Brubru
Inteligencia de política de la UE
El Reglamento (UE) 2024/1689 es el primer marco jurídico horizontal y exhaustivo del mundo para la inteligencia artificial. Prohíbe un pequeño conjunto de prácticas inaceptables, somete los sistemas de IA de alto riesgo a requisitos obligatorios y a una evaluación de la conformidad, y crea un régimen específico para los modelos de IA de uso general, incluidos los modelos de base de mayor envergadura.
El primer marco jurídico integral del mundo sobre inteligencia artificial
La inteligencia artificial presenta importantes oportunidades económicas y sociales, pero también riesgos para la salud, la seguridad y los derechos fundamentales. Sin un marco armonizado de la UE, la divergencia de normas nacionales amenazaba con fragmentar el mercado interior y reducir la seguridad jurídica para los desarrolladores y usuarios que operan en varios Estados miembros. El Reglamento de IA colma esa laguna con un único reglamento horizontal, basado en el artículo 114 del TFUE (aproximación del mercado interior) y en el artículo 16 del TFUE para las disposiciones biométricas en materia de aplicación de la ley (considerandos 3 y 38).
El principio organizador es un enfoque basado en el riesgo: en lugar de regular toda la IA de manera uniforme, el Reglamento clasifica los sistemas de IA en cuatro niveles y calibra las obligaciones en función del potencial de daño. Es tecnológicamente neutro y se aplica a cualquier sistema de IA con independencia de su arquitectura, método de entrenamiento o modalidad de despliegue. Sus objetivos declarados son promover el desarrollo y la adopción de una IA centrada en las personas y digna de confianza, protegiendo al mismo tiempo la salud, la seguridad, los derechos fundamentales, la democracia, el Estado de Derecho y el medio ambiente, y apoyando la innovación.
La Comisión publicó su propuesta como COM(2021) 206 el 21 de abril de 2021, tras la estrategia de IA de 2018 y el Plan Coordinado sobre IA de 2021. El Consejo adoptó un enfoque general el 6 de diciembre de 2022. Las comisiones IMCO y LIBE del Parlamento Europeo dirigieron los trabajos del Parlamento mediante un procedimiento conjunto, con los coponentes Brando Benifei (S&D, Italia) y Dragos Tudorache (Renew, Rumanía). Se alcanzó un acuerdo político en trílogo el 8 de diciembre de 2023; el Parlamento adoptó formalmente el texto el 13 de marzo de 2024 (523 a favor, 46 en contra, 49 abstenciones). El Consejo lo adoptó formalmente el 21 de mayo de 2024. El Reglamento se publicó en el Diario Oficial el 12 de julio de 2024 (DO L, 2024/1689) y entró en vigor el 1 de agosto de 2024. Dirección General responsable en la Comisión: DG CNECT; organismo central de supervisión: la Oficina de IA (establecida mediante Decisión de la Comisión de 24 de enero de 2024).
El Reglamento cubre a los proveedores que comercializan sistemas de IA en el mercado de la UE o los ponen en servicio en la UE, así como a los responsables del despliegue de sistemas de IA establecidos en la UE. Exclusiones principales (artículo 2): usos militares, de defensa y de seguridad nacional (considerando 24, art. 2(3)); la IA desarrollada exclusivamente con fines de investigación y desarrollo científico (considerando 25, art. 2(6)); la investigación y el desarrollo puros antes de la comercialización (art. 2(8)); el uso personal no profesional (art. 2(10)); y los sistemas de IA libres y de código abierto, salvo que sean de alto riesgo, estén prohibidos o estén sujetos a las obligaciones de transparencia del artículo 50 (art. 2(12)).
El Reglamento de IA contiene 113 artículos organizados en 13 capítulos, más 180 considerandos y 13 anexos. Los anexos recogen la mayor parte de los detalles técnicos y operativos: el anexo I enumera la legislación de armonización de la Unión que activa la vía de alto riesgo del anexo I; el anexo II proporciona la lista de la legislación del anexo II; el anexo III enumera las ocho áreas de casos de uso de alto riesgo del anexo III; el anexo IV especifica el contenido obligatorio de la documentación técnica; los anexos XI y XII establecen los requisitos de documentación para los modelos de IA de uso general; y el anexo XIII establece los criterios para designar el riesgo sistémico en los modelos de IA de uso general. El Reglamento modifica asimismo nueve instrumentos vigentes (reglamentos y directivas del acervo en materia de seguridad de los productos y de seguridad del transporte), enumerados en los artículos 102 a 110.
