La Ley de Inteligencia Artificial (Ley de IA) es el nombre habitual del Reglamento Europeo de Inteligencia Artificial, aplicable en España junto con la normativa de protección de datos y las reglas sectoriales.

Qué es la Ley de IA y qué regula en España

El Reglamento (UE) 2024/1689, también llamado AI Act o RIA, establece reglas para introducir sistemas de IA en el mercado, ponerlos en servicio y utilizarlos, además de obligaciones sobre modelos de uso general. Sus objetivos de protección de la salud, la seguridad y los derechos fundamentales se combinan con el apoyo a la innovación. Ampliamos este enfoque en los objetivos de la Ley de Inteligencia Artificial.

Normativa de inteligencia artificial en España: mapa de normas

Normas y documentos que debes distinguir al revisar un uso de IA
Norma o documento Estado Qué resuelve Fuente oficial y ampliación
Reglamento (UE) 2024/1689 En vigor; aplicación por fases. Ámbito, prohibiciones, alto riesgo, transparencia y modelos de uso general. Ámbito de aplicación del AI Act, artículo 2, que incluye los supuestos territoriales y las exclusiones. Consulta cuándo es obligatoria la Ley de IA.
Reglamento (UE) 2026/1744 En vigor desde el 27/07/2026, con cambios de aplicación diferida. Modifica el calendario de alto riesgo, la alfabetización, ciertas prohibiciones y otras reglas de cumplimiento. Texto del Ómnibus digital sobre IA.
Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial Caducado; no aprobado como ley. Proponía completar la supervisión, las autoridades, los espacios de pruebas y el régimen sancionador español. Proyecto publicado en el BOCG.
RGPD y LOPDGDD Vigentes. Tratamiento de datos personales: licitud, información, derechos, seguridad y evaluaciones de impacto cuando procedan. La Ley Orgánica 3/2018 complementa el RGPD. Se aplican también a sistemas que no sean de alto riesgo bajo el AI Act.
Normativa laboral y otras reglas sectoriales Aplicación según actividad, sistema y supuesto. Añaden obligaciones propias. Por ejemplo, información sobre sistemas algorítmicos que intervienen en condiciones de trabajo. Artículo 3.2.k del Real Decreto 723/2026. Consulta los sectores afectados por la Ley de IA.

Reglamento de inteligencia artificial: texto oficial y cómo consultarlo

El PDF original del AI Act de 2024 no incorpora las modificaciones posteriores: debe consultarse junto con el Reglamento (UE) 2026/1744. El explorador de artículos de la Comisión Europea permite localizar cada precepto; los textos publicados en el Diario Oficial son la referencia jurídica.

  • Ámbito y papel de la empresa: artículos 2 y 3.
  • Prohibiciones y clasificación: artículos 5 y 6; anexos I y III.
  • Requisitos y obligaciones de alto riesgo: artículos 8 a 27; evaluación de conformidad en el artículo 43.
  • Chatbots, contenido sintético y avisos: artículo 50.
  • Modelos de IA de uso general: artículos 51 a 55.
  • Sanciones y fechas: artículos 99, 101, 111 y 113.

Calendario de aplicación de la Ley de IA

La entrada en vigor no coincide con la aplicación de todas las obligaciones. El artículo 113, modificado en 2026, fija el calendario; el artículo 111 regula la transición de sistemas y modelos anteriores.

