Resumen de alto nivel de la Ley AI

Actualizado el 31 de agosto de 2026, de conformidad con las modificaciones de la Ley de IA aprobadas en el marco del «Digital Omnibus» sobre IA.

En este artículo le ofrecemos un resumen de alto nivel de la Ley de AI, seleccionando las partes que con mayor probabilidad serán relevantes para usted, independientemente de quién sea. Cuando proceda, le proporcionaremos enlaces al documento original para que siempre pueda consultar el texto de la Ley.

Para explorar el texto completo de la Ley de AI usted mismo, utilice nuestro Explorador de la Ley de AI. Si desea saber qué partes del texto son más relevantes para usted, utilice nuestro Comprobador de Cumplimiento.

Sistemas de IA prohibidos(Capítulo II, Art. 5)

Los siguientes tipos de sistemas de IA están "prohibidos" según la Ley de IA.

Sistemas de IA:

• el uso de técnicas subliminales, manipuladoras o engañosas con el objetivo, o con el efecto, de distorsionar el comportamiento al obstaculizar la toma de decisiones con conocimiento de causa, causando o pudiendo causar razonablemente un perjuicio significativo.
• aprovecharse de vulnerabilidades relacionadas con la edad, la discapacidad o las circunstancias socioeconómicas con el objetivo, o con el efecto, de alterar el comportamiento, causando o con una probabilidad razonable de causar un perjuicio significativo.
• sistemas de categorización biométrica que infieran atributos sensibles (raza, opiniones políticas, afiliación sindical, creencias religiosas o filosóficas, vida sexual u orientación sexual), excepto el etiquetado o filtrado de conjuntos de datos biométricos adquiridos legalmente o cuando las fuerzas de seguridad categoricen datos biométricos.
• la producción de imágenes íntimas sin consentimiento y de material de abuso sexual infantil (CSAM)
• la puntuación social, es decir, la evaluación o clasificación de personas o grupos en función de su comportamiento social o de sus rasgos personales, lo que da lugar a un trato perjudicial o desfavorable hacia esas personas en contextos sociales ajenos al de la recogida de datos y/o en los que el efecto es desproporcionado.
• evaluar el riesgo de que un individuo cometa delitos penales basándose únicamente en perfiles o rasgos de personalidad, excepto cuando se utilice para aumentar las evaluaciones humanas basadas en hechos objetivos y verificables directamente relacionados con la actividad delictiva.
• compilación de bases de datos de reconocimiento facial mediante el raspado no selectivo de imágenes faciales de Internet o de grabaciones de CCTV.
• inferir emociones en lugares de trabajo o centros educativos, salvo por razones médicas o de seguridad.
• La identificación biométrica remota (RBI) «en tiempo real» en espacios de acceso público con fines policiales, salvo cuando:

• búsqueda de personas desaparecidas, víctimas de secuestros y personas víctimas de la trata de seres humanos o la explotación sexual;
• prevenir una amenaza grave e inminente para la vida o la integridad física de las personas físicas, o un atentado terrorista previsible; o
• la identificación de sospechosos de delitos graves (por ejemplo, asesinato, violación, robo a mano armada, tráfico ilícito de estupefacientes y armas, delincuencia organizada y delitos contra el medio ambiente, etc.).

Notas sobre la identificación biométrica remota en tiempo real:

El uso de la identificación de personas en tiempo real basada en la inteligencia artificial (RBI) solo está permitido para confirmar la identidad de la persona a la que se dirige específicamente y debe tener en cuenta el perjuicio que supondría no utilizar el sistema, así como los derechos y libertades de las personas afectadas.

Antes de su despliegue, la policía debe completar una evaluación de impacto sobre los derechos fundamentales y registrar el sistema en la base de datos de la UE, aunque, en casos de urgencia debidamente justificados, el despliegue puede comenzar sin registro, siempre que se registre posteriormente sin demoras indebidas.

Antes de la puesta en marcha, también deben obtener la autorización de una autoridad judicial o de una autoridad administrativa independiente[1]; no obstante, en casos de urgencia debidamente justificados, la puesta en marcha puede iniciarse sin autorización, siempre que esta se solicite sin demora injustificada y, en cualquier caso, en un plazo de 24 horas. Si se deniega la autorización, la puesta en marcha debe cesar de inmediato, y deben eliminarse todos los datos, resultados y productos.

