EU AI Act — Todos los requisitos para empresas de un vistazo

El EU AI Act (oficialmente: Reglamento (UE) 2024/1689 por el que se establecen normas armonizadas en materia de inteligencia artificial) es la primera ley integral del mundo para la regulación de la inteligencia artificial. Fue adoptado el 13 de junio de 2024 y entró en vigor el 1 de agosto de 2024.

Objetivo de la ley: crear un marco jurídico uniforme para el uso seguro y fiable de la IA en la UE, sin obstaculizar la innovación.

¿A quién afecta? A toda empresa que desarrolle, distribuya o utilice sistemas de IA, dentro o fuera de la UE, siempre que la IA se utilice en el mercado de la UE o afecte a ciudadanos de la UE. Esto incluye también el uso de ChatGPT, Microsoft Copilot, Google Gemini y otras herramientas de IA en el día a día laboral.

El AI Act se aplica directamente en los 27 Estados miembros de la UE y no requiere transposición nacional. Los requisitos se introducen de forma gradual, con diferentes plazos según el ámbito regulado.

El requisito más importante y de efecto inmediato es el artículo 4 — alfabetización en IA. Desde el 27 de julio de 2026, el artículo 4, apartado 1, dice lo siguiente:

Los proveedores y responsables del despliegue de sistemas de IA adoptarán medidas para apoyar la promoción de la alfabetización en materia de IA de su personal y demás personas que se encarguen en su nombre del funcionamiento y la utilización de sistemas de IA, […]. Esta obligación no exige que los proveedores o los responsables del despliegue garanticen un nivel específico de alfabetización en materia de IA de ninguna persona en particular.

Del 2 de febrero de 2025 al 26 de julio de 2026, el artículo 4 exigía garantizar, en la medida de lo posible, que el personal tuviera un nivel suficiente de alfabetización en IA.

Qué significa esto en concreto:

• Deben tenerse en cuenta los conocimientos, la experiencia y la formación de los empleados, así como el uso de la IA. No es necesario garantizar un determinado nivel de competencia a ninguna persona.

El EU AI Act no prescribe ninguna forma de formación ni ningún organismo de certificación concretos. Las empresas pueden impartir la formación internamente, recurrir a proveedores externos o utilizar certificaciones en línea. Lo decisivo es que los contenidos cubran las áreas de competencia relevantes y que se documente la participación.

El EU AI Act clasifica los sistemas de IA en cuatro clases de riesgo, que conllevan requisitos diferentes:

🔴 Prácticas de IA prohibidas (rigen las prohibiciones de prácticas de IA desde febrero de 2025):

• Puntuación social
• Vigilancia biométrica masiva en tiempo real en espacios públicos
• Reconocimiento de emociones en el lugar de trabajo y en centros educativos
• Manipulación mediante técnicas subliminales

🟠 IA de alto riesgo (se aplica a partir del 2 de diciembre de 2027 o del 2 de agosto de 2028):

• IA en procesos de selección y contratación de personal
• IA para evaluaciones de solvencia crediticia
• IA en educación y formación profesional
• IA en infraestructuras críticas

🟡 IA de riesgo limitado:

• Los chatbots deben identificarse como IA
• Los contenidos generados por IA deben hacerse transparentes

🟢 IA de riesgo mínimo:

• Filtros de spam, sistemas de recomendación, corrección de textos
• La mayoría de las aplicaciones de oficina (ChatGPT para textos, Copilot para correos electrónicos)
• Sin requisitos especiales: solo la obligación general de alfabetización del artículo 4

El EU AI Act se introduce de forma gradual. Los plazos más importantes:

• 1 de agosto de 2024: el AI Act entra en vigor
• 2 de febrero de 2025: rigen las prohibiciones de prácticas de IA. Se aplica la obligación de alfabetización en IA (art. 4).
• 2 de agosto de 2025: normas para los modelos de IA de uso general (GPT, Gemini, Claude). Deben haberse designado las autoridades nacionales de supervisión. Se aplica el régimen sancionador del Reglamento.
• 2 de agosto de 2026: el Reglamento de IA se aplica con carácter general, salvo las obligaciones aplazadas para la IA de alto riesgo.
• 2 de diciembre de 2027: obligaciones para la IA de alto riesgo conforme al anexo III.
• 2 de agosto de 2028: obligaciones para la IA de alto riesgo conforme al anexo I.

Cuantía de las multas por infracciones:

• Prácticas prohibidas: hasta 35 millones de euros o el 7% del volumen de negocios anual mundial
• Infracciones de los requisitos de alto riesgo: hasta 15 millones de euros o el 3% del volumen de negocios
• Información falsa a las autoridades: hasta 7,5 millones de euros o el 1% del volumen de negocios
• Para las pymes y las startups se aplican importes reducidos

Con independencia de las multas, se aplica lo siguiente: si se produce un daño por un uso de la IA sin formación —por ejemplo, una infracción del RGPD porque un empleado introdujo datos de clientes en ChatGPT Free—, la empresa asume la responsabilidad conforme a las normas generales de responsabilidad.