Preguntas frecuentes sobre el Reglamento de IA.
157 preguntas con respuesta breve. Cada una enlaza a la ficha completa, con fuentes y fecha de consulta.
Regulación
¿Hay ley de IA en España?
No hay una ley española de gobernanza de la IA vigente: el proyecto caducó el 6 de octubre de 2026. Sí se aplica directamente el Reglamento europeo de IA.
AI Act en España: qué se aplica hoy, qué normas hay y qué falta
¿Quién supervisa el AI Act en España?
La ley que designa las autoridades sigue pendiente. AESIA existe como agencia y España la ha comunicado como punto de contacto único; las competencias exactas dependen de esa ley. Si hay datos personales, interviene la AEPD.
AI Act en España: qué se aplica hoy, qué normas hay y qué falta
¿Me pueden multar hoy?
El Reglamento fija los importes máximos, pero el régimen sancionador español depende de una ley pendiente. No conviene tomarlo como una exención: las obligaciones ya se aplican.
AI Act en España: qué se aplica hoy, qué normas hay y qué falta
¿Cuándo habrá ley?
No se sabe. Tras las elecciones del 29 de noviembre de 2026 y la constitución de las nuevas Cámaras, el nuevo Gobierno tendría que presentar un texto.
AI Act en España: qué se aplica hoy, qué normas hay y qué falta
¿Qué es el AI Act en una frase?
El Reglamento europeo que regula la inteligencia artificial según su nivel de riesgo, con obligaciones para quienes la desarrollan y para quienes la usan.
Resumen del AI Act en 10 ideas clave (Reglamento europeo de IA)
¿A quién afecta?
A proveedores, a quienes usan IA en su actividad profesional, a importadores y distribuidores, y protege a las personas afectadas por los sistemas de IA.
Resumen del AI Act en 10 ideas clave (Reglamento europeo de IA)
¿Cuándo se aplica?
Por fases: prohibiciones y alfabetización desde el 2 de febrero de 2025, modelos de uso general desde el 2 de agosto de 2025, aplicación general desde el 2 de agosto de 2026, y alto riesgo desde el 2 de diciembre de 2027 y el 2 de agosto de 2028.
Resumen del AI Act en 10 ideas clave (Reglamento europeo de IA)
¿Cuánto cuesta incumplirlo?
Hasta 35 millones de euros o el 7 % del volumen de negocio mundial en las prácticas prohibidas. En España, la ley que fija quién sanciona sigue pendiente.
Resumen del AI Act en 10 ideas clave (Reglamento europeo de IA)
¿Si cumplo el CRA, cumplo el Reglamento de IA?
Solo en la parte de ciberseguridad de un sistema de IA de alto riesgo, y si se cumplen las condiciones del art. 12 del CRA. El resto de requisitos del RIA siguen aplicando.
Reglamento de Ciberresiliencia (CRA) e IA: cómo se cruza con el Reglamento de IA
¿Cuándo debo notificar una vulnerabilidad?
Desde el 11 de septiembre de 2026 el CRA exige alertar en 24 horas y notificar en 72 horas desde que el fabricante tiene conocimiento de una vulnerabilidad explotada.
Reglamento de Ciberresiliencia (CRA) e IA: cómo se cruza con el Reglamento de IA
¿Aplica a software puro?
El CRA se refiere a productos con elementos digitales. El ámbito exacto, con sus exclusiones, debe comprobarse en el texto.
Reglamento de Ciberresiliencia (CRA) e IA: cómo se cruza con el Reglamento de IA
¿Si cumplo DORA ya cumplo el Reglamento de IA?
No. DORA cubre la resiliencia TIC. El Reglamento de IA añade obligaciones propias de los sistemas de IA, como la clasificación de riesgo, la transparencia o la supervisión humana.
DORA e IA: resiliencia digital del sector financiero y Reglamento de IA
¿Se aplica DORA a una fintech?
Depende de si es una de las entidades del art. 2, como las de pago o de dinero electrónico. Si lo es, aplica DORA y, si usa IA, el RIA.
DORA e IA: resiliencia digital del sector financiero y Reglamento de IA
¿Mi proveedor de IA es un tercero TIC?
Normalmente sí: presta un servicio digital a la entidad. Debe constar en el registro de acuerdos contractuales del art. 28.
DORA e IA: resiliencia digital del sector financiero y Reglamento de IA
¿Es de alto riesgo la IA que redacta correos o resume documentos?
En general no figura en el anexo III. Lo decide el uso: si ese resultado se usa para decidir sobre personas en un ámbito del anexo III, puede serlo.
Ejemplos de IA de alto riesgo: lista por ámbito del anexo III y casos que no lo son
¿Es de alto riesgo un chatbot de atención al cliente?
No por sí mismo. Tiene obligaciones de transparencia: avisar de que es una IA, desde el 2 de agosto de 2026.
Ejemplos de IA de alto riesgo: lista por ámbito del anexo III y casos que no lo son
¿Quién decide si mi sistema es de alto riesgo?
El proveedor lo clasifica y, si usas el sistema para otra finalidad, tu clasificación puede cambiar. Si concluyes que un sistema del anexo III no lo es, debes documentarlo y registrarlo.
Ejemplos de IA de alto riesgo: lista por ámbito del anexo III y casos que no lo son
¿Cuándo se aplica?
El alto riesgo del anexo III, desde el 2 de diciembre de 2027, y el del anexo I, desde el 2 de agosto de 2028.
Ejemplos de IA de alto riesgo: lista por ámbito del anexo III y casos que no lo son
¿Es obligatorio certificarse en ISO 42001?
No. Es voluntaria. El Reglamento de IA no la exige.
ISO/IEC 42001 y Reglamento de IA: qué aporta la norma de gestión de IA
¿Certificarme en ISO 42001 me hace cumplir el AI Act?
No. Ayuda a ordenar el gobierno de IA, pero el cumplimiento depende de las obligaciones del Reglamento para tu rol y tus sistemas.