Calendario de aplicación y comprobación práctica
Fecha Cambio y sujetos afectados Qué revisar Disposición
2/02/2025 Primeras prohibiciones y alfabetización para proveedores y responsables del despliegue dentro del ámbito del reglamento. Usos prohibidos y medidas formativas; aplicar la redacción actual del artículo 4. Arts. 4, 5 y 113.a.
2/08/2025 Reglas sobre modelos de IA de uso general, además de los bloques de gobernanza previstos. Si se proporciona un modelo o se utiliza una aplicación basada en él: son situaciones diferentes. Capítulo V y art. 113.b.
2/08/2026 Fecha general, incluidas las obligaciones de transparencia que correspondan. Avisos de interacción, marcado técnico, revelación de deepfakes y determinados textos de interés público. Arts. 50 y 113.
2/12/2026 Nuevas prohibiciones sobre material íntimo no consentido y material de abuso sexual de menores, con los supuestos y condiciones legales. Finalidad, capacidades y salvaguardas de los sistemas; uso concreto por el responsable del despliegue. Art. 5.1, letras b bis y b ter; apartados 1 bis y 1 ter; art. 113.a.
2/12/2026 Proveedores de sistemas que generan contenido sintético e introducidos en el mercado antes del 2/08/2026. Adaptación al marcado técnico del artículo 50.2. No es una prórroga del aviso de interacción del artículo 50.1. Art. 111.4.
2/08/2027 Proveedores de modelos de uso general introducidos en el mercado antes del 2/08/2025. Adaptación de esos modelos a las obligaciones correspondientes. Art. 111.3.
2/12/2027 Sistemas de alto riesgo del artículo 6.2 y anexo III. Requisitos y obligaciones del capítulo III, secciones 1 a 3, salvo el artículo 6.5. Art. 113.c.i.
2/08/2028 Sistemas de alto riesgo del artículo 6.1 y anexo I. Las mismas secciones, con las reglas especiales del artículo 2.2 para los productos del anexo I, sección B, y del artículo 2.13 para los de la sección A. Arts. 2.2, 2.13 y 113.c.ii.

Para los sistemas de alto riesgo anteriores a la fecha que les corresponda, el régimen transitorio del artículo 111 exige comprobar si hay cambios significativos en su diseño. Incluye además reglas específicas para sistemas destinados a autoridades públicas y grandes sistemas informáticos. La fecha de compra, por sí sola, no permite decidir qué régimen se aplica.

Proyecto de Ley Orgánica de IA: estado en España

El Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial no llegó a aprobarse. La ficha del expediente 121/000096 recoge su caducidad el 6 de octubre de 2026, tras la disolución de las Cortes mediante el Real Decreto 806/2026. La caducidad del expediente nacional no suspende el AI Act, directamente aplicable en los Estados miembros.

El texto pretendía completar la aplicación española del reglamento mediante autoridades, procedimientos, sanciones y medidas para el sector público. La aprobación del proyecto por el Consejo de Ministros el 26 de mayo fue un paso para remitirlo al Parlamento, no la aprobación definitiva de una ley.

A quién afecta la Ley de IA: roles y obligaciones

Las definiciones de proveedor y responsable del despliegue del artículo 3 distinguen a quien desarrolla o encarga un sistema y lo comercializa o pone en servicio bajo su nombre de quien lo utiliza bajo su autoridad. Una misma empresa puede asumir varios papeles.

Obligaciones según el papel de la organización, el sistema y su fecha de aplicación
Situación Qué puede corresponder Primera comprobación
Empresa o administración que utiliza IA de terceros Alfabetización, respeto de prohibiciones y transparencia cuando concurra su supuesto. Si utiliza alto riesgo, obligaciones del responsable del despliegue del artículo 26, con su calendario. Finalidad, instrucciones, personas afectadas y capacidad de supervisión. No asumir que el contrato traslada todas las responsabilidades al proveedor.
Proveedor de un sistema de alto riesgo Obligaciones del artículo 16: requisitos del sistema, documentación, gestión de calidad, conformidad y demás actuaciones exigibles. Clasificación, versión y finalidad prevista. Preparar las evidencias correspondientes al régimen aplicable.
Integrador que modifica un sistema Puede convertirse en proveedor de alto riesgo si se cumplen los supuestos de cambio de marca, modificación sustancial o cambio de finalidad del artículo 25. Qué se modifica y si cambia el papel jurídico. Integrar una herramienta no convierte automáticamente en proveedor de alto riesgo.
Importador o distribuidor de alto riesgo Verificaciones y obligaciones propias de los importadores y distribuidores, según los artículos 23 y 24. Conformidad, identificación de los operadores e instrucciones antes de comercializar.
Proveedor de un modelo de uso general Documentación, información a integradores, política de derechos de autor y resumen del contenido de entrenamiento, según el artículo 53. Su apartado 2 exceptúa la documentación técnica y la información a integradores para modelos con licencia libre y de código abierto que cumplan sus condiciones; la excepción no alcanza a modelos con riesgo sistémico. No confundir proporcionar un modelo con contratar un chatbot que lo utiliza. Si existe riesgo sistémico, deben revisarse también las obligaciones adicionales del artículo 55.
Pyme o profesional autónomo El tamaño no constituye una exención general. Como ejemplo de proporcionalidad, la gestión de calidad de los proveedores de alto riesgo se adapta a su tamaño según el artículo 17.2. Consulta la Ley de IA para pymes o la Ley de Inteligencia Artificial para autónomos para trasladarlo a tu actividad.

