Ley de IA de la UE: qué se aplica ahora y qué se pospone.

El Reglamento (UE) 2024/1689 , relativo a la IA en la UE, se ha aplicado por fases desde su entrada en vigor el 1 de agosto de 2024: las prohibiciones, las normas para los modelos de IA de uso general y las obligaciones de transparencia para los chatbots y el contenido generado por IA ya están en vigor. El régimen más estricto, para la IA de alto riesgo, se ha aplazado hasta el 2 de diciembre de 2027 para los sistemas enumerados en el Anexo III y hasta el 2 de agosto de 2028 para la IA en productos regulados.

El Reglamento (UE) 2026/1744, relativo a la inteligencia artificial, se publicó en el Diario Oficial en julio de 2026 y ya está en vigor. Por lo tanto, las fechas aplazadas constituyen ley vigente, no una mera previsión.

¿Qué es la Ley de IA de la UE?

La Ley de IA es una normativa europea basada en el riesgo: cuanto mayor sea el riesgo que suponga un sistema de IA, mayores serán las obligaciones. Se aplica directamente en los Países Bajos, sin necesidad de legislación de transposición neerlandesa para las normas fundamentales.

La ley define un sistema de IA de forma amplia, en consonancia con el enfoque de la OCDE. Se trata de un sistema basado en máquinas que opera con cierto grado de autonomía, puede adaptarse tras su implementación y, a partir de la información que recibe, infiere cómo generar resultados como predicciones, contenido, recomendaciones o decisiones que pueden influir en entornos físicos o virtuales. El software simple basado en reglas que solo sigue instrucciones escritas por personas generalmente queda fuera de esta definición.

¿La Ley de IA se aplica a su organización?

Probablemente, si desarrolla, vende o utiliza sistemas de IA en un contexto profesional en la UE. La ley también afecta a las empresas fuera de la UE cuando su sistema se comercializa en el mercado de la UE o sus resultados se utilizan en la UE.

Por lo tanto, una empresa estadounidense o británica que preste servicios a clientes europeos puede estar sujeta a su ámbito de aplicación. La ley distingue varios roles, cada uno con sus propias obligaciones:

• Los proveedores desarrollan un sistema de IA o un modelo de IA de propósito general y lo comercializan o lo ponen en servicio bajo su propio nombre o marca registrada. Son quienes asumen las mayores obligaciones.
• Los responsables de la implementación utilizan un sistema de IA bajo su autoridad en un contexto profesional; por ejemplo, un empleador que utiliza una herramienta de IA para evaluar a los candidatos a un puesto de trabajo. El uso puramente personal y no profesional queda fuera de estas obligaciones.
• Los importadores y distribuidores introducen un sistema de terceros en el mercado de la UE o lo ponen a disposición más adelante en la cadena de suministro, y deben comprobar que el proveedor ha cumplido con sus obligaciones.
• Los fabricantes de productos y, en algunos casos, los representantes autorizados de proveedores no pertenecientes a la UE pueden asumir las obligaciones de los proveedores.

Tu rol puede cambiar. Un implementador que modifica sustancialmente un sistema de alto riesgo, o que lo comercializa bajo su propia marca, se convierte en proveedor y asume responsabilidades más estrictas. Verifica esto antes de personalizar un sistema adquirido a un proveedor.

¿Cómo clasifica la Ley de IA el riesgo?

La ley contempla cuatro niveles de riesgo: prácticas prohibidas, riesgo alto, riesgo limitado con obligaciones de transparencia y riesgo mínimo. El nivel depende del propósito del sistema, no de la tecnología subyacente.

Prácticas prohibidas

Algunos usos están prohibidos directamente en virtud del artículo 5, y dichas prohibiciones están vigentes desde el 2 de febrero de 2025. Entre ellos se incluyen las técnicas manipuladoras o engañosas que distorsionan sustancialmente el comportamiento y causan daños significativos, así como la explotación de vulnerabilidades relacionadas con la edad, la discapacidad o la situación socioeconómica. También están prohibidas la puntuación social, la extracción indiscriminada de imágenes faciales para crear bases de datos de reconocimiento, el reconocimiento de emociones en el ámbito laboral y educativo (salvo por motivos médicos o de seguridad), y la categorización biométrica que infiere características sensibles como la religión o la orientación sexual.