ISO/IEC 42001 y Reglamento de IA: qué aporta la norma de gestión de IA
¿Quién puede certificar?
Un organismo de certificación acreditado. Una consultora puede ayudarte a prepararte, pero no emite la certificación.
ISO/IEC 42001 y Reglamento de IA: qué aporta la norma de gestión de IA
¿Si cumplo el Reglamento de IA ya cumplo NIS2?
No. Son normas distintas con ámbitos, autoridades y multas propias. Hay que cumplir las dos si ambas te afectan.
NIS2 e IA: cómo se cruzan la Directiva de ciberseguridad y el Reglamento de IA
¿Una empresa pequeña está en NIS2?
Depende del sector y del tamaño. La Directiva incluye a las medianas empresas y a las que superen sus límites, y a algunas pequeñas y microempresas con criterios específicos.
NIS2 e IA: cómo se cruzan la Directiva de ciberseguridad y el Reglamento de IA
¿Cuánto tiempo hay para notificar un incidente?
En NIS2, alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes. En el Reglamento de IA, como máximo 15 días, con plazos más cortos en casos concretos.
NIS2 e IA: cómo se cruzan la Directiva de ciberseguridad y el Reglamento de IA
¿Si solo uso ChatGPT soy proveedor?
No, normalmente eres responsable del despliegue. Tienes, como mínimo, la alfabetización en IA y las prohibiciones, y las obligaciones de transparencia que apliquen a tu uso.
Obligaciones del AI Act por rol: proveedor, responsable del despliegue, importador y más
¿Quién tiene más obligaciones?
El proveedor de un sistema de alto riesgo, que debe cumplir requisitos técnicos, calidad, conformidad, marcado CE y registro. Quien solo usa el sistema tiene las obligaciones del art. 26.
Obligaciones del AI Act por rol: proveedor, responsable del despliegue, importador y más
¿Un importador y un distribuidor son lo mismo?
No. El importador introduce en la UE un sistema de un proveedor de fuera; el distribuidor lo comercializa sin ser proveedor ni importador. Cada uno verifica distintas cosas.
Obligaciones del AI Act por rol: proveedor, responsable del despliegue, importador y más
¿Cuándo se aplican?
Alfabetización y prohibiciones, desde el 2 de febrero de 2025; transparencia, desde el 2 de agosto de 2026; alto riesgo del anexo III, desde el 2 de diciembre de 2027, y del anexo I, desde el 2 de agosto de 2028.
Obligaciones del AI Act por rol: proveedor, responsable del despliegue, importador y más
¿Es una multa?
No. Es una responsabilidad civil: indemnizar al perjudicado. Las multas son las del Reglamento de IA. Ver la calculadora de multas.
Responsabilidad por productos defectuosos e IA: la nueva Directiva (UE) 2024/2853
¿Afecta a un producto que ya vendí?
La Directiva se aplica a los productos introducidos en el mercado o puestos en servicio después del 9 de diciembre de 2026. Antes sigue la Directiva anterior.
Responsabilidad por productos defectuosos e IA: la nueva Directiva (UE) 2024/2853
¿Se considera producto un servicio basado en IA?
La Directiva incluye el software como producto. Los servicios puros pueden quedar fuera, y el límite debe comprobarse en el texto y en la norma nacional.
Responsabilidad por productos defectuosos e IA: la nueva Directiva (UE) 2024/2853
¿Dónde está AESIA?
En A Coruña (art. 2 del estatuto).
AESIA, la Agencia Española de Supervisión de la IA: qué es, qué hace hoy y a quién acudir
¿Puede AESIA multarme hoy por incumplir el Reglamento de IA?
Su estatuto le atribuye la inspección y sanción que le asigne la normativa europea, pero el régimen sancionador español depende de una ley que sigue pendiente. Conviene verificar el estado antes de actuar.
AESIA, la Agencia Española de Supervisión de la IA: qué es, qué hace hoy y a quién acudir
¿De quién depende?
Está adscrita al Ministerio de Asuntos Económicos y Transformación Digital, a través de la Secretaría de Estado de Digitalización e Inteligencia Artificial.
AESIA, la Agencia Española de Supervisión de la IA: qué es, qué hace hoy y a quién acudir
¿Qué es un responsable del despliegue?
Quien usa un sistema de IA bajo su autoridad en una actividad profesional, aunque no lo haya desarrollado. Por ejemplo, una empresa que usa una herramienta de selección de personal con IA.
Obligaciones de quien usa IA de alto riesgo (art. 26 del Reglamento de IA): la lista completa
¿Cuánto tiempo hay que guardar los registros?
Un período adecuado a la finalidad del sistema, de al menos seis meses, salvo que otra norma de la UE o nacional disponga otra cosa.
Obligaciones de quien usa IA de alto riesgo (art. 26 del Reglamento de IA): la lista completa
¿Hay que avisar a la plantilla?
Sí. Antes de usar un sistema de alto riesgo en el lugar de trabajo, el empleador debe informar a los representantes de los trabajadores y a los trabajadores afectados.
Obligaciones de quien usa IA de alto riesgo (art. 26 del Reglamento de IA): la lista completa
¿Desde cuándo aplica?
Desde el 2 de diciembre de 2027 para los sistemas del anexo III y desde el 2 de agosto de 2028 para los del anexo I, tras el Ómnibus de 2026.
Obligaciones de quien usa IA de alto riesgo (art. 26 del Reglamento de IA): la lista completa
¿Está prohibido todo reconocimiento de emociones?
No. Solo en el trabajo y en centros educativos, salvo motivos médicos o de seguridad. En otros ámbitos es de alto riesgo (anexo III, punto 1, letra c).
Prácticas de IA prohibidas (art. 5 del Reglamento europeo de IA): lista completa y fechas
¿Me afecta si solo uso herramientas de terceros?
Sí: el art. 5 prohíbe también la utilización.