Cuatro niveles, obligaciones calibradas: considerando 26 y artículo 5 y siguientes
Artículo 5: usos de la IA prohibidos de forma absoluta desde el 2 de febrero de 2025
El Capítulo II del Reglamento, que contiene el Artículo 5, comenzó a aplicarse el 2 de febrero de 2025, seis meses después de su entrada en vigor. El incumplimiento de cualquiera de las ocho prohibiciones conlleva el nivel de sanción más elevado: hasta 35.000.000 EUR o el 7% del volumen de negocios anual mundial total, aplicándose la cuantía que sea más elevada. Las pymes y las empresas emergentes abonarán la cuantía menor entre el porcentaje y el importe fijo.
Sistemas de IA que emplean técnicas subliminales, engañosas o manipuladoras que operan por debajo del umbral de conciencia de una persona, o que explotan sus debilidades psicológicas, con el efecto de distorsionar materialmente el comportamiento de una persona de un modo que pueda causarle un perjuicio significativo a ella o a otra persona.
Sistemas de IA que explotan vulnerabilidades específicas de una persona o grupo debido a su edad, discapacidad o situación social o económica concreta, con el fin de distorsionar materialmente su comportamiento de un modo que pueda causar un perjuicio significativo a esa persona o a otra.
Sistemas de IA para la puntuación social de personas físicas por parte de actores públicos o privados que evalúan o clasifican a los individuos en función de su comportamiento social o de sus características personales, dando lugar a un trato perjudicial o desproporcionado que no guarda relación con el contexto original de los datos o que no está justificado.
Sistemas de IA utilizados por las autoridades policiales para evaluar el riesgo de que una persona física cometa una infracción penal basándose únicamente en la elaboración de un perfil de dicha persona o en la evaluación de sus rasgos y características de personalidad, sin una base fáctica. Esta prohibición no abarca las evaluaciones de riesgo basadas en hechos objetivos relativos a la persona concreta de que se trate.
Sistemas de IA que crean o amplían bases de datos de reconocimiento facial mediante la extracción masiva e indiscriminada de imágenes faciales procedentes de internet o de grabaciones de circuitos cerrados de televisión. Esta prohibición tiene por objeto la recopilación masiva e indiscriminada de datos biométricos sin un sujeto ni una finalidad investigadora específicos.
Sistemas de IA que infieren las emociones de personas físicas en el lugar de trabajo y en los centros educativos. Se establece una excepción para los sistemas de IA utilizados por razones médicas o de seguridad (por ejemplo, la detección de la fatiga del conductor en un vehículo).
Sistemas de IA que categorizan individualmente a personas físicas a partir de sus datos biométricos para deducir o inferir su raza, opiniones políticas, afiliación sindical, creencias religiosas o filosóficas, vida sexual u orientación sexual. Esta prohibición es distinta de la relativa a la identificación biométrica remota en tiempo real: tiene por objeto la categorización, no la identificación.
Se prohíbe el uso de sistemas de identificación biométrica remota en tiempo real en espacios de acceso público con fines policiales, salvo en tres supuestos enumerados de forma exhaustiva: la búsqueda específica de víctimas de secuestro, trata o explotación sexual y de personas desaparecidas; la prevención de un ataque terrorista específico, sustancial e inminente o de una amenaza para la vida; y la identificación o localización de un sospechoso de una infracción del Anexo II punible con al menos cuatro años de prisión. Los tres supuestos requieren autorización previa de una autoridad judicial o administrativa independiente (en un plazo de 24 horas en casos urgentes), una evaluación de impacto sobre los derechos fundamentales y el registro en la base de datos de la UE.
