Análisis jurídico completo para empresas y administraciones públicas. La guía oficial de la AESIA más el criterio de iusia para el asesoramiento práctico.
El Reglamento (UE) 2024/1689, publicado en el Diario Oficial de la Unión Europea el 12 de julio de 2024, es la primera norma integral del mundo sobre inteligencia artificial con rango de ley. No es una directiva que requiera transposición nacional. Es un reglamento de aplicación directa en los 27 Estados miembros desde el momento de su entrada en vigor. En España obliga desde el 1 de agosto de 2024 sin necesidad de ninguna ley nacional adicional, aunque la ley española que debía fijar el régimen sancionador específico y el reparto competencial entre supervisores sigue pendiente: el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA caducó el 6 de octubre de 2026 con la disolución de las Cortes.
La Guía 1 de la AESIA, con 61 páginas, es el mapa de lectura del conjunto del Reglamento. No contiene obligaciones adicionales a las del propio Reglamento, pero su valor radica en la claridad con la que la Agencia española explica la estructura, la lógica y los conceptos fundamentales del texto europeo. Para el jurista que se aproxima al AI Act por primera vez, es el documento que debe leer antes que ninguno otro.
El AI Act se apoya en tres pilares que conviene interiorizar desde el principio. El primero es la aplicación directa y extraterritorial: afecta a cualquier empresa o administración del mundo que introduzca sistemas de IA en el mercado de la UE o cuyos sistemas se usen por personas en la UE, con independencia de dónde esté ubicada esa empresa. El segundo es el enfoque basado en riesgo: las obligaciones no son iguales para todos los sistemas de IA, sino proporcionales al riesgo que presenta cada uno. El tercero es la proporcionalidad respecto al papel en la cadena de valor: un proveedor que desarrolla un sistema tiene más obligaciones que un desplegador que lo usa, aunque ambos están sujetos al Reglamento.
El artículo 2 del AI Act establece el ámbito de aplicación del Reglamento de forma deliberadamente amplia. Están sujetos a la norma cuatro categorías de operadores. La primera son los proveedores que introduzcan en el mercado o pongan en servicio sistemas de IA o modelos GPAI en la UE, con independencia de si están establecidos en la UE o en un tercer país. La segunda son los desplegadores de sistemas de IA que estén establecidos en la UE o cuyas actividades puedan afectar a personas ubicadas en la UE. La tercera son los importadores y distribuidores de sistemas de IA. Y la cuarta son los fabricantes de productos que incorporen sistemas de IA como componentes de seguridad.
El alcance extraterritorial merece atención especial porque a menudo sorprende a las empresas españolas cuando se dan cuenta de que les afecta el sistema de IA que usa su proveedor extranjero. Una empresa española que contrata un software de selección de personal a una empresa americana está usando un sistema de IA como desplegador, y por tanto tiene obligaciones bajo el AI Act con independencia de dónde esté el proveedor. Del mismo modo, una empresa americana que vende un software de gestión de riesgos a bancos europeos es proveedora sujeta al Reglamento aunque no tenga ninguna oficina en Europa.
Las exclusiones del ámbito de aplicación son taxativas y relativamente estrechas. Quedan fuera los sistemas desarrollados exclusivamente para fines militares o de defensa nacional (pero no los sistemas usados por el Ministerio de Defensa para gestión de personal civil), los sistemas usados exclusivamente para investigación científica precompetitiva, el uso personal no profesional (el ciudadano que usa ChatGPT para sus asuntos privados), y los modelos de IA de código abierto que no sean de alto riesgo, prohibidos ni sujetos a obligaciones de transparencia.
El artículo 3 del AI Act contiene 68 definiciones. Dominar las más relevantes no es un ejercicio académico — es la condición previa para cualquier análisis de cumplimiento. La clasificación por nivel de riesgo, la atribución de obligaciones y la determinación de responsabilidades dependen directamente de cómo se aplican estas definiciones a los hechos concretos de cada caso.
La definición de sistema de IA (art. 3.1) es la más fundamental. Un sistema de IA es un sistema basado en máquina que, dado un conjunto de objetivos definidos por el ser humano, infiere a partir de datos que recibe cómo generar resultados tales como predicciones, recomendaciones, decisiones o contenidos que puedan influir en entornos reales o virtuales. El elemento decisivo es la capacidad de inferencia: el sistema no se limita a ejecutar reglas predefinidas, sino que genera sus propios outputs a partir de patrones aprendidos de los datos. Esto distingue a los sistemas de IA de los sistemas de software tradicionales.
