El reglamento europeo sobre inteligencia artificial regula de forma progresiva los sistemas de IA, incluidos los ya integrados en sus herramientas cotidianas (Microsoft 365 Copilot, por ejemplo). SYAGA le ayuda a inventariar sus usos reales, comprender las obligaciones que le afectan y construir un plan de acción, sin jerga y sin promesas numéricas que no estén verificadas.
Un reglamento europeo que ya se aplica, a menudo sin que la empresa lo haya advertido
El Reglamento (UE) 2024/1689 (fuente EUR-Lex) regula la gobernanza de los sistemas de inteligencia artificial dentro de la Unión Europea. Su entrada en aplicación se produce por niveles sucesivos según el tipo de obligación de que se trate.
Funcionalidades de inteligencia artificial ya están integradas en suites ofimáticas ampliamente desplegadas en las empresas, como Microsoft 365 Copilot. Muchas organizaciones las utilizan sin haber inventariado formalmente ese alcance.
Entre las herramientas proporcionadas por proveedores, los desarrollos internos y los agentes automatizados desplegados en plataformas ya existentes, el alcance real de los sistemas de IA utilizados rara vez está documentado de forma centralizada.
Como con cualquier nueva normativa, es mejor aclarar pronto el alcance de exposición que descubrir una obligación en el momento de un control o de una solicitud de un cliente, una aseguradora o un socio.
Un acompañamiento en 5 etapas, calibrado con usted según su alcance real de sistemas de IA
Comprender el contexto, las herramientas ya implantadas y los proyectos de IA en curso o previstos. Objetivo: delimitar un alcance de análisis realista, no una lista teórica.
Herramientas de proveedores (incluidas las funcionalidades de IA ya integradas en sus suites ofimáticas), desarrollos internos, automatizaciones y agentes desplegados en sus plataformas existentes.
Determinar, para cada sistema identificado, en qué medida usted es proveedor o responsable de despliegue en el sentido del reglamento, y qué obligaciones generales se derivan de ello para su organización.
Un plan de acción estructurado, priorizado según el riesgo y el esfuerzo, sin promesa de resultado jurídico: los puntos sensibles se señalan para su verificación por un asesor jurídico especializado.
Entrega del expediente de cartografía y del plan de acción, con un tiempo de intercambio para responder a las preguntas de sus equipos.
Documentos de trabajo concretos, adaptados a su alcance real
Inventario estructurado de los usos identificados durante el encuadre y la cartografía.
Un documento de divulgación que relaciona cada sistema identificado con las grandes categorías de obligaciones del reglamento, en lenguaje claro.
Una hoja de ruta operativa para su organización.
El AI Act no se analiza solo: se articula con textos que usted ya conoce
Texto de referencia sobre la gobernanza de los sistemas de inteligencia artificial dentro de la Unión Europea. Fuente: EUR-Lex.
En cuanto un sistema de IA trata datos personales, las obligaciones del RGPD (Reglamento UE 2016/679) siguen siendo aplicables en paralelo a las obligaciones propias del AI Act.
La cartografía de los usos de IA se inscribe de forma natural en un proceso de gobernanza de sistemas más amplio (política de seguridad, gestión de riesgos), especialmente si su organización ya está concernida por NIS2 o un proceso ISO 27001.
Funcionalidades como Copilot introducen IA en herramientas ya utilizadas a diario. Su uso entra dentro del alcance a cartografiar, incluso sin un proyecto de IA "visible".
El alcance de un diagnóstico AI Act varía demasiado según el número y la naturaleza de los sistemas de IA utilizados como para proponer un precio genérico. Elaboramos un presupuesto después del encuadre.
Alcance establecido con usted desde la etapa de encuadre
Lo que dice realmente el texto europeo sobre la IA, explicado en lenguaje sencillo. Cada punto remite a su fuente oficial (Comisión Europea, EUR-Lex). Información recopilada el 17/07/2026.
