Reglamento Europeo de Inteligencia Artificial: Europa intenta poner límites al poder invisible de los algoritmos
Una norma para una tecnología que ya no es futurista
Durante años se habló de la inteligencia artificial como si fuera una promesa lejana. Hoy esa idea ha quedado vieja. La IA ya está en los buscadores, en los sistemas de selección de personal, en los filtros de crédito, en la sanidad, en la educación, en la seguridad, en la justicia, en la publicidad política y en la generación masiva de contenidos.
Por eso el Reglamento (UE) 2024/1689, conocido como Reglamento Europeo de Inteligencia Artificial o AI Act, marca un cambio de época. No estamos ante una simple norma técnica. Estamos ante el primer gran intento de una democracia avanzada por decir algo tan elemental como incómodo: no todo lo que puede hacer un algoritmo debe estar permitido.
El texto aprobado por la Unión Europea persigue dos objetivos que pueden parecer contradictorios, pero que en realidad deben caminar juntos. Por un lado, quiere favorecer la innovación y construir un mercado europeo de inteligencia artificial. Por otro, pretende proteger la salud, la seguridad, los derechos fundamentales, la democracia, el Estado de Derecho y el medio ambiente. El propio Reglamento declara que su finalidad es promover una IA “centrada en el ser humano y fiable”, garantizando al mismo tiempo un alto nivel de protección de los derechos y valores europeos.
La clave está ahí: Europa no dice “no” a la inteligencia artificial. Dice “sí, pero con reglas”.
El principio central: regular según el riesgo
El Reglamento no trata igual todos los usos de la IA. No tendría sentido aplicar la misma carga regulatoria a un filtro que mejora una fotografía, a un sistema que ayuda a diagnosticar una enfermedad, a una herramienta que puntúa candidatos a un empleo o a un algoritmo policial que pretende predecir delitos.
Por eso el modelo europeo se basa en una clasificación por riesgo. En la práctica, hay cuatro grandes niveles: usos prohibidos, sistemas de alto riesgo, sistemas sometidos a obligaciones de transparencia y usos de riesgo mínimo o limitado.
Este enfoque es razonable. No demoniza la tecnología, pero tampoco cae en la ingenuidad de pensar que todo avance técnico es automáticamente progreso social. La IA puede ayudar a optimizar recursos, mejorar diagnósticos, ahorrar energía o detectar fraudes. También puede discriminar, manipular, vigilar, excluir o automatizar decisiones injustas a una escala inédita.
El Reglamento parte de una evidencia incómoda: el daño producido por la IA no siempre se ve. A veces no hay una puerta cerrada, una denegación explícita o una persona que asuma la responsabilidad. Hay una puntuación, una recomendación, una clasificación opaca o una decisión aparentemente neutra. Precisamente por eso hacía falta una norma.
Lo que queda prohibido: cuando la IA cruza una línea roja
El Reglamento identifica una serie de prácticas que considera incompatibles con los valores europeos. Son los usos de riesgo inaceptable. No se someten a permisos, controles o matices generales: se prohíben.
Entre ellos están los sistemas de IA que utilicen técnicas subliminales, manipuladoras o engañosas para alterar de forma sustancial el comportamiento de una persona o de un colectivo, especialmente cuando puedan causar perjuicios importantes. También se prohíben los sistemas que exploten vulnerabilidades derivadas de la edad, la discapacidad o una situación social o económica concreta.
Aquí Europa acierta de lleno. Una cosa es persuadir, informar o recomendar. Otra muy distinta es diseñar sistemas capaces de aprovechar debilidades humanas para empujar a una persona hacia decisiones que no habría tomado libremente. La frontera no siempre será sencilla de aplicar, pero al menos queda marcada.
También se prohíbe la llamada puntuación ciudadana cuando clasifica a personas o colectivos atendiendo a su comportamiento social o a características personales inferidas o predichas, y de ello deriva un trato perjudicial o desproporcionado. Es una advertencia clara frente a modelos de control social incompatibles con una sociedad democrática.
Otro punto especialmente delicado es la policía predictiva. El Reglamento prohíbe utilizar IA para evaluar el riesgo de que una persona cometa un delito basándose únicamente en perfiles o rasgos de personalidad. La presunción de inocencia no puede convertirse en una probabilidad estadística fabricada por una máquina.
La norma también veta la creación o ampliación de bases de datos de reconocimiento facial mediante extracción indiscriminada de imágenes de internet o de circuitos cerrados de televisión. Además, prohíbe inferir emociones en centros de trabajo y educativos, salvo por motivos médicos o de seguridad.