La distinción entre proveedor (art. 3.3) y desplegador (art. 3.4) es la segunda definición más importante. El proveedor es quien desarrolla el sistema o lo encarga y lo introduce en el mercado bajo su nombre o marca. El desplegador es quien lo usa bajo su propia autoridad para una finalidad específica. Esta distinción determina qué conjunto de obligaciones se aplica a cada actor. En la práctica, muchas empresas son proveedoras de algunos sistemas (los que han desarrollado internamente) y desplegadoras de otros (los que han adquirido a terceros). El análisis debe hacerse sistema por sistema.
Los modelos de propósito general (GPAI, art. 3.63) merecen una definición separada porque tienen un régimen propio en el Título V del Reglamento. Son modelos que pueden realizar de forma competente una amplia gama de tareas distintas. ChatGPT, Claude, Gemini y Llama son modelos GPAI. Los sistemas construidos sobre ellos — un asistente jurídico, un analizador de contratos, un chatbot de atención al cliente — son sistemas de IA que pueden ser o no de alto riesgo dependiendo de para qué se usen.
Entre las definiciones que más confusión generan en la práctica está la de modificación sustancial (art. 3.23), relevante porque determina cuándo un proveedor debe repetir la evaluación de conformidad. La guía de la AESIA aclara que no toda actualización del sistema constituye una modificación sustancial — solo aquellas que cambian la finalidad, el rendimiento o el nivel de riesgo del sistema de forma significativa.
El AI Act clasifica todos los sistemas de IA en cuatro niveles de riesgo, y esa clasificación determina casi mecánicamente el régimen de obligaciones aplicable. Entender los cuatro niveles es la competencia fundamental para cualquier asesor jurídico en esta materia.
El nivel inaceptable comprende las prácticas absolutamente prohibidas del artículo 5. Son ocho categorías que el legislador considera incompatibles con los valores fundamentales de la UE: técnicas de manipulación subliminal, explotación de vulnerabilidades de grupos específicos, sistemas de puntuación social por autoridades públicas, predicción de comportamiento criminal basada solo en perfilado, extracción masiva de imágenes faciales de internet, reconocimiento de emociones en trabajo y educación, categorización biométrica para inferir características sensibles, e identificación biométrica remota en tiempo real en espacios públicos. Estas prácticas están prohibidas desde el 2 de febrero de 2025 sin excepción posible. La sanción máxima es de 35 millones de euros o el 7% del volumen de negocio global anual, la que sea mayor.
El nivel alto incluye los sistemas listados en el Anexo III (ocho sectores: biometría, infraestructuras críticas, educación, empleo, servicios esenciales, aplicación de la ley, migración y justicia) y los sistemas de IA que son componentes de seguridad de productos sujetos a legislación de armonización de la UE (Anexo I). Los sistemas de alto riesgo están sujetos a las obligaciones más completas del Reglamento: gestión de riesgos, gobernanza de datos, documentación técnica, logs automáticos, transparencia ante el desplegador, supervisión humana, precisión, solidez y ciberseguridad. Además requieren evaluación de conformidad y marcado CE antes de comercializarse.
El nivel limitado comprende los sistemas sujetos solo a obligaciones de transparencia del artículo 50: chatbots, sistemas de generación de contenido sintético (imágenes, vídeos, audio, texto generado por IA), sistemas de reconocimiento de emociones y deepfakes. No necesitan cumplir los requisitos técnicos de los sistemas de alto riesgo, pero deben informar a los usuarios de que están interactuando con una IA y marcar el contenido generado artificialmente. Estas obligaciones son exigibles desde el 2 de agosto de 2026; para el marcado técnico del contenido (art. 50.2), el Ómnibus Digital concede a los sistemas que ya estaban en el mercado un margen transitorio hasta el 2 de diciembre de 2026.
El nivel mínimo abarca la inmensa mayoría de sistemas de IA: filtros de spam, sistemas de recomendación de contenido, herramientas de traducción, asistentes de productividad básicos. No están sujetos a obligaciones específicas más allá de la obligación universal de alfabetización en IA del artículo 4, que aplica a todos independientemente del nivel de riesgo.
