Ley de Inteligencia Artificial: qué deben saber las empresas españolas en 2026

La Ley de Inteligencia Artificial (Reglamento UE 2024/1689, conocido como AI Act) es la primera legislación integral sobre IA en el mundo. Se aplica directamente en todos los países de la UE, incluida España, y no solo concierne a los desarrolladores de IA, sino a cualquier empresa que utilice herramientas como ChatGPT, Microsoft Copilot o IA en sistemas de recursos humanos y ventas en su trabajo. En agosto de 2026 entró en vigor la mayor parte de las obligaciones; a continuación explicamos qué significa esto para su empresa.

TL;DR — Puntos clave

• La Ley de Inteligencia Artificial clasifica los sistemas de IA según el riesgo: prohibidos, de alto riesgo, con obligación de transparencia y de riesgo mínimo.
• Desde el 2/2/2025 se aplican las prohibiciones y la obligación de alfabetización en IA de los empleados, incluso para empresas que solo utilizan la IA.
• Desde el 2/8/2026 se aplican la mayoría de las obligaciones restantes, incluida la transparencia (etiquetado de contenidos de IA, chatbots).
• Las multas alcanzan hasta 35 millones de euros o el 7% de la facturación global anual.
• Primer paso para PYMES: inventario de herramientas de IA, reglas internas de uso y formación de empleados.

¿Qué es la Ley de Inteligencia Artificial?

La Ley de Inteligencia Artificial es un reglamento de la Unión Europea que entró en vigor el 1 de agosto de 2024 y se implementa gradualmente hasta 2027. Al ser un reglamento y no una directiva, no requiere transposición a la legislación nacional; se aplica directamente. Su objetivo es garantizar que los sistemas de IA en el mercado de la UE sean seguros, transparentes y respeten los derechos fundamentales, sin frenar la innovación.

El reglamento distingue entre proveedores (quienes desarrollan o comercializan el sistema de IA) y responsables del despliegue (deployers — empresas que utilizan el sistema de IA con fines profesionales). La mayoría de las empresas son responsables del despliegue, lo que implica menos obligaciones que para los desarrolladores, pero no ninguna.

Cuatro niveles de riesgo

Cronograma: qué entra en vigor y cuándo

La Comisión Europea ha propuesto, en el marco del llamado ómnibus digital, el aplazamiento de algunos plazos para sistemas de alto riesgo. Dado que el proceso legislativo aún se está completando, recomendamos no confiar en el aplazamiento: las prohibiciones, la alfabetización en IA y la transparencia ya son aplicables.

Qué significa la Ley de Inteligencia Artificial para las empresas

Si su empresa utiliza Microsoft 365 Copilot, ChatGPT o funciones de IA en su CRM, ERP o sistema de recursos humanos, según el reglamento usted es un responsable del despliegue. Sus obligaciones clave son:

• Alfabetización en IA (artículo 4): los empleados que utilicen la IA deben tener conocimientos adecuados sobre el funcionamiento, las limitaciones y los riesgos de las herramientas.
• Transparencia (artículo 50): si utiliza un chatbot en su sitio web o publica contenidos generados por IA, debe etiquetarlos adecuadamente.
• Uso de alto riesgo: si utiliza la IA para la selección de candidatos o evaluación de empleados, debe garantizar la supervisión humana, conservar registros e informar a los empleados.
• Protección de datos: la Ley de IA no sustituye al RGPD; los datos personales en las herramientas de IA deben seguir tratándose de forma lícita.

El reglamento también se entrelaza con otras normativas. Las empresas sujetas a la directiva NIS2 deben incluir las herramientas de IA en su evaluación de riesgos cibernéticos, ya que la IA introduce nuevos vectores de ataque, como la fuga de datos a través de prompts y ataques de prompt injection.

Multas por incumplimiento

• Hasta 35 millones de euros o el 7% de la facturación anual global por prácticas prohibidas.
• Hasta 15 millones de euros o el 3% por infracciones de otras obligaciones (ej. transparencia, sistemas de alto riesgo).
• Hasta 7,5 millones de euros o el 1% por proporcionar información incorrecta a las autoridades.
• Para PYMES y empresas emergentes se aplicará el menor de los dos importes.

Cómo prepararse: 6 pasos para PYMES

1. Haga un inventario de herramientas de IA: qué herramientas utilizan los empleados, incluidas las no aprobadas (shadow IA).
2. Clasifique el uso por riesgo: ¿utiliza la IA en contratación, evaluación o toma de decisiones sobre clientes?
3. Adopte una política interna: qué herramientas están permitidas, qué datos no se deben introducir y quién aprueba una nueva herramienta.
4. Capacite a los empleados: una formación breve sobre alfabetización en IA cumple con el artículo 4 y reduce el riesgo de fuga de datos.
5. Establezca protección técnica: utilice versiones empresariales de las herramientas (ej. Copilot dentro de Microsoft 365) con políticas adecuadas de DLP y acceso condicional.
6. Etiquete los contenidos de IA y chatbots en el sitio web y en la comunicación con los clientes.

Hemos escrito más sobre la implementación segura de la IA en el entorno empresarial en el artículo Inteligencia artificial en la empresa: cómo implementarla de forma segura. La parte técnica (configuración de Microsoft 365, protección de datos y control de acceso) forma parte de nuestros servicios de ciberseguridad y Microsoft 365 en la nube.

Errores comunes de las empresas

• Creer que el reglamento solo se aplica a las grandes empresas tecnológicas.
• Uso de herramientas de IA de consumo gratuitas con datos confidenciales de clientes.
• Ausencia de reglas: los empleados eligen las herramientas por su cuenta sin conocimiento del departamento de IT.
• Un chatbot en el sitio web que se hace pasar por humano.

Preguntas frecuentes

¿Se aplica la Ley de Inteligencia Artificial también a las pequeñas empresas?

Sí. Se aplica a todos los que desarrollen o utilicen sistemas de IA en la UE, independientemente de su tamaño. Las PYMES tienen algunas facilidades (multas más bajas, bancos de pruebas regulatorios), pero la obligación de alfabetización en IA se aplica a todas.

¿Debemos regular algo por el uso de ChatGPT o Copilot?

Normalmente se trata de un riesgo mínimo, por lo que no hay obligaciones especiales, excepto la alfabetización en IA de los empleados y el cumplimiento del RGPD. Si utiliza la IA para tomar decisiones sobre personas (ej. contratación), los requisitos son más estrictos.

¿Desde cuándo se aplica la Ley de Inteligencia Artificial?

El reglamento se aplica desde el 1/8/2024, pero las obligaciones se implementan gradualmente: prohibiciones y alfabetización en IA desde el 2/2/2025, la mayoría de las demás obligaciones desde el 2/8/2026, y las reglas para IA en productos regulados desde el 2/8/2027.

¿Cuál es la diferencia entre la Ley de Inteligencia Artificial y el RGPD?

El RGPD regula el tratamiento de datos personales, mientras que la Ley de Inteligencia Artificial regula la seguridad y transparencia de los sistemas de IA. A menudo se aplican simultáneamente, por lo que tiene sentido gestionarlos de forma conjunta.

¿Qué es la alfabetización en IA?

Según el artículo 4, las empresas deben garantizar que los empleados que utilizan IA tengan conocimientos suficientes sobre su funcionamiento, limitaciones y riesgos. El reglamento no prescribe el formato; una formación específica documentada es suficiente.