Reglamento de IA de la UE.
El Reglamento de IA para empresas: funciones, casos de uso, obligaciones vigentes y vías para una acreditación adecuada.
- Reglamento (UE) 2024/1689 · Modificaciones a 27.07.2026
- Por Derya Altinay
- Actualizado: 22/10/2026
- Tiempo de lectura: 10 min.
Respuesta breve.
El Reglamento de IA de la UE regula la inteligencia artificial según uso, riesgo y función. Distingue proveedores y responsables del despliegue, prohíbe determinadas prácticas y exige medidas y evidencias específicas para la IA de alto riesgo. Deben examinarse por separado transparencia, alfabetización en IA y obligaciones de proveedores de modelos; el art. 113 establece la aplicación escalonada.
El Reglamento de IA y su estado actual.
El Reglamento de IA de la UE es un reglamento de aplicación directa, no un estándar voluntario de seguridad. El Reglamento (UE) 2024/1689 establece obligaciones para sistemas de IA y modelos de IA de uso general. La conocida clasificación por niveles de riesgo ayuda a comenzar; una decisión concreta también requiere conocer la función de la empresa y el uso previsto.
El Reglamento (UE) 2026/1744 modificó el Reglamento de IA y se aplica desde el 27 de julio de 2026. Su art. 1, punto 40, modifica el calendario del art. 113 del Reglamento de IA: para los sistemas de alto riesgo del art. 6, apartado 2, y el anexo III, el capítulo III, secciones 1 a 3, se aplica en principio desde el 2 de diciembre de 2027; para la vía de productos del art. 6, apartado 1, y el anexo I, desde el 2 de agosto de 2028. Se exceptúa el art. 6, apartado 5.
La fecha general de aplicación sigue siendo el 2 de agosto de 2026. Las prohibiciones, la alfabetización en IA y las disposiciones sobre modelos de uso general tienen fechas anteriores propias; determinadas prohibiciones añadidas recientemente solo se aplican desde el 2 de diciembre de 2026. Por ello, ampliar ciertos plazos de alto riesgo no retrasa el Reglamento de IA en su conjunto. Para sistemas y modelos ya comercializados, también deben examinarse las disposiciones transitorias del art. 111.
A quién se aplica el Reglamento de IA de la UE.
Según el art. 2, el Reglamento de IA de la UE afecta especialmente a proveedores que introducen sistemas de IA en el mercado de la UE o los ponen en servicio y a responsables del despliegue establecidos o ubicados en la UE. También comprende a determinados actores de fuera de la UE cuando los resultados de los sistemas se utilizan en la UE. Importadores, distribuidores y fabricantes de productos tienen funciones propias. El uso exclusivamente personal y no profesional debe tratarse de forma distinta al uso empresarial.
Una empresa debe aclarar su función para cada caso de uso. Comprar un servicio de terceros todavía no determina definitivamente su función para todas las aplicaciones basadas en él. El modelo y el sistema terminado también son puntos de referencia diferentes. Por ello, deben examinarse finalidad, comercialización y uso real; una clasificación de toda la empresa basada solo en el nombre del modelo es demasiado imprecisa.
Las obligaciones del Reglamento de IA dependen de la función y el uso.
Las obligaciones del Reglamento de IA no forman un paquete uniforme de medidas para todos los usos de IA. Los ámbitos siguientes sirven de orientación; los artículos y plazos aplicables deben determinarse para cada sistema y cada función.
Examinar las prohibiciones y la clasificación de alto riesgo.
El art. 5 describe las prácticas prohibidas; el art. 6, la clasificación de alto riesgo. La vía de productos conecta la referencia al anexo I con la evaluación por terceros exigida; la segunda vía se refiere a casos de uso enumerados en el anexo III. No toda aplicación en un sector citado es automáticamente de alto riesgo. Las excepciones requieren un examen justificado de la función concreta.
Desarrollar la alfabetización en IA.
En su versión modificada, el art. 4 exige medidas que apoyen el desarrollo de la alfabetización en IA. Deben considerarse los conocimientos previos, la experiencia, las tareas y el contexto de uso. Proveedores y responsables del despliegue no tienen que garantizar un nivel individual concreto de competencia. Por ello, un certificado de un curso general no sustituye ni la selección de medidas adecuadas ni el análisis de los sistemas utilizados.