Se prohíbe la identificación biométrica remota en tiempo real en espacios públicos para las fuerzas del orden, salvo contadas excepciones con salvaguardias. La Ley Ómnibus de IA añade una nueva prohibición a los sistemas de IA que generen material de abuso sexual infantil o imágenes íntimas no consentidas de personas identificables.

Alto riesgo

Los sistemas de alto riesgo están permitidos, pero estrictamente regulados. Existen dos grupos. El Anexo I abarca la IA que constituye un componente de seguridad o que es, en sí misma, un producto ya regulado por la legislación de la UE, como dispositivos médicos, maquinaria, ascensores y juguetes. El Anexo III enumera los usos independientes en áreas sensibles: biometría, infraestructuras críticas, educación, empleo y gestión de trabajadores, acceso a servicios públicos y privados esenciales como crédito y seguros, aplicación de la ley, migración y control de fronteras, y administración de justicia y procesos democráticos.

Un sistema incluido en el Anexo III no se considera de alto riesgo si solo realiza una tarea procedimental o preparatoria específica y no influye de manera sustancial en el resultado de una decisión. Esta excepción es estricta, y el proveedor que se acoja a ella debe documentar su evaluación.

Riesgo limitado: transparencia

Algunos sistemas no son de alto riesgo, pero pueden inducir a error. Están sujetos a obligaciones de transparencia según el artículo 50. Se debe informar a las personas cuando interactúan con un chatbot, se debe revelar y marcar el contenido generado o manipulado por IA, y se debe informar a las personas cuando se exponen al reconocimiento de emociones o a la categorización biométrica permitidos.

Riesgo mínimo

La mayoría de las IA, como los filtros de spam, los sistemas de recomendación y la IA en los videojuegos, entran en esta categoría. La ley no impone obligaciones específicas al respecto, aunque se fomentan los códigos de conducta voluntarios, y el deber general de alfabetización en IA establecido en el artículo 4 sigue vigente.

¿Cuándo se aplican las obligaciones?

La ley se aplica por fases. Las prohibiciones, la obligación de alfabetización en IA, las normas para la IA de propósito general y las obligaciones de transparencia ya están en vigor; las normas para situaciones de alto riesgo entrarán en vigor en diciembre de 2027 y agosto de 2028.

Desde el 2 de agosto de 2026, las obligaciones de transparencia se aplican en su totalidad; solo los sistemas de IA generativa que ya estaban en el mercado antes de esa fecha tienen hasta el 2 de diciembre de 2026 para el marcado legible por máquina. El plazo adicional para la IA de alto riesgo es una prórroga, no una exención: la elaboración de un expediente técnico, la gestión de riesgos y la supervisión humana requieren meses.

¿Qué deben hacer los proveedores, los instaladores y los importadores?

Los proveedores de sistemas de alto riesgo son los principales responsables y deben demostrar su conformidad antes de que el sistema salga al mercado. Los implementadores deben utilizar el sistema correctamente, supervisarlo e informar a las personas afectadas.

Los proveedores de sistemas de alto riesgo deben establecer un sistema de gestión de riesgos que abarque todo el ciclo de vida, aplicar la gobernanza de datos, mantener la documentación técnica, incorporar el registro automático y la supervisión humana, y lograr la precisión, la robustez y la ciberseguridad adecuadas. Antes del lanzamiento al mercado, completan la evaluación de conformidad, la declaración de conformidad de la UE, el marcado CE y el registro en la base de datos de la UE, y posteriormente supervisan el sistema e informan sobre incidentes graves.

Quienes implementan sistemas de alto riesgo deben utilizarlos de acuerdo con las instrucciones del proveedor, asignar la supervisión humana a personal competente, asegurarse de que los datos introducidos sean relevantes, monitorizar su funcionamiento y mantener registros. En caso necesario, deben informar a las personas afectadas. Los organismos públicos y ciertos operadores privados, por ejemplo, en la calificación crediticia y la fijación de precios de seguros, deben realizar una evaluación del impacto en los derechos fundamentales. Los empleadores deben informar a los trabajadores y a sus representantes antes de poner en funcionamiento un sistema de alto riesgo en el lugar de trabajo.