Artículos 6 a 49, Anexos I y III: dos vías de clasificación, seis requisitos obligatorios
Un sistema de IA es de alto riesgo por esta vía si constituye un componente de seguridad de un producto cubierto por la legislación de armonización de la Unión enumerada en el Anexo I, y dicho producto se somete a una evaluación de conformidad por terceros. La sección A del Anexo I abarca la legislación del Nuevo Marco Legislativo, incluida la relativa a maquinaria, juguetes, embarcaciones de recreo, ascensores, equipos ATEX, equipos radioeléctricos, equipos a presión, equipos de protección individual, aparatos de gas, productos sanitarios y productos sanitarios para diagnóstico in vitro. La sección B abarca la seguridad de la aviación civil, los vehículos de dos y tres ruedas, los vehículos agrícolas y forestales, el equipo marino, la interoperabilidad ferroviaria, los vehículos de motor y la aviación de la EASA. La aplicación de esta vía se aplaza hasta el 2 de agosto de 2027.
Una derogación (art. 6(3)) permite que un sistema del Anexo III quede exento del estatus de alto riesgo cuando no realice elaboración de perfiles de personas físicas y no plantee un riesgo significativo. La Comisión debe publicar directrices con ejemplos prácticos antes del 2 de febrero de 2026 (art. 6(5)).
Los proveedores de sistemas de IA de alto riesgo deben garantizar que sus sistemas cumplan seis requisitos, aplicados a lo largo de todo el ciclo de vida:
Además, el artículo 15 exige exactitud, robustez y ciberseguridad en un nivel adecuado, con resiliencia frente a alteraciones no autorizadas por terceros.
Los sistemas de IA de alto riesgo llevan el marcado CE (considerando 129, artículos 47 a 48), que indica la conformidad con el Reglamento. La mayoría de los sistemas de alto riesgo también deben registrarse en una base de datos pública de la UE (artículo 49, considerando 131) antes de su despliegue. La base de datos de la UE es gestionada por la Comisión. La inscripción incluye la identidad del proveedor, el nombre y la versión del sistema, una descripción de su finalidad prevista, el procedimiento de evaluación de conformidad utilizado e información sobre el plan de seguimiento poscomercialización.
Los responsables del despliegue que sean organismos públicos, proveedores de servicios públicos, y los responsables del despliegue del sector bancario o asegurador que utilicen sistemas de IA de alto riesgo del Anexo III deben llevar a cabo una evaluación del impacto sobre los derechos fundamentales antes del despliegue (art. 27, considerando 96). La evaluación debe identificar los derechos en riesgo, el perjuicio esperado, las medidas para mitigar dicho perjuicio y, cuando se identifique un riesgo residual, consultar a las personas afectadas o a sus representantes cuando sea factible. Los resultados deben registrarse en la base de datos de la UE (para los sistemas sujetos a dicha obligación).
Capítulo V, artículos 51 a 56: normas horizontales para modelos fundacionales, con obligaciones adicionales para los proveedores de riesgo sistémico
Un modelo de IA de uso general se define por su carácter generalista y su capacidad para realizar de forma competente una amplia gama de tareas distintas (considerando 97). Los grandes modelos generativos son el ejemplo paradigmático (considerando 99). El capítulo se aplica a los proveedores de modelos GPAI, no a los responsables del despliegue ni a los integradores que incorporan dichos modelos en sus propios productos, salvo que ellos mismos modifiquen un modelo GPAI y pongan una nueva versión en el mercado.
Todo proveedor de un modelo GPAI, independientemente de su tamaño, debe:
Los modelos GPAI de código abierto están exentos de las obligaciones de documentación de los Anexos XI y XII, pero deben seguir cumpliendo las obligaciones relativas a la política de derechos de autor y al resumen del entrenamiento, y pierden la exención si plantean un riesgo sistémico (art. 53, apartado 2).
Un modelo GPAI se clasifica como de riesgo sistémico cuando presenta capacidades de gran impacto. Se presume que concurre tal circunstancia cuando la cantidad acumulada de cómputo utilizada en el entrenamiento supera las 1025 operaciones en coma flotante (FLOPs). Los criterios adicionales del Anexo XIII incluyen el número de parámetros, el tamaño del conjunto de datos de entrenamiento, las modalidades, el rendimiento en pruebas de referencia y una presunción de alcance de al menos 10 000 usuarios empresariales registrados en la UE. La Comisión también puede designar un modelo con arreglo a los criterios del Anexo XIII mediante decisión. Los proveedores deben notificar a la Oficina de IA en un plazo de dos semanas desde que cumplan (o prevean cumplir) el umbral de riesgo sistémico (artículo 52).
