La Ley de IA de la UE ha entrado en una fase decisiva. Su fecha de aplicación general era el 2 de agosto de 2026, incluidos los nuevos requisitos de transparencia, sin perjuicio de excepciones específicas y normas transitorias. La supervisión y el cumplimiento son competencia de la Oficina Europea de IA y de las autoridades nacionales competentes, respectivamente, mientras que determinados requisitos de alto riesgo tienen fechas de aplicación posteriores.
Sin embargo, el cumplimiento de la Ley de IA de la UE no se limita a publicar una política interna o a aprobar una lista de herramientas de IA. Las empresas deben comprender dónde se utiliza la inteligencia artificial, qué papel desempeñan en cada sistema y qué riesgos y responsabilidades se derivan de sus casos de uso.
A medida que la IA se extiende por los distintos departamentos, las plataformas SaaS y los proveedores externos, se hace necesario contar con visibilidad, una responsabilidad clara y controles prácticos. Es aquí donde la gobernanza de la IA cobra un carácter esencial.
¿Qué es la Ley de IA de la UE?
La Ley de IA de la UE, oficialmente Reglamento (UE) 2024/1689, establece un marco jurídico común para el desarrollo, la oferta y el uso de la inteligencia artificial en la Unión Europea.
Se aplica a las organizaciones públicas y privadas que operan en la UE, así como a determinadas organizaciones de fuera de la UE cuando comercializan sistemas de IA o modelos de IA de propósito general en el mercado europeo, o cuando los resultados generados por sus sistemas se utilizan en la UE.
El reglamento se basa en un enfoque basado en el riesgo:
- Quedan prohibidas determinadas prácticas que se consideran un riesgo inaceptable, como el uso de la inteligencia artificial para inferir emociones en el ámbito laboral o en centros educativos, salvo cuando se haga con fines médicos o de seguridad.
- Los sistemas de alto riesgo están sujetos a requisitos más estrictos
- Algunos sistemas interactivos y generativos deben cumplir con las obligaciones de transparencia
- Las aplicaciones de riesgo mínimo pueden, por lo general, seguir utilizándose sin requisitos adicionales en virtud de la Ley de IA.
Las responsabilidades de cada organización dependen en gran medida de su función específica. En virtud de este reglamento, se establece una distinción clara entre los proveedores que desarrollan o comercializan sistemas de inteligencia artificial, los responsables de su puesta en servicio que los utilizan bajo su autoridad, y los importadores y distribuidores que participan en su comercialización en el mercado europeo.
El sistema Orientaciones oficiales de la Comisión Europea sobre la Ley de IA explica estas funciones y categorías de riesgo con mayor detalle.
¿Qué ha cambiado en lo relativo al cumplimiento de la Ley de IA de la UE en agosto de 2026?
Aunque algunas obligaciones ya habían entrado en vigor, el 2 de agosto de 2026 marcó la fecha de entrada en vigor general de la Ley de la UE sobre la IA.
A partir de esta fecha:
- Las obligaciones de transparencia previstas en el artículo 50 se aplican a determinados sistemas de IA interactivos y generativos
- La Oficina Europea de Inteligencia Artificial y las autoridades nacionales pueden supervisar y velar por el cumplimiento de la mayoría de las disposiciones
- Los proveedores deben informar a los usuarios cuando estos interactúen directamente con determinados sistemas de inteligencia artificial.
- Los proveedores de sistemas de inteligencia artificial que generen audio, imágenes, vídeo o texto sintéticos deben garantizar que los resultados afectados estén identificados en un formato legible por máquina y puedan detectarse como generados o manipulados artificialmente, sin perjuicio de las excepciones aplicables.
- Las entidades que implementen estas tecnologías deben informar sobre determinados «deepfakes», usos relacionados con la biometría o el reconocimiento de emociones, así como sobre textos generados por IA que se refieran a asuntos de interés público.
Estas normas de transparencia no implican que todo contenido empresarial elaborado con ayuda de la IA deba ir etiquetado. En el caso de los textos generados por IA que se publiquen para informar al público sobre asuntos de interés público, puede aplicarse una exención de la obligación de divulgación cuando el texto sea sometido a una revisión humana sustantiva o a un control editorial y una persona u organización asuma la responsabilidad editorial. Una simple revisión ortográfica o gramatical no es suficiente. Esta exención no se extiende automáticamente a los «deepfakes» ni a otras obligaciones de transparencia.
