La ley de inteligencia artificial de la Unión Europea —el Reglamento (UE) 2024/1689— no te deja fuera aunque en tu empresa nadie programe un modelo: si usáis ChatGPT, Copilot, Gemini o un chatbot de atención al cliente, la norma os llama responsable del despliegue, distinto de quien fabrica o vende el sistema (el proveedor). La mayoría de las obligaciones pesadas son del proveedor. A vosotros, hoy, solo os tocan dos: formar a quien la usa, desde el 2 de febrero de 2025[1], y avisar si habláis por un chatbot, desde el 2 de agosto de 2026[2].
Hay además una lista de usos que tienes prohibidos aunque no fabriques nada, y una categoría —alto riesgo— que probablemente no te toca todavía: el Reglamento (UE) 2026/1744, el llamado «ómnibus digital», aplazó su calendario este verano. Vamos por partes, con la fecha que tiene cada obligación después de esa reforma[6].
¿A quién obliga esto si tú no la fabricas?
El reglamento reparte las obligaciones entre dos papeles. El proveedor es quien desarrolla el sistema o lo pone en el mercado con su marca; el responsable del despliegue es quien lo usa dentro de su actividad profesional, sin ser el proveedor[1]. Si contratas ChatGPT, Copilot o la plataforma de un chatbot montada por otra empresa, eres lo segundo.
La diferencia importa porque casi todo el peso de la ley —documentación técnica, evaluación de conformidad, supervisión humana detallada, registro en una base de datos europea— recae en el proveedor, no en ti. Para el responsable del despliegue de un sistema que no es de alto riesgo, la lista de obligaciones es corta: los dos artículos del siguiente punto. El resto solo se activa si lo que usas cae dentro de los sistemas de alto riesgo, que vemos en el punto 04.
Lo que ya te obliga
Esto no depende de a qué te dediques: se aplica a cualquiera que use un sistema de IA, sea cual sea su actividad.
- Alfabetización en IA (art. 4)
- Desde el 2 de febrero de 2025, quien usa IA en su empresa tiene que ocuparse de que su personal la entienda: qué no debe meterle y cuándo desconfiar de lo que responde. Desde la reforma del 27 de julio de 2026, la obligación es adoptar medidas para apoyar esa formación, no garantizar un nivel a nadie en concreto[1]. Ya contamos cómo se reparte esa formación, departamento a departamento, en una pyme pequeña, en inteligencia artificial en las empresas.
- Avisar de que es una IA (art. 50)
- Desde el 2 de agosto de 2026, si un sistema habla directamente con una persona, esa persona tiene que saber que es una IA, salvo que resulte evidente por el contexto[2], una excepción que la AESIA, el organismo que lo supervisa en España, interpreta de forma restrictiva[8]. Esta fecha no la ha tocado el ómnibus. Cómo cumplirlo en WhatsApp, con el ejemplo de frase y los matices legales, en chatbot para WhatsApp: qué automatizar sin que parezca un robot.
Dos obligaciones, no veinte. El resto es del que fabrica el sistema.
Lo que prohíbe la ley de inteligencia artificial, uses lo que uses
Esto va por encima del papel que tengas: ni proveedor ni responsable del despliegue pueden hacerlo, y se aplica desde el 2 de febrero de 2025[3].
- Manipular con técnicas subliminales o engañosas que puedan causarte a ti o a un cliente un perjuicio considerable, de salud o económico.
- Explotar la vulnerabilidad de alguien por su edad, discapacidad o situación económica para alterar su comportamiento.
- Puntuar a las personas por su comportamiento social para darles un trato peor en un contexto que no tiene que ver con el original.
- Detectar las emociones de tu plantilla o de tus alumnos a partir de datos biométricos, salvo por motivos médicos o de seguridad.
- Clasificar a alguien por su raza, ideología o vida sexual a partir de sus rasgos biométricos.
Desde el 2 de diciembre de 2026 se añaden dos prohibiciones más, pensadas para herramientas que cualquiera usa hoy desde el móvil: generar contenido sexual de alguien sin su consentimiento y generar material de abuso sexual infantil, el caso de las llamadas apps de «desnudificación»[6]. No hace falta programar nada para incumplirlo: basta con usar la herramienta equivocada.
Sin humo: si incumples esta lista, la sanción no es simbólica: hasta 35 millones de euros o el 7 % de la facturación mundial, lo que sea más alto. Para una pyme o una startup, la ley aplica la cifra menor de las dos, no la mayor[5].
Lo que no te toca (todavía)
La categoría de alto riesgo cubre sistemas que deciden sobre personas en selección de personal, acceso al crédito, educación, biometría o servicios públicos esenciales. Si lo que usas es un asistente de texto para redactar o un chatbot de atención al cliente, no entras aquí.
Y si usaras uno que sí entra —por ejemplo, para puntuar currículums—, las obligaciones concretas que le tocan al responsable del despliegue (seguir las instrucciones de uso del proveedor, vigilancia humana, conservar registros)[4] todavía no se exigen a casi nadie: el ómnibus digital retrasó el calendario de los sistemas de alto riesgo[6].
