Reglamento de IA: nuevas obligaciones para las empresas en 2026
Desde el 2 de agosto de 2026 se aplican nuevas obligaciones del Reglamento Europeo de Inteligencia Artificial relacionadas con la transparencia. Las empresas deben revisar cómo utilizan la IA para determinar qué requisitos les corresponden, especialmente si emplean chatbots, publican contenidos sintéticos, recurren a avatares digitales o utilizan sistemas de reconocimiento de emociones o categorización biométrica.
Esto no significa que cualquier uso profesional de una herramienta de IA obligue automáticamente a etiquetar todo el contenido generado. Las obligaciones dependen del sistema utilizado, de la finalidad concreta y del papel que ocupa la organización en la cadena de valor.
¿A qué empresas afecta el Reglamento Europeo de Inteligencia Artificial?
El Reglamento de IA puede afectar tanto a grandes compañías como a pymes y profesionales autónomos cuando desarrollan, comercializan o utilizan sistemas de inteligencia artificial dentro de su actividad profesional y el supuesto queda comprendido en su ámbito de aplicación.
La norma distingue varias figuras. Dos de las más relevantes son:
- Proveedor: desarrolla un sistema o modelo de IA, o encarga su desarrollo, y lo introduce en el mercado o lo pone en servicio bajo su propio nombre o marca.
- Responsable del despliegue: utiliza un sistema de IA bajo su autoridad en el ejercicio de una actividad profesional. Es la posición en la que se encontrará la mayoría de las empresas que contratan soluciones desarrolladas por terceros.
Esta distinción es importante porque el artículo 50 no atribuye las mismas obligaciones a ambos. Además, una empresa puede pasar a ser considerada proveedor si comercializa un sistema con su propia marca, lo modifica sustancialmente o cambia su finalidad en determinadas circunstancias.
Usar un asistente de IA para preparar un borrador interno no tiene las mismas consecuencias que instalar un chatbot de atención al cliente, difundir un vídeo ultrafalso o utilizar IA para filtrar candidaturas. Por ello, el análisis debe hacerse por cada herramienta y caso de uso.
¿Qué obligaciones de transparencia se aplican desde el 2 de agosto de 2026?
El artículo 50 del Reglamento de IA establece obligaciones específicas para determinados sistemas y contenidos. Su finalidad es que las personas sepan cuándo interactúan con una IA o están expuestas a ciertos contenidos generados o manipulados artificialmente.
La información exigida debe facilitarse de forma clara, distinguible y accesible, como máximo en el momento de la primera interacción o exposición.
Informar cuando una persona interactúa directamente con una IA
Los proveedores de sistemas destinados a interactuar directamente con personas deben diseñarlos para que el usuario sepa que está relacionándose con una IA, salvo que resulte evidente para una persona razonablemente informada, atenta y perspicaz atendiendo al contexto.
Esta regla resulta especialmente relevante para:
- Chatbots de atención al cliente.
- Asistentes virtuales integrados en páginas web o aplicaciones.
- Sistemas automatizados de soporte técnico.
- Agentes conversacionales empleados en procesos comerciales.
- Herramientas internas de atención a trabajadores.
Aunque la obligación de diseño recae sobre el proveedor, la empresa que implanta una solución de un tercero debe comprobar, como medida de cumplimiento, que el aviso existe, se conserva en la configuración elegida y aparece en el momento adecuado. Si personaliza o modifica el sistema, también deberá analizar si cambia su posición jurídica.
Permitir la identificación técnica de contenidos sintéticos
Los proveedores de sistemas de IA que generen contenidos sintéticos de texto, audio, imagen o vídeo deben procurar que los resultados estén marcados en un formato legible por máquina y que pueda detectarse su origen artificial.
El marcado puede apoyarse en metadatos, credenciales de contenido u otras soluciones técnicas eficaces, interoperables, sólidas y fiables, en la medida en que sea técnicamente viable. Esta obligación no opera del mismo modo cuando la IA se limita a una función de edición estándar o no altera sustancialmente los datos de entrada ni su significado.
Para una empresa usuaria, la medida práctica consiste en revisar si las herramientas contratadas incorporan el marcado exigido, qué ocurre al editar o exportar los archivos y qué garantías ofrece el proveedor.
Advertir sobre imágenes, vídeos o audios ultrafalsos
Cuando una empresa, como responsable del despliegue, genere o manipule imágenes, audio o vídeo que constituyan una ultrafalsificación o deepfake, debe hacer público que el contenido ha sido creado o alterado artificialmente.
Esta obligación puede afectar a campañas publicitarias, vídeos corporativos, recreaciones de personas reales, avatares digitales y contenidos difundidos en redes sociales. No toda imagen generada mediante IA es necesariamente un deepfake: debe tratarse de un contenido que se asemeje a personas, objetos, lugares, entidades o acontecimientos reales y que pueda inducir a una persona a pensar erróneamente que es auténtico o verídico.
En obras manifiestamente artísticas, creativas, satíricas o de ficción, la advertencia puede realizarse de manera que no dificulte la exhibición o el disfrute de la obra.
Identificar textos sobre asuntos de interés público
Las empresas que utilicen IA para generar o manipular textos publicados con la finalidad de informar al público sobre asuntos de interés público deben revelar su origen artificial.
Esta obligación puede alcanzar noticias, comunicados, publicaciones institucionales o determinados artículos informativos. Sin embargo, el Reglamento contempla una excepción cuando el contenido se ha sometido a revisión humana o control editorial y una persona física o jurídica asume la responsabilidad editorial de su publicación.