Clasificación por riesgo y prácticas prohibidas

Los cuatro niveles habituales son un esquema divulgativo: prácticas prohibidas, alto riesgo, supuestos de transparencia y usos de riesgo mínimo. La clasificación jurídica de alto riesgo se comprueba con el artículo 6 y los anexos I y III, incluidas sus excepciones. Trabajar en sanidad o recursos humanos no convierte por sí solo cualquier herramienta en alto riesgo. El desarrollo está en sistemas de IA de alto riesgo.

El artículo 5 recoge prácticas prohibidas con condiciones concretas: manipulación o explotación de vulnerabilidades con perjuicio significativo, determinados sistemas de puntuación social, extracción indiscriminada de imágenes faciales y ciertos usos biométricos. Prohíbe inferir emociones en el trabajo y en centros educativos, salvo motivos médicos o de seguridad. Consulta los supuestos, excepciones y nuevas prohibiciones de diciembre en prácticas prohibidas por la Ley de IA.

Alfabetización: medidas adaptadas a quienes utilizan la IA

El artículo 4 vigente exige adoptar medidas para apoyar la alfabetización del personal y de quienes operan sistemas por cuenta de proveedores y responsables del despliegue. Deben considerar conocimientos, experiencia, contexto y personas afectadas; no exige garantizar un nivel específico por individuo. Un uso que no sea de alto riesgo puede seguir sujeto a esta obligación. Consulta cómo organizar la alfabetización en IA para empleados.

Transparencia: avisos, marcado técnico y contenido generado

El artículo 50 distingue obligaciones de proveedores y responsables del despliegue:

  • Interacción directa: el proveedor debe diseñar el sistema para informar de que se interactúa con IA, salvo que resulte evidente en las condiciones legales. La información se facilita, como máximo, en la primera interacción.
  • Marcado técnico: el proveedor de un sistema generador de audio, imagen, vídeo o texto debe asegurar el marcado legible por máquina y la detección de su origen artificial, con los límites y excepciones del artículo 50.2.
  • Deepfakes: el responsable del despliegue debe revelar la generación o manipulación artificial del contenido. Las obras artísticas, satíricas o ficticias tienen una forma de revelación adaptada. El artículo 50.4 exceptúa los usos autorizados por ley para detectar, prevenir, investigar o enjuiciar delitos.
  • Texto de interés público: el responsable del despliegue debe revelar el origen artificial de los textos publicados para informar al público sobre asuntos de interés público. El artículo 50.4 exceptúa los usos autorizados por ley para los fines penales indicados, así como los contenidos sometidos a revisión humana o control editorial cuando una persona física o jurídica asuma la responsabilidad editorial de la publicación.
  • Reconocimiento de emociones o categorización biométrica: informar a las personas expuestas cuando el uso esté permitido. El aviso no legaliza un uso prohibido.

Las directrices de transparencia de la Comisión, publicadas el 20 de julio de 2026, concretan estos supuestos. Para atención al cliente, revisa el desarrollo sobre Ley de IA para chatbots y asistentes virtuales.

El vídeo institucional How You’ll Know When It’s AI explica el aviso de interacción en el tramo 00:18–00:23.

Relación con el RGPD y otras obligaciones que ya existen

Cuando el sistema trata datos personales, debes comprobar también la base jurídica, la información a las personas, los contratos, la seguridad y, cuando proceda, las transferencias internacionales. Proveedor y responsable del despliegue no equivalen automáticamente a responsable y encargado del tratamiento. Son papeles definidos por normas distintas; el RGPD, artículos 4, 6, 13–14, 28 y 32, se aplica atendiendo a las decisiones reales sobre el tratamiento.