↲ [1] Las autoridades administrativas independientes pueden estar sujetas a una mayor influencia política que las autoridades judiciales (Hacker, 2024).

Sistemas de IA de alto riesgo (Capítulo III)

Algunos sistemas de inteligencia artificial se consideran de «alto riesgo» en virtud de la Ley de Inteligencia Artificial. Los proveedores de dichos sistemas estarán sujetos a requisitos adicionales.

Normas de clasificación de los sistemas de IA de alto riesgo(art. 6)

Los sistemas de IA de alto riesgo son aquellos:

• se utiliza como componente de seguridad o como producto cubierto por la legislación de la UE del anexo I Y debe someterse a una evaluación de la conformidad por terceros con arreglo a dicha legislación del anexo I; O
• incluido en Anexo III casos de uso (más abajo), excepto si:
  • el sistema de IA realiza una tarea procedimental limitada;
  • mejora el resultado de una actividad humana previamente realizada;
  • detecta patrones de toma de decisiones o desviaciones de patrones de toma de decisiones anteriores y no pretende sustituir o influir en la evaluación humana completada previamente sin una revisión humana adecuada; o bien
  • realiza una tarea preparatoria de una evaluación pertinente a efectos de los casos de uso enumerados en el anexo III.
• Los sistemas de IA enumerados en el anexo III se consideran siempre de alto riesgo si elaboran perfiles de personas, es decir, tratamiento automatizado de datos personales para evaluar diversos aspectos de la vida de una persona, como su rendimiento laboral, situación económica, salud, preferencias, intereses, fiabilidad, comportamiento, ubicación o movimiento.
• Los proveedores cuyo sistema de IA esté incluido en los casos de uso del anexo III pero consideren que no es de alto riesgo deberán documentar dicha evaluación antes de comercializarlo o ponerlo en servicio.

Requisitos para los proveedores de sistemas de IA de alto riesgo (artículos8 a 21)

Los proveedores de IA de alto riesgo deben:

• Establecer un sistema de gestión de riesgos a lo largo de todo el ciclo de vida del sistema de IA de alto riesgo.
• Llevar a cabo la gobernanza de los datos, garantizando que los conjuntos de datos de formación, validación y prueba sean pertinentes, suficientemente representativos y, en la medida de lo posible, estén libres de errores y completos de acuerdo con la finalidad prevista.
• Elaborar la documentación técnica necesaria para demostrar el cumplimiento de los requisitos y facilitar a las autoridades la información necesaria para evaluar dicho cumplimiento, y conservarla junto con la documentación relativa a las modificaciones aprobadas por los organismos notificados, así como a las decisiones adoptadas por estos, y la declaración de conformidad de la UE. 
• Diseñar su sistema de IA de alto riesgo de manera que permita el registro de datos (logs) a lo largo de todo el ciclo de vida del sistema, con el fin de que este registre automáticamente los acontecimientos relevantes para identificar cualquier riesgo para la salud o la seguridad, o para los derechos fundamentales, derivado del propio sistema de IA, así como cualquier modificación sustancial del mismo, facilitando así el seguimiento posterior a la comercialización y la supervisión del funcionamiento de los sistemas de IA de alto riesgo. El proveedor deberá conservar los registros mientras estos se encuentren bajo su control.
• Facilitar instrucciones de uso a los responsables de la implantación para que puedan cumplir con la normativa.
• Diseñar su sistema de IA de alto riesgo de manera que permita a los responsables de su puesta en marcha aplicar una supervisión humana.
• Diseñar su sistema de IA de alto riesgo para que alcance los niveles adecuados de precisión, solidez y ciberseguridad.
• Establecer un sistema de gestión de la calidad para garantizar el cumplimiento de la normativa y conservar la documentación relacionada con el mismo.
• Someter su sistema de IA de alto riesgo a la evaluación de conformidad pertinente, elaborar una declaración de conformidad de la UE y colocar el marcado CE en el sistema. Previa solicitud, demostrar la conformidad de su sistema con la Ley. Si deja de cumplir los requisitos de conformidad, adoptar las medidas correctoras necesarias.
• Inscribir su sistema de IA de alto riesgo en la base de datos de la UE para sistemas de IA de alto riesgo.
• Asegúrate de que su sistema de IA de alto riesgo cumpla con los requisitos de accesibilidad.

