El Reglamento Europeo de IA, en términos operativos

Riesgo inaceptable

Prácticas prohibidas: manipulación dañina, puntuación social, categorización biométrica sensible y otros usos vetados.

Alto riesgo

Empleo, educación, servicios esenciales, infraestructuras críticas, justicia, migración y biometría. Requiere gestión de riesgos, gobernanza de datos, documentación técnica, registro, supervisión humana y evaluación de conformidad.

Riesgo de transparencia

Chatbots, contenido sintético y sistemas de reconocimiento de emociones: obligación de informar al usuario y etiquetar el contenido.

Riesgo mínimo

El resto de sistemas. Sin obligaciones específicas, pero sujetos a buenas prácticas voluntarias.

• Diseñar el sistema para que la persona sea informada de forma explícita cuando interactúa directamente con una IA.
• Incorporar marcas legibles por máquina que permitan detectar el contenido generado o manipulado por IA.
• Asegurar que las soluciones de marcado sean eficaces, interoperables, robustas y fiables en la medida técnicamente viable.

• Informar cuando se utiliza reconocimiento de emociones o categorización biométrica.
• Revelar que el contenido es una ultrafalsificación (deepfake) de imagen, audio o vídeo.
• Revelar el texto generado por IA publicado sobre asuntos de interés público cuando no ha habido revisión humana ni control editorial.

Código de conducta sobre transparencia

La Comisión publicó una primera lista con más de 180 organizaciones firmantes del Código de conducta sobre transparencia del contenido generado por IA, que operativiza estas obligaciones.

Si no te adhieres, hacen falta medios equivalentes

Quien no firme el Código deberá demostrar el marcado y etiquetado por medios alternativos de adecuación equivalente. Para el resto de obligaciones de transparencia, cada organización determina sus propias medidas atendiendo a las Guías.

Quién supervisa

Las autoridades nacionales de vigilancia del mercado, la Oficina Europea de IA (para los sistemas bajo su supervisión) y el Supervisor Europeo de Protección de Datos cuando el proveedor o el responsable del despliegue es una institución de la UE.

• ¿Has identificado si eres proveedor, responsable del despliegue o ambos?
• ¿Has definido la finalidad prevista (intended purpose) de cada sistema de IA?

• ¿Has clasificado el nivel de riesgo de cada uno de tus sistemas de IA?
• ¿Has documentado la justificación de esa clasificación?

• ¿Informas claramente cuando un usuario interactúa con un sistema de IA?
• ¿Etiquetas el contenido sintético cuando el Reglamento lo exige?

• ¿Existe revisión humana antes de que el sistema produzca efectos jurídicos o materiales relevantes?
• ¿Está documentada esa supervisión, con roles nombrados y capacidad de intervención?

• ¿Dispones de un inventario de los sistemas de IA en uso en la organización?
• ¿Has formado a tu personal en el uso responsable de la IA (alfabetización en IA)?

• ¿Mantienes la documentación técnica y los registros de eventos actualizados y recuperables?
• ¿Revisas periódicamente tus sistemas, modelos y proveedores externos?

¿Qué cambió el 2 de agosto de 2026?

La Comisión, a través de la Oficina Europea de IA, y las autoridades nacionales empezaron a hacer cumplir el Reglamento. Además se aplican las obligaciones de transparencia del artículo 50 y el régimen de los sistemas de alto riesgo del Anexo III.

¿Quién debe etiquetar el contenido generado por IA?

El proveedor debe incorporar marcas legibles por máquina en el contenido sintético. El responsable del despliegue debe revelar los deepfakes, el reconocimiento de emociones, la categorización biométrica y el texto sobre asuntos de interés público publicado sin revisión humana.

¿Los chatbots tienen que decir que son IA?

Sí. Los sistemas que interactúan directamente con personas deben estar diseñados para que la persona sepa de forma explícita que está tratando con una IA, salvo que resulte obvio para un usuario razonablemente informado.

¿Firmar el Código de conducta sobre transparencia garantiza el cumplimiento?

No lo garantiza por sí solo, pero es la vía reconocida para demostrar el marcado y etiquetado. Quien no se adhiera deberá acreditarlo por medios alternativos de adecuación equivalente.

¿Quién vigila el cumplimiento?

Las autoridades nacionales de vigilancia del mercado, la Oficina Europea de IA para los sistemas bajo su supervisión y el Supervisor Europeo de Protección de Datos cuando intervienen instituciones de la UE. Existen además canales de reclamación y de denuncia.

¿Qué queda pendiente después de 2026?

Desde el 2 de agosto de 2027 se aplican las obligaciones a los sistemas de alto riesgo integrados en productos cubiertos por legislación sectorial de la UE, con sus propios procedimientos de evaluación de conformidad.