La obligación de alfabetización en IA, contemplada en el artículo 4, se aplica a todos los proveedores y operadores. La Ley Ómnibus de IA ha suavizado la redacción: ahora las organizaciones deben adoptar medidas para fomentar un nivel suficiente de alfabetización en IA entre su personal. Se mantiene la expectativa de que quienes trabajan con IA comprendan su funcionamiento y sus posibles fallos.

¿Qué se aplica a los modelos de IA de propósito general?

Los proveedores de modelos de IA de propósito general (GPAI, por sus siglas en inglés) tienen sus propias obligaciones desde el 2 de agosto de 2025. Los modelos con riesgo sistémico se enfrentan a obligaciones adicionales.

Según los artículos 53 a 55, todos los proveedores de IA de propósito general deben mantener documentación técnica, publicar un resumen suficientemente detallado del contenido utilizado para el entrenamiento, contar con una política para cumplir con la legislación de derechos de autor de la UE y proporcionar información a las empresas que desarrollan modelos basados ​​en ellos. Los proveedores de modelos con riesgo sistémico también deben evaluar sus modelos, incluyendo pruebas adversarias, evaluar y mitigar los riesgos sistémicos, realizar un seguimiento e informar sobre incidentes graves y garantizar una sólida ciberseguridad. Seguir el Código de Buenas Prácticas oficial para la IA de propósito general es una forma reconocida de demostrar el cumplimiento. La Oficina de IA de la Comisión Europea supervisa directamente a estos proveedores.

¿Qué obligaciones de transparencia se aplican ahora?

Desde el 2 de agosto de 2026, el artículo 50 exige que las personas sepan cuándo están tratando con inteligencia artificial. Esto se aplica a los chatbots, el contenido generado por IA y los deepfakes, así como al reconocimiento de emociones y la categorización biométrica.

Los proveedores de chatbots y agentes conversacionales deben dejar claro que el usuario está interactuando con una máquina, a menos que sea obvio. Los proveedores de sistemas que generan audio, imágenes, vídeo o texto sintéticos deben marcar la salida en un formato legible por máquina para que pueda detectarse como artificial. Quienes publiquen deepfakes deben revelar que el contenido fue generado o manipulado artificialmente, y quienes publiquen texto generado por IA sobre asuntos de interés público deben revelarlo a menos que una persona lo haya revisado y tenga responsabilidad editorial. Quienes implementen el reconocimiento de emociones o la categorización biométrica permitidos deben informar a las personas expuestas.

¿Cuáles son las multas previstas en la Ley de IA?

Las multas dependen del tipo de infracción y se establecen en el artículo 99. Para cada categoría, se aplica el mayor de los siguientes importes: el importe fijo y el porcentaje de facturación.

• Prácticas prohibidas (Artículo 5): hasta 35 millones de euros o el 7 % de la facturación anual mundial, lo que sea mayor.
• Incumplimientos de la mayoría de las demás obligaciones, incluidos los requisitos de alto riesgo y los deberes de transparencia: hasta 15 millones de euros o el 3 % de la facturación anual mundial.
• Suministrar información incorrecta, incompleta o engañosa a organismos o autoridades notificadas: hasta 7.5 millones de euros o el 1 % de la facturación anual mundial.

Para las pymes y las empresas emergentes, la multa está limitada al menor de los siguientes importes: una cantidad fija o un porcentaje. La Ley Ómnibus de IA extiende algunas de estas medidas de alivio a las pequeñas y medianas empresas. Las multas no son el único instrumento: las autoridades de vigilancia del mercado pueden exigir medidas correctivas, restringir o prohibir la disponibilidad de un sistema y ordenar su retirada o recuperación.

¿Qué relación existe entre la Ley de IA, el RGPD y la Ley de Seguridad Cibernética?

La Ley de IA se suma a la legislación vigente. Si su sistema de IA procesa datos personales, se aplica íntegramente el RGPD, y si presta servicios esenciales o importantes, también se aplica la legislación neerlandesa sobre ciberseguridad.