Prácticas de IA prohibidas (art. 5 del Reglamento europeo de IA): lista completa y fechas
¿Hay guías oficiales?
La Comisión publicó el 4 de febrero de 2025 unas directrices sobre prácticas prohibidas. No son vinculantes: la interpretación auténtica es del Tribunal de Justicia de la UE.
Prácticas de IA prohibidas (art. 5 del Reglamento europeo de IA): lista completa y fechas
¿Tengo que avisar de que mi chatbot es una IA?
Sí, salvo que sea evidente. La obligación es del proveedor; si lo despliegas, no lo ocultes.
Obligaciones de transparencia de la IA (art. 50 del Reglamento de IA): chatbots, contenido sintético y ultrafalsificaciones
¿Hay que etiquetar todo lo hecho con IA?
No. El proveedor marca el contenido sintético; quien lo usa señala ultrafalsificaciones y texto de interés público sin revisión editorial.
Obligaciones de transparencia de la IA (art. 50 del Reglamento de IA): chatbots, contenido sintético y ultrafalsificaciones
¿Desde cuándo aplica?
Desde el 2 de agosto de 2026; los sistemas anteriores, hasta el 2 de diciembre de 2026 para el marcado.
Obligaciones de transparencia de la IA (art. 50 del Reglamento de IA): chatbots, contenido sintético y ultrafalsificaciones
¿Todo lo que está en el anexo III es de alto riesgo?
No, si cumple las condiciones del apartado 3 y no hace perfiles. Debe documentarse y registrarse.
Sistemas de IA de alto riesgo (art. 6 y anexo III del Reglamento de IA): cuáles son y desde cuándo
¿Un chatbot de atención al cliente es de alto riesgo?
No por sí mismo, pero le aplica el art. 50. Ver la guía de chatbots.
Sistemas de IA de alto riesgo (art. 6 y anexo III del Reglamento de IA): cuáles son y desde cuándo
¿Hay directrices con ejemplos?
El art. 6, apartado 5, las preveía para el 2 de febrero de 2026. La Comisión publicó un borrador el 19 de mayo de 2026; a 9 de octubre de 2026 no hemos localizado la versión definitiva.
Sistemas de IA de alto riesgo (art. 6 y anexo III del Reglamento de IA): cuáles son y desde cuándo
¿En cuánto tiempo hay que notificar un incidente grave?
Como máximo 15 días desde que el proveedor o el responsable del despliegue tienen conocimiento. Son 10 días si hay un fallecimiento y 2 días si es una infracción generalizada o afecta a infraestructuras críticas.
Notificación de incidentes graves de IA (art. 73 del Reglamento de IA): plazos de 2, 10 y 15 días
¿Quién notifica, el proveedor o quien usa el sistema?
El proveedor notifica a la autoridad. Quien despliega el sistema debe informar al proveedor y, además, a la autoridad (art. 26.5); si no localiza al proveedor, se aplica el art. 73.
Notificación de incidentes graves de IA (art. 73 del Reglamento de IA): plazos de 2, 10 y 15 días
¿Puedo notificar sin tener toda la información?
Sí. El apartado 5 permite una notificación inicial incompleta, seguida de otra completa.
Notificación de incidentes graves de IA (art. 73 del Reglamento de IA): plazos de 2, 10 y 15 días
¿Qué pasa si modifico el sistema tras el incidente?
No debes hacerlo de modo que afecte al análisis de las causas sin avisar antes a las autoridades.
Notificación de incidentes graves de IA (art. 73 del Reglamento de IA): plazos de 2, 10 y 15 días
¿Quién es proveedor de IA?
Quien desarrolla un sistema de IA, o lo hace desarrollar, y lo introduce en el mercado o lo pone en servicio con su nombre o marca. Ver el glosario.
Obligaciones de proveedores, importadores y distribuidores de IA de alto riesgo (arts. 16, 23 y 24)
¿Qué es el marcado CE en un sistema de IA?
La marca con la que el proveedor indica que el sistema es conforme con el Reglamento (art. 16, letra h) y art. 48). Ver el glosario.
Obligaciones de proveedores, importadores y distribuidores de IA de alto riesgo (arts. 16, 23 y 24)
¿Qué hace un importador de IA?
Verifica, antes de introducir el sistema en el mercado, que el proveedor cumplió la evaluación de la conformidad, la documentación, el marcado CE y el representante autorizado.
Obligaciones de proveedores, importadores y distribuidores de IA de alto riesgo (arts. 16, 23 y 24)
¿Un distribuidor puede vender un sistema sin marcado CE?
No. Antes de comercializarlo debe verificar que lleva el marcado CE exigido y la declaración UE de conformidad.
Obligaciones de proveedores, importadores y distribuidores de IA de alto riesgo (arts. 16, 23 y 24)
¿Necesita mi sistema de IA un organismo notificado?
Solo en algunos casos: biometría del anexo III, punto 1, si no se aplican normas armonizadas, y sistemas del anexo I cuando su normativa sectorial exige evaluación de terceros. Los puntos 2 a 8 del anexo III usan control interno.
Evaluación de la conformidad, declaración UE y marcado CE de la IA de alto riesgo (arts. 43, 47 y 48)
¿Cuánto tiempo se conserva la declaración UE de conformidad?
Diez años desde que el sistema se introduce en el mercado o se pone en servicio.
Evaluación de la conformidad, declaración UE y marcado CE de la IA de alto riesgo (arts. 43, 47 y 48)
¿Hay que repetir la evaluación si actualizo el modelo?
Si la modificación es sustancial, sí. Los cambios predeterminados y documentados en la evaluación inicial no lo son.
Evaluación de la conformidad, declaración UE y marcado CE de la IA de alto riesgo (arts. 43, 47 y 48)
¿Puede el marcado CE ser digital?
Sí, en los sistemas que se proporcionan digitalmente, si es fácilmente accesible desde la interfaz o mediante un código legible por máquina.