Es un reglamento europeo (la "AI Act", texto 2024/1689), publicado el 12 de julio de 2024 y ya
"en vigor". Establece normas comunes para la inteligencia artificial en toda la Unión Europea,
sea cual sea su sector de actividad.
fuente oficial →
El reglamento se aplica por etapas: las prohibiciones están activas desde el 2 de febrero de
2025; las normas de gobernanza y las obligaciones sobre las IA de uso general desde el 2 de agosto
de 2025; y la mayoría de las demás obligaciones (incluida la IA "de alto riesgo") entran en vigor
el 2 de agosto de 2026. A tener en cuenta: la Comisión propuso el 19 de noviembre de 2025 ajustar
algunos de estos plazos, por lo que estas fechas todavía pueden variar ligeramente.
fuente oficial →
El texto clasifica los usos de la IA en 4 categorías: riesgo inaceptable (prohibido), riesgo
elevado (regulado estrictamente), riesgo limitado (obligación de información) y riesgo mínimo -
la gran mayoría de los usos actuales (por ejemplo, un filtro antispam o un videojuego), que no
están afectados por nuevas normas.
fuente oficial →
Algunos usos son ahora ilegales en toda Europa: manipular o engañar a las personas mediante
IA, explotar las vulnerabilidades de una persona, puntuar a los ciudadanos como una "puntuación
social", predecir que una persona va a cometer un delito a partir de su perfil, recopilar de
forma masiva fotos de internet o de videovigilancia para crear bases de datos de reconocimiento
facial, analizar las emociones en el trabajo o en la escuela, o utilizar la biometría para
deducir el origen, la religión o la orientación de una persona.
fuente oficial →
Ejemplos citados por la Comisión: una herramienta que filtra currículos, que gestiona el
acceso a un crédito, o que actúa como componente de seguridad en un medio de transporte. En ese
caso, hay que evaluar y limitar los riesgos, utilizar datos de calidad, conservar registros de
actividad, documentar el sistema, informar claramente a los usuarios, prever una supervisión
humana y garantizar un buen nivel de solidez y ciberseguridad.
fuente oficial →
Para los usos prohibidos: hasta 35 millones de euros o el 7% de la facturación mundial (el
importe más elevado de los dos). Para los demás incumplimientos del reglamento: hasta 15
millones o el 3%. Por haber dado información engañosa a las autoridades: hasta 7,5 millones o
el 1%. Para las pymes y las empresas emergentes, se aplica el importe más BAJO de los dos (véase
el detalle documentado más abajo en "Las sanciones del AI Act, en claro").
fuente oficial →
Se ha creado una "Oficina Europea de la IA" dentro de la Comisión Europea (más de 125
personas) para velar por una aplicación coherente del reglamento, apoyada por un comité que
reúne a un representante de cada Estado miembro. Cada país debe designar también sus propias
autoridades nacionales de vigilancia.
fuente oficial →
La Comisión propone un compromiso voluntario, el "AI Pact", para anticipar la puesta en
conformidad antes de los plazos legales. Más de 230 empresas (grandes grupos y pymes) ya lo han
firmado. Estos compromisos no son jurídicamente vinculantes.
fuente oficial →
A diferencia del RGPD o de NIS2, el AI Act no fija un umbral simple en número de empleados o en facturación. Lo que activa las obligaciones es su papel (proveedor o responsable del despliegue) y el nivel de riesgo del sistema de IA en cuestión. Información recopilada el 18/07/2026, fuentes oficiales de la Comisión Europea y EUR-Lex.
El texto oficial es claro: el reglamento se aplica "to both public and private
actors inside and outside the EU, who place an AI system or general-purpose AI model
on the EU market, or put an AI system into service or use it in the EU". En la
práctica, una empresa establecida fuera de la UE puede estar afectada en cuanto la
salida de su sistema de IA esté destinada a utilizarse en la Unión.
fuente oficial →
Quien desarrolla el sistema de IA o lo introduce en el mercado. Ejemplo dado por la
Comisión Europea: "a developer of a CV-screening tool" (el desarrollador de una
herramienta de filtrado de currículos). También están afectados los proveedores de
modelos de IA de uso general.
fuente oficial →
Quien utiliza el sistema en su actividad profesional. Ejemplo dado por la Comisión:
"a bank using this screening tool" (el banco que utiliza la herramienta de filtrado de
currículos). Un uso estrictamente personal y no profesional queda excluido de esta
definición.