Según el RGPD, se requiere una base jurídica, se debe respetar la limitación de la finalidad y los derechos del interesado, y a menudo es necesario realizar una evaluación de impacto relativa a la protección de datos (EIPD). La evaluación de impacto relativa a los derechos fundamentales, según la Ley de IA, y la EIPD se solapan, por lo que resulta eficiente realizarlas conjuntamente.

La Ley de Ciberseguridad (Cyberbeveiligingswet), que implementa la Directiva NIS2 de la UE, está vigente en los Países Bajos desde el 15 de agosto de 2026. Esta ley añade obligaciones en materia de gestión de riesgos e informes de incidentes para entidades esenciales e importantes, lo que refuerza los requisitos de la Ley de IA en materia de solidez y seguridad.

¿Quién se encarga de hacer cumplir la Ley de IA en los Países Bajos?

Los modelos de IA de propósito general son supervisados ​​por la Oficina de IA en Bruselas; el resto de la normativa está a cargo de las autoridades nacionales de vigilancia del mercado. En los Países Bajos, la ley que designa a dichas autoridades aún se encuentra en trámite legislativo.

A nivel de la UE, la Oficina de IA de la Comisión Europea supervisa directamente los modelos de IA de propósito general y colabora con el Consejo Europeo de Inteligencia Artificial. La Ley Ómnibus de IA amplió sus competencias a los sistemas de IA basados ​​en el modelo de IA de propósito general (GPAI) propio del proveedor y a la IA en grandes plataformas en línea y motores de búsqueda.

La Ley de IA se aplica directamente, por lo que las empresas ya están sujetas a las partes que les corresponden. Sin embargo, la ley neerlandesa que designa a los supervisores y sus competencias aún no ha entrado en vigor, y la asignación final todavía puede cambiar. El modelo propuesto hasta ahora es híbrido. Los reguladores sectoriales existentes se convierten en autoridades de vigilancia del mercado en sus respectivos ámbitos, de modo que la IA en el sector sanitario corresponde a la inspección sanitaria y la IA en el ámbito laboral a la inspección laboral. La Autoridad Neerlandesa de Protección de Datos (Autoriteit Persoonsgegevens, AP) y la Autoridad Neerlandesa de Infraestructura Digital (Rijksinspectie Digitale Infrastructuur, RDI) desempeñan funciones de coordinación, actuando la AP como supervisora ​​residual para los sistemas de alto riesgo que no cuentan con un regulador sectorial claro.

¿Qué ideas erróneas debes evitar?

Cuatro malentendidos suelen llevar a las organizaciones a invertir esfuerzos en el lugar equivocado.

La primera idea errónea es que una firma humana elimina la etiqueta de alto riesgo. Esto no es cierto. La excepción para tareas preparatorias o procedimentales específicas está muy bien definida. Una herramienta que clasifica a los solicitantes de empleo o selecciona archivos para una revisión más exhaustiva influye en la decisión, incluso si una persona la aprueba. Un simple sello no constituye una supervisión humana y no exime al sistema del Anexo III.

En segundo lugar, solo los desarrolladores están regulados. Las obligaciones del implementador son reales y exigibles contra la organización que utiliza el sistema. Varias de ellas, como informar a los trabajadores y sus representantes, asignar una supervisión competente y mantener registros, no pueden transferirse al proveedor.

En tercer lugar, todo lo que ya esté en uso está exento. Según el artículo 111, los sistemas de alto riesgo comercializados antes de la entrada en vigor de las normas solo se ven afectados si su diseño cambia significativamente con posterioridad. Esta excepción es más restrictiva de lo que parece: las actualizaciones, la capacitación y los nuevos usos son precisamente el tipo de cambio que hace que un sistema vuelva a estar sujeto a la normativa. Los sistemas utilizados por las autoridades públicas deben cumplir con la normativa antes del 2 de agosto de 2030, en cualquier caso. Si tiene previsto acogerse a la norma transitoria, documente la configuración actual ahora.