Evaluación de la conformidad, declaración UE y marcado CE de la IA de alto riesgo (arts. 43, 47 y 48)
¿Quién tiene que registrar un sistema de IA de alto riesgo?
El proveedor, antes de comercializarlo. Además, las autoridades públicas que lo usen deben registrar su utilización.
Registro en la base de datos de la UE y vigilancia poscomercialización de la IA de alto riesgo (arts. 49, 71 y 72)
¿Es pública la base de datos?
Sí, con excepción de las secciones seguras de policía, migración, asilo y fronteras y de lo registrado por pruebas en condiciones reales.
Registro en la base de datos de la UE y vigilancia poscomercialización de la IA de alto riesgo (arts. 49, 71 y 72)
¿Qué es la vigilancia poscomercialización?
Un sistema con el que el proveedor recoge y analiza datos del funcionamiento del sistema durante su vida útil para comprobar que sigue cumpliendo los requisitos.
Registro en la base de datos de la UE y vigilancia poscomercialización de la IA de alto riesgo (arts. 49, 71 y 72)
¿Cuándo habrá un modelo de plan?
La Comisión publicará orientaciones con un modelo a más tardar el 2 de septiembre de 2027.
Registro en la base de datos de la UE y vigilancia poscomercialización de la IA de alto riesgo (arts. 49, 71 y 72)
¿Cuánto pueden durar las pruebas en condiciones reales?
Como máximo seis meses, prorrogables otros seis con notificación previa a la autoridad.
Pruebas de IA de alto riesgo en condiciones reales (arts. 60 y 60 bis): requisitos y novedades del Ómnibus
¿Hace falta consentimiento de los participantes?
Sí, consentimiento informado, que pueden retirar en cualquier momento sin perjuicio. En el ámbito policial hay una regla especial.
Pruebas de IA de alto riesgo en condiciones reales (arts. 60 y 60 bis): requisitos y novedades del Ómnibus
¿Qué pasa si la autoridad no responde al plan?
Si no responde en treinta días, se entiende aprobado, salvo que el Derecho nacional no admita aprobación tácita, en cuyo caso se exige autorización.
Pruebas de IA de alto riesgo en condiciones reales (arts. 60 y 60 bis): requisitos y novedades del Ómnibus
¿Qué cambia con el Ómnibus?
El art. 60 se extiende a los sistemas del anexo I, sección A, y el nuevo art. 60 bis permite marcos nacionales para los de la sección B.
Pruebas de IA de alto riesgo en condiciones reales (arts. 60 y 60 bis): requisitos y novedades del Ómnibus
¿Cuáles son los requisitos de un sistema de IA de alto riesgo?
Siete: gestión de riesgos, datos y gobernanza de datos, documentación técnica, registros, transparencia, supervisión humana y precisión, solidez y ciberseguridad (arts. 9 a 15).
Requisitos de los sistemas de IA de alto riesgo (arts. 8 a 15 del Reglamento de IA): qué debe cumplir el proveedor
¿Quién tiene que cumplirlos?
Los sistemas deben cumplirlos (art. 8); los aplica el proveedor al diseñarlos y desarrollarlos.
Requisitos de los sistemas de IA de alto riesgo (arts. 8 a 15 del Reglamento de IA): qué debe cumplir el proveedor
¿Aplican ya?
No. Aplican desde el 2 de diciembre de 2027 para los sistemas del anexo III y desde el 2 de agosto de 2028 para los del anexo I.
Requisitos de los sistemas de IA de alto riesgo (arts. 8 a 15 del Reglamento de IA): qué debe cumplir el proveedor
¿Hay ayudas para pymes?
Las pymes pueden facilitar de forma simplificada los elementos de la documentación técnica (art. 11, apartado 1) y, tras el Ómnibus, simplificar partes del sistema de gestión de la calidad (art. 63).
Requisitos de los sistemas de IA de alto riesgo (arts. 8 a 15 del Reglamento de IA): qué debe cumplir el proveedor
¿Tengo derecho a saber si una IA decidió sobre mí?
Sí, en los casos del art. 86: decisiones del responsable del despliegue basadas en un sistema de alto riesgo del anexo III con efectos jurídicos o perjuicio considerable. Además, el art. 26.11 obliga a informar de que se está expuesto al sistema.
Derechos de las personas afectadas por la IA (arts. 85 a 87 del Reglamento de IA): reclamar y pedir explicaciones
¿Puedo reclamar si el sistema no es de alto riesgo?
Sí. El art. 85 permite reclamar ante la autoridad de vigilancia del mercado por cualquier infracción del Reglamento.
Derechos de las personas afectadas por la IA (arts. 85 a 87 del Reglamento de IA): reclamar y pedir explicaciones
¿Qué incluye la explicación?
Explicaciones claras y significativas sobre el papel del sistema de IA en la decisión y sobre sus principales elementos.
Derechos de las personas afectadas por la IA (arts. 85 a 87 del Reglamento de IA): reclamar y pedir explicaciones
¿Quién protege a quien denuncia una infracción?
La Directiva (UE) 2019/1937, que el art. 87 declara aplicable a la denuncia de infracciones del Reglamento.
Derechos de las personas afectadas por la IA (arts. 85 a 87 del Reglamento de IA): reclamar y pedir explicaciones
¿Es obligatorio firmar el código?
No. Es voluntario. Quien no lo firma debe demostrar el cumplimiento por otros medios adecuados.
Código de buenas prácticas de IA de uso general (GPAI): qué es, qué cubre y quién lo ha firmado
¿Qué capítulos tiene?
Tres: transparencia, derechos de autor y seguridad y protección. El tercero solo es relevante para un pequeño número de proveedores de los modelos más avanzados.
Código de buenas prácticas de IA de uso general (GPAI): qué es, qué cubre y quién lo ha firmado
¿Dónde consulto la lista de firmantes?