fuente oficial →
fuente oficial (EUR-Lex) → · fuente oficial (FAQ Comisión) →
Las pymes y empresas emergentes siguen dentro del ámbito del reglamento, pero se
benefician de multas administrativas proporcionadas a su tamaño, de obligaciones de
documentación técnica reducidas (acuerdo "AI omnibus") y de "entornos controlados de
pruebas" (regulatory sandboxes) para probar sus proyectos de IA en condiciones
supervisadas.
fuente oficial →
El reglamento clasifica todos los usos en 4 niveles de riesgo (inaceptable, elevado,
limitado, mínimo). Es ese nivel, determinado por la naturaleza del sistema y su uso, el
que activa (o no) obligaciones, con independencia del número de empleados o de la
facturación de la organización que lo utiliza.
fuente oficial →
Lista indicativa de las grandes familias de usos que pueden considerarse de "alto riesgo", tal como la presenta la Comisión Europea:
Sin jerga jurídica: 8 preguntas concretas, una respuesta sencilla, y la fuente oficial (Comisión Europea, EUR-Lex) detrás de cada respuesta.
Haga clic en una pregunta para ver la respuesta y su fuente.
En la gran mayoría de los casos, no, no le afectan obligaciones específicas. Utilizar un chatbot o un copiloto comercial, sin integrarlo ni convertirlo en un producto propio, queda fuera del núcleo del reglamento mientras no se trate de un sistema de IA "de alto riesgo". No obstante, usted sigue siendo "responsable del despliegue" de la herramienta: debe utilizarla conforme a sus instrucciones de uso.
Es una obligación prevista por el reglamento (artículo 4, "alfabetización en IA"), en vigor desde el 2 de febrero de 2025. La idea: dar a sus equipos - los que proporcionan, utilizan o se ven afectados por un sistema de IA - las nociones necesarias para tomar decisiones informadas frente a estas herramientas. La Comisión ha publicado un repositorio de prácticas ("living repository") para ayudar a las empresas a organizarse, sin imponer un formato único de formación.
Sí, a partir del 2 de agosto de 2026 (artículo 50 del reglamento). Una persona que interactúa con un chatbot debe poder saber que está hablando con una máquina. Un contenido generado por IA (texto, imagen, vídeo) debe seguir siendo identificable como tal, y los "deepfakes" o los textos generados por IA publicados sobre asuntos de interés público deben señalarse de forma clara y visible. Se publicó un código de buenas prácticas voluntario sobre el etiquetado de estos contenidos el 10 de junio de 2026 para orientar a las empresas.
Solo si usted es proveedor de un sistema de IA "de alto riesgo": en ese caso, la inscripción en una base de datos pública europea es obligatoria. Las autoridades públicas que despliegan un sistema de alto riesgo también deben inscribirse, salvo para las infraestructuras críticas. Los usos habituales de herramientas de IA comerciales no están afectados por este registro.
No. El reglamento fija 3 niveles de sanciones (hasta 35 M€ o el 7% de la facturación mundial para las prácticas prohibidas; 15 M€ o el 3% para los demás incumplimientos; 7,5 M€ o el 1% por facilitar información falsa a las autoridades), aplicando en cada caso el importe más elevado de los dos. Para las pymes y empresas emergentes, la regla se invierte: se aplica el importe más BAJO de cada nivel, nunca el más alto. Detalle completo y documentado en la sección "Las sanciones del AI Act, en claro".
Sí. La Comisión ha puesto en marcha un "AI Act Service Desk" que ofrece una FAQ, una herramienta "Compliance Checker" para evaluar sus propias obligaciones, un "AI Act Explorer" para navegar por el texto artículo por artículo, y un formulario para plantear una pregunta directamente a un equipo de expertos.
Sí, son usos típicos clasificados como "de alto riesgo" por el reglamento. Como responsable del despliegue, debe en particular designar una supervisión humana a cargo de personal "suficientemente formado y habilitado", informar a sus empleados ANTES de desplegar dicho sistema en su lugar de trabajo, e informar a toda persona en cuanto una IA participe en una decisión que le afecte (por ejemplo, el filtrado de una candidatura). El reglamento también impone transparencia, documentación técnica y conservación de registros para estos usos.
