Actualizado a principios de julio de 2026. Este artículo pone en contexto textos jurídicos para no juristas – investigado con esmero y con enlaces a las fuentes primarias, pero no es asesoramiento jurídico. Fiel al espíritu de este sitio, en cuestiones jurídicas no hacemos conjeturas.
Sobre la ley europea de IA circulan dos resúmenes igual de falsos: «solo afecta a las grandes corporaciones de la IA» y «pronto nos lo va a prohibir todo». Este artículo pone en claro lo que el Reglamento europeo de Inteligencia Artificial (AI Act) significa en la práctica para los pequeños operadores – para autónomos y pequeñas empresas que usan IA: en el negocio, en la web, en el contacto con clientes. Como nosotros aquí.
Qué es el AI Act
Detrás de la palabra de moda está el Reglamento (UE) 2024/1689 del 13 de junio de 2024, oficialmente «Reglamento de Inteligencia Artificial» a secas. Publicado el 12 de julio de 2024, en vigor desde el 1 de agosto de 2024 – pero con un arranque escalonado: desde el 2 de febrero de 2025 rigen las prohibiciones y la obligación de alfabetización en IA; desde el 2 de agosto de 2025, las reglas para los proveedores de grandes modelos de IA de uso general y el régimen sancionador. La fase principal, y con ella casi todo lo que atañe a los pequeños operadores, entra en juego el 2 de agosto de 2026.
En junio de 2026, ese calendario volvió a moverse: con el «Digital Omnibus», el Parlamento y el Consejo ampliaron algunos plazos de la hoja de ruta. Las obligaciones estrictas para los sistemas de alto riesgo no empiezan hasta el 2 de diciembre de 2027 (para la IA integrada como componente de seguridad en productos regulados, el 2 de agosto de 2028), y para el marcado legible por máquina de los contenidos generados por IA, los proveedores de sistemas ya en el mercado ganan margen hasta el 2 de diciembre de 2026. Como novedad se añadió una prohibición de los sistemas de IA que generan representaciones de abusos o imágenes de desnudos de personas reales sin su consentimiento (las apps «nudifier») – en vigor a partir de diciembre de 2026. En lo esencial, el paquete ómnibus no cambia nada: la fase principal del 2 de agosto de 2026 se mantiene. (El Consejo dio su aprobación definitiva el 29 de junio de 2026; a principios de julio, la publicación en el Diario Oficial era inminente.)
El enfoque de fondo se basa en el riesgo: cuanto mayor es el potencial de daño de un uso de la IA, más estrictas son las reglas – desde las prácticas prohibidas, pasando por las aplicaciones de alto riesgo estrictamente reguladas, hasta las ligeras obligaciones de transparencia para la IA cotidiana.
Los cuatro niveles, cada uno con ejemplos del texto del Reglamento: Prohibido (artículo 5) queda, por ejemplo, emplear técnicas deliberadamente manipuladoras, extraer de forma no selectiva imágenes faciales de internet para bases de datos de reconocimiento facial y reconocer emociones en el lugar de trabajo o en los centros educativos. Alto riesgo (anexo III) es la IA que decide sobre personas – por ejemplo, en la contratación y selección de candidatos o en la evaluación de la solvencia crediticia. Sujeta a obligaciones de transparencia (artículo 50) queda la IA cotidiana que interactúa con personas o genera contenidos: chatbots, imágenes y voces generadas. Todo lo demás – la inmensa mayoría, del corrector ortográfico a la detección de spam – queda sin nuevas obligaciones.
La bifurcación más importante: ¿proveedor o responsable del despliegue?
La ley distingue roles. Quien desarrolla un sistema de IA y lo introduce en el mercado asume obligaciones distintas de las de quien emplea profesionalmente un sistema ya terminado.
«Proveedor» es, según el artículo 3, quien desarrolla o encarga desarrollar un sistema de IA y lo introduce en el mercado con su propio nombre o su propia marca. «Responsable del despliegue» es quien utiliza un sistema de IA bajo su propia autoridad – quedando excluido el uso puramente personal y no profesional: quien planifica y escribe en privado con un chatbot no tiene nada que ver con todo esto. La frontera se pone interesante con la pregunta que se plantean muchas pequeñas empresas: ¿incorporar una interfaz de IA a la propia web – por ejemplo, un widget de chat comprado a terceros – me convierte en proveedor? Por regla general, no. La bifurcación (artículo 25) solo se produce en los sistemas de alto riesgo cuando alguien presenta un sistema ajeno bajo su propio nombre o su propia marca, lo modifica sustancialmente o retuerce su finalidad prevista hasta convertirlo en un sistema de alto riesgo. Quien simplemente usa una herramienta y la presenta como lo que es sigue siendo responsable del despliegue.
Para la mayoría de los pequeños negocios, el rol relevante será con toda probabilidad el de responsable del despliegue – y su catálogo de obligaciones es el núcleo de este artículo:
Alfabetización en IA (artículo 4, en vigor desde febrero de 2025): tanto los proveedores como los responsables del despliegue deben garantizar «en la mayor medida posible» que su personal tenga suficiente comprensión de la IA para su contexto de uso. Suena a formación obligatoria, pero es deliberadamente más blando: la Comisión aclara en sus preguntas y respuestas que no hay cursos prescritos ni una vara de medir única – lo que cuenta es lo que encaja con el uso concreto; del control de su cumplimiento se ocupan, a partir del 2 de agosto de 2026, las autoridades nacionales. Transparencia en el contacto con clientes (artículo 50, a partir del 2 de agosto de 2026): quien deja que un chatbot responda a sus clientes debe procurar que eso resulte reconocible para una persona normalmente informada; quien publica deepfakes debe revelarlos (enseguida volvemos sobre ello). Obligaciones de alto riesgo para responsables del despliegue (artículo 26, a partir del 2 de diciembre de 2027): quien emplea IA, por ejemplo, en procesos de selección de personal debe usarla según las indicaciones del fabricante, mantenerla bajo supervisión humana – e informar antes a los trabajadores afectados y a su representación. Quien ya utiliza hoy tales sistemas debería apuntar la fecha en el calendario y no esperar a 2027 para empezar a prepararse.