En la página de la Comisión Europea sobre el contenido del código, enlazada en las fuentes.
Código de buenas prácticas de IA de uso general (GPAI): qué es, qué cubre y quién lo ha firmado
¿Son obligatorias las directrices de la Comisión?
No. Son orientaciones no vinculantes; la interpretación con autoridad corresponde al Tribunal de Justicia de la Unión Europea.
Directrices de la Comisión sobre el AI Act: prácticas prohibidas y definición de sistema de IA
¿Cuándo se publicaron?
Las de prácticas prohibidas, el 4 de febrero de 2025; las de la definición de sistema de IA, el 6 de febrero de 2025.
Directrices de la Comisión sobre el AI Act: prácticas prohibidas y definición de sistema de IA
¿Dónde puedo leerlas en español?
En la página de la Comisión Europea sobre las directrices de prácticas prohibidas, que enlaza las versiones en todas las lenguas oficiales, incluido el español. El enlace está en las fuentes de esta pieza.
Directrices de la Comisión sobre el AI Act: prácticas prohibidas y definición de sistema de IA
¿Qué es un modelo de IA de uso general?
Un modelo, normalmente entrenado con grandes volúmenes de datos, capaz de realizar una gran variedad de tareas y de integrarse en múltiples sistemas de IA. Los grandes modelos de lenguaje son el ejemplo más claro.
Modelos de IA de uso general en el Reglamento de IA (arts. 51 a 55): obligaciones y riesgo sistémico
¿Me afecta si uso un modelo de terceros en mi producto?
No como proveedor del modelo. Pero puedes ser proveedor o responsable del despliegue del sistema de IA que construyes, con sus propias obligaciones.
Modelos de IA de uso general en el Reglamento de IA (arts. 51 a 55): obligaciones y riesgo sistémico
¿Cuándo tiene un modelo riesgo sistémico?
Cuando tiene capacidades de gran impacto, que se presumen si su entrenamiento superó 10^25 operaciones de coma flotante, o cuando la Comisión lo designa.
Modelos de IA de uso general en el Reglamento de IA (arts. 51 a 55): obligaciones y riesgo sistémico
¿Quién supervisa a estos proveedores?
La Comisión, a través de la Oficina de IA, no las autoridades nacionales.
Modelos de IA de uso general en el Reglamento de IA (arts. 51 a 55): obligaciones y riesgo sistémico
¿Tiene coste participar?
No hay contraprestación económica: los participantes no reciben pagos ni compensaciones (art. 4.3).
Sandbox regulatorio de IA en España: qué es, quién puede entrar y qué dice el Real Decreto 817/2023
¿Sirve como certificado de cumplimiento del Reglamento de IA?
No. La autoevaluación no tiene efectos fuera del estricto ámbito del entorno (art. 13.10).
Sandbox regulatorio de IA en España: qué es, quién puede entrar y qué dice el Real Decreto 817/2023
¿Puede entrar una empresa extranjera?
Los proveedores y usuarios deben ser residentes en España o tener establecimiento permanente en España. Las agrupaciones necesitan un representante con domicilio o establecimiento principal en España (art. 5.1).
Sandbox regulatorio de IA en España: qué es, quién puede entrar y qué dice el Real Decreto 817/2023
¿Hasta cuándo sigue vigente el real decreto?
Tiene una vigencia máxima de treinta y seis meses desde su entrada en vigor, o hasta que el Reglamento europeo sea aplicable en España, según la disposición final segunda.
Sandbox regulatorio de IA en España: qué es, quién puede entrar y qué dice el Real Decreto 817/2023
¿Una empresa privada tiene que hacer la evaluación del art. 27?
Solo si presta servicios públicos o usa IA para evaluar la solvencia de personas físicas o tarificar seguros de vida y salud (anexo III, punto 5, letras b) y c)).
Evaluación de impacto en los derechos fundamentales (art. 27 del Reglamento de IA): quién debe hacerla y cómo
¿Sustituye a la evaluación de impacto del RGPD?
No. Son evaluaciones distintas, pero desde el 27 de julio de 2026 la del art. 27 puede incluir referencias cruzadas a la del art. 35 del RGPD o incorporar sus partes pertinentes.
Evaluación de impacto en los derechos fundamentales (art. 27 del Reglamento de IA): quién debe hacerla y cómo
¿Hay que repetirla cada vez que se usa el sistema?
No. Se hace antes del primer uso y se actualiza si cambia alguno de sus elementos.
Evaluación de impacto en los derechos fundamentales (art. 27 del Reglamento de IA): quién debe hacerla y cómo
¿A quién se notifica?
A la autoridad de vigilancia del mercado, con el modelo de la Oficina de IA. En España, AESIA es el punto de contacto único comunicado a la Comisión; qué autoridad recibe cada notificación lo concretará la futura ley española (ver el análisis de la ley español…
Evaluación de impacto en los derechos fundamentales (art. 27 del Reglamento de IA): quién debe hacerla y cómo
¿Tengo que formar a toda la plantilla?
El art. 4 se refiere al personal y a las personas que se encargan del funcionamiento y la utilización de sistemas de IA en nombre de la organización. No exige formar a quien no usa ni maneja estos sistemas.
Alfabetización en IA (art. 4 del Reglamento europeo de IA): qué exige y a quién
¿Hay que certificar un nivel de conocimientos?
No. Desde el 27 de julio de 2026 el artículo dice expresamente que no exige garantizar un nivel específico de alfabetización de ninguna persona.
Alfabetización en IA (art. 4 del Reglamento europeo de IA): qué exige y a quién
¿Me afecta si solo uso herramientas de IA de terceros?
Sí, si las usas bajo tu autoridad en un contexto profesional: eres responsable del despliegue (art. 3, punto 4) y el art. 4 te obliga a adoptar medidas.
Alfabetización en IA (art. 4 del Reglamento europeo de IA): qué exige y a quién
¿Dónde encontraré ejemplos de cómo cumplir?