Sí, precisamente para eso están los "entornos controlados de pruebas" (regulatory sandboxes) y las pruebas en condiciones reales previstos por el reglamento, pensados para las pymes y empresas emergentes. Una enmienda del 7 de mayo de 2026 amplió aún más el acceso a este mecanismo: más innovadores pueden ahora acceder a él, incluso a través de un entorno de pruebas a nivel europeo, y la elegibilidad se ha extendido a las "small mid-cap" (pequeñas empresas de mediana capitalización).
El reglamento europeo sobre la IA no se aplica de golpe: avanza por etapas entre 2024 y 2028. Estas son las fechas que hay que recordar, lo que ya está activo y lo que está por llegar, cada una con su fuente oficial. Información recopilada el 18/07/2026.
El texto europeo sobre inteligencia artificial se convierte oficialmente en un
reglamento en vigor en toda la Unión Europea. Es el punto de partida: todos los
plazos siguientes se cuentan a partir de esta fecha.
fuente oficial →
Manipulación de personas, puntuación social, reconocimiento facial masivo... las
prácticas más peligrosas son ahora ilegales en toda Europa (detalle en la sección
"vigilancia normativa" más arriba). Las normas sobre la sensibilización a la IA en
las organizaciones también se aplican desde esta fecha.
fuente oficial →
Las autoridades de control previstas por el texto (incluida la Oficina Europea
de la IA) están oficialmente constituidas, y los proveedores de grandes modelos de
IA generativa (tipo asistente conversacional) deben cumplir obligaciones de
transparencia y documentación técnica.
fuente oficial →
Es la fecha que el texto original fijaba para su aplicación general (24 meses
después de la entrada en vigor): obligación de informar a los usuarios ante una IA,
y la mayoría de los sistemas de IA "de alto riesgo" utilizados de forma autónoma.
No obstante, una parte del alto riesgo se ha aplazado entretanto (véanse las dos
etapas siguientes).
fuente oficial →
El 19 de noviembre de 2025, la Comisión Europea propuso simplificar y retrasar
algunos plazos del reglamento, mientras se preparan las normas técnicas necesarias.
El Parlamento Europeo y el Consejo alcanzaron un acuerdo político sobre este texto
el 7 de mayo de 2026. Consecuencia concreta: dos plazos sobre el "alto riesgo" se
han retrasado (las dos etapas siguientes, abajo). A fecha de esta página, dicho
acuerdo político todavía no se ha publicado en su forma definitiva en el Diario
Oficial de la UE.
fuente oficial →
Nuevo plazo para los sistemas de IA de alto riesgo utilizados en particular en
biometría, infraestructuras críticas, educación, empleo, o migración/asilo/control
de fronteras. Estas obligaciones, que inicialmente debían aplicarse en agosto de
2026, se aplazan a esta fecha para dar tiempo a que se finalicen las normas
técnicas.
fuente oficial →
Para los sistemas de IA que son componentes de seguridad en productos ya
regulados por otra normativa (ascensores, juguetes, dispositivos médicos...), el
plazo estaba fijado en agosto de 2027 en el texto original (36 meses después de la
entrada en vigor). Ahora se aplaza a esta fecha.
fuente oficial →
Las prohibiciones y las normas de gobernanza ya están activas desde 2025; el plazo general del reglamento vence en los próximos días (2 de agosto de 2026); y dos familias de sistemas de alto riesgo (sectores sensibles, productos regulados) disponen de un plazo adicional hasta finales de 2027 y mediados de 2028, el tiempo necesario para que las normas técnicas estén listas.
Sin alarmismo ni cifras impactantes: esto es exactamente lo que dice el texto europeo sobre las multas, quién las impone y desde cuándo se aplican realmente. Cada importe es el que figura literalmente en el Reglamento (UE) 2024/1689, artículos 99 a 101.
Se aplica el importe más elevado de los dos. Afecta exclusivamente a los 8 usos prohibidos por el artículo 5: manipulación o engaño mediante IA, explotación de las vulnerabilidades de una persona, puntuación social, predicción de un riesgo de delito basada únicamente en la elaboración de perfiles, recopilación masiva de rostros para crear una base de reconocimiento facial, reconocimiento de emociones en el trabajo o en la escuela, categorización biométrica de características protegidas, e identificación biométrica "en tiempo real" por las fuerzas del orden en espacios públicos.
