📝 Analizamos la LEY sobre la IA – Reglamento (UE) 2024/1689 🔍

El Reglamento (UE) 2024/1689 establece un marco jurídico uniforme para el desarrollo y uso de la inteligencia artificial en la Unión Europea, priorizando la protección de los derechos fundamentales y la seguridad. Se dice que es «la nueva ley sobre IA» en agosto de 2026 porque esa es la fecha oficial en la que empieza a ser plenamente aplicable para la mayoría de las empresas y sistemas.

La normativa adopta un enfoque basado en el riesgo, clasificando los sistemas según su impacto potencial y prohibiendo prácticas inaceptables que vulneren la dignidad humana o la libertad personal.

Entre las restricciones más estrictas se encuentran la prohibición de la vigilancia biométrica masiva, la puntuación ciudadana y los sistemas de manipulación del comportamiento.

El texto también regula con detalle los sistemas de alto riesgo, imponiendo obligaciones de transparencia, supervisión humana y gobernanza de datos para garantizar una IA fiable y ética.

Finalmente, el documento detalla los mecanismos de vigilancia al mercado para fomentar la innovación segura dentro del territorio comunitario.

Pero vamos a ver todo esto más en detalle.

¿Cómo surge esta ley? ¿Por qué la gente dice que es la «Nueva Ley sobre IA»?

El Reglamento fue firmado formalmente el 13 de junio de 2024 y publicado en el Diario Oficial el 12 de julio de ese mismo año. Entró en vigor oficialmente apenas unos días después (en agosto de 2024), lo que significa que la ley ya «existe» en los libros desde entonces.

Pero como Europa, nos conoce bien, la Unión Europea decidió que las reglas no se aplicarían todas de golpe, para dar tiempo a las empresas a adaptarse. Por eso, la ley se va «activando» por partes:

🔵Febrero de 2025: Empiezan a prohibirse las prácticas de IA más peligrosas (como la manipulación subliminal).

🔵Agosto de 2025: Comienzan a aplicarse las reglas para la IA de uso general (como ChatGPT) y el régimen de sanciones.

🔵Agosto de 2026: Es la fecha general de aplicación. Aquí es cuando la gran mayoría de las obligaciones se vuelven obligatorias por ley. Por eso, en esa fecha se siente como si la normativa fuera «nueva» o acabara de llegar.

El plazo final (2027 y más allá)

Incluso después de agosto de 2026, hay algunas excepciones. Por ejemplo, los sistemas de IA que forman parte de productos que ya tenían otras regulaciones europeas (como ciertos vehículos o dispositivos médicos) no tendrán que cumplir obligatoriamente con todas estas nuevas reglas hasta agosto de 2027. O sea que aún, para algunas empresas hay plazo extendido.

¿Qué es un «proveedor de IA» según el Reglamento Europeo?

El Reglamento de Inteligencia Artificial de la Unión Europea establece un conjunto exhaustivo de obligaciones para los proveedores.

Pero, ¿qué son los proveedores de IA? Según el texto, son aquellas personas físicas o jurídicas, autoridades u organismos que desarrollan un sistema de IA (o encargan su desarrollo) para introducirlo en el mercado o ponerlo en servicio bajo su propio nombre o marca.

Aclarado este punto, merece la pena comentar que el alcance de las obligaciones, no es igual para todos los proveedores. Las responsabilidades varían según la clasificación del sistema, siendo los proveedores de sistemas de IA de alto riesgo los que asumen la mayor carga regulatoria.

📌 ¿Qué obligaciones tienen los proveedores según este reglamento?

Como decíamos depende de la clasificación hay tres tipos de alcance:

1. Obligaciones para proveedores de sistemas de IA de alto riesgo

Según el artículo 16, estos proveedores deben cumplir con los siguientes requisitos antes de la comercialización de sus productos:

1. Cumplimiento técnico: Garantizar que el sistema cumple con los requisitos esenciales de la sección 2 del Reglamento, que incluyen:
   • Gestión de riesgos: Implementar un sistema de gestión de riesgos iterativo durante todo el ciclo de vida de la IA para identificar y mitigar riesgos para la salud, seguridad y derechos fundamentales.
   • Gobernanza de datos: Utilizar conjuntos de datos de entrenamiento, validación y prueba de alta calidad, que sean pertinentes, representativos y, en la medida de lo posible, libres de errores.
   • Documentación técnica: Elaborar y mantener actualizada la documentación que demuestre la conformidad (según el anexo IV).
   • Transparencia: Diseñar el sistema para que funcione con un nivel de transparencia que permita a los responsables del despliegue interpretar los resultados.
   • Supervisión humana: Incluir herramientas de interfaz humano-máquina para que personas físicas puedan vigilar y controlar el funcionamiento del sistema.
   • Precisión y ciberseguridad: Asegurar niveles adecuados de precisión, solidez técnica y resistencia frente a intentos de terceros de alterar el funcionamiento del sistema.
2. Evaluación de la conformidad: Someter el sistema al procedimiento pertinente antes de su introducción en el mercado.
3. Marcado CE y Declaración: Elaborar la declaración UE de conformidad y colocar el marcado CE en el sistema o embalaje.
4. Registro: Inscribirse a sí mismos y a sus sistemas en la base de datos de la UE.
5. Vigilancia poscomercialización: Establecer un sistema para recoger y analizar datos sobre el funcionamiento de la IA durante su vida útil y notificar incidentes graves a las autoridades.