IA de propósito general (GPAI)

Por «modelo GPAI» se entiende un modelo de inteligencia artificial —incluso cuando se haya entrenado con una gran cantidad de datos mediante autosupervisión a gran escala— que presente una generalidad significativa y sea capaz de realizar de forma competente una amplia gama de tareas distintas, independientemente de la forma en que se comercialice el modelo, y que pueda integrarse en diversos sistemas o aplicaciones posteriores. Esto no incluye los modelos de inteligencia artificial que se utilicen antes de su comercialización para actividades de investigación, desarrollo y creación de prototipos.

Por «sistema GPAI» se entiende un sistema de inteligencia artificial basado en un modelo de inteligencia artificial de uso general, capaz de cumplir diversos fines, tanto para su uso directo como para su integración en otros sistemas de inteligencia artificial.

Los sistemas GPAI pueden utilizarse como sistemas de IA de alto riesgo o integrarse en ellos. Los proveedores de sistemas GPAI deben cooperar con los proveedores de dichos sistemas de IA de alto riesgo para facilitar el cumplimiento de las normas por parte de estos últimos.

Todos los proveedores de modelos GPAI deben:

• Elaborar la documentación técnica, incluidos los procesos de formación y ensayo, así como los resultados de las evaluaciones.
• Elaborar la información y la documentación que se facilitará a los proveedores posteriores que tengan la intención de integrar el modelo GPAI en su propio sistema de IA, con el fin de que estos últimos comprendan las capacidades y limitaciones del mismo y puedan cumplir con lo establecido en la Ley.
• Establecer una política para cumplir con la Directiva sobre derechos de autor.
• Publicar un resumen suficientemente detallado sobre el contenido utilizado para el entrenamiento del modelo GPAI.

Los modelos de IA general (GPAI) con licencia libre y de código abierto —cuyos parámetros, incluidas las ponderaciones, la información sobre la arquitectura del modelo y su uso, están a disposición del público, lo que permite el acceso, el uso, la modificación y la distribución del modelo— solo tienen que cumplir las dos últimas obligaciones mencionadas anteriormente, salvo que el modelo de IA general (GPAI) con licencia libre y de código abierto sea un modelo de IA general (GPAI) que entrañe un riesgo sistémico.

Los modelos GPAI presentan riesgos sistémicos cuando la cantidad acumulada de recursos computacionales utilizados para su entrenamiento es superior a 10^25 operaciones en coma flotante (FLOP). Los proveedores deben notificar a la Comisión sin demora, y en cualquier caso en un plazo de dos semanas, si su modelo cumple este criterio. El proveedor podrá presentar argumentos que demuestren que, a pesar de cumplir los criterios, su modelo no presenta riesgos sistémicos. La Comisión también podrá decidir, por iniciativa propia o tras una alerta fundamentada del panel científico de expertos independientes, que un modelo presenta un riesgo sistémico, aunque no alcance el umbral de potencia de cálculo.

Además de las cuatro obligaciones anteriores, los proveedores de modelos GPAI con riesgo sistémico también deben:

• Realizar evaluaciones de modelos, incluida la realización y documentación de pruebas contradictorias para identificar y mitigar el riesgo sistémico.
• Evaluar y mitigar los posibles riesgos sistémicos, incluidas sus fuentes.
• Rastrear, documentar y notificar los incidentes graves y las posibles medidas correctivas a la Oficina de AI y a las autoridades nacionales competentes pertinentes sin demoras indebidas.
• Garantizar un nivel adecuado de protección de la ciberseguridad.

Todos los proveedores de modelos GPAI podrán demostrar el cumplimiento de sus obligaciones si se adhieren voluntariamente al Código de buenas prácticas de aplicación general hasta que se publiquen las normas armonizadas europeas. Los proveedores que no se adhieran al Código de buenas prácticas deberán demostrar que disponen de medios alternativos adecuados para garantizar dicho cumplimiento.

