para informar al público sobre asuntos de interés público, tienes que indicarlo. Salvo que el texto haya pasado por una revisión humana o un control editorial y alguien asuma la responsabilidad editorial.
Para la mayoría de pequeñas empresas, esa segunda excepción es la que cuenta. Un artículo de blog redactado con IA, que después alguien de la empresa lee, corrige y publica con su nombre, ha tenido revisión humana y tiene un responsable editorial. Una cadena de artículos de IA publicados automáticamente sin que nadie los revise, no.
El Código de buenas prácticas. El 10 de junio de 2026, la Comisión Europea publicó un Código de buenas prácticas voluntario sobre el marcado y el etiquetado del contenido generado con IA. Tiene una parte para proveedores, sobre el marcado legible por máquina del artículo 50, apartado 2, y otra para responsables del despliegue, sobre el etiquetado del artículo 50, apartado 4, incluidas las ultrasuplantaciones y los textos de interés público. La Comisión también ha publicado iconos de la UE para el etiquetado. Es voluntario, pero es la imagen más clara de cómo se ve en la práctica eso de "indicarlo".
¿Qué es la obligación de alfabetización en IA?
El artículo 4 se aplica desde el 2 de febrero de 2025 a proveedores y responsables del despliegue. Tal como lo modificó el Ómnibus de IA, dice que tienes que adoptar medidas para apoyar la alfabetización en IA de tu personal que usa sistemas de IA en tu nombre. Deja claro que no te exige garantizar un nivel concreto para cada persona, y la Comisión y los Estados miembros tienen ahora un papel mayor en el apoyo a las empresas, con especial atención a las pymes.
Para una pequeña empresa, eso significa algo modesto y real: las personas que usan herramientas de IA en el trabajo saben para qué sirven, dónde fallan, qué no deben pegar en ellas y quién revisa el resultado. Una nota interna breve y una conversación valen más que un certificado.
¿Cuándo llega una pequeña empresa al alto riesgo?
Pocas veces, pero pasa. El anexo III enumera los ámbitos de alto riesgo, y dos de ellos alcanzan a empresas normales:
- Contratación y decisiones laborales. IA que se usa para filtrar currículos, clasificar candidatos o tomar decisiones sobre ascensos, despidos o seguimiento del rendimiento.
- Solvencia. IA que se usa para evaluar la solvencia de una persona, salvo para detectar fraude.
Si usas una herramienta de recursos humanos que criba candidatos con IA, eres responsable del despliegue de un sistema de alto riesgo. Esas obligaciones se aplican desde el 2 de diciembre de 2027. Ese es el momento de pedir asesoramiento concreto, no de fiarte de un artículo como este.
¿Quién vigila y de cuánto son las multas?
En España, la agencia creada para esto es la AESIA, la Agencia Española de Supervisión de Inteligencia Artificial, constituida por el Real Decreto 729/2023. La ley española que asigna formalmente las funciones de supervisión del Reglamento todavía era un proyecto cuando escribimos esto: el Gobierno remitió a las Cortes el proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial el 26 de mayo de 2026 y, a octubre de 2026, no se ha publicado en el BOE. Según ese proyecto, la mayor parte de la supervisión corresponde a la AESIA, con la AEPD y el CGPJ en sus propios ámbitos, y la AESIA es el punto de contacto único. La web de la AESIA ya recoge las guías prácticas del Gobierno para cumplir el Reglamento.
Incumplir las obligaciones de transparencia del artículo 50 puede acarrear multas de hasta 15 millones de euros o el 3 por ciento del volumen de negocio anual mundial, lo que sea mayor. Para pymes y empresas emergentes, lo que sea menor. Lo importante no es la cifra. Es que etiquetar un chatbot y revisar tu contenido sale barato comparado con cualquiera de esas multas.
Una lista breve para responsables del despliegue
- Haz una lista de las herramientas de IA que usa tu empresa y de quién las usa
- Chatbot en tu web: indicado como automático, con una vía para hablar con una persona
- Imágenes o vídeos generados con IA de personas o hechos que parecen reales: indicado
- Textos redactados con IA: revisados por una persona con nombre antes de publicarse
- Una nota interna breve sobre lo que el personal puede y no puede hacer con herramientas de IA
- IA en decisiones de contratación o de crédito: pide asesoramiento legal antes del 2 de diciembre de 2027
- Datos personales en herramientas de IA: contrastados con tu política de privacidad y el RGPD
Si te quedas con una sola cosa
- Usar herramientas de IA te convierte en responsable del despliegue. Casi todas las obligaciones pesadas son para los proveedores y los sistemas de alto riesgo.
- Indica que tu chatbot es automático y avisa de las ultrasuplantaciones. Revisa los textos redactados con IA antes de publicarlos.
- La alfabetización en IA se aplica desde febrero de 2025. Una nota interna breve es un buen punto de partida.
Si construimos o mantenemos tu web, indicar que un chatbot es automático o añadir un aviso al contenido generado es un cambio pequeño. Reserva la llamada si quieres que miremos lo que tienes ahora en tu web.
Fuentes
- Reglamento (UE) 2024/1689, el Reglamento de IA (EUR-Lex) (en inglés)
- Reglamento (UE) 2026/1744, el Ómnibus de IA (EUR-Lex) (en inglés)
- Comisión Europea: entra en vigor el Ómnibus de IA (en inglés)
- AI Act Service Desk: artículo 111, disposiciones transitorias (versión modificada, con el nuevo apartado 4) (en inglés)
- AI Act Service Desk: artículo 113, entrada en vigor y aplicación (versión modificada) (en inglés)
- AI Act Service Desk: artículo 5, prácticas prohibidas (versión modificada) (en inglés)
- Comisión Europea: marco regulador de la IA y calendario (en inglés)
- AI Act Service Desk: artículo 3, definiciones (en inglés)
- AI Act Service Desk: artículo 4, alfabetización en IA (versión modificada) (en inglés)
- AI Act Service Desk: artículo 50, obligaciones de transparencia (en inglés)
- AI Act Service Desk: artículo 99, sanciones (en inglés)
- AI Act Service Desk: anexo III, ámbitos de alto riesgo (en inglés)
- AI Act Explorer: Ómnibus digital sobre IA, fechas de transición (en inglés)
- Comisión Europea: Código de buenas prácticas sobre el marcado y el etiquetado del contenido generado con IA (en inglés)
- Real Decreto 729/2023, Estatuto de la AESIA (BOE)
- Ministerio para la Transformación Digital: nota de prensa del 26 de mayo de 2026 sobre el proyecto de Ley Orgánica de gobernanza de la IA (PDF)
- AESIA: guías prácticas para cumplir el Reglamento de IA (en inglés)
Construye webs y los sistemas que hay detrás para pequeños negocios de España y los Países Bajos. Deja por escrito lo que los clientes preguntan dos veces.