Diseñar la IA de alto riesgo de forma segura y trazable.
Los requisitos de alto riesgo de los arts. 9 a 15 abarcan, entre otros aspectos, gestión de riesgos, datos, documentación, registros, información, supervisión humana, precisión, solidez y ciberseguridad. Las obligaciones del proveedor y la gestión de la calidad del art. 17 organizan este trabajo. Qué disposiciones se aplican y cuándo depende del régimen concreto y del calendario de aplicación.
Asumir la responsabilidad durante la operación.
Las obligaciones de los responsables del despliegue del art. 26 difieren de las tareas de los proveedores. Cuando se aplican las reglas de alto riesgo, incluyen especialmente el funcionamiento según las instrucciones, una supervisión humana adecuada y el seguimiento del uso. La supervisión requiere personas capacitadas con posibilidades reales de actuar; designar un órgano competente por sí solo todavía no acredita una intervención eficaz en el trabajo.
Aplicar la transparencia de forma específica.
El art. 50 contiene obligaciones especiales de información y marcado para determinados sistemas y resultados. Incluyen, por ejemplo, reconocer el contacto con IA y gestionar determinados contenidos generados artificialmente. Quién debe informar o marcar depende de la disposición y de la función. De ello no se deriva una regla general para todos los documentos trabajados internamente con IA.
Examinar por separado las obligaciones sobre modelos.
El capítulo V contiene obligaciones propias para proveedores de modelos de IA de uso general, en inglés General-Purpose AI o GPAI. Los modelos con riesgo sistémico están sujetos a requisitos adicionales. Utilizar uno de estos modelos no convierte automáticamente a una empresa en proveedor del modelo; al mismo tiempo, la documentación del modelo todavía no resuelve todas las obligaciones del sistema construido sobre él.
La implantación empieza por el caso de uso.
Registrar la finalidad y el uso.
Como primer paso práctico, describa qué tarea asume un sistema de IA, quién lo utiliza y a qué personas o decisiones afectan sus resultados.
Aclarar la función y el ámbito de aplicación.
Documente qué función ocupa su organización y qué análisis de la conexión con la UE y de las posibles excepciones fundamenta esa decisión.
Examinar la clasificación con los especialistas.
Examine prohibiciones, vías de alto riesgo y cuestiones de transparencia con los responsables funcionales, técnicos y jurídicos, y documente la justificación.
Determinar las obligaciones y los plazos.
Asigne a las disposiciones pertinentes responsables concretos y la fecha de aplicación correspondiente, incluidas las reglas transitorias específicas.
Conectar evidencias y operación.
Planifique la documentación, las evaluaciones y la supervisión necesarias para que reflejen el uso real del sistema y la vía de acreditación aplicable.
Reevaluar los cambios.
Como recomendación práctica, revise las decisiones cuando cambien la finalidad, las funciones, el entorno de uso o las responsabilidades y documente la nueva situación.
La acreditación sigue el procedimiento correspondiente.
El Reglamento de IA no prevé comprar un certificado uniforme para todas las empresas. Para la IA de alto riesgo, el art. 43 determina el procedimiento aplicable de evaluación de la conformidad. Según el sistema, se prevé control interno o participación de un organismo notificado; las disposiciones sobre productos pueden influir en la vía del procedimiento. La documentación y, cuando proceda, la declaración UE de conformidad, el marcado CE y el registro deben considerarse en su contexto legal correspondiente.
Un certificado de un organismo notificado debe distinguirse de un certificado voluntario de sistema de gestión. El art. 44, apartado 2, limita la validez allí regulada a un máximo de cinco años para sistemas del anexo I y cuatro años para sistemas del anexo III; es determinante el período indicado junto con las condiciones del procedimiento. Estos límites no constituyen una vigencia general para todas las acreditaciones del Reglamento de IA. Además, deben respetarse las obligaciones durante la operación.
Más información en el blog.
Otros marcos apoyan tareas diferentes.