2. Obligaciones para proveedores de modelos de IA de uso general (GPAI)

Los proveedores de modelos de IA de uso general tienen obligaciones específicas (según el artículo 53):

1. Documentación técnica: Mantener información actualizada sobre los procesos de entrenamiento y pruebas (Anexo XI).
2. Información para terceros: Facilitar documentación a los proveedores que integren su modelo en otros sistemas de IA (Anexo XII).
3. Derechos de autor: Establecer directrices para cumplir con el Derecho de la Unión en materia de derechos de autor y publicar un resumen detallado de los contenidos utilizados para el entrenamiento del modelo.
4. Riesgos sistémicos: Si el modelo presenta riesgos sistémicos, el proveedor debe realizar evaluaciones del modelo, pruebas de simulación de adversarios («red teaming«) y garantizar un nivel adecuado de ciberseguridad.

3. Obligaciones generales de transparencia

Para ciertos sistemas de IA, los proveedores deben garantizar la transparencia independientemente de su nivel de riesgo (Artículo 50):

• Interacción con humanos: Informar a las personas físicas de que están interactuando con un sistema de IA, a menos que sea obvio por el contexto.
• Contenido sintético: Marcar los resultados (audio, imagen, vídeo o texto) en un formato legible por máquina para que sea posible detectar que han sido generados o manipulados artificialmente.

4. Representación en la Unión

Los proveedores establecidos en terceros países deben designar, mediante mandato escrito, a un representante autorizado establecido en la Unión Europea para que actúe como contacto con las autoridades y asegure la conformidad del sistema.

💸¿Qué sanciones existen por incumplir estas obligaciones de proveedores?

El Reglamento de Inteligencia Artificial establece un régimen de sanciones económicas considerables para garantizar el cumplimiento de las obligaciones por parte de los proveedores y otros operadores.

Las sanciones se dividen principalmente en multas administrativas, cuyos importes máximos varían según la gravedad de la infracción:

1. Cuantía de las multas para proveedores y operadores

• Incumplimiento de prácticas prohibidas: El no respeto de las prohibiciones de prácticas de IA (como el uso de técnicas subliminales o puntuación ciudadana) conlleva las multas más altas, de hasta 35.000.000 EUR o el 7 % del volumen de negocios mundial total del ejercicio anterior, si esta cifra fuera superior.
• Incumplimiento de obligaciones generales: La violación de otras disposiciones (como las obligaciones de proveedores de sistemas de alto riesgo del artículo 16 o las de transparencia del artículo 50) puede acarrear multas de hasta 15.000.000 EUR o el 3 % del volumen de negocios mundial total.
• Suministro de información incorrecta: Facilitar información inexacta, incompleta o engañosa a las autoridades u organismos notificados está sancionado con multas de hasta 7.500.000 EUR o el 1 % del volumen de negocios mundial total.

2. Reglas específicas para PyMEs y empresas emergentes

Para las pequeñas y medianas empresas (PyMEs), incluidas las empresas emergentes, el reglamento prevé un trato más proporcionado.

En estos casos, las multas se calcularán tomando como base el importe fijo o el porcentaje mencionado anteriormente, optando siempre por el que resulte inferior.

3. Sanciones para proveedores de modelos de IA de uso general (GPAI)

La Comisión tiene competencia exclusiva para imponer multas a los proveedores de estos modelos.

Estas pueden llegar hasta el 3 % de su volumen de negocios mundial total o 15.000.000 EUR (la cifra que sea superior) por infracciones de sus obligaciones específicas, como no facilitar documentación técnica o no dar acceso al modelo para su evaluación.

4. Criterios para determinar la cuantía de la sanción por no cumplir el Reglamento (UE) 2024/1689

Para fijar la cuantía de la multa, las autoridades van a considerar diversas circunstancias agravantes o atenuantes, tales como:

• La naturaleza, gravedad y duración de la infracción.
• El número de personas afectadas y el nivel de los daños sufridos.
• El grado de cooperación con las autoridades nacionales.
• Si el operador es reincidente o si ya ha sido multado por la misma infracción en otro Estado miembro.
• La intencionalidad o negligencia en la conducta.

Además de las multas, los Estados miembros pueden imponer otras medidas de ejecución, como advertencias o medidas no pecuniarias, y las autoridades de vigilancia tienen el poder de ordenar la retirada o recuperación del sistema del mercado

🛂 ¿Cómo se calculan las multas para las PyMEs y startups?

Para las pequeñas y medianas empresas (pymes) y las empresas emergentes (startups), el Reglamento de Inteligencia Artificial establece una regla de cálculo específica que busca la proporcionalidad y protege su viabilidad económica.