Reglamento (UE) 2024/1689, artículo 99§3 →Es el nivel que afecta más directamente a las empresas que utilizan una herramienta de IA: obligaciones de los proveedores (artículo 16), de los representantes (22), de los importadores (23), de los distribuidores (24), de los responsables del despliegue, es decir, de las empresas que utilizan un sistema de IA de alto riesgo (artículo 26), de los organismos notificados, y las obligaciones de transparencia hacia los usuarios (artículo 50 - por ejemplo, indicar que un chatbot es una IA).
Reglamento (UE) 2024/1689, artículo 99§4 →Se aplica cuando una empresa facilita información incorrecta, incompleta o engañosa a un organismo notificado o a una autoridad nacional competente que le ha hecho una solicitud oficial.
Reglamento (UE) 2024/1689, artículo 99§5 →Regla explícita del texto: para las pymes y empresas emergentes, cada multa se limita al importe más bajo de los dos términos (porcentaje o cantidad fija), nunca el más alto. En la práctica, una multa basada en un porcentaje de su facturación real sustituye casi siempre al límite en millones de euros pensado para las multinacionales.
Reglamento (UE) 2024/1689, artículo 99§6 →El texto obliga a la autoridad a tener en cuenta, antes de fijar un importe: la gravedad y la duración del incumplimiento, el número de personas afectadas, el tamaño y la facturación de la empresa, el carácter intencionado o negligente, el grado de cooperación con la autoridad, y las medidas ya adoptadas para corregir el problema.
Reglamento (UE) 2024/1689, artículo 99§7 →Cada Estado miembro debe designar al menos una "autoridad de vigilancia del mercado" nacional, encargada de hacer cumplir el reglamento en su territorio. A nivel europeo, la Oficina Europea de la IA coordina el conjunto. A día de hoy, ninguna fuente oficial consultada permite confirmar el nombre de la autoridad designada de forma definitiva para Francia - por tanto, no lo inventamos.
Reglamento (UE) 2024/1689, artículo 70 →Las prohibiciones del artículo 5 (y sus multas de hasta 35 M€) se aplican desde el 2 de febrero de 2025. Todo el régimen de sanciones (capítulo XII, artículo 99) está en aplicación desde el 2 de agosto de 2025. Por tanto, no es un plazo lejano: el marco de las multas ya está activo hoy en día.
Reglamento (UE) 2024/1689, artículo 113 →Los proveedores de grandes modelos de IA de uso general (las "bases" detrás de herramientas como los asistentes de IA) están sujetos a un régimen aparte: es la propia Comisión Europea quien puede imponerles una multa de hasta 15 M€ o el 3% de su facturación mundial. Este régimen se dirige al editor del modelo, no a la empresa que lo utiliza en su día a día.
Reglamento (UE) 2024/1689, artículo 101 →El reglamento prevé que cada Estado miembro transmita cada año a la Comisión un informe sobre las multas realmente impuestas. Hasta la fecha no se ha identificado ninguna primera edición de este informe en las fuentes oficiales consultadas - por tanto, no citamos ningún caso concreto ni ningún importe realmente impuesto mientras no se publique oficialmente.
Reglamento (UE) 2024/1689, artículo 99§11 →En Europa, cada país tiene sus propias autoridades. A continuación, para los 30 países del Espacio Económico Europeo, encontrará la autoridad de protección de datos (su interlocutor en materia de RGPD) y la autoridad nacional de ciberseguridad. Cada nombre enlaza con el sitio oficial.
Fuentes: sitios oficiales de las autoridades y lista de miembros del EDPB (edpb.europa.eu), consultados el 18 de julio de 2026. Autoridades de protección de datos confirmadas: 30/30. Autoridades de ciberseguridad confirmadas: 28/30. Las menciones «por confirmar» indican una fuente oficial aún no consolidada a día de hoy.
Escríbanos para un primer intercambio y un presupuesto personalizado.
Gratis: su puntuación + sus brechas. El informe detallado y el certificado: 499 EUR sin IVA, solo si usted lo decide.
contact@syaga.eu