Lo primero: qué eres tú ante la norma
Las obligaciones no dependen de tu tamaño, sino del papel que juegas. Y la mayoría de las empresas españolas ocupan el segundo de estos papeles convencidas de que no les aplica nada.
Proveedor
Desarrollas un sistema de IA, o lo pones en el mercado bajo tu nombre o marca. Es el rol con más carga: documentación técnica, gestión de riesgos, evaluación de conformidad, marcado CE cuando aplica.
Responsable del despliegue
Usas un sistema de IA en tu actividad profesional. Aquí está el 90 % de las empresas. Tienes obligaciones propias: uso conforme a instrucciones, supervisión humana, información a las personas afectadas y formación del personal.
Importador o distribuidor
Traes a la UE o comercializas sistemas de terceros. Debes verificar que el proveedor cumplió antes de poner el producto en circulación.
Ojo con un punto poco intuitivo: si coges un sistema de un tercero, le pones tu marca y lo ofreces a tus clientes, o si modificas sustancialmente su finalidad, pasas a ser proveedor con todas las obligaciones que eso conlleva.
Los cuatro niveles de riesgo
Riesgo inaceptable — prohibido
Puntuación social, manipulación subliminal, explotación de vulnerabilidades, reconocimiento de emociones en el trabajo y en centros educativos, categorización biométrica por datos sensibles y scraping masivo de imágenes faciales. Prohibido desde el 2 de febrero de 2025. Desde el 2 de diciembre de 2026 se suman las imágenes íntimas realistas de personas identificables sin su consentimiento y el material de abusos sexuales de menores.
Alto riesgo — permitido con obligaciones fuertes
Selección de personal y gestión de empleo, evaluación de solvencia, educación, biometría, infraestructuras críticas, servicios públicos esenciales, y los sistemas que actúan como componente de seguridad de un producto ya regulado. Obligaciones exigibles desde el 2 de diciembre de 2027 (anexo III) o el 2 de agosto de 2028 (productos del anexo I).
Riesgo limitado — obligaciones de transparencia
Chatbots, asistentes conversacionales y generación de contenido sintético. Hay que avisar de que se está interactuando con una IA y marcar el contenido generado o manipulado como tal.
Riesgo mínimo — sin obligaciones específicas
La mayoría de usos cotidianos: filtros antispam, recomendadores, optimización interna. Sin obligaciones propias del Reglamento, aunque siguen aplicando el RGPD y el resto del ordenamiento.
Calendario de aplicación
Por dónde se empieza, en la práctica
Inventario
Lista de todos los sistemas de IA que la empresa usa o vende. Incluye el ChatGPT que alguien del equipo usa sin permiso y el módulo de IA que tu software de siempre ha activado en una actualización. Casi nunca son los tres que la dirección cree.
Clasificación
Por cada sistema: nivel de riesgo y rol tuyo. Esto define todo lo que viene después, así que hacerlo mal multiplica el trabajo o te deja expuesto.
Alfabetización en IA
Medidas para que quien usa estos sistemas entienda qué hace y qué límites tiene. Obligación desde febrero de 2025 y, tras la reforma del artículo 4 de julio de 2026, de medios y no de resultado: dejarla documentada sigue siendo lo que la demuestra.
Gobernanza
Política interna de uso de IA, responsable asignado, registro de decisiones, supervisión humana efectiva y evaluación de impacto donde corresponda. Documentado: lo que no está escrito no se puede acreditar.
Cadena de contratos
Si usas IA de terceros, tus contratos tienen que repartir responsabilidades y garantizarte información del proveedor. Si vendes IA, tus clientes empezarán a exigírtelo a ti —y ahí el compliance pasa de coste a argumento comercial.
El Reglamento de IA no sustituye al RGPD
Si el sistema trata datos personales —y casi todos lo hacen— sigues necesitando base jurídica, información al interesado, minimización y, en muchos casos, evaluación de impacto en protección de datos. En la práctica los dos análisis se hacen a la vez, porque el 80 % de la documentación se solapa. Hacerlos por separado es pagar dos veces.
¿Quieres saberlo para tu caso concreto?
Hazte el test gratuito del Reglamento Europeo de IA: en cinco minutos te dice tu nivel de riesgo, tu papel y tus obligaciones, con el artículo de cada una.
Sanciones
Hasta 35 millones de euros o el 7 % del volumen de negocio anual mundial por incurrir en prácticas prohibidas, y hasta 15 millones o el 3 % para el resto de incumplimientos —incluido no cumplir las obligaciones del responsable del despliegue—. Para pymes, startups y pequeñas empresas de mediana capitalización se aplica el menor de los dos importes. En España la supervisión recae en la AESIA, la Agencia Española de Supervisión de la Inteligencia Artificial.