El Reglamento IA es la norma europea que fija qué puede y qué no puede hacer una empresa con sistemas de inteligencia artificial. Su nombre completo es Reglamento Europeo de Inteligencia Artificial y se le conoce también como AI Act. Desde el 2 de agosto de 2026 se aplica con carácter general, y eso cambia una cosa concreta para tu departamento de cumplimiento: la IA deja de ser una herramienta que se compra y pasa a ser un riesgo que se documenta.
Lo esencial
- El Reglamento IA es el Reglamento (UE) 2024/1689. Es de aplicación directa, así que no espera a una ley española para obligarte.
- Su calendario es escalonado: prohibiciones y alfabetización desde el 2 de febrero de 2025, modelos de uso general desde el 2 de agosto de 2025 y aplicación general desde el 2 de agosto de 2026.
- Los sistemas de alto riesgo del Anexo III se aplazaron al 2 de diciembre de 2027, y los integrados en productos al 2 de agosto de 2028.
- En España, el Proyecto de Ley de Gobernanza de la IA se aprobó en Consejo de Ministros el 26 de mayo de 2026 y designa a la AESIA como autoridad central de supervisión.
- La clasificación por nivel de riesgo es el primer entregable: sin ella no sabes qué obligaciones te aplican ni puedes demostrar diligencia.
- El uso de IA no crea un compliance nuevo. Se integra en el que ya tienes: análisis de riesgos, controles, formación y evidencias.
¿Qué es el Reglamento IA y a qué se le llama AI Act?
El Reglamento IA es la primera norma horizontal del mundo que regula la IA por el riesgo que genera, no por la tecnología que emplea. Su texto es el Reglamento (UE) 2024/1689, y su lógica se resume en una frase: cuanto mayor es el daño potencial de un sistema, más obligaciones soporta quien lo pone en el mercado o lo utiliza.
Conviene entender bien un punto, porque es el que más confusión genera en las reuniones de dirección. El Reglamento no regula la inteligencia artificial en abstracto: regula sistemas concretos aplicados a finalidades concretas. El mismo modelo de lenguaje puede quedar fuera de ámbito si lo usas para redactar borradores internos y entrar en la categoría de alto riesgo si lo usas para cribar currículos. La finalidad manda sobre la herramienta.
La segunda idea que conviene fijar es el reparto de papeles. La norma distingue sobre todo entre el proveedor, que desarrolla el sistema y lo pone en el mercado con su nombre, y el responsable del despliegue, que lo utiliza bajo su autoridad. La mayoría de las empresas españolas son responsables del despliegue y asumen obligaciones más ligeras. Ahora bien, si adaptas un sistema de un tercero, le pones tu marca o lo destinas a una finalidad distinta de la prevista, puedes convertirte en proveedor sin haberlo decidido.
¿Desde cuándo se aplica el Reglamento IA?
El Reglamento IA no entró en vigor de golpe. La Comisión Europea fijó un calendario por tramos, y el aplazamiento aprobado con el paquete ómnibus digital movió las fechas de alto riesgo, que es justo lo que más se ha malinterpretado este año.
| Fecha | Qué empieza a aplicarse |
|---|---|
| 2 de febrero de 2025 | Prácticas de IA prohibidas y obligación de alfabetización en IA del personal |
| 2 de agosto de 2025 | Modelos de IA de uso general (GPAI), gobernanza y régimen sancionador |
| 2 de agosto de 2026 | Aplicación general del Reglamento y obligaciones de transparencia sobre contenido generado por IA |
| 2 de diciembre de 2027 | Sistemas de alto riesgo del Anexo III (biometría, empleo, educación, infraestructuras críticas, migración) |
| 2 de agosto de 2028 | Sistemas de alto riesgo integrados en productos regulados |
Fuente: Comisión Europea, marco regulatorio de la IA, consultado el 2 de septiembre de 2026.
Que el alto riesgo se haya aplazado a diciembre de 2027 no es una tregua. Las prohibiciones llevan aplicándose desde febrero de 2025 y la obligación de alfabetización también, así que una empresa que hoy no ha formado a su plantilla ya está en incumplimiento de una obligación vigente, no de una futura.
¿Qué es la clasificación por niveles de riesgo?
El Reglamento ordena los sistemas en cuatro niveles, y de ese encaje depende todo lo demás. Es el primer trabajo que debe hacer un responsable de cumplimiento, antes de comprar herramientas y antes de redactar políticas.
