La Ley de IA de la UE (Reglamento (UE) 2024/1689) es un marco legal integral para la inteligencia artificial, adoptado por la Unión Europea en 2024. Establece un sistema de clasificación basado en el riesgo para los sistemas de IA, imponiendo diferentes obligaciones según el nivel de riesgo que representan para la salud, la seguridad y los derechos fundamentales. En lugar de entrar en vigor como un bloque único, las disposiciones de la Ley se aplican en un calendario escalonado, con diferentes requisitos que se vuelven obligatorios en distintas fechas entre febrero de 2025 y agosto de 2027. Este enfoque gradual está diseñado para dar a los proveedores, implementadores y autoridades nacionales tiempo para adaptarse a las nuevas reglas, priorizando al mismo tiempo las prohibiciones más urgentes y las estructuras de gobernanza.
La Ley se aplica tanto a proveedores (quienes desarrollan sistemas de IA) como a implementadores (quienes los utilizan en capacidad profesional), independientemente de si están establecidos en la UE, siempre que el sistema de IA se comercialice en el mercado de la UE o su resultado se utilice dentro de la UE. Cubre una amplia gama de tecnologías de IA, incluidos modelos de aprendizaje automático, grandes modelos de lenguaje y sistemas de IA generativa, pero excluye ciertas áreas como la seguridad nacional y los fines militares.
Entrada en vigor y disposiciones iniciales
La Ley de IA se publicó en el Diario Oficial de la Unión Europea el 12 de julio de 2024 y entró en vigor veinte días después, el 1 de agosto de 2024. Sin embargo, el primer conjunto de obligaciones vinculantes no comenzó hasta el 2 de febrero de 2025. Esta fase inicial se centró en las disposiciones consideradas más urgentes: las prohibiciones sobre prácticas de IA de riesgo inaceptable y las reglas sobre alfabetización en IA.
A partir del 2 de febrero de 2025, se volvieron aplicables los siguientes puntos:
- Prácticas prohibidas según el Artículo 5, que prohíben los sistemas de IA que emplean técnicas subliminales para distorsionar el comportamiento, explotan vulnerabilidades de grupos específicos (como niños o personas con discapacidad), evalúan o clasifican a personas según su comportamiento social (puntuación social), utilizan identificación biométrica remota en tiempo real en espacios públicos con fines de aplicación de la ley (con excepciones limitadas) y predicen delitos penales o administrativos basándose únicamente en la elaboración de perfiles.
- Obligaciones de alfabetización en IA según el Artículo 4, que requieren que los proveedores e implementadores garanticen que su personal y otras personas involucradas en la operación de sistemas de IA tengan un nivel suficiente de alfabetización en IA, considerando su conocimiento técnico, experiencia, educación y formación.
- El establecimiento de la Oficina Europea de IA dentro de la Comisión Europea, que sirve como órgano central de aplicación y coordinación.
Modelos de IA de propósito general (agosto de 2025)
El segundo hito importante llegó el 2 de agosto de 2025, cuando entraron en vigor las obligaciones para los proveedores de modelos de IA de propósito general (GPAI). Un modelo GPAI se define como un modelo de IA, incluidos aquellos entrenados con autosupervisión a gran escala, que es capaz de realizar competentemente una amplia gama de tareas distintas. Esta categoría incluye la mayoría de los modelos fundacionales y grandes modelos de lenguaje como los desarrollados por OpenAI, Anthropic y Google DeepMind.
Según estas reglas, los proveedores de modelos GPAI deben:
- Mantener documentación técnica actualizada, incluidas descripciones de los datos de entrenamiento, arquitectura del modelo y resultados de evaluación.
- Proporcionar información y documentación a los proveedores posteriores que integren el modelo en sus propios sistemas de IA.
- Establecer una política de derechos de autor que respete la legislación de la UE en esta materia, particularmente en lo relativo a la minería de textos y datos.
- Publicar un resumen suficientemente detallado del contenido de entrenamiento.
