Reglamento Europeo de Inteligencia Artificial: claves, plazos y obligaciones para empresas en 2026
En este artículo analizamos las fases de entrada en vigor del Reglamento de IA, su clasificación por niveles de riesgo y el impacto que tendrá en España y en la actividad empresarial.
21 de septiembre de 2026
La regulación europea de la inteligencia artificial ha entrado en una nueva fase. El Reglamento Europeo de IA ya ha comenzado a desplegar sus principales obligaciones y, tras las modificaciones introducidas en 2026, las empresas deben tener en cuenta un calendario actualizado, nuevas obligaciones de transparencia y un marco de supervisión más definido.
En este artículo analizamos qué establece actualmente el Reglamento Europeo de Inteligencia Artificial, qué obligaciones ya son aplicables, cuáles tienen una entrada en vigor posterior y qué deben revisar las empresas ante la evolución del marco regulatorio europeo.
¿Qué es el Reglamento Europeo de Inteligencia Artificial?
El Reglamento (UE) 2024/1689, conocido como Reglamento Europeo de Inteligencia Artificial o AI Act, establece un marco común para el desarrollo y utilización de sistemas de inteligencia artificial en la Unión Europea.
Su principal característica es el enfoque basado en el riesgo. No todos los sistemas de IA están sometidos a las mismas obligaciones: los requisitos aumentan en función del riesgo que una determinada tecnología pueda generar para la seguridad, la salud o los derechos fundamentales.
El Reglamento afecta tanto a empresas que desarrollan o comercializan sistemas de IA como a aquellas que los utilizan dentro de su actividad, dependiendo de su posición y de las características del sistema.
Además, el AI Act debe analizarse conjuntamente con otras normas que pueden resultar aplicables, especialmente el Reglamento General de Protección de Datos (RGPD), la normativa de ciberseguridad, la regulación sectorial y las normas sobre propiedad intelectual.
Calendario de aplicación del Reglamento de IA
Una de las principales cuestiones que han cambiado desde la publicación inicial del Reglamento es su calendario de aplicación. El AI Act entró en vigor el 1 de agosto de 2024, pero sus obligaciones se aplican progresivamente.
2 de febrero de 2025: prohibiciones y alfabetización en IA
Desde esta fecha son aplicables las disposiciones relativas a determinadas prácticas de IA prohibidas y la obligación de promover la alfabetización en materia de IA.
La obligación de alfabetización afecta a proveedores y responsables del despliegue de sistemas de IA, que deben adoptar medidas para que las personas que trabajan con estas herramientas dispongan de un nivel adecuado de conocimientos y competencias en función del contexto de utilización.
No se exige un nivel de conocimientos idéntico para todas las personas ni para todas las empresas. La formación debe adaptarse a factores como la experiencia, los conocimientos técnicos, la formación y el uso que se haga del sistema.
2 de agosto de 2025: gobernanza y modelos de IA de uso general
Desde agosto de 2025 resultan aplicables, entre otras, las obligaciones relacionadas con la gobernanza del Reglamento y los modelos de inteligencia artificial de uso general (GPAI).
Estas obligaciones afectan especialmente a los proveedores de modelos de IA de uso general y, en particular, a aquellos modelos que pueden presentar riesgos sistémicos. El marco incluye requisitos relacionados con la transparencia, los derechos de autor, la documentación y, en los modelos con riesgo sistémico, la evaluación y mitigación de riesgos.
2 de agosto de 2026: aplicación general y transparencia
El 2 de agosto de 2026 constituye una fecha especialmente relevante. Desde entonces comienza la aplicación general del Reglamento, con las excepciones y periodos transitorios previstos para determinadas obligaciones. También comienzan a ser exigibles las obligaciones de transparencia previstas para determinados sistemas de IA.
Entre otras cuestiones, estas reglas pueden exigir que las personas sean informadas cuando interactúan con determinados sistemas de IA y que determinados contenidos generados o manipulados mediante IA puedan ser identificados.
2 de diciembre de 2027: determinados sistemas de alto riesgo
Tras las modificaciones introducidas por el denominado AI Omnibus, las obligaciones correspondientes a determinados sistemas de IA de alto riesgo incluidos en el anexo III serán aplicables a partir del 2 de diciembre de 2027.
Entre los ámbitos afectados se encuentran, por ejemplo, determinados usos relacionados con el empleo, la educación, las infraestructuras críticas, la biometría, la migración o la administración de justicia.
2 de agosto de 2028: sistemas de IA integrados en determinados productos
En el caso de los sistemas de IA considerados de alto riesgo por estar integrados en productos sujetos a determinadas normas europeas de seguridad, el nuevo calendario sitúa la aplicación de las correspondientes obligaciones en el 2 de agosto de 2028.
Por tanto, las empresas deben trabajar con el calendario actualizado y no con las fechas que aparecían inicialmente en las primeras guías sobre el AI Act.