- Sistemas autónomos (anexo III)
- Selección de personal, evaluación crediticia, educación, biometría, acceso a servicios esenciales. Se aplicaba desde el 2 de agosto de 2026; el ómnibus lo retrasa al 2 de diciembre de 2027[6].
- Sistemas integrados en productos (anexo I)
- IA dentro de juguetes, ascensores o dispositivos médicos ya regulados. Se aplicaba desde el 2 de agosto de 2027; el ómnibus lo retrasa al 2 de agosto de 2028[6].
Mientras tanto, si una herramienta decide o influye de verdad sobre a quién contratas o a quién le das crédito, conviene mirarlo con calma antes de que llegue la fecha, no después.
Por dónde empezar esta semana
- Lista las herramientas de IA que usa el equipoUna por una: el asistente de texto, el chatbot, cualquier IA integrada en otro programa que ya tengáis.
- Marca si alguna decide sobre personasSelección de personal, crédito, acceso a un servicio. Si hay una, es la única que necesita mirarse con más cuidado.
- Pon la frase del chatbotSi habláis con clientes por un bot, que el primer mensaje diga que lo es.
- Escribe una línea sobre qué no se le pega a la IANombres, datos de clientes, contratos. No hace falta un máster, basta una norma que conozca todo el equipo.
Montar esto bien, con la regla de datos incluida, es justo lo que hacemos en automatización de procesos con IA.
Dudas rápidas
¿A quién obliga la ley de inteligencia artificial?
A dos papeles distintos: quien fabrica o vende el sistema (proveedor) y quien lo usa en su actividad (responsable del despliegue). Si tu empresa solo usa ChatGPT o el chatbot de otra empresa, eres lo segundo, con una lista de obligaciones mucho más corta que la del proveedor.
¿Qué está prohibido por el Reglamento de IA?
Entre otras cosas, la manipulación subliminal que te perjudique, explotar la vulnerabilidad de alguien, la puntuación social y detectar las emociones de tu plantilla, todo ello desde el 2 de febrero de 2025[3]. Desde el 2 de diciembre de 2026 se suma generar contenido sexual no consentido o material de abuso infantil con IA[6]. Afecta a cualquiera, no solo a quien programa.
¿Qué cambió el ómnibus digital en la ley de IA?
El Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026[7], suavizó la obligación de alfabetización (de «garantizar un nivel» a «adoptar medidas para apoyarlo»)[1], añadió dos prohibiciones nuevas desde el 2 de diciembre de 2026[6] y retrasó el calendario de los sistemas de alto riesgo al 2 de diciembre de 2027 y al 2 de agosto de 2028[6]. No tocó la fecha del artículo 50, la de avisar de que hablas con un bot[2].
¿Tengo que decir que es un bot si hablo por WhatsApp?
Sí, desde el 2 de agosto de 2026, salvo que sea evidente por el contexto[2]. El ejemplo de frase y el resto de matices, en nuestro artículo sobre chatbots para WhatsApp.
¿Cuándo se aplica la ley de IA a los sistemas de alto riesgo?
Tras el ómnibus digital, el 2 de diciembre de 2027 para los sistemas autónomos del anexo III (selección de personal, crédito, educación, biometría) y el 2 de agosto de 2028 para los integrados en productos ya regulados, como juguetes o ascensores[6].
Fuentes
[1] Comisión Europea. AI Act Service Desk: artículo 4 (alfabetización en IA), texto consolidado con las modificaciones vigentes desde el 27 de julio de 2026, consultado el 16 de octubre de 2026. enlace
[2] Comisión Europea. AI Act Service Desk: artículo 50 (transparencia), consultado el 16 de octubre de 2026. enlace
[3] Comisión Europea. AI Act Service Desk: artículo 5 (prácticas prohibidas), consultado el 16 de octubre de 2026. enlace
[4] Comisión Europea. AI Act Service Desk: artículo 26 (obligaciones del responsable del despliegue de sistemas de alto riesgo), consultado el 16 de octubre de 2026. enlace
[5] Comisión Europea. AI Act Service Desk: artículo 99 (sanciones), consultado el 16 de octubre de 2026. enlace
[6] Comisión Europea. AI Act Service Desk: artículo 113 (calendario de aplicación, con las fechas del ómnibus digital), consultado el 16 de octubre de 2026. enlace
[7] Reglamento (UE) 2026/1744 del Parlamento Europeo y del Consejo, de 8 de julio de 2026, por el que se modifica el Reglamento (UE) 2024/1689 (Ómnibus digital sobre IA), Diario Oficial de la Unión Europea, serie L, 24 de julio de 2026; entra en vigor el 27 de julio de 2026, consultado el 16 de octubre de 2026. Reglamento (UE) 2026/1744 en el Diario Oficial
[8] Agencia Española de Supervisión de Inteligencia Artificial (AESIA). RIA, artículo 50: FAQs y directrices sobre transparencia, consultado el 16 de octubre de 2026. enlace
¿Sabes si alguna herramienta que usáis entra en alto riesgo?
Te decimos si os toca o no, y de las dos obligaciones que ya tenéis, cuáles cumplís y cuáles no.