Para los productos de IA, también pueden ser relevantes las obligaciones de producto del Reglamento de Ciberresiliencia, que deben examinarse de forma independiente.
ISO 42001 estructura un sistema de gestión de IA, mientras que NIST AI RMF ofrece un marco voluntario de riesgos de IA. Ambos pueden apoyar la organización del trabajo, pero no acreditan una conformidad automática con el Reglamento de IA de la UE. El RGPD sigue aplicándose de forma independiente al tratamiento de datos personales; una clasificación conforme al Reglamento de IA no sustituye un análisis de protección de datos.
- Reglamento de CiberresilienciaExaminar por separado la ciberseguridad del producto y las funciones de fabricante.
- ISO 42001Entender el sistema de gestión de IA.
- NIST AI RMFComprender el marco voluntario de gestión de riesgos de IA.
- RGPDExaminar por separado las obligaciones del tratamiento de datos personales.
En Secani.
Secani incluye un catálogo editorial empresarial sobre el Reglamento de IA de la UE con datos de funciones y perfiles, orientaciones de implantación y ejemplos de evidencias. Proveedores, responsables del despliegue y otras funciones se registran por separado. La herramienta apoya un trabajo estructurado; no sustituye ni la clasificación especializada ni un procedimiento de evaluación exigido por ley. El catálogo no constituye una acreditación oficial de conformidad.
Siguiente paso.
Seleccione un caso de uso concreto de IA, operativo o previsto, y conecte a sus responsables funcionales y técnicos con el análisis jurídico. El primer resultado debe ser una decisión fundamentada sobre la función, el uso y las obligaciones pertinentes. A partir de ella se genera un plan de evidencias abordable; una lista sin examinar de todos los artículos del Reglamento resulta menos útil para ello.
Fuentes.
- Comisión Europea: Reglamento de Ciberresiliencia
- Reglamento de IA: versión consolidada de 27 de julio de 2026
- Reglamento (UE) 2026/1744: Digital Omnibus on AI, en particular el art. 1, puntos 5 y 40
- Comisión Europea: Reglamento de IA y calendario de aplicación
- Servicio oficial de asistencia del Reglamento de IA: art. 2, ámbito de aplicación
- Servicio oficial de asistencia del Reglamento de IA: art. 4, alfabetización en IA
- Servicio oficial de asistencia del Reglamento de IA: art. 6, clasificación de alto riesgo
- Servicio oficial de asistencia del Reglamento de IA: art. 17, gestión de la calidad
- Servicio oficial de asistencia del Reglamento de IA: art. 26, obligaciones de responsables del despliegue
- Servicio oficial de asistencia del Reglamento de IA: art. 43, evaluación de la conformidad
- Servicio oficial de asistencia del Reglamento de IA: art. 44, certificados
- Servicio oficial de asistencia del Reglamento de IA: art. 50, obligaciones de transparencia
- Servicio oficial de asistencia del Reglamento de IA: art. 113, aplicación
Preguntas frecuentes.
No. El art. 6 vincula la clasificación a determinadas configuraciones de productos o casos de uso enumerados, con sus condiciones y excepciones. Utilizar un modelo potente por sí solo no determina la clasificación.
No. La función depende de la comercialización, la aplicación propia y los posibles cambios. El contrato con un proveedor de modelos o servicios no aclara automáticamente la responsabilidad del sistema terminado.
No. Un sistema de gestión de IA puede ordenar responsabilidades y procedimientos, mientras que las obligaciones legales de cada uso deben examinarse por separado. Un certificado de sistema de gestión no acredita de forma general todos los requisitos del Reglamento de IA de la UE.
No. Las evidencias necesarias se derivan de la función, el sistema y las disposiciones aplicables. El art. 43 distingue varios procedimientos de evaluación de la conformidad; no todos prevén la participación de un organismo externo.
Trabajar de forma concreta la responsabilidad sobre IA.
Conecte en Secani requisitos, responsabilidades y evidencias para sus casos de uso examinados.
Esta página presenta el Reglamento de IA en términos generales. Son determinantes los actos jurídicos vigentes y el examen del caso de uso concreto.