- Riesgo inaceptable: prohibidos sin excepción comercial. Incluyen la puntuación social, la explotación de vulnerabilidades de colectivos concretos, el reconocimiento de emociones en el trabajo y en centros educativos, y el rastreo indiscriminado de imágenes faciales para crear bases de datos biométricas.
- Alto riesgo: permitidos con requisitos exigentes de gestión de riesgos, calidad de datos, documentación técnica, registro de eventos, supervisión humana y robustez. Aquí caen selección de personal, evaluación crediticia, acceso a educación o gestión de infraestructuras críticas.
- Riesgo limitado: obligaciones de transparencia. La persona debe saber que interactúa con una máquina, y el contenido sintético debe estar identificado como tal.
- Riesgo mínimo: sin obligaciones específicas. Es donde cae la mayoría del uso ofimático cotidiano.
El error habitual es clasificar por departamento en lugar de por caso de uso. Recursos humanos no es alto riesgo: usar IA para puntuar candidatos es alto riesgo, mientras que usarla para redactar la oferta de empleo no lo es. La unidad de análisis es el caso de uso, y por eso el registro interno tiene que estar construido así.
¿Qué obligaciones tienes si solo usas IA de terceros?
Esta es la situación real de casi cualquier empresa que no fabrique software. Aunque tus obligaciones como responsable del despliegue son menores que las del proveedor, no son cero, y son perfectamente auditables.
- Alfabetización en IA: garantizar que quien opera el sistema tiene formación suficiente para entender qué hace y dónde falla.
- Uso conforme a las instrucciones: emplear el sistema para la finalidad declarada por el proveedor, no para otra.
- Supervisión humana efectiva: asignar la vigilancia a personas con competencia y autoridad real para revertir una decisión, no a una firma formal.
- Transparencia: informar cuando una persona interactúa con un sistema de IA o recibe contenido generado por IA.
- Trazabilidad: conservar los registros que genere el sistema cuando estén bajo tu control.
A eso se suma la capa que ya conoces. Si el sistema trata datos personales, el RGPD sigue aplicándose íntegro y en paralelo, con su base de licitud, su información a los interesados y, cuando el tratamiento es de alto riesgo, su evaluación de impacto en protección de datos. El Reglamento de IA no sustituye nada: se suma.
¿Cómo queda España con el Proyecto de Ley de Gobernanza de la IA?
El Reglamento es de aplicación directa, pero deja a cada Estado designar autoridades y concretar el procedimiento sancionador. España lo articula con el Proyecto de Ley de Gobernanza de la Inteligencia Artificial, aprobado en Consejo de Ministros el 26 de mayo de 2026 y remitido a las Cortes para su tramitación parlamentaria, según la referencia oficial del Consejo de Ministros.
El diseño de supervisión es repartido, y merece la pena conocerlo porque determina quién llamará a tu puerta:
| Autoridad | Ámbito de vigilancia |
|---|---|
| AESIA (Agencia Española de Supervisión de la IA), con sede en A Coruña | Autoridad central y coordinación general |
| Banco de España | Sistemas de IA en el ámbito financiero |
| Agencia Española de Protección de Datos | Tratamientos de datos personales y biometría |
| Consejo General del Poder Judicial | Uso de IA en el ámbito de la justicia |
Fuente: Consejo de Ministros de 26 de mayo de 2026, referencia de La Moncloa.
Dos cautelas antes de dar por hecho el contenido final. La primera es que un proyecto en tramitación puede cambiar en el Congreso, y el Consejo Económico y Social ya señaló en su dictamen la conveniencia de ajustar el régimen sancionador. La segunda es que las cuantías de las multas de la norma europea están en el artículo 99 del Reglamento, graduadas por tramos, con el tramo más alto reservado a las prácticas prohibidas del artículo 5. Si necesitas la cifra exacta para un comité, tómala del texto consolidado en EUR-Lex y no de un resumen de prensa.
¿Para qué se está usando la IA en compliance?
Dejando a un lado la promesa comercial, estos son los usos que hoy sostienen un análisis de coste y beneficio en un departamento de cumplimiento español.
Prevención de blanqueo y cribado de clientes
Es el caso más maduro, porque el volumen justifica la automatización y el resultado se mide. La IA prioriza alertas y reduce el ruido de los sistemas basados en reglas fijas, pero la decisión de comunicar una operación sospechosa sigue siendo humana y así debe quedar documentada.
Revisión documental y contractual
Localizar cláusulas, comparar versiones y detectar obligaciones vencidas. Aquí el ahorro es real y el riesgo es bajo, siempre que la salida se trate como un borrador que un profesional valida, nunca como un dictamen.