La evaluación de impacto en protección de datos y la evaluación sobre derechos fundamentales del AI Act tienen supuestos propios. El artículo 27, modificado por la reforma, permite aprovechar las partes pertinentes de una EIPD mediante referencias o incorporación. No exige una evaluación de derechos fundamentales a cualquier empresa por utilizar IA.

En el ámbito laboral ya existen obligaciones independientes del aplazamiento del alto riesgo. La AEPD explica en su documento del 7 de octubre de 2026 cómo coordinar transparencia laboral, protección de datos e intervención humana efectiva. Consulta la aplicación de la Ley de IA en recursos humanos.

Quién supervisa la inteligencia artificial en España

La supervisión se reparte por materia y sistema. El artículo 70 del AI Act exige autoridades nacionales competentes y un punto de contacto.

  • AESIA: existe y cuenta con el Estatuto aprobado por el Real Decreto 729/2023. Sus funciones de supervisión, asesoramiento y apoyo no convierten a la agencia en la única autoridad para cualquier uso de IA.
  • AEPD y autoridades de protección de datos: actúan sobre el tratamiento de datos personales dentro de sus competencias. La LOPDGDD, artículo 47, recoge las funciones y potestades de la AEPD.
  • Autoridades sectoriales: el artículo 74 establece reglas específicas de vigilancia para productos regulados y determinados ámbitos.
  • Comisión y Oficina Europea de IA: supervisan modelos de uso general y ciertos sistemas. La reforma amplía los supuestos de competencia de la Oficina en el artículo 75.

Consulta quién controla la inteligencia artificial y las competencias de cada autoridad.

Sanciones: qué cambia según el incumplimiento

El artículo 99 fija los siguientes máximos por infracción. La sanción depende de la obligación aplicable, su exigibilidad, el procedimiento, la gravedad y las circunstancias del caso.

Máximos del artículo 99 para los principales incumplimientos
Incumplimiento Importe máximo Porcentaje del volumen de negocios mundial del ejercicio anterior
Prácticas prohibidas del artículo 5 35 millones de euros 7 %
Obligaciones enumeradas en el artículo 99.4, incluida la transparencia del artículo 50 15 millones de euros 3 %
Información inexacta, incompleta o engañosa en respuesta a solicitudes de autoridades u organismos notificados 7,5 millones de euros 1 %

Para empresas, la regla general compara ambos límites y utiliza el superior. Para pymes, incluidas empresas emergentes, se aplica el menor; la reforma extiende una regla específica a pequeñas empresas de mediana capitalización en los apartados 4 y 5. El detalle de graduación y las diferencias entre sujetos se desarrolla en sanciones por incumplir la Ley de IA.

Los proveedores de modelos de uso general tienen además el régimen específico del artículo 101, bajo competencia de la Comisión.

Qué guía necesitas para tu siguiente paso

Recursos de Atico34 para pasar del marco general a la aplicación
Tu necesidad Recurso Qué encontrarás
Organizar la adaptación de la empresa Cómo cumplir la Ley de Inteligencia Artificial Un método para identificar usos, asignar responsabilidades y preparar medidas.
Preparar evidencias y documentos Documentación obligatoria de la Ley de IA Qué documentación revisar según el papel de la organización y el sistema.
Revisar controles y detectar carencias Auditoría de IA en España Alcance de la revisión, evidencias e informe de hallazgos.
Distinguir los niveles de riesgo limitado y mínimo IA de riesgo limitado y mínimo Qué se entiende por estos niveles y cómo se distinguen del alto riesgo.

Antes de encargar una evaluación, concreta el sistema, la versión, la finalidad y el papel de tu empresa. Una auditoría y una evaluación de conformidad responden a funciones distintas: el artículo 43 determina el procedimiento de conformidad y cuándo interviene un organismo notificado. No exige una auditoría externa idéntica para todo sistema.

Los abogados de inteligencia artificial de Atico34 revisan los usos de IA de tu empresa para determinar sus obligaciones y las medidas de adaptación necesarias.