Reglamento Europeo de IA (AI Act) en España

Reglamento Europeo de IA (AI Act) en España: obligaciones y plazos explicados por RZS

Reglamento Europeo de IA (AI Act) en España. El AI Act ya es una realidad en la Unión Europea y entra en aplicación de forma escalonada. Para las empresas que operan en España, la clave es integrar las exigencias del Reglamento con el marco de protección de datos y con la supervisión de autoridades nacionales como la AESIA y la AEPD. En este artículo resumimos qué exige la norma, a quién alcanza y cómo planificar el cumplimiento sin frenar el negocio.

Qué regula el AI Act y a quién afecta

El Reglamento clasifica los sistemas de IA por niveles de riesgo y reparte responsabilidades entre proveedores (quien desarrolla o pone en el mercado) y usuarios/desplegadores (quien integra o utiliza la IA). Hay prácticas prohibidas que no pueden utilizarse en la UE; los sistemas de alto riesgo exigen una capa fuerte de gestión de riesgos, calidad de datos, documentación, trazabilidad y supervisión humana; y los usos de riesgo limitado incorporan obligaciones de transparencia (informar al usuario de que interactúa con IA o de que un contenido es sintético).

Los modelos de propósito general (GPAI) tienen obligaciones específicas —documentación, seguridad, gestión de derechos— que se intensifican si el modelo presenta riesgo sistémico.

En España, la AESIA asume un papel operativo en la supervisión del uso seguro de la IA y la AEPD mantiene sus competencias cuando existe tratamiento de datos personales.

Categorías y obligaciones esenciales

Prácticas prohibidas
Determinados usos que vulneran derechos fundamentales quedan fuera del mercado europeo.

Sistemas de alto riesgo
Se aplican requisitos sobre gestión de riesgos, calidad y gobernanza del dato, documentación técnica y de uso, supervisión humana, ciberseguridad y registros. Para el usuario/desplegador en España, la carga se centra en operar conforme a las instrucciones del proveedor, garantizar la supervisión humana, mantener registros y evaluar impactos cuando proceda.

Riesgo limitado (transparencia)
Obligación de informar al usuario final de que interactúa con una IA o de que el contenido es generado/sintético cuando esa información sea relevante.

GPAI y GPAI de riesgo sistémico
Deberes de documentación y seguridad, y medidas reforzadas cuando el modelo, por su escala e impacto, pueda generar riesgos sistémicos.

Calendario de aplicación: cómo organizarse

El AI Act se publicó en 2024 y la aplicación es progresiva durante los años siguientes. Existen hitos intermedios que activan obligaciones concretas (por ejemplo, prohibiciones antes que requisitos plenos de alto riesgo) y la mayor parte de las obligaciones generales se consolidan en el entorno de 2026. Entre tanto, la UE va publicando directrices, normas complementarias y esquemas de evaluación.

En el plano nacional, la AEPD ha recordado su capacidad para actuar frente a usos prohibidos que traten datos personales; y AESIA va desplegando estructura y procedimientos para la supervisión y coordinación.

Implicaciones prácticas para empresas en España

Gobernanza y registros
Conviene disponer de un inventario de sistemas y casos de uso, clasificación por riesgo, políticas internas, roles y responsabilidades. Es imprescindible conservar evidencias: documentación del sistema, pruebas y resultados, registros de supervisión humana y logs de funcionamiento.

Transparencia y experiencia de usuario
Etiquetado de interacciones con IA, avisos sobre contenidos generados y canales de intervención humana cuando el sistema puede afectar de forma significativa a los usuarios.

Contratación con proveedores
Los contratos deben reflejar las obligaciones del AI Act: información técnica suficiente, instrucciones de uso, seguridad, actualizaciones y soporte; además de RGPD, transferencias internacionales, propiedad y uso de datos, y condiciones de salida y portabilidad. Si se utilizan GPAI de terceros, hay que revisar las obligaciones de documentación y derechos de autor.

Coordinación regulatoria
Prepararse para requerimientos de AESIA y, cuando haya datos personales, de AEPD. La documentación debe ser coherente y accesible para responder a auditorías y solicitudes de información.

Ruta de cumplimiento recomendada por RZS

Diagnóstico y priorización
Identifica sistemas activos y en proyecto, finalidades, datos y proveedores. Clasifica por riesgo y prioriza acciones por impacto y exposición regulatoria.

Marco de gobernanza
Define política de IA, proceso de aprobación de casos de uso, controles mínimos por categoría de riesgo, revisiones periódicas y protocolos de retirada. Establece métricas de desempeño, sesgo y robustez.

Evidencias y contratos
Crea un dossier por sistema con pruebas de diseño y funcionamiento, manuales de uso y límites, registros de supervisión humana y decisiones. Revisa las cláusulas con proveedores, incluidas las relativas a GPAI y propiedad intelectual.

Operación segura
Implementa etiquetado y avisos en la interfaz, forma a los equipos, verifica outputs en usos sensibles y establece un mecanismo de escalado. Prevé un plan de respuesta a incidentes con canales para notificar cuando sea necesario.

Hitos y calendario
Alinea la hoja de ruta interna con los plazos del Reglamento. Programa revisiones trimestrales para incorporar nuevas guías o estándares técnicos.

Documentación mínima que conviene tener lista

Política de IA y procedimiento de aprobaciones; inventario y matriz de riesgos; fichas de cada sistema con propósito, datos, proveedores y controles; registros de pruebas y métricas; guías de supervisión humana; contratos y anexos técnicos; materiales de transparencia para usuarios; plan de respuesta a incidentes y calendario de auditorías.

Ideas equivocadas a evitar

No solo los proveedores están obligados; los usuarios/desplegadores también asumen deberes operativos. Tampoco basta con el RGPD: el AI Act exige controles de robustez, pruebas y documentación técnica que van más allá de la privacidad. Retrasar la adaptación esperando cambios regulatorios incrementa el coste y el riesgo de fricción comercial y sanciones.

Conclusión

El AI Act ordena el despliegue de la IA en Europa con una lógica de riesgo y un calendario preciso. La estrategia eficaz para las empresas en España combina buen gobierno del dato, controles de producto y contratos sólidos, respaldados por documentación que resista auditorías de clientes y autoridades. Empezar ahora, con foco en lo esencial y proporcional al riesgo, ahorra costes y mejora la confianza.