La Comisión debe publicarlos en la plataforma única de información del art. 62, apartado 3, letra b). Mientras tanto, la Oficina de IA mantiene un repositorio de prácticas de alfabetización de distintas organizaciones; replicarlas no presume el cumplimiento.
Alfabetización en IA (art. 4 del Reglamento europeo de IA): qué exige y a quién
¿El AI Act ya está en vigor?
Sí. Está en vigor desde el 1 de agosto de 2024 y se aplica por fases: las prohibiciones desde el 2 de febrero de 2025 y la mayor parte desde el 2 de agosto de 2026.
Reglamento europeo de IA (AI Act): guía completa para empresas en España
¿Me afecta si solo uso ChatGPT u otras herramientas de terceros?
Sí, como responsable del despliegue. Como mínimo, debes adoptar medidas de alfabetización en IA y respetar las prohibiciones y la transparencia.
Reglamento europeo de IA (AI Act): guía completa para empresas en España
¿Hay una ley española de IA?
Todavía no. El proyecto de ley orgánica caducó el 6 de octubre de 2026 con la disolución de las Cortes. El Reglamento europeo se aplica igualmente.
Reglamento europeo de IA (AI Act): guía completa para empresas en España
¿Se ha retrasado el AI Act?
En parte. El Ómnibus aplazó las obligaciones de alto riesgo al 2 de diciembre de 2027 y al 2 de agosto de 2028. El resto de fechas se mantiene.
Reglamento europeo de IA (AI Act): guía completa para empresas en España
Ética
¿Puede la administración decidir mi ayuda con un algoritmo?
Puede usar sistemas de IA, pero los que deciden el acceso a prestaciones y servicios públicos esenciales son de alto riesgo, con obligaciones reforzadas desde el 2 de diciembre de 2027, y la ley española pide que minimicen los sesgos y sean transparentes.
Si la administración decide con IA sobre ti (ayudas, prestaciones, trámites): tus derechos
¿Cuándo se aplica todo esto a la administración?
Desde el 2 de diciembre de 2027 para el alto riesgo del anexo III, y hasta el 2 de agosto de 2030 para los sistemas que ya usaba una autoridad pública.
Si la administración decide con IA sobre ti (ayudas, prestaciones, trámites): tus derechos
¿Dónde reclamo?
Si hay datos personales, ante la AEPD. Para el Reglamento de IA, la autoridad que recibirá las reclamaciones en España sigue pendiente de una ley.
Si la administración decide con IA sobre ti (ayudas, prestaciones, trámites): tus derechos
¿Pueden denegarme un crédito solo con un algoritmo?
El RGPD te da derecho a no ser objeto de una decisión basada únicamente en un tratamiento automatizado con efectos jurídicos o similares, con excepciones previstas en la propia norma. Puedes pedir intervención humana.
Te han denegado un crédito o un seguro con IA: tus derechos y cómo reclamar
¿Es de alto riesgo la IA que fija el precio de mi seguro?
Si evalúa riesgos y fija precios en seguros de vida y de salud de personas físicas, sí. En otros seguros, como hogar o auto, no figura en el anexo III.
Te han denegado un crédito o un seguro con IA: tus derechos y cómo reclamar
¿Cuánto tarda la entidad en responder?
Un mes, ampliable en dos meses según la complejidad, según la AEPD.
Te han denegado un crédito o un seguro con IA: tus derechos y cómo reclamar
¿Qué es una ultrafalsificación?
Un contenido de imagen, audio o vídeo generado o manipulado por IA que parece real y puede inducir a pensar que es auténtico (art. 3, punto 60).
Deepfakes (ultrafalsificaciones): qué dice la ley europea y qué puedes hacer
¿Desde cuándo hay que etiquetarlas?
Desde el 2 de agosto de 2026 para quien las usa (art. 50.4). El proveedor debe marcar el contenido sintético desde esa fecha, y los sistemas anteriores tienen hasta el 2 de diciembre de 2026.
Deepfakes (ultrafalsificaciones): qué dice la ley europea y qué puedes hacer
¿Es ilegal hacer un deepfake sexual de alguien?
El Ómnibus prohíbe, desde el 2 de diciembre de 2026, generar o manipular imágenes, vídeo o audio sexuales de una persona identificable sin su consentimiento explícito.
Deepfakes (ultrafalsificaciones): qué dice la ley europea y qué puedes hacer
¿Dónde denuncio?
En la plataforma donde está publicado, y ante la AEPD si hay datos personales. Si hay delito, ante la policía o la fiscalía.
Deepfakes (ultrafalsificaciones): qué dice la ley europea y qué puedes hacer
¿Tienen que decirme que es una IA?
Sí, salvo que sea evidente para una persona razonablemente informada. El aviso debe llegar como tarde en la primera interacción.
¿Estás hablando con una IA? Tus derechos ante chatbots y asistentes de voz
¿Desde cuándo es obligatorio?
Desde el 2 de agosto de 2026.
¿Estás hablando con una IA? Tus derechos ante chatbots y asistentes de voz
¿A quién reclamo en España?
La ley que designa la autoridad para el Reglamento de IA sigue pendiente. Si hay datos personales, puedes acudir a la AEPD.
¿Estás hablando con una IA? Tus derechos ante chatbots y asistentes de voz
¿Puede una IA poner mi nota?
Los sistemas que evalúan resultados de aprendizaje son de alto riesgo desde el 2 de diciembre de 2027, con supervisión humana. Hoy puedes pedir que una persona revise una decisión solo automatizada.
IA en el colegio, el instituto o la universidad: derechos del alumnado y las familias
¿Pueden detectar mis emociones en clase?
Inferir las emociones del alumnado en centros educativos está prohibido desde el 2 de febrero de 2025, salvo por motivos médicos o de seguridad.
IA en el colegio, el instituto o la universidad: derechos del alumnado y las familias
¿Un tutor virtual tiene que decirme que es una IA?
