1. Cuatro niveles de riesgo, cuatro niveles de obligación
La idea central del AI Act es sencilla aunque su redacción legal no lo sea: en vez de una lista fija de tecnologías prohibidas o permitidas, clasifica cualquier sistema de IA según el riesgo que supone para las personas, y ajusta las obligaciones a esa clasificación.
2. Riesgo inaceptable: lo que queda directamente prohibido
Un número reducido de prácticas se prohíben sin excepción posible por considerarse incompatibles con los derechos fundamentales. Entre ellas: los sistemas de puntuación social por parte de gobiernos (calificar a las personas según su comportamiento para darles o quitarles acceso a servicios), las técnicas subliminales o manipulativas diseñadas para alterar el comportamiento de alguien de forma que le cause un perjuicio, y la identificación biométrica remota en tiempo real en espacios públicos con fines policiales, salvo excepciones muy tasadas (como la búsqueda de una víctima de secuestro). Estas prohibiciones fueron las primeras del reglamento en aplicarse, desde febrero de 2025.
3. Alto riesgo: donde caen las obligaciones más pesadas
Aquí se agrupan los sistemas que, sin estar prohibidos, pueden afectar de forma significativa a la vida de una persona: selección y evaluación de personal, calificación crediticia, sistemas usados en educación para decidir acceso o evaluación, dispositivos médicos con IA, y ciertos usos en el ámbito judicial y policial, entre otros ejemplos que recoge la norma. Quien desarrolla o despliega uno de estos sistemas debe cumplir obligaciones como evaluación de riesgos previa, supervisión humana efectiva, documentación técnica detallada y registro en una base de datos pública de la UE — no basta con que el sistema "funcione bien", tiene que poder demostrarse que funciona bien de forma auditable.
Quien desarrolla el sistema de IA o lo comercializa bajo su propio nombre. Asume la mayor parte de las obligaciones: documentación técnica, gestión de calidad, evaluación de conformidad antes de sacarlo al mercado.
Quien usa el sistema de alto riesgo dentro de su propia organización — por ejemplo, la empresa que compra un software de selección de personal y lo aplica a sus candidatos. Tiene obligaciones propias: supervisión humana real, informar a las personas afectadas, y vigilar que el sistema se use como estaba previsto.
Esta distinción importa porque las obligaciones no recaen solo en quien construyó la tecnología — una empresa que simplemente compra e implanta un sistema de alto riesgo también adquiere responsabilidades propias, no delegables por completo en el proveedor del software.
«El AI Act no regula "la inteligencia artificial" — regula lo que un sistema concreto puede hacerle a una persona concreta. Esa es la diferencia entre una ley pensada para 2020 y una pensada para durar.
— Redacción El Telar
4. Riesgo limitado y mínimo: la mayoría de lo que usas a diario
Un chatbot como ChatGPT, Claude o Gemini entra normalmente en "riesgo limitado": la obligación principal es de transparencia — el sistema debe dejar claro que estás hablando con una IA, y el contenido generado artificialmente (como un vídeo hiperrealista falso, un "deepfake") debe etiquetarse como tal. La mayoría del resto de usos cotidianos de IA — corrección ortográfica, recomendaciones de contenido, filtros de spam — caen en "riesgo mínimo", sin obligaciones específicas del AI Act más allá de la normativa general que ya existía (protección de datos, defensa del consumidor).
Una tienda online con un asistente de atención al cliente debe indicar, de forma clara desde el primer mensaje, que quien responde es una IA y no una persona del equipo.
Un vídeo o imagen generado por IA que parece real (un "deepfake") debe llevar una indicación de que es contenido generado o manipulado artificialmente, visible para quien lo vea.
5. Un caso aparte: los modelos de propósito general más potentes
Los modelos de IA de propósito general (los que entrenan empresas como OpenAI, Anthropic o Google para servir de base a múltiples aplicaciones) tienen su propio capítulo en el AI Act, con obligaciones de documentación técnica y transparencia sobre los datos de entrenamiento para todos ellos. Los modelos que superan un umbral de cómputo de entrenamiento considerado de "riesgo sistémico" — por encima de 10 elevado a 25 operaciones de coma flotante, una cifra que solo alcanzan los modelos más grandes del mercado — asumen obligaciones adicionales: evaluación de riesgos adversariales, reporte de incidentes graves de seguridad, y medidas de ciberseguridad reforzadas. Estas obligaciones específicas de los modelos de propósito general empezaron a aplicarse en agosto de 2025.
6. Lo que de verdad cambia para un autónomo o una pyme
La mayoría de pequeños negocios que usan IA lo hacen para tareas de riesgo mínimo o limitado — redactar, generar contenido, automatizar respuestas — donde el AI Act apenas añade carga. La situación cambia si tu negocio despliega un sistema que decide sobre personas de forma automatizada: un chatbot de atención al cliente que además filtra solicitudes de empleo, un scoring interno para aprobar o rechazar clientes, o cualquier herramienta que tome decisiones con impacto real sin supervisión humana efectiva. En esos casos concretos, aunque el negocio sea pequeño, las obligaciones de alto riesgo pueden aplicar igualmente — el tamaño de la empresa no exime de la norma, aunque sí existen medidas de apoyo específicas para pymes previstas en el reglamento, como acceso prioritario a entornos de prueba controlados ("sandboxes regulatorios").
- ¿El sistema que usas solo genera texto o imágenes de apoyo? Probablemente riesgo mínimo o limitado, sin carga adicional real.
- ¿El sistema decide automáticamente sobre una persona (contratar, dar crédito, evaluar) sin revisión humana efectiva? Revisa si entra en la categoría de alto riesgo.
- ¿Es un chatbot de cara al público? Recuerda que debe quedar claro que la persona está hablando con una IA, no con un humano.
7. El calendario de entrada en vigor, por fases
| Fecha | Qué entra en vigor |
|---|---|
| Febrero 2025 | Prohibiciones de prácticas de riesgo inaceptable |
| Agosto 2025 | Obligaciones para modelos de propósito general |
| Agosto 2026 | Obligaciones completas para sistemas de alto riesgo |
8. Las multas, y por qué se calculan como porcentaje
Las infracciones más graves — usar una práctica de riesgo inaceptable directamente prohibida — pueden sancionarse hasta con 35 millones de euros o el 7% de la facturación global anual de la empresa, lo que resulte mayor. El resto de incumplimientos (obligaciones de alto riesgo, transparencia) tienen techos menores, pero calculados con la misma lógica: un porcentaje de la facturación mundial, no una cifra fija. Esa es la razón por la que estas multas escuecen mucho más a una gran tecnológica que a una pyme — el importe crece con el tamaño de quien incumple.