El plazo para la Ley de Inteligencia Artificial ya ha vencido, ¿y ahora qué?
La fecha principal de cumplimiento de la Ley de Inteligencia Artificial de la UE fue el 2 de agosto de 2026. Una guía práctica para identificar las obligaciones que atañen a una empresa de tamaño mediano y las que no.
Ley de Inteligencia Artificial de la UE: Fechas Clave y Responsabilidades para las Empresas
La Ley de Inteligencia Artificial (IA) de la Unión Europea entró en vigor en agosto de 2024 con un calendario escalonado, y su fecha límite más amplia, el 2 de agosto de 2026, ya ha pasado. Si nadie en tu empresa lo marcó, no estás solo. Tampoco estás necesariamente expuesto. La mayor parte de la regulación no se aplica a la mayoría de las empresas, y la forma más rápida de tener esto bajo control es determinar qué pequeña parte se aplica a ti.
Proveedor o Desplegador
La ley divide las responsabilidades entre la organización que construye e introduce un sistema de IA en el mercado (el proveedor) y la organización que utiliza uno bajo su propia autoridad (el desplegador). Casi todas las obligaciones sobre las que la gente se preocupa, como la evaluación de conformidad, la documentación técnica, el marcado CE y los sistemas de gestión de calidad, recaen sobre los proveedores. Si compras tu IA de vendedores, eres un desplegador, y tus responsabilidades son más ligeras y principalmente organizativas.
Dos cosas te atañen independientemente: las prohibiciones sobre prácticas de riesgo inaceptable se aplicaron desde febrero de 2025. Así como el Artículo 4, que exige garantizar un nivel suficiente de alfabetización en IA entre los empleados que operan sistemas de IA en tu nombre. Esto no tiene umbral ni exención para pequeñas empresas. Los registros de capacitación son la evidencia.
Las fechas, en orden:
En febrero de 2025 llegaron las prohibiciones y el deber de alfabetización. En agosto de 2025 se introdujeron obligaciones para los proveedores de modelos de propósito general y se activó el régimen de sanciones. En agosto de 2026 se aplicaron las reglas de alto riesgo para los casos de uso del Anexo III y las normas de transparencia en el Artículo 50. En agosto de 2027 se cubren la IA incrustada como componente de seguridad en productos ya regulados y los modelos de propósito general más antiguos.
Una advertencia: la Comisión ha propuesto retrasar algunas fechas límite de alto riesgo, vinculadas a la preparación de estándares armonizados. Observa, pero no planifiques en torno a ello. Las prohibiciones, el deber de alfabetización y las normas de transparencia no forman parte de esta discusión, y son las que una empresa mediana es más probable que esté violando hoy.
Construye una lista, no una política
El primer producto es un inventario, no un marco. Enumera todos los sistemas de IA en uso, incluidos los que no compraste intencionalmente: la clasificación CV dentro de tu sistema de seguimiento de solicitantes de empleo, la puntuación en tu herramienta de crédito o fraude, el asistente que tu equipo financiero activó el trimestre pasado, el chatbot en tu sitio web. La IA sombra dentro de SaaS adquirido es donde se esconde el verdadero riesgo de clasificación. Asigna a cada entrada un propietario nombrado en la empresa, no en TI.
Luego clasifícalos. Las prácticas prohibidas son raras pero no exóticas; la inferencia emocional en el lugar de trabajo está prohibida expresamente, y varias herramientas de RRHH y bienestar venden exactamente eso. Los casos de alto riesgo del Anexo III cubren la contratación y gestión de trabajadores, la evaluación de solvencia para individuos, educación y acceso a servicios esenciales. Las obligaciones de transparencia cubren chatbots, medios sintéticos y texto generado por IA publicado para informar al público. Todo lo demás es de bajo riesgo y no tiene obligaciones. En una empresa mediana típica, esto representa la gran mayoría de la lista.
Si algo entra en la caja de alto riesgo
Como desplegador, debes:
- Utilizar el sistema según las instrucciones del proveedor y conservar esas instrucciones.
- Asignar supervisión humana a personas con competencia, capacitación y autoridad para anular el sistema.
- Asegurar que los datos de entrada sean relevantes y representativos para el propósito previsto.
- Retener registros generados automáticamente durante al menos seis meses.
- Informar a los trabajadores y sus representantes antes de poner en marcha el sistema.
- Comunicar a las personas afectadas cuando una decisión sobre ellas implique el sistema, y explicarlo bajo solicitud.
Eso es una tarea de gestión, no un programa de ingeniería.
La línea que puedes cruzar sin darte cuenta
El Artículo 25 convierte a un desplegador en un proveedor —con la carga completa de cumplimiento— si pones tu nombre o marca comercial en un sistema, lo modificas sustancialmente, o reutilizas un sistema de propósito general para un caso de uso de alto riesgo. Ajustar un modelo sobre tus datos históricos de contratación y apuntarlo a la preselección de candidatos cruza esa línea. Revisa cualquier construcción interna contra ella antes de su envío, y haz que las adquisiciones soliciten la declaración de conformidad, las instrucciones para el uso y la capacidad de registro que debes conservar.
Las apuestas y el siguiente paso
Las prácticas prohibidas conllevan multas de hasta €35 millones o el 7% de los ingresos globales; la mayoría de las demás infracciones hasta €15 millones o el 3%, con PYMEs evaluadas en el menor de los dos montos. El riesgo real para una empresa mediana no es un fineo de titulares, sino una pregunta de cumplimiento que no puedas responder, ya sea de un regulador, auditor o cliente.
Tómate un trimestre. Inventaria, clasifica, cierra las brechas de transparencia, registra tu capacitación. Donde la clasificación sea genuinamente incierta, esa es la apuesta que vale la pena entregar a alguien que lo haga con frecuencia —la parte que asumimos cuando los clientes preguntan.