¿Cómo clasifica el Reglamento los sistemas de IA?
La gran novedad del Reglamento es su clasificación de los sistemas de IA según el nivel de riesgo que entrañen:
- Prácticas de IA prohibidas: se prohíben determinadas prácticas consideradas incompatibles con los valores y derechos fundamentales protegidos por la Unión Europea. (ej. sistemas de manipulación perjudicial, explotación de vulnerabilidades, puntuación social).
- Alto riesgo: engloba ámbitos críticos como biometría, educación, justicia, infraestructuras críticas o servicios esenciales. Exigen requisitos estrictos: evaluación de conformidad, supervisión humana, trazabilidad de datos y transparencia.
- Obligaciones de transparencia: incluye, por ejemplo, chatbots, que deberán informar siempre al usuario de que interactúa con una máquina. También existen obligaciones específicas para determinados contenidos generados o manipulados mediante IA, incluidos determinados deepfakes y contenidos sintéticos.
- Riesgo mínimo: la mayoría de sistemas de IA quedan aquí, sin requisitos adicionales, aunque se fomenta la adhesión a códigos de conducta voluntarios.
¿Qué son los modelos de IA de uso general?
Los modelos de IA de uso general, conocidos como GPAI, pueden utilizarse para realizar diferentes tareas y servir como base para otros sistemas de IA. El Reglamento establece obligaciones específicas para sus proveedores, relacionadas, entre otras cuestiones, con:
- Transparencia y documentación.
- Información sobre los contenidos utilizados para el entrenamiento.
- Respeto de la normativa sobre derechos de autor.
- Cooperación con las autoridades.
- Y, en los modelos con riesgo sistémico, evaluación y mitigación de riesgos.
Estas obligaciones comenzaron a aplicarse en agosto de 2025, aunque existen periodos transitorios para determinados modelos que ya estaban comercializados antes de esa fecha. Para las empresas que desarrollan o proporcionan modelos de IA de uso general, el cumplimiento del AI Act requiere un análisis específico de su posición dentro de la cadena de valor.
¿Qué ha cambiado con el AI Omnibus?
La aplicación del Reglamento no ha permanecido estática. La Unión Europea aprobó en 2026 el denominado AI Omnibus, cuyo objetivo es simplificar determinados aspectos de la aplicación del AI Act y facilitar su cumplimiento.
Entre las modificaciones más relevantes se encuentra la actualización del calendario para determinados sistemas de alto riesgo, así como cambios relacionados con la gobernanza y supervisión de los modelos de IA de uso general.
También se han introducido medidas destinadas a facilitar el cumplimiento por parte de determinadas empresas de menor tamaño y a favorecer los espacios controlados de pruebas para soluciones innovadoras.
Por tanto, el debate europeo sobre la IA ya no se centra únicamente en establecer nuevas obligaciones, sino también en cómo aplicar las existentes de forma proporcionada y compatible con la innovación y la competitividad empresarial.
IA y protección de datos: un marco que también está evolucionando
La regulación de la inteligencia artificial no puede analizarse de forma aislada del Reglamento General de Protección de Datos (RGPD).
Una empresa que utiliza datos personales para entrenar, desarrollar o utilizar una herramienta de IA debe analizar, entre otras cuestiones, la finalidad del tratamiento, la base jurídica, la minimización de datos, la transparencia, la seguridad y los derechos de las personas afectadas.
Este ámbito está adquiriendo además especial relevancia dentro del debate europeo sobre simplificación normativa.
La Comisión Europea presentó en 2025 un Digital Omnibus que incluye propuestas para simplificar distintas normas digitales, entre ellas determinados aspectos del RGPD y del marco europeo de IA. Durante 2026, el texto ha continuado su tramitación y negociación institucional.
Entre las cuestiones debatidas se encuentran posibles modificaciones relacionadas con el tratamiento de datos personales en el contexto del desarrollo y funcionamiento de sistemas o modelos de IA.
Es importante, sin embargo, distinguir entre propuestas legislativas y Derecho vigente. Mientras estas modificaciones no sean definitivamente aprobadas y resulten aplicables, las empresas deben continuar cumpliendo el RGPD actualmente vigente.
Además, que una futura norma pueda reconocer determinadas posibilidades de tratamiento basadas en el interés legítimo no significa que el uso de datos personales para IA pase a ser ilimitado o quede automáticamente autorizado en cualquier circunstancia. Seguirán siendo relevantes las condiciones de la base jurídica aplicable, los derechos de las personas y las garantías establecidas por la normativa.
¿Qué deben revisar las empresas en 2026?
Para muchas organizaciones, el principal reto ya no consiste únicamente en conocer el AI Act, sino en saber qué herramientas de IA utilizan y qué obligaciones concretas se derivan de ellas.
