El Reglamento de IA y sus Obligaciones Legales Vigentes: ¿Qué te exige según tu rol?
Resumen de la sesión
En este webinar repasamos qué exige hoy el Reglamento (UE) 2024/1689 a cada organización en función del papel que desempeña frente a un sistema de IA. Partimos del ámbito de aplicación, identificamos los roles que define el Reglamento, revisamos el calendario de aplicación y bajamos a lo práctico: qué documentación y qué estructura de gobernanza permiten demostrar el cumplimiento.
01Lo que cuenta es dónde produce efectos el sistema, no dónde está la sede. Una empresa sin presencia en la UE queda sujeta si su IA impacta en personas de la UE. Y un responsable del despliegue establecido en la UE queda sujeto aunque el impacto se produzca fuera.
02Antes de hablar de obligaciones, hay que saber qué rol se ocupa. La misma tecnología genera obligaciones muy distintas según se cree, se use, se importe o se distribuya, y una misma empresa puede tener varios roles a la vez frente a un mismo sistema.
03No hace falta programar para ser proveedor. Encargar el desarrollo de una IA o adaptar sustancialmente una de terceros y comercializarla con marca propia convierte a la organización en proveedora.
04El Reglamento ya se aplica directamente. Las prácticas prohibidas y la alfabetización en IA están en vigor desde febrero de 2025. Desde agosto de 2026 rigen como base legal la transparencia y el régimen de alto riesgo.
Los roles del Reglamento
Proveedor
- Desarrolla o encarga un sistema de IA y lo comercializa con su nombre o marca.
- Alto riesgo: gestión de riesgos, gobernanza de datos, documentación técnica, registros, supervisión humana, exactitud y ciberseguridad (arts. 9–15).
Responsable del despliegue
- Usa un sistema de IA bajo su autoridad en un contexto profesional.
- Alfabetización en IA (art. 4), uso conforme a instrucciones, supervisión humana, conservación de logs mínimo 6 meses (art. 26).
Importador
- Introduce en la UE un sistema de un proveedor de fuera de la UE.
- Verificar la evaluación de conformidad y el marcado CE, identificarse y conservar la documentación 10 años (art. 23).
Distribuidor
- Comercializa el sistema dentro de la UE sin ser proveedor ni importador.
- Verificar el marcado CE y la documentación, no comercializar si hay dudas y adoptar medidas correctoras (art. 24).
Base legal: arts. 3.3 a 3.8, 23, 24, 25 y 26 del Reglamento (UE) 2024/1689.
Cronograma de aplicación
| Fecha | Qué entra en aplicación | Estado |
|---|---|---|
| 1 ago 2024 | Entrada en vigor | En aplicación |
| 2 feb 2025 | Prácticas prohibidas (art. 5) y alfabetización en IA (art. 4) | En aplicación |
| 2 ago 2025 | Modelos de uso general (GPAI) y gobernanza | En aplicación |
| 2 ago 2026 | Transparencia (art. 50) y alto riesgo del Anexo III | Base legal |
| 2 dic 2026 | Marcado de contenido generado por IA | Provisional |
| 2 dic 2027 | Alto riesgo autónomo del Anexo III (nueva fecha) | Provisional |
| 2 ago 2028 | Alto riesgo integrado en productos regulados, Anexo I | Provisional |
Fechas «provisionales» según el acuerdo de aplazamiento expuesto en la sesión, pendientes de confirmación definitiva.
Gobernanza: cómo demostrar el cumplimiento
La sesión presentó un mapa documental jerarquizado, no un conjunto de piezas sueltas. Primero, cuestionarios de rol y de riesgo para clasificar cada sistema. Después, un marco de gobernanza con política de uso. Por último, registros operativos: inventario de casos de uso, análisis de riesgos, compromiso individual del personal, manual de transparencia y cláusula contractual con proveedores. Todo ello bajo un comité de gobernanza que deja constancia en acta de que el sistema sigue vivo en el tiempo.
Qué está en juego
Pero la sanción es solo la parte visible. Los riesgos más inmediatos son tres: el contractual (cláusulas de cumplimiento del Reglamento en contratos B2B), la exclusión de licitaciones y grandes cuentas, y el daño reputacional ante un sesgo o un deepfake sin etiquetar.
Autodiagnóstico rápido
- ¿Sabemos qué rol (o roles) desempeñamos frente a cada sistema de IA?
- ¿Tenemos un inventario de los sistemas de IA de la organización?
- ¿Nuestro personal ha recibido alfabetización en IA acorde a su puesto?
- ¿Hay alguien con autoridad real para detener un sistema si falla?
- ¿Sabemos si alguno de nuestros sistemas es de alto riesgo?
- ¿Tenemos documentación que podríamos mostrar si un cliente la pide?
- ¿Informamos cuando alguien interactúa con un chatbot o con contenido generado por IA?
Las diez preguntas completas están en la presentación descargable.
