La Ley de IA de la UE de 2025 marca el inicio de la aplicación operativa de la Ley de Inteligencia Artificial, un reglamento de la Unión Europea que establece un marco regulatorio y legal común para la inteligencia artificial. El reglamento entró en vigor el 1 de agosto de 2024, con disposiciones que se aplican gradualmente durante los siguientes 6 a 36 meses. En 2025, obligaciones clave comenzaron a aplicarse a proveedores y usuarios de sistemas de IA dentro de la UE, incluidos aquellos fuera del bloque si tienen usuarios dentro de la UE, reflejando el alcance extraterritorial del Reglamento General de Protección de Datos.
La Ley cubre la mayoría de los sistemas de IA en una amplia gama de sectores, con exenciones para la IA utilizada únicamente con fines militares, de seguridad nacional, de investigación o para uso no profesional. Como forma de regulación de productos, no crea derechos individuales; en cambio, impone deberes a los proveedores de IA y a las organizaciones que utilizan IA en un contexto profesional. El reglamento fue propuesto por la Comisión Europea el 21 de abril de 2021, aprobado por el Parlamento Europeo el 13 de marzo de 2024 y aprobado por unanimidad por el Consejo de la UE el 21 de mayo de 2024. El borrador se revisó para abordar el aumento en la popularidad de los sistemas de IA generativa, como ChatGPT, cuyas capacidades de propósito general no encajaban en el marco principal.
Categorías de Riesgo
La Ley clasifica las aplicaciones de IA no exentas según su riesgo de causar daño, con cuatro niveles - inaceptable, alto, limitado, mínimo - más una categoría adicional para la IA de propósito general. Las aplicaciones con riesgos inaceptables están prohibidas. Las aplicaciones de alto riesgo deben cumplir con obligaciones de seguridad, transparencia y calidad, y someterse a evaluaciones de conformidad. Las aplicaciones de riesgo limitado solo tienen obligaciones de transparencia. Las aplicaciones de riesgo mínimo no están reguladas.
El riesgo inaceptable incluye aplicaciones de IA que manipulan el comportamiento humano, aquellas que utilizan identificación biométrica remota en tiempo real (como el reconocimiento facial) en espacios públicos, y aquellas utilizadas para la puntuación social - clasificando a individuos según sus características personales, estatus socioeconómico o comportamiento. Las prohibiciones se aplican excepto por exenciones específicas.
Las aplicaciones de alto riesgo son aquellas que se espera que representen amenazas significativas para la salud, la seguridad o los derechos fundamentales de las personas. En particular, los sistemas de IA utilizados en salud, educación, contratación, gestión de infraestructuras críticas, aplicación de la ley o justicia caen en esta categoría. Están sujetos a obligaciones de calidad, transparencia, supervisión humana y seguridad, y en algunos casos requieren una Evaluación de Impacto en Derechos Fundamentales (FRIA) antes del despliegue. Una FRIA es una revisión ex ante para identificar y mitigar posibles impactos en los derechos fundamentales antes de que un sistema de IA se despliegue. Estos sistemas deben evaluarse tanto antes de su colocación en el mercado como a lo largo de su ciclo de vida. La lista de aplicaciones de alto riesgo puede ampliarse con el tiempo sin modificar la propia Ley de IA. Los ciudadanos tienen derecho a presentar quejas sobre los sistemas de IA y a recibir explicaciones de las decisiones tomadas por IA de alto riesgo que afecten sus derechos.
El riesgo limitado incluye aplicaciones de IA que permiten generar o manipular imágenes, sonido o videos (como los deepfakes). Estos sistemas tienen obligaciones de transparencia, asegurando que los usuarios estén informados de que están interactuando con un sistema de IA y permitiéndoles tomar decisiones informadas.
El riesgo mínimo incluye sistemas de IA utilizados para videojuegos o filtros de spam. Se espera que la mayoría de las aplicaciones de IA caigan en esta categoría. Estos sistemas no están regulados, y los Estados miembros no pueden imponer regulaciones adicionales debido a las reglas de armonización máxima. Las leyes nacionales existentes sobre el diseño o uso de tales sistemas quedan anuladas. Sin embargo, se sugiere un código de conducta voluntario.
IA de Propósito General
Añadida en 2023, la categoría de IA de propósito general incluye modelos fundacionales que pueden realizar una amplia gama de tareas, como los desarrollados por OpenAI, Anthropic o Google DeepMind. Si los pesos y el diseño de un modelo se hacen de código abierto, los desarrolladores deben publicar un resumen de los datos de entrenamiento y una política de derechos de autor; los modelos de código cerrado deben cumplir requisitos de transparencia más amplios. Los modelos de alto impacto que plantean riesgos sistémicos - que requieren más de 10^25 operaciones de coma flotante para entrenarse - deben someterse a una evaluación adicional.
Un Código de Prácticas de IA de Propósito General, publicado el 10 de julio de 2025, describe tres capítulos principales sobre transparencia, derechos de autor y seguridad y protección para ayudar a los proveedores a demostrar el cumplimiento de la Ley de IA. La participación en el código es voluntaria. Más allá de los deberes básicos de transparencia, la Ley establece una lista común de obligaciones para los proveedores de modelos de IA de propósito general. Deben publicar un resumen de los datos de entrenamiento, adoptar una política para cumplir con la ley de derechos de autor y proporcionar documentación técnica a los proveedores posteriores y a las autoridades de supervisión. Los modelos designados como de riesgo sistémico también deben llevar a cabo evaluaciones de modelos y pruebas adversariales, evaluar y mitigar riesgos como sesgos y fallos de seguridad, informar incidentes graves y garantizar un nivel adecuado de ciberseguridad.