Este último punto merece subrayarse. La idea de que una empresa pueda analizar la cara, la voz o los gestos de una persona trabajadora para deducir si está motivada, cansada, enfadada o desleal tiene algo profundamente inquietante. No todo lo medible debe medirse. Mucho menos cuando hay una relación de poder tan desigual.
La biometría: una de las grandes batallas democráticas
El Reglamento dedica una atención especial a la identificación biométrica remota. No es casual. Pocas tecnologías tienen tanta capacidad para alterar la vida pública como el reconocimiento facial masivo.
El texto europeo distingue entre usos de autenticación —por ejemplo, desbloquear un dispositivo o confirmar que una persona es quien dice ser— y sistemas de identificación biométrica remota capaces de reconocer personas sin participación activa, generalmente a distancia y comparando sus datos con una base de referencia.
El uso en tiempo real en espacios públicos con fines policiales queda sometido a límites muy estrictos. El propio Reglamento reconoce que esta práctica puede afectar gravemente a la vida privada, generar sensación de vigilancia permanente y disuadir el ejercicio de derechos como la libertad de reunión.
Europa no cierra completamente la puerta a estos sistemas en situaciones excepcionales, como la búsqueda de víctimas, amenazas graves o determinados delitos. Sin embargo, exige necesidad estricta, límites temporales y geográficos, garantías y autorización. Esta es una de las zonas donde más tensión habrá entre seguridad y libertad.
Y conviene decirlo sin rodeos: una democracia no se define solo por cómo persigue el delito, sino por los límites que acepta imponerse cuando dispone de tecnologías capaces de vigilar a toda la población.
Sistemas de alto riesgo: no se prohíben, pero se controlan
La segunda gran categoría es la de los sistemas de IA de alto riesgo. Aquí no hablamos de usos prohibidos, sino de aplicaciones que pueden ser legítimas, pero solo si cumplen requisitos estrictos.
El Reglamento considera de alto riesgo, entre otros, los sistemas de IA usados como componentes de seguridad de determinados productos sometidos a evaluación de conformidad. También incluye los sistemas recogidos en el anexo III, donde aparecen ámbitos especialmente sensibles.
Entre esos ámbitos están la educación, el empleo, la gestión laboral, el acceso a servicios esenciales, la evaluación crediticia, las infraestructuras críticas, la migración, el control fronterizo, la justicia y determinados procesos democráticos.
La lógica es evidente. Si una IA decide quién entra en una universidad, quién consigue un empleo, quién recibe una prestación, quién accede a crédito o cómo se prioriza una emergencia sanitaria, no estamos ante una herramienta cualquiera. Estamos ante una tecnología con capacidad real para condicionar vidas.
En estos casos, el Reglamento exige gestión de riesgos, calidad de los datos, documentación técnica, registros automáticos, transparencia, supervisión humana, precisión, solidez y ciberseguridad. No basta con decir que el sistema “funciona”. Habrá que demostrar cómo funciona, con qué datos, con qué límites, con qué controles y con qué mecanismos de corrección.
El impacto en el trabajo: la plantilla tiene derecho a saber
Uno de los aspectos más relevantes para el mundo laboral es la obligación de informar cuando se utilicen sistemas de IA de alto riesgo en el lugar de trabajo.
Antes de poner en servicio o utilizar uno de estos sistemas, los empleadores deberán informar a los representantes de los trabajadores y a las personas afectadas de que estarán expuestas a su utilización.
Esto es más importante de lo que parece. La IA ya se usa para filtrar currículos, medir productividad, asignar tareas, evaluar rendimiento o detectar patrones de comportamiento. Si estas herramientas se despliegan sin transparencia, la relación laboral puede convertirse en una especie de administración algorítmica invisible.
No se trata solo de proteger datos personales. Se trata de proteger dignidad, igualdad, negociación colectiva y derecho a saber bajo qué criterios se evalúa a una persona trabajadora. La tecnología no puede ser una excusa para sustituir derechos por métricas.
Evaluaciones de impacto: mirar antes de desplegar
El Reglamento obliga a determinados responsables del despliegue —especialmente organismos públicos, entidades privadas que prestan servicios públicos y algunos operadores de servicios esenciales— a realizar una evaluación de impacto sobre derechos fundamentales antes de utilizar sistemas de IA de alto riesgo.
Esa evaluación debe describir los procesos donde se usará el sistema, el tiempo y frecuencia de uso, las categorías de personas afectadas, los riesgos concretos, las medidas de supervisión humana y los mecanismos de reclamación o gobernanza interna.