La Comisión Directrices del artículo 50 explicar los requisitos y las excepciones aplicables. Su Código de buenas prácticas sobre la transparencia del contenido generado por IA ofrece un marco voluntario para demostrar el cumplimiento de determinadas obligaciones en materia de marcado y etiquetado.
La aplicación sigue siendo gradual. Los proveedores de sistemas de IA generativa comercializados antes del 2 de agosto de 2026 tienen hasta el 2 de diciembre de 2026 para cumplir los requisitos técnicos de marcado y detección establecidos en el artículo 50, apartado 2. Este plazo transitorio no aplaza las demás obligaciones en materia de transparencia.
A raíz de las modificaciones del Reglamento ómnibus sobre IA que entraron en vigor en julio de 2026, los requisitos relativos a los casos de uso de alto riesgo enumerados en el anexo III, incluidas determinadas aplicaciones en los ámbitos del empleo, la educación y los servicios esenciales, serán de aplicación a partir del 2 de diciembre de 2027. Los requisitos para los sistemas de alto riesgo contemplados en el artículo 6, apartado 1, que afectan a determinados productos regulados, se aplicarán a partir del 2 de agosto de 2028. Las fechas actualizadas están disponibles en el Calendario oficial de la Ley de IA de la Comisión Europea.
¿Qué exige la Ley de IA de la UE a las empresas?
No existe una lista de verificación universal para el cumplimiento de la Ley de IA de la UE que se aplique de la misma manera a todas las empresas. Las responsabilidades dependen de:
- La finalidad prevista del sistema de inteligencia artificial
- Su clasificación de riesgo
- Cómo y dónde se utiliza
- El papel de la organización
- Si el sistema ha sido modificado o se le ha dado un nuevo uso
Una empresa que utilice una plataforma de IA de un tercero actuará, por lo general, como «implementador», mientras que el proveedor de la tecnología será normalmente el «proveedor». Sin embargo, una empresa que desarrolle o encargue un sistema de IA y lo comercialice o lo ponga en servicio bajo su propio nombre puede ser ella misma un «proveedor».
El artículo 25 establece asimismo circunstancias específicas en las que las responsabilidades del proveedor se transfieren a otra parte: el cambio de marca de un sistema de alto riesgo, su modificación sustancial mientras siga siendo de alto riesgo o el cambio de la finalidad prevista de un sistema existente de tal forma que pase a ser de alto riesgo. Cada situación requiere una evaluación del sistema, de su finalidad prevista y del papel real de la empresa.
Por lo tanto, las organizaciones deberían empezar por identificar sus sistemas de IA y sus casos de uso empresarial. Esta evaluación debería incluir no solo las herramientas adquiridas específicamente como soluciones de IA, sino también las funciones de IA integradas en plataformas SaaS, aplicaciones empresariales, flujos de trabajo automatizados y servicios prestados por socios externos.
En función del sistema y del puesto que se ocupe en la empresa, la preparación puede incluir:
- Elaboración de un inventario de sistemas de IA y casos de uso
- Identificación de proveedores, responsables de la implantación y otras partes implicadas
- Evaluación del nivel de riesgo aplicable
- Revisión de la documentación y las medidas de seguridad de los proveedores
- Definición de las medidas de supervisión humana y transparencia
- Establecimiento de responsabilidades con los proveedores y socios
- Mantenimiento de registros para revisiones internas y reglamentarias
- Fomentar una alfabetización adecuada en materia de inteligencia artificial
El sistema Obligación de formación en inteligencia artificial es de aplicación desde el 2 de febrero de 2025. A raíz de las modificaciones introducidas en el artículo 4, los proveedores y los responsables de la implantación deben adoptar medidas para fomentar el desarrollo de la alfabetización en IA entre su personal y otras personas que utilicen sistemas de IA en su nombre, teniendo en cuenta sus conocimientos, su experiencia y el contexto de uso. No están obligados a garantizar un nivel específico de alfabetización en IA para cada persona. Asimismo, cuando proceda, deberán tenerse en cuenta requisitos específicos de formación y competencia para la supervisión humana de los sistemas de alto riesgo.