Para los modelos GPAI que presentan riesgo sistémico - definido como modelos entrenados con una capacidad de cómputo acumulada que supera 10^25 operaciones de coma flotante (FLOPs) - se aplican obligaciones adicionales. Estas incluyen realizar evaluaciones del modelo, pruebas adversarias y reportar incidentes graves a la Oficina Europea de IA. La Comisión puede designar un modelo como de riesgo sistémico incluso si está por debajo del umbral de cómputo, basándose en sus capacidades o impacto.
Sistemas de alto riesgo y gobernanza (agosto de 2026)
El conjunto más extenso de obligaciones se volvió aplicable el 2 de agosto de 2026. Esta fecha cubre los requisitos para los sistemas de IA de alto riesgo según el Artículo 6 y los Anexos I y III de la Ley. Los sistemas de alto riesgo incluyen IA utilizada en infraestructura crítica, educación y formación profesional, gestión del empleo y de trabajadores, servicios privados y públicos esenciales, aplicación de la ley, gestión de la migración y el asilo, y administración de justicia.
A partir de esta fecha, los proveedores de sistemas de IA de alto riesgo deben cumplir con un conjunto integral de requisitos:
- Establecer un sistema de gestión de riesgos que funcione a lo largo del ciclo de vida del sistema.
- Utilizar datos de entrenamiento, validación y prueba que sean relevantes, representativos y libres de errores y sesgos.
- Crear documentación técnica que demuestre el cumplimiento.
- Habilitar el registro automático de eventos para garantizar la trazabilidad.
- Proporcionar transparencia a los implementadores, incluidas instrucciones de uso.
- Implementar medidas de supervisión humana.
- Garantizar robustez, precisión y ciberseguridad.
Además, a partir del 2 de agosto de 2026, el marco de gobernanza se vuelve completamente operativo. Esto incluye el requisito de que los Estados miembros designen autoridades nacionales competentes y establezcan organismos notificados responsables de las evaluaciones de conformidad. La Junta Europea de Inteligencia Artificial, compuesta por representantes de los Estados miembros, también se vuelve completamente activa.
Obligaciones de transparencia para sistemas de riesgo limitado (agosto de 2026)
También el 2 de agosto de 2026, entran en vigor las obligaciones de transparencia para los sistemas de IA de riesgo limitado. Estas se aplican a los sistemas de IA que interactúan con humanos, como los chatbots, y a los sistemas que generan o manipulan contenido (deepfakes). Los proveedores deben garantizar que los usuarios sean informados de que están interactuando con un sistema de IA, a menos que esto sea obvio por las circunstancias. El contenido generado o manipulado por IA debe marcarse en un formato legible por máquina para indicar su origen artificial. Esto incluye deepfakes y texto, audio o video generados por IA.
Sistemas de alto riesgo en el Anexo I (agosto de 2027)
La fecha de aplicación final más importante es el 2 de agosto de 2027. Esto cubre los sistemas de IA de alto riesgo que son componentes de seguridad de productos o sistemas que ya están sujetos a la legislación existente de seguridad de productos de la UE, como maquinaria, juguetes, dispositivos médicos y vehículos. Estos sistemas deben cumplir con los mismos requisitos de alto riesgo que los del Anexo III, pero la aplicación se retrasó para permitir que los fabricantes se alineen con la legislación sectorial relevante. La Ley también requiere que la Comisión actualice la documentación técnica y los procedimientos de evaluación de conformidad para estos productos.
Monitoreo posterior a la comercialización y aplicación
A partir del 2 de agosto de 2026, los proveedores de sistemas de IA de alto riesgo también deben establecer un sistema de monitoreo posterior a la comercialización para recopilar y analizar activamente datos sobre el rendimiento de sus sistemas a lo largo de su vida útil. Este sistema debe documentarse y reportarse a las autoridades relevantes. La Ley también introduce un procedimiento para manejar incidentes graves y fallos que puedan generar riesgos para la salud, la seguridad o los derechos fundamentales.