Esta exigencia es saludable. Durante demasiado tiempo, muchas tecnologías se han implantado primero y se han discutido después. Con la IA, ese enfoque puede ser letal para los derechos. Cuando una herramienta ya está integrada en procedimientos administrativos, laborales o comerciales, corregir sus sesgos resulta mucho más difícil.
Europa intenta invertir el orden: primero piense, luego despliegue.
Transparencia: saber cuándo hablamos con una máquina
Otro bloque esencial del Reglamento afecta a la transparencia. Los sistemas de IA diseñados para interactuar directamente con personas deberán informar de que se está interactuando con una IA, salvo que resulte evidente para una persona razonablemente informada y atenta.
Además, los sistemas que generen contenido sintético de audio, imagen, vídeo o texto deberán marcar sus resultados en formato legible por máquina para que pueda detectarse que han sido generados o manipulados artificialmente.
Esto tendrá una relevancia enorme en medios, redes sociales, publicidad, campañas electorales y creación audiovisual. La IA generativa ha multiplicado la capacidad de fabricar imágenes, voces, vídeos y textos aparentemente reales. Sin reglas claras, la frontera entre información, manipulación y falsificación puede desdibujarse peligrosamente.
A fecha 6 de mayo de 2026, la Comisión Europea trabaja además en un código de buenas prácticas para el marcado y etiquetado de contenidos generados por IA. La segunda versión del borrador fue publicada el 5 de marzo de 2026, y la propia Comisión señala que las reglas de transparencia sobre contenidos generados por IA serán aplicables desde el 2 de agosto de 2026. (Estrategia Digital Europea)
Este punto será decisivo. La democracia necesita saber si una imagen es real, si una voz ha sido clonada, si un vídeo ha sido manipulado o si una supuesta declaración pública nunca existió. No por purismo tecnológico, sino por higiene democrática.
Modelos de IA de uso general: el corazón del nuevo poder tecnológico
El Reglamento presta especial atención a los modelos de IA de uso general, es decir, aquellos capaces de servir para una amplia variedad de fines. Aquí entran los grandes modelos generativos que producen texto, imagen, audio, vídeo o código.
Los proveedores de estos modelos deben mantener documentación técnica, informar a quienes integren esos modelos en otros sistemas, establecer directrices para cumplir el Derecho europeo de autor y publicar un resumen suficientemente detallado del contenido utilizado para el entrenamiento.
Este punto toca una herida abierta. Buena parte de la IA generativa se ha construido entrenando modelos con cantidades gigantescas de textos, imágenes, sonidos y obras disponibles en internet. Muchos creadores, periodistas, artistas y editoriales se preguntan con razón si su trabajo ha sido usado sin consentimiento, sin transparencia y sin compensación.
La Unión Europea no resuelve por completo ese debate, pero introduce una obligación mínima: más transparencia y respeto a la reserva de derechos prevista en la normativa europea de propiedad intelectual.
Además, los modelos de uso general con riesgo sistémico —los más potentes y con mayor capacidad de impacto— están sometidos a obligaciones adicionales de evaluación, mitigación de riesgos y ciberseguridad. El Código de Buenas Prácticas para modelos de IA de uso general fue publicado el 10 de julio de 2025, y la Comisión lo presenta como una herramienta voluntaria para ayudar a cumplir las obligaciones de transparencia, derechos de autor, seguridad y protección aplicables a estos modelos. (Estrategia Digital Europea)
A 6 de mayo de 2026, las obligaciones para modelos de IA de uso general ya son aplicables desde el 2 de agosto de 2025, mientras que los poderes de ejecución de la Comisión respecto de estos proveedores entrarán en aplicación el 2 de agosto de 2026; los modelos introducidos antes del 2 de agosto de 2025 tendrán plazo hasta el 2 de agosto de 2027 para cumplir. (Estrategia Digital Europea)
Calendario de aplicación: qué está ya vigente y qué llega ahora
El Reglamento entró en vigor el 1 de agosto de 2024 y será plenamente aplicable el 2 de agosto de 2026, con excepciones relevantes. Según la Comisión Europea, las prácticas prohibidas y las obligaciones de alfabetización en IA se aplican desde el 2 de febrero de 2025; las reglas de gobernanza y las obligaciones para modelos de IA de uso general son aplicables desde el 2 de agosto de 2025; y las reglas para sistemas de alto riesgo integrados en productos regulados tendrán un periodo ampliado hasta el 2 de agosto de 2027. (Estrategia Digital Europea)
El propio Reglamento ya anticipaba esa aplicación escalonada: prohibiciones desde febrero de 2025, obligaciones para modelos de uso general desde agosto de 2025, sanciones desde agosto de 2025 y aplicación general desde agosto de 2026.
