Ley de IA europea: qué deben hacer las empresas españolas y qué papel tiene la AESIA

Qué es el Reglamento de IA y a quién se aplica

El Reglamento (UE) 2024/1689 entró en vigor el 1 de agosto de 2024 y es directamente aplicable en España, sin necesidad de transposición. Regula los sistemas de IA según su nivel de riesgo y reparte obligaciones entre distintos operadores de la cadena de valor.

Para una empresa española lo primero es identificar su papel. El proveedor es quien desarrolla un sistema de IA o lo comercializa con su nombre o marca. El responsable del despliegue, llamado deployer en inglés, es quien utiliza un sistema de IA bajo su autoridad en una actividad profesional. También existen importadores y distribuidores. Una misma empresa puede tener varios papeles: por ejemplo, si integra un modelo de terceros en su producto y lo vende con su marca, pasa a ser proveedor de ese sistema.

Las cuatro categorías de riesgo

El reglamento no regula la IA en general, sino usos concretos. Clasificar cada caso de uso es el paso que determina todo lo demás.

• Prácticas prohibidas (artículo 5): manipulación subliminal dañina, explotación de vulnerabilidades, puntuación social, reconocimiento de emociones en el trabajo y la educación salvo excepciones, extracción indiscriminada de imágenes faciales, entre otras.
• Alto riesgo (artículo 6 y anexos I y III): IA como componente de seguridad de productos regulados y usos en ámbitos como empleo, educación, acceso a servicios esenciales como crédito o seguros, infraestructuras críticas, migración o justicia.
• Riesgo de transparencia (artículo 50): chatbots que interactúan con personas, contenido sintético como deepfakes, sistemas de reconocimiento de emociones o categorización biométrica.
• Riesgo mínimo: la mayoría de usos, como filtros antispam o recomendaciones internas, sin obligaciones específicas más allá de la alfabetización en IA.

Calendario de aplicación

Las obligaciones se aplican de forma escalonada. Algunas ya son exigibles y no conviene esperar a la fecha de alto riesgo para empezar.

• 2 de febrero de 2025: prohibiciones del artículo 5 y obligación de alfabetización en IA del artículo 4 para proveedores y responsables del despliegue.
• 2 de agosto de 2025: obligaciones para modelos de IA de uso general, régimen de gobernanza y sanciones.
• 2 de agosto de 2026: la mayor parte del reglamento, incluidas las obligaciones de transparencia y de los sistemas de alto riesgo del anexo III.
• 2 de agosto de 2027: sistemas de alto riesgo integrados en productos regulados del anexo I.
• Atención: la Comisión propuso en el paquete de simplificación digital, conocido como omnibus digital, retrasar algunas fechas de alto riesgo. Comprueba el estado actual de esa propuesta antes de planificar.

El papel de la AESIA y del marco español

España fue de los primeros Estados miembros en crear una autoridad específica: la Agencia Española de Supervisión de la Inteligencia Artificial, con sede en A Coruña, cuyo estatuto se aprobó mediante el Real Decreto 729/2023. La AESIA está llamada a ejercer funciones de vigilancia del mercado y supervisión del reglamento, en coordinación con otras autoridades sectoriales, como la AEPD para cuestiones de datos personales o los supervisores financieros.

España también impulsó un entorno controlado de pruebas para sistemas de IA mediante el Real Decreto 817/2023, y el Gobierno ha tramitado un anteproyecto de ley para el buen uso y la gobernanza de la IA que desarrolla el régimen sancionador y el reparto de competencias. Como la tramitación puede cambiar, consulta en la web de la AESIA y en el BOE qué está aprobado y qué autoridad es competente para tu sector.

Obligaciones concretas según tu papel

La mayoría de pymes españolas serán responsables del despliegue, no proveedores. Sus obligaciones son menores, pero existen, y algunas ya se aplican.

Si eres proveedor de un sistema de alto riesgo, la carga es mayor: sistema de gestión de riesgos (artículo 9), gobernanza de datos (artículo 10), documentación técnica (artículo 11), registros automáticos (artículo 12), instrucciones de uso (artículo 13), supervisión humana (artículo 14), exactitud, solidez y ciberseguridad (artículo 15), sistema de gestión de la calidad (artículo 17), evaluación de la conformidad, marcado CE y registro en la base de datos de la UE.

• Todos: garantizar un nivel suficiente de alfabetización en IA del personal que usa o supervisa sistemas de IA.
• Todos: verificar que ningún uso entra en las prácticas prohibidas.
• Responsable del despliegue de alto riesgo (artículo 26): usar el sistema según las instrucciones, asignar supervisión humana competente, vigilar su funcionamiento, conservar registros e informar a los trabajadores si se usa en el entorno laboral.
• Evaluación de impacto en derechos fundamentales (artículo 27): obligatoria para organismos públicos, entidades privadas que prestan servicios públicos y ciertos usos como evaluación de solvencia o seguros de vida y salud.
• Transparencia: informar de que se interactúa con un chatbot y etiquetar contenido generado o manipulado cuando corresponda.

Sanciones y relación con el RGPD

El reglamento fija multas máximas de hasta 35 millones de euros o el 7 % del volumen de negocio mundial por prácticas prohibidas, hasta 15 millones o el 3 % por incumplir otras obligaciones y hasta 7,5 millones o el 1 % por facilitar información incorrecta. Para pymes se aplica el importe menor de cada par. La cuantía concreta y el procedimiento en España dependerán de la normativa nacional de desarrollo.

El AI Act no sustituye al RGPD. Si un sistema de IA trata datos personales, sigues necesitando base jurídica, información a los interesados y, en muchos casos, una evaluación de impacto de protección de datos. Ambas evaluaciones pueden coordinarse para no duplicar trabajo.

Plan de acción en seis pasos

Para una empresa mediana, un enfoque ordenado evita tanto el pánico como la inacción. Un sistema de gestión basado en ISO/IEC 42001:2023 puede dar estructura a todo el proceso, aunque la certificación ISO no equivale a cumplir el reglamento. Una autoevaluación gratuita en baltum.ai muestra en qué punto está tu gobernanza de IA y qué brechas priorizar.

• Inventario: lista todos los sistemas de IA en uso, incluidos los integrados en software de terceros como CRM, ATS o herramientas de marketing.
• Clasificación: determina para cada uno tu papel y la categoría de riesgo, documentando el razonamiento.
• Prohibiciones: confirma por escrito que ningún uso es una práctica prohibida.
• Formación: diseña un programa de alfabetización en IA adaptado a cada perfil y guarda registros.
• Proveedores: pide a tus proveedores de IA documentación, instrucciones de uso y su posición respecto al reglamento.
• Gobernanza: asigna responsables, define una política de uso de IA y revisa el inventario periódicamente.

Este artículo es informativo y no constituye asesoramiento jurídico. baltum.ai es un software independiente, no un organismo de certificación.