¿Etiquetar lo que genera la IA?
La pregunta que con más frecuencia plantean quienes gestionan un sitio web: ¿hay que etiquetar como tales los textos y las imágenes generados por IA?
El artículo 50 reparte la obligación en dos niveles. El marcado legible por máquina de los contenidos generados – marcas de agua en el sentido más amplio – es cosa de los proveedores de las herramientas, no de sus usuarios (para los sistemas que ya estaban en el mercado antes de agosto de 2026, aplazado por el ómnibus al 2 de diciembre de 2026). Para los responsables del despliegue, la obligación de revelación se aplica en dos casos: con los deepfakes – contenidos de imagen, audio o vídeo engañosamente auténticos de personas o acontecimientos reales – y con los textos publicados sobre asuntos de interés público. Incluso ahí hay excepciones: en las obras claramente artísticas o satíricas basta una revelación discreta, y la obligación relativa a los textos decae cuando una persona revisa los contenidos editorialmente y asume la responsabilidad de la publicación. Leído a la inversa: el artículo de blog asistido por IA, la ilustración generada, el boletín de un pequeño negocio pulido por la IA no están sujetos a etiquetado según el Reglamento de IA – mientras no se conviertan en un deepfake ni en una noticia sin revisar.
Sobre nuestra propia práctica, solo esto: este sitio nace en estrecha colaboración con la IA y no lo oculta – con independencia de por dónde discurra al final la obligación legal.
Qué está en juego en caso de infracción – y qué no
El régimen sancionador (artículo 99) tiene tres niveles y se aplica desde agosto de 2025: hasta 35 millones de euros o el 7 por ciento del volumen de negocios anual mundial para las prácticas prohibidas, hasta 15 millones de euros o el 3 por ciento para las infracciones de las obligaciones operativas (entre ellas, las de los responsables del despliegue y las de transparencia), hasta 7,5 millones de euros o el 1 por ciento por facilitar información falsa a las autoridades. Para las pequeñas y medianas empresas rige en cada caso, expresamente, el más bajo de los dos valores. Las cifras de los titulares apuntan a las grandes corporaciones; un pequeño negocio que emplea como es debido una herramienta comprada a terceros no es el blanco de estas disposiciones. En Alemania, el Bundestag aprobó en junio de 2026 la ley nacional de aplicación: la supervisión se concentra en la Agencia Federal de Redes (Bundesnetzagentur), que está creando un centro de competencias e incorpora a las autoridades especializadas – y que inicia su labor con la fase principal a partir del 2 de agosto de 2026.
Qué puedes hacer hoy mismo
Incluso sin la parte de investigación se pueden dar sin riesgo unas cuantas recomendaciones – no como consejo jurídico, sino como sentido común: llevar una lista de dónde se usa IA en el negocio; en las herramientas de cara al cliente, comprobar si las personas pueden darse cuenta de que hablan con una máquina; y extremar la precaución en todo lo que toque decisiones sobre personas (candidaturas, solvencia, precios) – esas son exactamente las zonas que la ley tiene en el punto de mira.
Con los hechos sobre la mesa, la lista se puede afinar. Primero: llevar de verdad ese inventario de IA – sirve a la vez de base documental para la obligación de alfabetización en IA, que ya está en vigor. Segundo: hacer reconocibles antes de agosto de 2026 los chatbots y asistentes de voz de cara al cliente; cuesta una frase. Tercero: quien genera imágenes o voces de personas reales, o deja que se publiquen textos sin revisar, necesita una revelación a partir de agosto de 2026 – quien en cambio lo revisa todo editorialmente no tiene aquí nada pendiente. Cuarto: IA en decisiones de personal o en evaluaciones de solvencia significa obligaciones de alto riesgo a partir de diciembre de 2027 – anotar la fecha, reclamar la documentación del fabricante, implicar a los trabajadores. Y quinto: las páginas de preguntas y respuestas de la Comisión y la oferta sobre IA de la Agencia Federal de Redes están pensadas como primer lugar al que acudir – gratuitas, oficiales y claramente más legibles que el texto del Reglamento.
/compact – lo esencial cuando el contexto escasea:
El AI Act (Reglamento (UE) 2024/1689) se aplica de forma escalonada: prohibiciones y alfabetización en IA desde febrero de 2025, la fase principal a partir del 2 de agosto de 2026 – el Digital Omnibus de junio de 2026 solo aplaza las obligaciones de alto riesgo (diciembre de 2027/agosto de 2028) y el marcado legible por máquina para los sistemas ya en el mercado (diciembre de 2026). Los pequeños negocios son casi siempre «responsables del despliegue»: deben mantener a su equipo al día en IA, hacer reconocibles los chatbots y revelar los deepfakes – los textos e imágenes asistidos por IA y revisados editorialmente no están sujetos a etiquetado. Las multas millonarias apuntan a las prácticas prohibidas y a las grandes corporaciones; para las pymes rige siempre el valor más bajo, y en Alemania la supervisión quedará concentrada en la Agencia Federal de Redes.