Esto significa que, a 6 de mayo de 2026, no estamos ante una norma dormida. Parte del Reglamento ya despliega efectos. El gran hito inmediato será el 2 de agosto de 2026, cuando entren en juego muchas de las obligaciones generales pendientes.
España y la AESIA: el brazo supervisor
En España, la autoridad llamada a desempeñar un papel central es la Agencia Española de Supervisión de Inteligencia Artificial, AESIA. Su Estatuto fue aprobado por el Real Decreto 729/2023, de 22 de agosto, y la agencia tiene sede institucional en A Coruña. El BOE recoge que se configura como entidad de derecho público con personalidad jurídica propia y autonomía de gestión. (BOE)
La AESIA fue concebida para cumplir las exigencias derivadas del marco europeo de inteligencia artificial: supervisar la aplicación, coordinar actuaciones, actuar como punto de contacto con la Comisión y representar a España ante el Comité Europeo de Inteligencia Artificial. (BOE)
La dimensión española no es menor. La aplicación práctica del Reglamento dependerá de cómo se coordinen AESIA, autoridades sectoriales, Agencia Española de Protección de Datos, órganos judiciales, administraciones públicas y empresas. Regular IA no será solo publicar normas. Será inspeccionar, interpretar, orientar, sancionar y crear cultura institucional.
Sanciones: la norma viene con dientes
El Reglamento no se limita a declaraciones bienintencionadas. Prevé multas importantes.
El incumplimiento de las prácticas prohibidas puede sancionarse con hasta 35 millones de euros o, si se trata de una empresa, hasta el 7 % de su volumen de negocios mundial anual, si esta cifra es superior. Otros incumplimientos relevantes pueden alcanzar los 15 millones de euros o el 3 % del volumen de negocios mundial. La entrega de información inexacta, incompleta o engañosa puede sancionarse con hasta 7,5 millones de euros o el 1 % del volumen de negocios mundial.
El mensaje es claro: la ética algorítmica deja de ser un PowerPoint corporativo y empieza a tener consecuencias económicas.
Una valoración crítica: avance histórico, pero no garantía absoluta
El Reglamento Europeo de Inteligencia Artificial es un avance histórico. No porque sea perfecto, sino porque rompe con una idea peligrosa: que la tecnología debe avanzar primero y la sociedad adaptarse después.
La norma introduce límites, obligaciones y responsabilidades. Protege frente a usos especialmente invasivos. Reconoce que la IA puede afectar a derechos fundamentales. Obliga a pensar en transparencia, supervisión humana, calidad de datos y rendición de cuentas.
Sin embargo, conviene no caer en la autocomplacencia. El Reglamento será tan fuerte como lo sea su aplicación. Si las autoridades carecen de medios, si las empresas convierten el cumplimiento en burocracia cosmética o si los ciudadanos no entienden sus derechos, la norma puede quedarse corta.
También hay un riesgo evidente: que la complejidad técnica sirva de refugio para la opacidad. Muchas decisiones algorítmicas seguirán siendo difíciles de explicar. No bastará con decir que hay supervisión humana si esa supervisión es decorativa. Tampoco bastará con etiquetar contenidos generados por IA si las plataformas no actúan con diligencia ante campañas masivas de manipulación.
Europa ha puesto el marco. Ahora toca demostrar que puede hacerlo cumplir.
Conclusión: la IA necesita democracia, no solo innovación
El Reglamento Europeo de Inteligencia Artificial plantea una pregunta de fondo: ¿queremos que la inteligencia artificial se adapte a los valores democráticos o que nuestras sociedades se adapten resignadamente al poder de los algoritmos?
La respuesta europea, con todas sus imperfecciones, es valiente. La innovación importa, pero no puede estar por encima de la dignidad humana, la igualdad, la privacidad, la libertad sindical, la presunción de inocencia, la protección de la infancia o la limpieza del debate público.
La IA puede ayudarnos a curar mejor, gestionar mejor, investigar mejor y decidir mejor. Pero también puede vigilar más, discriminar más, manipular más y concentrar más poder en menos manos.
Por eso este Reglamento no es una traba al futuro. Es una condición para que el futuro siga siendo habitable democráticamente. Porque una sociedad tecnológicamente avanzada, pero incapaz de proteger a sus ciudadanos frente al abuso algorítmico, no sería más moderna. Solo sería más vulnerable.