La aplicación es llevada a cabo por las autoridades nacionales de vigilancia del mercado, coordinadas por la Oficina Europea de IA. Las sanciones por incumplimiento son sustanciales: hasta 35 millones de euros o el 7% del volumen de negocios anual total mundial de una empresa por violaciones de prácticas prohibidas, hasta 15 millones de euros o el 3% del volumen de negocios por violaciones de la mayoría de las otras obligaciones, y hasta 7,5 millones de euros o el 1,5% del volumen de negocios por proporcionar información incorrecta a las autoridades. Para las pequeñas y medianas empresas (PYME) y las startups, estas multas se limitan al menor de los dos montos.
Códigos de práctica y normas
Para apoyar la implementación, la Oficina Europea de IA ha facilitado el desarrollo de un Código de Práctica para proveedores de IA de propósito general, que se finalizó en 2025. Este código traduce las obligaciones legales en compromisos prácticos, cubriendo áreas como transparencia, derechos de autor y gestión de riesgos sistémicos. Los proveedores que se adhieran al código se presumen en cumplimiento con los requisitos de la Ley.
La Ley también depende en gran medida de normas técnicas armonizadas desarrolladas por organizaciones europeas de normalización (CEN, CENELEC y ETSI). Estas normas, que se están redactando durante 2025 y 2026, proporcionarán especificaciones técnicas para la evaluación de conformidad, la gestión de riesgos y la calidad de los datos. Hasta que se publiquen estas normas, los proveedores pueden utilizar métodos alternativos, pero deben demostrar el cumplimiento por otros medios.
Implicaciones para la industria de la IA
Las fechas de aplicación escalonadas tienen implicaciones significativas para las empresas que desarrollan e implementan sistemas de IA. Los proveedores de modelos GPAI, incluidos los principales laboratorios como OpenAI, Anthropic y Google DeepMind, tuvieron que prepararse para el plazo de agosto de 2025, lo que requirió esfuerzos sustanciales de documentación y transparencia. Muchas empresas han establecido equipos internos de cumplimiento y desarrollado herramientas para rastrear datos de entrenamiento y comportamiento del modelo.
Para las aplicaciones de IA de alto riesgo, los plazos de agosto de 2026 y agosto de 2027 dan a los desarrolladores más tiempo, pero también requieren una planificación temprana. Las empresas en sectores como la atención médica (por ejemplo, Intuitive Surgical), la conducción autónoma (por ejemplo, Waymo, Tesla) y los servicios financieros deben realizar evaluaciones de conformidad, a menudo involucrando organismos notificados de terceros. La Ley también afecta a los proveedores de servicios en la nube como Amazon Web Services, Microsoft Azure y Google Cloud, que ofrecen plataformas de IA y pueden considerarse implementadores o proveedores según su papel.
La Ley también ha influido en la gobernanza global de la IA, ya que otras jurisdicciones han mirado a la UE como un modelo regulatorio. Sin embargo, la complejidad del calendario escalonado ha sido un punto de crítica, con algunos grupos industriales argumentando que el enfoque gradual crea incertidumbre y cargas de cumplimiento. La Comisión Europea ha respondido publicando documentos de orientación y estableciendo un proceso de consulta con las partes interesadas para aclarar disposiciones ambiguas.
Desarrollos futuros
A partir de 2025, la Comisión Europea está trabajando en actos de implementación adicionales y directrices, particularmente en relación con la definición de riesgo sistémico, la interacción con la legislación sectorial existente y la aplicación práctica de los requisitos de transparencia. La Comisión también planea revisar la lista de prácticas prohibidas y áreas de alto riesgo de la Ley para 2027, con la posibilidad de extender el alcance a nuevas aplicaciones de IA. El impacto completo de la Ley de IA solo se aclarará a medida que pasen las diversas fechas de aplicación y comiencen las acciones de aplicación.