El Código de buenas prácticas de aplicación general

• Herramienta voluntaria desarrollada en el marco de un proceso en el que han participado múltiples partes interesadas y que los proveedores de modelos de IA general (GPAI) pueden utilizar para demostrar el cumplimiento de las obligaciones pertinentes de la Ley de IA. 
• Publicado el 10 de julio de 2025 y declarado adecuado por la Comisión Europea y el Consejo de IA el 1 de agosto de 2025. 
• El Código de buenas prácticas consta de tres capítulos, concretamente sobre transparencia, derechos de autor y seguridad, en los que se recogen las obligaciones de todos los proveedores de modelos de GPAI, así como las obligaciones que se aplican exclusivamente a los proveedores de modelos de GPAI que entrañan un riesgo sistémico.
• En agosto de 2026, más de 20 proveedores se habían adherido al Código de buenas prácticas. 
• Además del Código de buenas prácticas, los proveedores también se rigen por las Directrices de la Comisión sobre el alcance de las obligaciones de los proveedores de modelos de IA de uso general en virtud de la Ley de IA.

Gobernanza

¿Cómo se aplicará la Ley de IA?

• La Oficina de IA, dependiente de la Comisión, supervisa la aplicación efectiva y el cumplimiento de los requisitos por parte de los proveedores de modelos de IA general (GPAI), así como de los proveedores de sistemas de IA basados en un modelo GPAI desarrollado por el propio proveedor (salvo que se aplique una excepción), y de los sistemas de IA que constituyan o estén integrados en una plataforma en línea de gran tamaño o en un motor de búsqueda en línea de gran tamaño, con arreglo a la Ley de Servicios Digitales (DSA).
• Los proveedores de la fase posterior pueden presentar ante la Oficina de IA una denuncia por incumplimiento de la Ley de IA por parte de los proveedores de la fase anterior (modelo GPAI).
• La Oficina de AI podrá realizar evaluaciones del modelo GPAI para:
  • evaluar el cumplimiento de la normativa cuando la información recabada en virtud de sus facultades para solicitar información resulte insuficiente
  • investigar los riesgos sistémicos, especialmente tras una alerta con reservas por parte del grupo científico de expertos independientes.

Cronología

• Tras la entrada en vigor de la Ley de IA el 1 de agosto de 2024, la aplicación de las disposiciones de dicha ley se ha ido introduciendo de forma gradual y sigue haciéndolo.
• La mayoría de las prohibiciones relativas a los sistemas de inteligencia artificial son aplicables desde el 2 de febrero de 2025, mientras que las prohibiciones relativas a los sistemas de inteligencia artificial que generan imágenes íntimas sin consentimiento y material de abuso sexual infantil (CSAM) entrarán en vigor el 2 de diciembre de 2026. 
• Las obligaciones derivadas del modelo GPAI entraron en vigor el 2 de agosto de 2025. El Código de buenas prácticas de aplicación general fue declarado adecuado el 1 de agosto de 2025. 
• Las competencias de supervisión y ejecución de la Oficina de IA podrán ejercerse a partir del 2 de agosto de 2026.
• Las obligaciones en materia de transparencia previstas en el artículo 50 entrarán en vigor el 2 de agosto de 2026. Se establece un período de gracia para los sistemas de inteligencia artificial comercializados antes de esa fecha, que dispondrán de tiempo para cumplir lo dispuesto en el apartado 2 del artículo 50 hasta el 2 de diciembre de 2026. 
• Las obligaciones relativas a los sistemas de inteligencia artificial considerados de alto riesgo, según lo dispuesto en el artículo 6, apartado 2, y en el anexo III de la Ley de Inteligencia Artificial, entrarán en vigor el 2 de diciembre de 2027.
• Las obligaciones aplicables a los sistemas de inteligencia artificial considerados de alto riesgo, según lo dispuesto en el artículo 6, apartado 1, y en el anexo I de la Ley de Inteligencia Artificial, entrarán en vigor el 2 de agosto de 2028.

Consulta nuestro calendario completo de aplicación para conocer todos los hitos clave relacionados con la aplicación de la Ley de Inteligencia Artificial.