Sí, desde el 2 de agosto de 2026, salvo que sea evidente.
IA en el colegio, el instituto o la universidad: derechos del alumnado y las familias
¿Me tienen que avisar de que hablo con una IA en un servicio sanitario?
Sí, desde el 2 de agosto de 2026, salvo que sea evidente. El aviso debe llegar como tarde en la primera interacción.
IA en tu atención sanitaria: qué derechos tienes como paciente
¿Puede una IA hacer el triaje de urgencias?
Puede, pero es un sistema de alto riesgo desde el 2 de diciembre de 2027, con requisitos reforzados y supervisión humana.
IA en tu atención sanitaria: qué derechos tienes como paciente
¿Dónde reclamo si me afecta una decisión automatizada?
Si hay datos personales, ante la AEPD. Para el Reglamento de IA, la autoridad que recibirá las reclamaciones en España sigue pendiente de una ley.
IA en tu atención sanitaria: qué derechos tienes como paciente
¿Me deben decir si decidió una IA?
Puedes pedirlo expresamente. Además, el art. 26.11 del Reglamento de IA obliga a informar de que se está expuesto a un sistema de alto riesgo que decide o ayuda a decidir sobre personas.
Cómo pedir una explicación si una IA ha decidido sobre ti: guía para personas
¿Cuánto tarda la empresa en responder?
Un mes, ampliable en dos meses según la complejidad y el número de solicitudes, según la AEPD.
Cómo pedir una explicación si una IA ha decidido sobre ti: guía para personas
¿Cuesta algo ejercer este derecho?
No: el ejercicio es gratuito, salvo solicitudes manifiestamente infundadas o excesivas, según la AEPD.
Cómo pedir una explicación si una IA ha decidido sobre ti: guía para personas
¿Pueden usar IA para elegir candidatos?
Sí, pero son sistemas de alto riesgo con obligaciones reforzadas desde el 2 de diciembre de 2027, y no pueden inferir tus emociones en el trabajo.
Selección de personal con IA: tus derechos como candidato o trabajador
¿Me tienen que avisar de que usan IA?
En el lugar de trabajo, el empleador debe informar a los representantes y a los trabajadores afectados antes de usar un sistema de alto riesgo (art. 26.7). Además, puedes preguntar por escrito.
Selección de personal con IA: tus derechos como candidato o trabajador
¿Quién protege a los trabajadores en este tema?
La representación de los trabajadores tiene derecho a conocer los algoritmos que afectan al empleo, y puedes acudir a la Inspección de Trabajo o a la AEPD según el caso.
Selección de personal con IA: tus derechos como candidato o trabajador
Negocio
¿Me afecta el AI Act si soy autónomo y solo uso ChatGPT?
Sí, como responsable del despliegue. Como mínimo, debes adoptar medidas de alfabetización, respetar las prohibiciones y cumplir las obligaciones de transparencia que apliquen a tu uso.
AI Act para autónomos y microempresas: qué te toca y qué puedes hacer ya
¿Tengo que pagar multas más bajas por ser pequeño?
En las pymes se aplica la cuantía menor entre el importe fijo y el porcentaje del volumen de negocio. En España, quién sanciona depende de una ley todavía pendiente.
AI Act para autónomos y microempresas: qué te toca y qué puedes hacer ya
¿Puedo participar en el sandbox?
Las pymes y empresas emergentes con domicilio o sucursal en la UE tienen acceso prioritario si cumplen las condiciones de admisibilidad. El espacio español debe estar operativo a más tardar el 2 de agosto de 2027.
AI Act para autónomos y microempresas: qué te toca y qué puedes hacer ya
¿Es obligatorio formar a todo el personal?
La obligación es adoptar medidas para apoyar la alfabetización del personal y de quienes manejan IA en nombre de la organización, ajustadas a cada perfil. No se exige garantizar un nivel concreto a cada persona.
Alfabetización en IA paso a paso: cómo cumplir el art. 4 en tu empresa
¿Desde cuándo se aplica?
Desde el 2 de febrero de 2025. La redacción vigente es la del Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026.
Alfabetización en IA paso a paso: cómo cumplir el art. 4 en tu empresa
¿Hace falta un certificado?
El artículo no exige un certificado. Conviene guardar evidencias de las medidas adoptadas.
Alfabetización en IA paso a paso: cómo cumplir el art. 4 en tu empresa
¿Tengo que renegociar los contratos que ya tengo?
Si el sistema es de alto riesgo, conviene revisarlos antes de que se apliquen las obligaciones del anexo III, el 2 de diciembre de 2027, para asegurar instrucciones, registros e información de incidentes.
Cláusulas para contratos con proveedores de IA: lista de comprobación antes de firmar
¿Existe un contrato tipo?
Esta guía es una lista de comprobación, no un contrato tipo. La redacción de las cláusulas debe adaptarse a tu caso y revisarla un profesional jurídico.
Cláusulas para contratos con proveedores de IA: lista de comprobación antes de firmar
¿Qué pasa si el proveedor no coopera?
Tus obligaciones siguen vigentes. Si el sistema puede presentar un riesgo, debes informar al proveedor y a la autoridad y suspender su uso (art. 26, apartado 5).
Cláusulas para contratos con proveedores de IA: lista de comprobación antes de firmar
¿Es de alto riesgo la IA que usa mi despacho para preparar escritos?
En principio no figura en el anexo III. El punto 8 se refiere a sistemas usados por una autoridad judicial o en su nombre, y a usos similares en resolución alternativa de litigios.
IA en despachos de abogados y asesorías: qué exige el Reglamento de IA
¿Puedo meter datos de clientes en una IA generativa?
Solo con base legitimadora, contrato adecuado con el proveedor y las medidas que exija tu normativa profesional. Mejor, usa cuentas corporativas y no introduzcas lo que no sea imprescindible.