El artículo 4 del AI Act establece que los proveedores y desplegadores de sistemas de IA deben adoptar medidas para garantizar, en la medida de lo posible, un nivel suficiente de alfabetización en materia de IA de su personal y de las personas que, en su nombre, operen y utilicen sistemas de IA. Esta obligación está en vigor desde el 2 de febrero de 2025 y es la única que aplica a cualquier organización que use cualquier sistema de IA, independientemente del nivel de riesgo.
La guía de la AESIA aclara que la obligación no impone un programa de formación específico ni un número de horas mínimas. Lo que exige es que las personas que usan sistemas de IA en contextos profesionales tengan una comprensión suficiente del funcionamiento básico del sistema, sus capacidades y sus limitaciones, para poder usarlo correctamente y reconocer sus errores. El nivel requerido de alfabetización es proporcional al impacto que las decisiones mediadas por IA puedan tener.
El Ómnibus Digital (Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026) ha reformulado el artículo 4: mantiene la obligación para proveedores y desplegadores, pero con una redacción más flexible, que exige adoptar medidas que apoyen un nivel suficiente de alfabetización del personal en lugar de garantizar un resultado concreto.
El AI Act tiene un calendario de aplicación escalonado que muchas organizaciones han malinterpretado. No es que el Reglamento entre en vigor "en agosto de 2026" — ya está en vigor desde el 1 de agosto de 2024. Lo que se produce en las distintas fechas es la activación de obligaciones específicas para distintos tipos de sistemas.
Desde el 1 de agosto de 2024: el Reglamento está en vigor. Los plazos empiezan a correr. Comienza la obligación de elaborar la documentación técnica para sistemas de alto riesgo que se lanzarán al mercado en el futuro.
Desde el 2 de febrero de 2025: las ocho prácticas prohibidas del artículo 5 son ilegales. La AEPD puede actuar con el RGPD cuando el sistema trata datos personales; el régimen sancionador del propio AI Act es aplicable desde el 2 de agosto de 2025, aunque en España sigue pendiente la ley que designe autoridades y tipifique las sanciones. La obligación de alfabetización en IA del artículo 4 está en vigor.
Desde el 2 de agosto de 2025: las obligaciones de los proveedores de modelos GPAI (arts. 51-56) están plenamente en vigor. Los grandes proveedores como OpenAI, Anthropic y Google deben cumplir con transparencia, derechos de autor y, si son de riesgo sistémico, con evaluaciones de seguridad. Su supervisión corresponde en exclusiva a la Comisión Europea, a través de la Oficina de IA, que puede imponer multas desde el 2 de agosto de 2026 (art. 101).
Desde el 2 de diciembre de 2027 (fecha fijada por el Ómnibus Digital; la original era el 2 de agosto de 2026): las obligaciones completas para sistemas de alto riesgo del Anexo III. Este es el plazo que afecta a la mayoría de empresas con sistemas de RRHH, scoring crediticio, diagnóstico médico, sistemas educativos y herramientas de justicia con IA. El aplazamiento quedó fijado por el Reglamento (UE) 2026/1744, publicado en el DOUE el 24 de julio de 2026. Para los sistemas de alto riesgo del Anexo I, integrados en productos regulados, la fecha pasa al 2 de agosto de 2028.
La supervisión del AI Act en España se articula en torno a la AESIA como autoridad nacional de supervisión y coordinación, con competencias compartidas con las autoridades sectoriales existentes. Las obligaciones GPAI corresponden a la Comisión Europea. Para las prácticas prohibidas y la mayoría de sistemas de alto riesgo, el proyecto de Ley Orgánica —caducado en octubre de 2026— preveía la competencia de la AESIA, por lo que su potestad sancionadora sigue pendiente de una nueva ley. Para los sistemas de alto riesgo en sectores regulados, la supervisión correspondería a la autoridad sectorial competente: AEPD para tratamientos de datos, Banco de España para el sector financiero, CNMV para el mercado de valores, y así sucesivamente.
A nivel europeo, la Oficina Europea de IA, creada dentro de la Comisión Europea, supervisa directamente a los proveedores de modelos GPAI. Sus decisiones son vinculantes y sus sanciones llegan hasta los 15 millones de euros o el 3% del volumen de negocio global. Es la primera autoridad supranacional de IA del mundo y tiene capacidad de actuar frente a cualquier proveedor GPAI que opere en la UE.