El principal instrumento de cumplimiento de las obligaciones relativas a los modelos GPAI es un conjunto de códigos de conducta elaborados conjuntamente por la Oficina de IA y los proveedores de modelos GPAI, los responsables del despliegue situados más abajo en la cadena y otras partes interesadas. La adhesión a un código de conducta crea una presunción de conformidad con las obligaciones correspondientes del Reglamento de IA. Los códigos debían estar listos el 2 de mayo de 2025, y las normas sobre modelos GPAI pasaron a ser aplicables el 2 de agosto de 2025. Los proveedores que no se adhieran a un código pueden acreditar el cumplimiento por otros medios. Entre los signatarios figuran OpenAI, Anthropic, Google DeepMind, Mistral, Meta y Microsoft.
Artículo 50, Capítulo IV: deberes de divulgación aplicables con independencia del nivel de riesgo
Los proveedores de sistemas de IA destinados a interactuar directamente con personas físicas deben asegurarse de que dichas personas sean informadas de que están interactuando con un sistema de IA, salvo que ello sea evidente por el contexto o que el sistema se utilice para detectar, prevenir, investigar o enjuiciar infracciones penales. La divulgación debe realizarse, a más tardar, en el momento de la primera interacción.
Los proveedores de sistemas de IA que generen audio, imágenes, vídeo o texto sintéticos deben garantizar que los resultados queden marcados en un formato legible por máquina como generados o manipulados artificialmente, mediante soluciones técnicas como la marca de agua. Esta obligación respalda la detección y divulgación posteriores por parte de los responsables del despliegue y las plataformas. La Comisión es responsable de especificar las normas técnicas. El plazo para la marca de agua fue objeto de una breve prórroga en virtud del Ómnibus Digital 2025/0359.
Los responsables del despliegue de sistemas de IA que operen sobre la base del reconocimiento de emociones o la categorización biométrica deben informar a las personas físicas expuestas a dichos sistemas sobre el funcionamiento del sistema. Esta obligación de divulgación se aplica incluso cuando el sistema queda fuera del nivel de alto riesgo, y con independencia del lugar en que se encuentre la persona respecto al responsable del despliegue.
Los responsables del despliegue que utilicen sistemas de IA para generar o manipular contenidos de imagen, audio o vídeo que constituyan un deepfake deben divulgar que el contenido ha sido generado o manipulado artificialmente. Se aplica una norma más flexible a las obras evidentemente artísticas, creativas, satíricas o de ficción, en las que la divulgación puede limitarse a evitar el engaño sobre la autenticidad. El texto generado por IA y publicado en interés público también debe divulgarse, salvo que el contenido haya sido sometido a revisión humana bajo responsabilidad editorial.
Capitulos VII y IX: la arquitectura de cinco organos de la Union mas las autoridades nacionales
Cada Estado miembro debe establecer al menos un espacio controlado de prueba en materia de IA, operativo antes del 2 de agosto de 2026, para facilitar el desarrollo, la prueba y la validacion de sistemas de IA innovadores en un entorno controlado antes de su comercializacion. Los espacios controlados deben ofrecer condiciones de acceso prioritario y simplificado para las pymes y las empresas emergentes. El Reglamento tambien prevé pruebas en condiciones reales de sistemas de IA fuera de los espacios controlados, bajo condiciones que garanticen una proteccion adecuada (articulos 58 a 60). La investigacion del EPRS (abril de 2026) identified design, fragmentation and timing challenges in Member State sandbox implementation.