Como punto de partida, conviene revisar:
- Inventario de herramientas de IA. La empresa debería identificar qué sistemas y aplicaciones de IA utilizan sus empleados, departamentos y proveedores.
- Finalidad y clasificación del sistema. No basta con saber que una empresa utiliza IA. Es necesario determinar para qué se utiliza y si el sistema puede encontrarse dentro de alguna de las categorías reguladas por el AI Act.
- Protección de datos personales. Cuando una herramienta de IA utiliza información relativa a personas físicas, debe analizarse la aplicación del RGPD.
- Transparencia. Las empresas deben comprobar si alguno de los sistemas que utilizan está sujeto a las nuevas obligaciones de transparencia aplicables desde agosto de 2026.
- Alfabetización y formación. La formación de las personas que utilizan sistemas de IA forma parte del nuevo marco europeo.
- Uso de IA por los empleados. También conviene abordar el denominado shadow AI: utilización de herramientas de inteligencia artificial por trabajadores sin autorización o supervisión de la empresa.
- Contratos y proveedores. Cuando la empresa utiliza soluciones de IA proporcionadas por terceros, conviene revisar los contratos y las condiciones del servicio.
- Documentación y gobernanza. Las organizaciones deberían conservar evidencias de las decisiones adoptadas respecto al uso de IA y definir quién es responsable de supervisar estas herramientas.
¿Qué relación existe entre el AI Act y otras normas?
El Reglamento de IA no sustituye al resto de la normativa.
Una misma solución tecnológica puede estar sometida simultáneamente a diferentes marcos jurídicos.
Entre ellos pueden encontrarse:
- RGPD y normativa de protección de datos, cuando se tratan datos personales;
- normativa de propiedad intelectual, especialmente en relación con contenidos y datos utilizados por sistemas de IA;
- NIS2 y otras normas de ciberseguridad, cuando resulte aplicable por la actividad o condición de la empresa;
- Reglamento de Ciberresiliencia, para determinados productos con elementos digitales;
- DORA, en el ámbito financiero y cuando concurran sus presupuestos de aplicación;
- normativa laboral, cuando la IA intervenga en procesos de selección, evaluación o gestión de personas.
Por ello, el cumplimiento del AI Act debería integrarse dentro de una estrategia más amplia de gobernanza tecnológica y cumplimiento normativo.
¿Quién supervisa el cumplimiento del Reglamento de IA?
La aplicación del Reglamento se articula entre la Oficina Europea de IA y las autoridades nacionales competentes.
Desde agosto de 2026 han comenzado a desplegarse las competencias de supervisión y ejecución previstas por el Reglamento.
La Oficina Europea de IA tiene un papel especialmente relevante respecto de los modelos de IA de uso general, mientras que las autoridades nacionales participan en la supervisión de los sistemas y obligaciones dentro de sus respectivos ámbitos de competencia.
Para las empresas, esto supone que el cumplimiento del AI Act deja progresivamente de ser una cuestión exclusivamente preventiva y pasa a formar parte de un marco con mecanismos de supervisión y ejecución efectivos.
¿Qué puede cambiar próximamente en la regulación europea de la IA?
El marco europeo continúa evolucionando.
Por un lado, el AI Act ya cuenta con un calendario modificado tras la aprobación del AI Omnibus.
Por otro, continúa el debate sobre el Digital Omnibus, que pretende simplificar diferentes normas del marco digital europeo, entre ellas determinadas disposiciones relacionadas con IA, protección de datos y ciberseguridad.
El objetivo de estas iniciativas es reducir cargas y facilitar la aplicación de la regulación, pero las propuestas que todavía se encuentran en negociación no deben confundirse con obligaciones actualmente vigentes.
Para las empresas, esto hace especialmente importante realizar un seguimiento continuado de la normativa y evitar tanto el incumplimiento de obligaciones ya aplicables como la adopción anticipada de requisitos que todavía no hayan sido aprobados.
¿Qué significa el Reglamento de IA para las empresas?
La regulación europea de la inteligencia artificial ha pasado de la fase de aprobación del marco jurídico a una etapa centrada en su aplicación efectiva y supervisión.
El AI Act ya cuenta con obligaciones aplicables y con un calendario actualizado tras las modificaciones de 2026. Al mismo tiempo, la Unión Europea continúa revisando su marco digital para intentar simplificar determinadas exigencias y favorecer la innovación y la competitividad.
Para las empresas, el reto consiste en encontrar el equilibrio entre aprovechar las posibilidades de la inteligencia artificial y garantizar un uso seguro, transparente y conforme con la normativa.
Para más información, puedes contactar con nuestro equipo experto laboral sin compromiso.
Nuestros expertos
¿Tienes alguna duda?
Si te ha surgido alguna pregunta tras leer “Reglamento Europeo de Inteligencia Artificial: claves, plazos y obligaciones para empresas en 2026”, estamos aquí para ayudarte.
Hablemos. Te orientamos con claridad y paso a paso.