Exenciones
Los artículos 2.3 y 2.6 eximen de la Ley de IA a los sistemas de IA utilizados para fines militares o de seguridad nacional o para investigación y desarrollo científico puro. El reglamento no se aplica cuando los sistemas de IA se utilizan exclusivamente para fines militares, de defensa o de seguridad nacional, ni a los sistemas desarrollados y puestos en servicio únicamente para investigación científica. Esta exención no cubre los sistemas de IA utilizados en contextos civiles, incluso si son desarrollados por organizaciones militares o de seguridad.
Gobernanza y Cumplimiento
La Ley crea una Junta Europea de Inteligencia Artificial para promover la cooperación nacional y garantizar el cumplimiento del reglamento. Esta junta coordina las autoridades de supervisión en los Estados miembros, similar a la estructura establecida bajo el Reglamento General de Protección de Datos. La junta es responsable de emitir orientaciones, facilitar una aplicación consistente y abordar casos transfronterizos que involucren sistemas de IA.
En 2025, las actividades de aplicación comenzaron en serio. Las autoridades nacionales de supervisión comenzaron a realizar evaluaciones de conformidad para los sistemas de IA de alto riesgo colocados en el mercado. Los proveedores de modelos de IA de propósito general debían registrar sus modelos y presentar documentación. La Comisión Europea también comenzó a desarrollar actos de implementación y directrices para aclarar disposiciones específicas, incluidos estándares técnicos para evaluaciones de conformidad y procedimientos para la Junta Europea de Inteligencia Artificial.
Impacto en la Industria
El alcance extraterritorial de la Ley de IA significa que las principales empresas tecnológicas fuera de la UE, incluidas las de Estados Unidos y Asia, deben cumplir si ofrecen servicios de IA a usuarios de la UE. Esto incluye proveedores de servicios de computación en la nube como Amazon Web Services, Microsoft Azure y Google Cloud, así como fabricantes de chips de IA como NVIDIA (aunque no está listado, es un actor clave) y AMD. El reglamento ha llevado a muchas empresas a establecer equipos de cumplimiento, realizar auditorías internas y desarrollar marcos de gestión de riesgos para sus productos de IA.
Para los proveedores de IA de propósito general, la obligación de publicar resúmenes de datos de entrenamiento y políticas de derechos de autor tiene implicaciones significativas. Las empresas que desarrollan modelos de aprendizaje automático ahora deben documentar sus fuentes de datos y garantizar el cumplimiento de la ley de derechos de autor de la UE. Esto ha llevado a un mayor escrutinio de las prácticas de adquisición de datos de entrenamiento, particularmente para sistemas de IA generativa que dependen de vastos conjuntos de datos extraídos de internet.
Cronología y Transición
Las disposiciones de la Ley de IA se están implementando gradualmente durante 6 a 36 meses desde su entrada en vigor el 1 de agosto de 2024. En 2025, los primeros plazos importantes entraron en vigor. Para el 2 de febrero de 2025, las prohibiciones sobre aplicaciones de IA de riesgo inaceptable se volvieron aplicables. Para el 2 de agosto de 2025, las obligaciones para los modelos de IA de propósito general se volvieron aplicables. Los requisitos para los sistemas de IA de alto riesgo están programados para aplicarse en etapas, con el primer conjunto de obligaciones volviéndose aplicable en agosto de 2026 y el resto en agosto de 2027.
Durante este período de transición, la Comisión Europea ha estado trabajando con los Estados miembros y las partes interesadas de la industria para desarrollar directrices de implementación y estándares armonizados. La Junta Europea de Inteligencia Artificial se ha establecido y celebró sus primeras reuniones en 2025. El Código de Prácticas de IA de Propósito General, publicado el 10 de julio de 2025, sirve como una herramienta práctica para que los proveedores demuestren cumplimiento, aunque la participación sigue siendo voluntaria.
Contexto Más Amplio
La Ley de IA es parte de una tendencia global más amplia hacia la regulación de la IA. Sigue al Reglamento General de Protección de Datos de la UE en el establecimiento de un marco regulatorio integral para tecnologías digitales. El enfoque basado en riesgos de la Ley ha sido influyente en otras jurisdicciones, aunque la UE sigue siendo la primera economía importante en promulgar legislación horizontal vinculante sobre IA. El énfasis del reglamento en los derechos fundamentales y la seguridad refleja debates en curso sobre el impacto social de la IA, incluidos los problemas sobre sesgos, discriminación y responsabilidad en la toma de decisiones automatizada.
Las disposiciones de la Ley sobre transparencia para sistemas de IA de riesgo limitado, como los deepfakes, abordan crecientes preocupaciones sobre desinformación y manipulación. El requisito de que los sistemas de IA de alto riesgo se sometan a evaluaciones de conformidad y evaluaciones de impacto en derechos fundamentales tiene como objetivo garantizar que el despliegue de IA respete los valores y principios legales de la UE. A partir de 2025, el impacto completo del reglamento en la innovación y la competitividad aún está por verse, con discusiones en curso sobre el equilibrio entre la regulación y el fomento del desarrollo de la IA en Europa.