IA en despachos de abogados y asesorías: qué exige el Reglamento de IA
¿Debo avisar a mis clientes de que uso IA?
Si hay un chatbot, sí, desde el 2 de agosto de 2026. Para el resto, depende de tu normativa profesional y de lo pactado con el cliente.
IA en despachos de abogados y asesorías: qué exige el Reglamento de IA
¿Qué multa hay?
Depende de la infracción y del tamaño. Calcula el tope con la calculadora de multas.
IA en despachos de abogados y asesorías: qué exige el Reglamento de IA
¿Es de alto riesgo la IA de precios dinámicos de un hotel?
No figura en el anexo III. Eso no excluye el RGPD ni la alfabetización en IA. Si el sistema decide sobre personas en un ámbito del anexo III, la conclusión cambia.
IA en hoteles y turismo: qué exige el Reglamento de IA a un hotel o alojamiento
¿Tengo que avisar a los huéspedes de que el chat es una IA?
Sí, desde el 2 de agosto de 2026, salvo que sea evidente para una persona razonablemente informada.
IA en hoteles y turismo: qué exige el Reglamento de IA a un hotel o alojamiento
¿Puedo usar IA para elegir candidatos de temporada?
Es de alto riesgo según el anexo III, punto 4, y aplica desde el 2 de diciembre de 2027. Exige supervisión humana, información a los trabajadores y registros.
IA en hoteles y turismo: qué exige el Reglamento de IA a un hotel o alojamiento
¿Qué multa me puede caer?
Depende de la infracción y del tamaño. Calcula el tope con la calculadora de multas. En España falta aún la ley que reparte las competencias sancionadoras.
IA en hoteles y turismo: qué exige el Reglamento de IA a un hotel o alojamiento
¿Es de alto riesgo la visión artificial de mi línea de producción?
No por sí misma. Depende de si es componente de seguridad de un producto regulado del anexo I con evaluación de terceros, o de si se usa en un ámbito del anexo III.
IA en la industria y la fabricación: qué exige el Reglamento de IA a una fábrica
¿Cuándo aplica el alto riesgo del anexo I?
Desde el 2 de agosto de 2028, tras el Ómnibus. El del anexo III, desde el 2 de diciembre de 2027.
IA en la industria y la fabricación: qué exige el Reglamento de IA a una fábrica
¿Soy proveedor si integro un modelo de terceros en mi máquina?
Si lo comercializas con tu nombre como parte de tu producto, normalmente sí. Revisa el art. 25 y consúltalo con quien corresponda.
IA en la industria y la fabricación: qué exige el Reglamento de IA a una fábrica
¿Qué multa hay?
Depende de la infracción y del tamaño. Calcula el tope con la calculadora de multas.
IA en la industria y la fabricación: qué exige el Reglamento de IA a una fábrica
¿Tengo que etiquetar todo lo que hago con IA?
No todo. El art. 50 exige señalar las ultrafalsificaciones y el texto de interés público sin revisión editorial, y que los proveedores marquen el contenido sintético en formato legible por máquina.
IA en marketing y comercio: qué exige el Reglamento de IA a tu publicidad y tu tienda
¿Cómo aviso en una campaña creativa?
Con un aviso que no estropee la pieza. En obras creativas o satíricas, el art. 50 permite un aviso discreto.
IA en marketing y comercio: qué exige el Reglamento de IA a tu publicidad y tu tienda
¿Es de alto riesgo la personalización de ofertas?
No figura en el anexo III. Sigue aplicando el RGPD si usas datos personales.
IA en marketing y comercio: qué exige el Reglamento de IA a tu publicidad y tu tienda
¿Qué multa hay por no señalar una ultrafalsificación?
Hasta 15 millones de euros o el 3 % del volumen de negocios; en pymes, la cuantía menor. Calcula el tope con la calculadora.
IA en marketing y comercio: qué exige el Reglamento de IA a tu publicidad y tu tienda
¿Estoy obligado a formar a mi plantilla si solo uso ChatGPT?
Sí. El art. 4 se aplica desde el 2 de febrero de 2025 a quien utiliza sistemas de IA. Debes adoptar medidas para apoyar la alfabetización en IA de tu personal, adaptadas a sus conocimientos, su experiencia y el contexto de uso.
Usar ChatGPT y otras IA generativas en tu empresa: qué exige la ley y cómo cumplir
¿Tengo que decir que un texto lo ha escrito una IA?
Depende. El art. 50.4 exige aviso para textos publicados con el fin de informar al público sobre asuntos de interés público, salvo que haya revisión humana y responsabilidad editorial. No cubre toda comunicación interna o comercial.
Usar ChatGPT y otras IA generativas en tu empresa: qué exige la ley y cómo cumplir
¿Cuándo se convierte en alto riesgo?
Cuando se usa para ámbitos del anexo III, por ejemplo para seleccionar candidatos o evaluar trabajadores. Esas obligaciones se aplican desde el 2 de diciembre de 2027.
Usar ChatGPT y otras IA generativas en tu empresa: qué exige la ley y cómo cumplir
¿Cuándo tengo que estar listo?
Los sistemas del anexo III, desde el 2 de diciembre de 2027; los del anexo I, desde el 2 de agosto de 2028.
Vender un producto con IA en la UE: de la idea al marcado CE, paso a paso
¿Necesito siempre un organismo notificado?
No. En la mayoría de los usos del anexo III basta un control interno. Se necesita, por ejemplo, en biometría si no se aplican normas armonizadas, o cuando lo exige la normativa sectorial de un producto del anexo I.
Vender un producto con IA en la UE: de la idea al marcado CE, paso a paso
¿Y si solo integro un modelo de otro?
Depende de lo que hagas: si comercializas el sistema con tu nombre eres proveedor. Mira la guía sobre cuándo se pasa a ser proveedor.
Vender un producto con IA en la UE: de la idea al marcado CE, paso a paso
Contenido informativo. No constituye asesoramiento jurídico.