El reglamento no impone automáticamente las mismas obligaciones a todos los proveedores. No obstante, el cumplimiento de la Ley de IA de la UE requiere una coordinación a lo largo de toda la cadena de valor de la IA, de modo que cada parte pueda acceder a la información y la documentación necesarias para cumplir con sus responsabilidades.
Por qué no basta con una política sobre IA por escrito
Una política interna puede establecer qué herramientas pueden utilizar los empleados y qué información no deben compartir. Sin embargo, por sí sola no puede impedir que alguien utilice una cuenta personal, suba información confidencial o conecte una aplicación de IA no autorizada a los sistemas de la empresa.
Samsung se enfrentó a este problema en 2023 tras descubrir que un empleado había subido código fuente confidencial a ChatGPT. Posteriormente, la empresa restringió el uso de ChatGPT y otras herramientas similares en los dispositivos corporativos, mientras trabajaba en la creación de un entorno más seguro para la IA generativa. Reuters informó sobre el incidente y la respuesta de Samsung.
Este caso demuestra que la información corporativa puede quedar expuesta sin que se produzca un ciberataque convencional. Es posible que los empleados simplemente estén intentando realizar su trabajo de forma más eficiente, pero el uso de un canal no autorizado puede suponer, aun así, riesgos para la seguridad, la confidencialidad y el cumplimiento normativo.
Este reto se está volviendo cada vez más complejo a medida que la inteligencia artificial se integra en las aplicaciones cotidianas y los agentes autónomos acceden a los sistemas empresariales. Las organizaciones necesitan algo más que una lista de herramientas autorizadas: necesitan saber qué modelos se están utilizando, qué información procesan y qué acciones están autorizados a realizar.
Cómo la gobernanza de la IA contribuye al cumplimiento de la Ley de IA de la UE
La gobernanza de la IA es el marco mediante el cual una organización gestiona la adopción y el funcionamiento responsables de la inteligencia artificial. Aúna personas, políticas, procesos y controles técnicos para armonizar el uso de la IA con los requisitos normativos, las normas de seguridad y los objetivos empresariales.
Un marco eficaz de gobernanza de la IA puede ayudar a las empresas a:
- Mantener la visibilidad sobre los sistemas de IA y sus casos de uso
- Asignar claramente las responsabilidades y la rendición de cuentas
- Clasificar y supervisar los riesgos relacionados con la inteligencia artificial
- Establecer procesos de aprobación para nuevas iniciativas
- Aplicar las políticas de protección de datos y seguridad
- Definir qué se entiende por «supervisión humana adecuada»
- Controlar el acceso a los modelos, los agentes y los sistemas corporativos
- Mantener la trazabilidad para las revisiones y auditorías internas
- Fomentar la adopción responsable de la IA en toda la organización
La gobernanza de la IA no garantiza automáticamente el cumplimiento de todas las disposiciones de la Ley de la UE sobre la IA. Las obligaciones legales deben evaluarse en función de cada organización y cada caso de uso. No obstante, proporciona la base operativa necesaria para identificar los riesgos, aplicar controles proporcionados sobre los riesgos de la IA y demostrar cómo se gestionan dichos riesgos.
Cómo Code10 pone en práctica la gobernanza de la IA
Code10 ya está ayudando a las empresas a desarrollar modelos de gobernanza de la IA adaptados a sus casos de uso, su panorama tecnológico y sus prioridades.
Nuestro enfoque combina un marco de gobernanza con una plataforma técnica que centraliza el acceso a los modelos de IA, aplica roles, permisos y medidas de control, protege la información corporativa y ofrece visibilidad sobre cómo se utiliza la IA en toda la organización.
Esto permite a las empresas ir más allá de las políticas aisladas y establecer controles prácticos para la gestión de modelos, usuarios, agentes y datos. Además, favorece una mayor trazabilidad, responsabilidad y preparación ante los requisitos normativos, sin limitar innecesariamente el acceso a la IA ni frenar la innovación.
Cada organización parte de un nivel diferente de adopción y exposición. Code10 ayuda a las empresas a evaluar su ecosistema actual de IA, identificar las deficiencias en los controles y sentar unas bases escalables para un uso seguro y responsable de la inteligencia artificial.
Aviso legal: Este contenido se ofrece con fines informativos y no constituye asesoramiento jurídico.