A diferencia del régimen general, donde se aplica la cuantía que resulte superior entre un importe fijo y un porcentaje del volumen de negocios, para las pymes y empresas emergentes se optará por la que resulte inferior.

🙊¿Qué criterios atenúan las multas para las startups?💥

Para las startups y las pequeñas y medianas empresas (pymes), el Reglamento de Inteligencia Artificial establece criterios específicos para asegurar que las multas sean proporcionadas y no pongan en peligro su viabilidad económica.

Los criterios y mecanismos que atenúan las sanciones para estas empresas son los siguientes:

1. Regla de cálculo favorable

Para las startups y pymes la multa se calculará tomando el importe fijo o el porcentaje del volumen de negocios, optando siempre por el que sea menor de los dos. Siendo los límites máximos son:

• 7,5 millones EUR o el 1 % por suministrar información inexacta.
• 15 millones EUR o el 3 % por incumplimiento de obligaciones generales.
• 35 millones EUR o el 7 % por realizar prácticas de IA prohibidas.

2. Criterios de determinación de la cuantía

Al decidir si se impone una multa y cuál será su importe exacto, las autoridades deben considerar obligatoriamente las siguientes circunstancias atenuantes:

• Se debe tener en cuenta específicamente el tamaño, el volumen de negocios anual y la cuota de mercado del operador.
• Se valorará positivamente el nivel de colaboración con las autoridades nacionales para subsanar la infracción y mitigar sus efectos.
• Las medidas tomadas por la startup para reducir los daños sufridos por las personas afectadas tras detectarse el problema.
• La forma en que las autoridades supieron de la infracción, especialmente si la propia empresa la notificó voluntariamente y en qué medida lo hizo.
• Se distingue entre una conducta negligente y una intencionada, siendo la negligencia un factor que puede reducir la gravedad.
• El grado de responsabilidad según las medidas técnicas y organizativas que la empresa ya hubiera aplicado antes de la infracción.

3. Exenciones en Espacios Controlados de Pruebas

Si una startup participa en un espacio controlado de pruebas para la IA («sandbox«), las autoridades no impondrán multas administrativas por infracciones del Reglamento, siempre que la empresa respete el plan acordado y siga de buena fe las orientaciones proporcionadas por la autoridad durante el proceso de experimentación.

4. Medidas de ejecución alternativas

El Reglamento insta a los Estados miembros a dar prioridad a otras medidas de ejecución antes que a las multas económicas, como advertencias o medidas no pecuniarias, siempre velando por los intereses y la estabilidad de las pequeñas empresas

✅ ¿Por qué son importantes este tipo de reglamentos y para qué sirven?

Lo mejor de esta ley es que siempre pone a las personas en el centro, obligando a que haya supervisión humana para que las máquinas no tomen decisiones finales solas sin que nadie vigile.

También nos da el derecho a la transparencia: si estás hablando con un chatbot o viendo un video generado por IA (como una ultrasuplantación o deepfake), la empresa tiene la obligación de avisarte para que no te engañen.

Además, ayuda a los jóvenes emprendedores y a las pequeñas empresas mediante los «espacios controlados de pruebas» o sandboxes, que son lugares seguros donde pueden experimentar con sus inventos tecnológicos sin miedo a multas gigantes mientras aprenden a cumplir las normas.

💙 Beneficios clave para ti de la Ley sobre la IA o El Reglamento (UE) 2024/1689

• Apoyo a la creatividad europea: Al crear reglas claras, Europa se convierte en un lugar seguro para innovar, permitiendo que las nuevas empresas crezcan de forma ética y responsable.
• Protección frente a trucos sucios: Se prohíben las IAs que usen técnicas subliminales o engañosas para hacerte tomar decisiones que tú no querías.
• Adiós a la discriminación: Obliga a que los sistemas de IA se entrenen con datos de alta calidad para evitar que tengan sesgos por tu raza, género o edad.
• Tu privacidad es lo primero: Pone límites muy fuertes al uso de reconocimiento facial en las calles, permitiéndolo solo en casos de emergencia extrema como ataques terroristas o búsqueda de personas desaparecidas.
• Derecho a saber la verdad: Tendrás el derecho de recibir una explicación clara si una IA toma una decisión importante que te afecte negativamente.

Si estás pensando en utilizar una Inteligencia Artificial o un Asistente Virtual en tu negocio, y crees que hemos explicado esto en profundidad, no dejes de mirar nuestra entrada Preguntas Frecuentes sobre TuAsistenteconIA, donde puedes aprender mucho más sobre como automatizar tareas en tu negocio de estética y bienestar, restaurante, clínica o despacho siempre cumpliendo con las normas vigentes.

Fuente: Reglamento (UE) 2024/1689 (Ley sobre la IA)

Si este contenido te ha gustado te invitamos a leer el artículo sobre RGPD e IA que también te ayuda a utilizar la IA con la ley en la mano.