Artículos 99 a 101: una estructura de multas en tres niveles basada en la gravedad y el tipo de agente
| Categoría de infracción | Base jurídica | Multa máxima | Notas |
|---|---|---|---|
| Prácticas prohibidas (Artículo 5) | Art 99(3) | EUR 35,000,000 o el 7% del volumen de negocios anual mundial | El importe que sea superior. El nivel de sanción más elevado refleja la gravedad de la conducta prohibida. |
| Otras obligaciones (proveedores, responsables del despliegue, importadores, distribuidores, organismos notificados, obligaciones de transparencia) | Art 99(4) | EUR 15,000,000 o el 3% del volumen de negocios anual mundial | Se aplica al conjunto de requisitos relativos a la IA de alto riesgo y a las obligaciones de los modelos de IA de uso general distintas del Art 5. |
| Información incorrecta, incompleta o engañosa facilitada a organismos notificados o autoridades nacionales competentes | Art 99(5) | EUR 7,500,000 o el 1% del volumen de negocios anual mundial | Abarca las declaraciones falsas, la documentación falsa y la obstaculización de las actividades de supervisión. |
| Pymes y empresas emergentes | Art 99(6) | El menor entre el porcentaje y el importe fijo | Proporcionalidad: para cada nivel, las pymes y las empresas emergentes abonan el importe que sea inferior entre el porcentaje del volumen de negocios y el límite fijo. |
| Proveedores de modelos de IA de uso general | Art 101 | EUR 15,000,000 o el 3% del volumen de negocios anual mundial | La Comisión puede sancionar directamente a los proveedores de modelos de IA de uso general. Aplicable a partir del 2 de agosto de 2025. |
| Instituciones, órganos y organismos de la Unión | Art 100 | EUR 1,500,000 (Art 5) o EUR 750,000 (otros) | Impuestas por el SEPD. El cálculo basado en el volumen de negocios no se aplica a los órganos de la Unión. |
En todos los casos, la sanción aplicable es el mayor entre el límite fijo y la cifra correspondiente al porcentaje del volumen de negocios, excepto para las pymes y las empresas emergentes (donde se aplica el menor). Las autoridades competentes deben tener en cuenta la naturaleza, la gravedad, la duración y los efectos de la infracción, el grado de responsabilidad de la persona afectada, así como las circunstancias atenuantes o agravantes. Las infracciones reiteradas en un plazo de cinco años elevan el límite máximo. El Comité Europeo de Protección de Datos también puede imponer multas a través del RGPD cuando el tratamiento de datos mediante IA afecte a datos personales.
Artículo 113 y considerando 179: una introducción gradual desde la entrada en vigor hasta la plena aplicación
Actualización (16 de junio de 2026): el Parlamento Europeo adoptó el ómnibus de simplificación del Reglamento de IA (2025/0359(COD)) en primera lectura el 16 de junio de 2026 por 423 votos a favor, 57 en contra y 174 abstenciones, tras el acuerdo interinstitucional provisional del 7 de mayo de 2026 (el Coreper avaló el acuerdo el 13 de mayo de 2026). El texto adoptado fija con carácter vinculante las nuevas fechas: una nueva prohibición en el artículo 5 de los sistemas de IA que generen imágenes íntimas no consensuadas y material de abuso sexual infantil (cumplimiento a más tardar el 2 de diciembre de 2026); marcado de agua del contenido generado por IA desde el 2 de diciembre de 2026; sistemas de alto riesgo autónomos (anexo III) desde el 2 de diciembre de 2027; y sistemas de alto riesgo integrados en productos regulados desde el 2 de agosto de 2028. La mayoría de las demás disposiciones del Reglamento de IA siguen aplicándose desde el 2 de agosto de 2026. Solo queda la adopción formal del Consejo; el texto vigente del Reglamento (UE) 2024/1689 permanece en vigor hasta que el acto modificativo sea publicado en el Diario Oficial. Ponentes conjuntos del PE (IMCO y LIBE): Arba Kokalari (PPE, Suecia) y Michael McNamara (Renew, Irlanda). Fuente: comunicado de prensa del PE 20260611IPR45207.
Términos esenciales del artículo 3 del Reglamento (UE) 2024/1689
Abreviaturas y organismos clave mencionados en el Reglamento (UE) 2024/1689
Documentación primaria del Reglamento (UE) 2024/1689
Seis herramientas para analizar, rastrear y trabajar con la regulación de inteligencia artificial de la UE
Prueba gratuita de 14 días. Sin tarjeta necesaria.
Iniciar prueba gratuita