Triaje del canal de denuncias
Clasificar y priorizar comunicaciones entrantes. Es un uso legítimo, pero exige cuidado: el expediente de un canal de denuncias conforme a la Ley 2/2023 contiene datos especialmente sensibles y la confidencialidad de la identidad del informante es una obligación legal, no una buena práctica. Antes de conectar cualquier herramienta al canal, verifica dónde se procesan los datos y si el proveedor entrena modelos con ellos.
Formación y consulta de políticas
Asistentes internos que responden dudas sobre el código ético o el modelo de prevención de delitos. Funcionan bien cuando responden solo sobre documentación propia y citan la fuente, y funcionan mal cuando improvisan.
¿Qué riesgos concretos asumes al meter IA en cumplimiento?
Los riesgos que importan no son los titulares sobre superinteligencia. Son estos cuatro, y todos han producido incidentes reales en empresas españolas.
- Fuga de información por el prompt: pegar un contrato, un expediente o una base de clientes en una herramienta pública equivale a una comunicación de datos a un tercero sin base jurídica ni contrato de encargo.
- Confabulación: el modelo inventa una referencia normativa con formato impecable. En compliance esto es especialmente peligroso porque el error viene con apariencia de autoridad.
- Sesgo: un sistema entrenado con decisiones históricas reproduce las discriminaciones históricas. En selección de personal o en scoring esto es alto riesgo bajo el Reglamento y también una contingencia laboral.
- Dilución de la responsabilidad: si nadie firma la decisión, la firma acaba siendo del consejo. La automatización no traslada la responsabilidad al proveedor.
Añade una consideración de seguridad que suele quedarse fuera del análisis jurídico. Toda herramienta de IA es un proveedor más con acceso a información, así que entra en tu inventario de activos, en tu gestión de vulnerabilidades y en tu evaluación de terceros como cualquier otro servicio. Si tienes un sistema de gestión certificado en ISO 27001, el encaje es natural: los controles de proveedores y de clasificación de la información ya te sirven.
¿Cómo montar el cumplimiento del AI Act paso a paso?
Este es el orden que funciona, y no admite atajos: sin inventario no hay clasificación, y sin clasificación cualquier política que escribas será genérica.
1. Inventaría lo que ya se está usando
Incluye la IA que nadie ha aprobado. Está en las suscripciones individuales, en las funciones que tu software habitual ha activado por defecto y en los navegadores del equipo. Un inventario que solo recoge lo comprado por el departamento de sistemas no sirve para nada.
2. Clasifica caso de uso por caso de uso
Para cada uno: finalidad, datos que trata, quién decide con su resultado y nivel de riesgo del Reglamento. Registra también los que quedan en riesgo mínimo, porque la evidencia de haber analizado y descartado es la que demuestra diligencia.
3. Escribe una política de uso corta y ejecutable
Herramientas autorizadas y prohibidas por nombre, qué información no sale nunca de la organización, cómo se pide la aprobación de una herramienta nueva y qué pasa si alguien se la salta. Una política de veinte páginas que nadie lee protege menos que una de dos que todos aplican.
4. Asigna la responsabilidad a una persona
Con nombre y con capacidad real de vetar. En organizaciones medianas suele recaer en el compliance officer junto al delegado de protección de datos, y esa coordinación conviene dejarla escrita para que no se convierta en un vacío.
5. Forma a la plantilla
No es opcional: la alfabetización en IA es exigible desde febrero de 2025. Céntrala en lo que se usa de verdad, en cómo detectar una respuesta inventada y en qué información no se pega jamás en un chat.
6. Revisa con periodicidad fija
Al menos una vez al año, y siempre que cambie una herramienta, un proveedor o la finalidad de un caso de uso. El calendario del Reglamento sigue abierto hasta 2028, así que lo que hoy está fuera de alcance puede entrar mañana.
¿Por dónde empezar si vas tarde?
Si a día de hoy no tienes nada, prioriza en este orden. Primero comprueba que no estás incurriendo en ninguna práctica prohibida, porque eso es lo único que ya se sanciona sin margen. Después levanta el inventario de casos de uso, que es el entregable del que cuelga todo lo demás. Con esas dos cosas hechas tienes cubierta la parte urgente, y el resto puede planificarse contra el calendario de 2027.
La buena noticia para un departamento que ya trabaja con método es que aquí no se inventa nada. El análisis de riesgos, el registro de decisiones, la formación con evidencia y la revisión periódica son exactamente las piezas de cualquier programa de cumplimiento normativo. Lo que cambia es el objeto que analizas, no la forma de analizarlo.