El Comité Europeo de IA, compuesto por representantes de las autoridades nacionales de supervisión de los 27 Estados miembros, coordina la aplicación del Reglamento y elabora directrices e interpretaciones que, aunque no son vinculantes formalmente, tienen una alta influencia práctica en cómo las empresas cumplen y cómo las autoridades sancionan.
El AI Act no es solo un problema para los departamentos de tecnología o de innovación. Es un problema jurídico de primer orden que requiere la participación activa de los abogados internos y externos en tres momentos críticos: el diseño y desarrollo de nuevos sistemas de IA, la adquisición de sistemas de IA a terceros proveedores, y la revisión periódica del cumplimiento de los sistemas ya desplegados.
En el diseño y desarrollo, el jurista debe participar desde el principio para garantizar que el sistema se clasifica correctamente por nivel de riesgo y que el proceso de desarrollo incorpora los requisitos del AI Act desde la fase de ingeniería. Corregir a posteriori un sistema que no fue diseñado con el AI Act en mente es enormemente más caro que incorporar esos requisitos desde el principio.
En las adquisiciones, el jurista debe revisar que los contratos con proveedores de IA incluyen las cláusulas de información y responsabilidad que el artículo 25 del AI Act exige. El proveedor debe proporcionar al desplegador toda la información que este necesita para cumplir sus propias obligaciones. Si el contrato no lo garantiza, el desplegador asume un riesgo de cumplimiento que puede trasladarse contractualmente al proveedor.
En la revisión de cumplimiento, el jurista debe coordinar la evaluación de todos los sistemas de IA en uso, clasificarlos por nivel de riesgo y verificar que los de alto riesgo cumplen con los requisitos del Reglamento antes del 2 de diciembre de 2027, fecha fijada por el Ómnibus Digital (o del 2 de agosto de 2028 para los sistemas del Anexo I).
El error conceptual más extendido entre las organizaciones que se acercan al AI Act es creer que el Reglamento solo afecta a las empresas tecnológicas. No es así. El AI Act afecta a cualquier organización — empresa de cualquier sector, administración pública, despacho de abogados, universidad — que use sistemas de IA en sus procesos, independientemente de si esa organización es o no una empresa tecnológica.
Una empresa de distribución logística que usa IA para optimizar rutas no es una empresa tecnológica, pero si esa IA también evalúa el rendimiento de sus repartidores o toma decisiones sobre sus condiciones de trabajo, tiene un sistema de alto riesgo del Anexo III que debe cumplir con todos los requisitos del Reglamento a partir del 2 de diciembre de 2027. Una clínica dental que usa un software de diagnóstico por imagen con IA tiene un sistema de alto riesgo aunque su negocio sea la odontología.
La Guía 1 de la AESIA, al establecer con claridad el ámbito de aplicación y las definiciones fundamentales, es precisamente el antídoto contra este error. Su lectura detenida permite a cualquier organización hacer la primera pregunta correcta: ¿tenemos sistemas de IA? Y a partir de la respuesta, construir el análisis completo de cumplimiento.
La Guía 1 de la AESIA es el punto de partida de cualquier proceso de cumplimiento del AI Act. Su función es doble: proporcionar el vocabulario común (las definiciones del art. 3) y trazar el mapa del territorio (la estructura del Reglamento, los niveles de riesgo y el calendario de aplicación). Sin dominar estos dos elementos, cualquier análisis de cumplimiento posterior estará construido sobre bases inseguras.
La recomendación práctica para los juristas que empiezan a trabajar en esta materia es leer la Guía 1 junto con el propio texto del Reglamento, contrastando cada afirmación de la guía con el artículo correspondiente. El Reglamento está disponible en español en EUR-Lex (CELEX:32024R1689). La Guía 1 no sustituye al texto del Reglamento — lo hace accesible. Una vez completada la lectura conjunta, el siguiente paso es la Guía 2 de ejemplos prácticos, que traduce la clasificación teórica por niveles de riesgo en casos concretos del Anexo III.
Más recursos: calendario del AI Act tras el Ómnibus Digital · análisis del AI Act en 2026 · servicios para administraciones públicas (LexQuark).
Actualidad del AI Act en iusia: Ómnibus Digital y nuevo calendario de aplicación · quién sanciona tras la caducidad de la Ley Orgánica de IA.
Newsletter gratuita · Empresas y administraciones públicas · En español