En cuarto lugar, la Ley de IA sustituye a la legislación vigente. Se superpone a ella. La protección de datos, la igualdad de trato, la legislación del consumidor, la regulación sectorial, la legislación laboral y los derechos del comité de empresa (ondernemingsraad) siguen aplicándose íntegramente. En los Países Bajos, suele ser alguna de estas leyes, y no la propia Ley de IA, la que genera la primera queja concreta. Por ejemplo, según el artículo 27(1)(l) de la Ley de Comités de Empresa (Wet op de ondernemingsraden), la introducción de un sistema de control del personal requiere el consentimiento del comité de empresa.

¿Qué debes comprobar como proveedor?

• Si cada sistema que usted introduce en el mercado de la UE está prohibido, es de alto riesgo, está sujeto al artículo 50 o es de riesgo mínimo.
• Para la IA generativa que esté en el mercado antes del 2 de agosto de 2026: marcado de la salida en formato legible por máquina antes del 2 de diciembre de 2026.
• Para sistemas de alto riesgo: gestión de riesgos, gobernanza de datos, documentación técnica, registro de eventos y supervisión humana antes del 2 de diciembre de 2027 (Anexo III).
• La evaluación de la conformidad, la declaración de conformidad de la UE, el marcado CE y el registro en la base de datos de la UE.
• Si desarrolla modelos de propósito general: la documentación, el resumen del contenido de capacitación y la política de derechos de autor según los artículos 53 a 55.

¿Qué debes comprobar como responsable del despliegue?

• Un inventario de todos los sistemas de IA que utiliza, incluyendo la IA integrada en software de terceros, con su nivel de riesgo.
• Ningún uso queda comprendido dentro de las prohibiciones del Artículo 5, como por ejemplo el reconocimiento de emociones en el lugar de trabajo.
• Ya sea que te hayas convertido en proveedor modificando sustancialmente un sistema o comercializándolo bajo tu propio nombre.
• Divulgación de chatbots, deepfakes y textos generados por IA según el artículo 50, y medidas de alfabetización en IA según el artículo 4.
• Consentimiento del comité de empresa en virtud del artículo 27(1)(l) del Reglamento de Empresa antes de introducir IA que supervise al personal, y una evaluación de impacto en la protección de datos (EIPD) en virtud del RGPD.

¿Qué podemos hacer por usted en el marco de la Ley de Inteligencia Artificial?

Asesoramos a proveedores e implementadores sobre el cumplimiento de la Ley de IA, así como del RGPD y la legislación laboral. Nuestro índice de guías sobre derecho informático y privacidad en los Países Bajos incluye artículos relacionados.

• Clasificamos sus sistemas de IA por nivel de riesgo y determinamos su función para cada uno de ellos.
• Revisamos los contratos con los proveedores para determinar la asignación de las obligaciones y responsabilidades derivadas de la Ley de IA.
• Redactamos los avisos de transparencia exigidos por el artículo 50.
• Combinamos la evaluación de impacto sobre los derechos fundamentales con la evaluación de impacto sobre la protección de datos (EIPD) en virtud del RGPD.
• Preparamos la solicitud de aprobación del comité de empresa y llevamos a cabo la consulta.

Resumen

• La Ley de IA de la UE (Reglamento (UE) 2024/1689) está en vigor desde el 1 de agosto de 2024 y se aplica por fases.
• Las prohibiciones, la alfabetización en IA, las normas sobre IA general y las obligaciones de transparencia ya están en vigor; el marcado de los resultados de los sistemas generativos más antiguos debe realizarse antes del 2 de diciembre de 2026.
• El Reglamento Ómnibus sobre IA (Reglamento (UE) 2026/1744) ha aplazado la aplicación de las normas de alto riesgo hasta el 2 de diciembre de 2027 (Anexo III) y el 2 de agosto de 2028 (Anexo I).
• Las multas pueden ascender hasta los 35 millones de euros o el 7% de la facturación mundial; para las pymes, se aplica la cantidad inferior.
• La Ley de IA se suma al RGPD, la Ley de Seguridad Cibernética y la legislación laboral; planifique el cumplimiento como un programa único.

Preguntas frecuentes