Por tanto, no existe una obligación general de señalar como creado por IA cualquier texto empresarial en el que se haya utilizado una herramienta generativa. Deben valorarse la finalidad del contenido, su materia y la existencia de una revisión humana real y documentable.
Informar sobre reconocimiento de emociones y categorización biométrica
Los responsables del despliegue de sistemas de reconocimiento de emociones o categorización biométrica deben informar de su funcionamiento a las personas expuestas. Si se tratan datos personales, también deberán cumplir el Reglamento General de Protección de Datos y el resto de normativa aplicable.
Además, determinados usos del reconocimiento de emociones están prohibidos. Como regla general, no puede utilizarse para inferir emociones en el trabajo o en centros educativos, salvo supuestos limitados relacionados con razones médicas o de seguridad.
¿Qué debe hacer una empresa para adaptarse al Reglamento de IA?
Cumplir no consiste únicamente en publicar un aviso. La organización debe conocer qué sistemas utiliza, para qué los emplea y quién controla cada decisión. Un plan de adaptación debería incluir, al menos, las siguientes medidas:
- Crear un inventario de sistemas de IA. Debe abarcar tanto las herramientas contratadas por la empresa como las incorporadas informalmente por los distintos departamentos.
- Documentar cada finalidad y contexto de uso. Una misma solución puede plantear obligaciones diferentes si se usa para redactar textos internos, atender a clientes o seleccionar personal.
- Determinar el papel de la organización. Es necesario identificar si actúa como proveedor, responsable del despliegue, importador o distribuidor.
- Clasificar los riesgos. Deben detectarse prácticas prohibidas, sistemas de alto riesgo y casos sujetos a transparencia específica.
- Revisar avisos y contenidos. Conviene comprobar chatbots, asistentes, deepfakes, avatares y publicaciones sobre asuntos de interés público.
- Establecer supervisión humana. La empresa debe definir quién revisa los resultados, con qué criterios y cómo queda constancia del control editorial.
- Revisar contratos y proveedores. Es importante exigir información sobre marcado técnico, datos utilizados, seguridad, instrucciones de uso, reparto de responsabilidades y conservación de evidencias.
- Aprobar una política interna de IA. Debe regular herramientas autorizadas, usos permitidos, información confidencial, propiedad intelectual, protección de datos y circuitos de aprobación.
- Formar al personal. La obligación de adoptar medidas para garantizar un nivel suficiente de alfabetización en IA se aplica desde el 2 de febrero de 2025. La formación debe adaptarse a los conocimientos, experiencia y contexto de uso de las personas implicadas.
- Conservar evidencias de cumplimiento. Inventarios, evaluaciones, contratos, avisos, registros de revisión y acciones formativas ayudan a acreditar las medidas adoptadas.
¿Qué obligaciones sobre sistemas de alto riesgo se aplican más adelante?
El calendario del Reglamento es progresivo. Tras las modificaciones introducidas en 2026, las reglas específicas para los sistemas de alto riesgo incluidos en el anexo III se aplicarán, con carácter general, desde el 2 de diciembre de 2027. Para los sistemas de alto riesgo integrados en productos regulados del anexo I, la fecha prevista es el 2 de agosto de 2028.
Entre los casos que pueden quedar clasificados como de alto riesgo se encuentran determinados sistemas utilizados en selección de personal, acceso al empleo, educación, evaluación de solvencia de personas físicas o fijación de precios y evaluación de riesgos en seguros de vida y salud. La clasificación depende de la finalidad y de las condiciones establecidas en el Reglamento; no cualquier herramienta utilizada en estos ámbitos queda automáticamente incluida.
El aplazamiento de estas reglas no afecta a las obligaciones de transparencia del artículo 50 ni a las prohibiciones y medidas de alfabetización en IA que ya resulten aplicables. Las empresas que prevean utilizar sistemas de alto riesgo deberían aprovechar este periodo para preparar la gestión de riesgos, la documentación, la supervisión humana y los controles internos necesarios.
Sanciones por incumplir las obligaciones de transparencia
El incumplimiento del artículo 50 puede sancionarse con multas administrativas de hasta 15 millones de euros o, si el infractor es una empresa, hasta el 3 % de su volumen de negocio mundial anual total del ejercicio anterior.
En el caso de las pymes, incluidas las empresas emergentes, el límite máximo será el menor de esas dos magnitudes. La sanción concreta deberá atender, entre otros factores, a la gravedad y duración de la infracción, sus consecuencias, el tamaño de la organización, su grado de responsabilidad, la cooperación con la autoridad y las medidas adoptadas para mitigar el daño.
Además de una posible sanción, un uso inadecuado de la IA puede provocar reclamaciones de clientes o trabajadores, incidentes de protección de datos, conflictos contractuales, pérdida de oportunidades comerciales y daños reputacionales.
La adaptación debe partir del uso real de la IA
El Reglamento de IA no puede cumplirse con una cláusula genérica ni con una política desconectada de la operativa diaria. El primer paso es identificar dónde se utiliza realmente la inteligencia artificial y evaluar cada caso según su finalidad, nivel de riesgo y papel de la organización.
En IUS Confidence Legal & Compliance ayudamos a empresas y Administraciones Públicas a:
- Identificar qué obligaciones del Reglamento de IA resultan aplicables.
- Clasificar los sistemas según su nivel de riesgo y el papel de la organización.
- Diseñar programas de alfabetización en IA adaptados al perfil del personal y a las herramientas utilizadas.
- Implantar y documentar medidas de gobernanza, transparencia y cumplimiento.
Una revisión temprana permite corregir avisos, contratos y procedimientos antes de que el uso de la IA genere un riesgo regulatorio, operativo o reputacional.