Guía del Reglamento de IA · 11 min
El Reglamento de IA de la UE: niveles de riesgo, calendario y qué deben hacer los responsables del despliegue (artículo 26)
El Reglamento de IA de la UE es la primera ley integral del mundo sobre inteligencia artificial. Clasifica los sistemas de IA por riesgo y sitúa la mayoría de las obligaciones pesadas en los sistemas de alto riesgo, pero también impone obligaciones concretas a las organizaciones que usan IA, no solo a las que la construyen. Ya está en vigor y se aplica por fases hasta 2027. Esta guía explica los niveles de riesgo, las fechas que importan, las obligaciones del responsable del despliegue del artículo 26 y qué significa cuando usted adquiere o despliega IA en su cadena de suministro.
Puntos clave
- El Reglamento de IA (Reglamento (UE) 2024/1689) clasifica la IA por riesgo: prohibido, alto riesgo, limitado (transparencia) y mínimo.
- Fechas escalonadas: en vigor el 1 de agosto de 2024; prácticas prohibidas desde el 2 de febrero de 2025; IA de uso general desde el 2 de agosto de 2025; alto riesgo y la mayoría de las obligaciones desde el 2 de agosto de 2026.
- Si usa un sistema de IA de alto riesgo, es un «responsable del despliegue» con sus propias obligaciones del artículo 26 (supervisión humana, monitorización, registros y más) aunque el proveedor cargue con la mayoría de las obligaciones del lado de la construcción.
Qué es el Reglamento de IA
El Reglamento de IA (Reglamento (UE) 2024/1689) es un reglamento basado en el riesgo, de tipo producto, para los sistemas de IA introducidos en el mercado de la UE o cuya salida se utiliza en la UE. Al ser un reglamento, se aplica directamente en todos los Estados miembros. Reparte obligaciones a lo largo de la cadena de valor: principalmente a los proveedores (que desarrollan IA) y a los responsables del despliegue (que la usan bajo su propia autoridad), con papeles más ligeros para importadores y distribuidores.
En lugar de regular «la IA» de forma uniforme, clasifica los sistemas en niveles de riesgo y escala las obligaciones en consecuencia: un puñado de prácticas están prohibidas de plano, un conjunto definido de usos de alto riesgo conllevan requisitos pesados, algunos sistemas solo necesitan transparencia, y la gran mayoría (la IA de riesgo mínimo) no conlleva prácticamente ninguna.
Dónde están las obligaciones
Prácticas prohibidas (vetadas), sistemas de alto riesgo (las obligaciones pesadas: p. ej. IA usada en empleo, crédito, infraestructuras críticas o biometría) y sistemas de riesgo limitado que exigen transparencia (p. ej. avisar a los usuarios de que interactúan con una IA o de que un contenido está generado por IA).
Riesgo mínimo (la mayoría de la IA)
La gran mayoría de los sistemas de IA (filtros antispam, motores de recomendación, la mayoría de las herramientas de productividad) caen en el riesgo mínimo y no conllevan obligaciones específicas conforme al Reglamento, más allá de códigos voluntarios y una expectativa general de alfabetización en IA.
El calendario
El Reglamento se aplica por fases. Las fechas que guían la planificación:
Entró en vigor. El reloj empieza a correr; las obligaciones entran en vigor por fases a partir de aquí.
Las prácticas prohibidas se aplican: la IA de «riesgo inaceptable» (p. ej. puntuación social, ciertos usos manipuladores o de categorización biométrica) queda vetada. También empiezan las obligaciones de alfabetización en IA.
Comienzan las obligaciones para los modelos de IA de uso general (GPAI), junto con las estructuras de gobernanza y las autoridades nacionales competentes.
El evento principal: las obligaciones para los sistemas de alto riesgo (incluidas las del responsable del despliegue del artículo 26) se aplican.
Plazo ampliado para la IA de alto riesgo que es un componente de seguridad de productos ya regulados por otra normativa de la UE (anexo I).
Qué deben hacer los responsables del despliegue (artículo 26)
Si usa un sistema de IA de alto riesgo bajo su propia autoridad, el artículo 26 le impone obligaciones operativas. En resumen, un responsable del despliegue debe:
- Usar el sistema conforme a las instrucciones de uso del proveedor.
- Asignar la supervisión humana a personas competentes, formadas y con recursos adecuados que puedan intervenir o anular su funcionamiento.
- Vigilar el funcionamiento del sistema, y suspender el uso e informar al proveedor y a las autoridades cuando presente un riesgo o se produzca un incidente grave.
- Conservar los registros generados automáticamente durante un período adecuado: al menos seis meses, salvo que otra norma exija más.
- Velar por que los datos de entrada sean pertinentes y suficientemente representativos para la finalidad, en la medida en que los controle.
- Informar a los trabajadores y a sus representantes antes de poner en servicio un sistema de alto riesgo en el lugar de trabajo, e informar a las personas sujetas a sus decisiones.
- Realizar una evaluación de impacto sobre los derechos fundamentales cuando se exija (art. 27), y cooperar con las autoridades competentes.
Cómo encaja con NIS2 y el RGPD
El Reglamento de IA no sustituye sus otras obligaciones. Se suma a ellas. Un sistema de IA que trata datos personales sigue regido por el RGPD (y puede necesitar una evaluación de impacto relativa a la protección de datos junto a la de derechos fundamentales del Reglamento de IA). Un sistema de IA que forma parte de la operación de sus servicios esenciales sigue sujeto a las obligaciones de seguridad y notificación de NIS2. Los tres se solapan en lugar de sustituirse.
Para la contratación, esa convergencia es el punto práctico. Cuando incorpora un sistema de IA a su cadena de suministro, hereda obligaciones de responsable del despliegue (art. 26) y necesita conocer la postura de cumplimiento del proveedor: conformidad, instrucciones de uso, registro, clase de riesgo del sistema. Es el mismo músculo de diligencia de proveedores que NIS2 ya le pide desarrollar, orientado a la IA.
La clasificación de los sistemas de IA (en especial la frontera del alto riesgo y las reglas de GPAI) es detallada y específica de cada caso, y aún están llegando actos de ejecución y normas. Confirme la clase de un sistema concreto y su papel con asesoramiento cualificado y el texto oficial.
Qué significa para usted
Sus obligaciones dependen de su papel respecto al sistema:
Un proveedor (desarrolla o modifica sustancialmente un sistema de IA)
Carga con las obligaciones del lado de la construcción: gestión de riesgos, gobernanza de datos, documentación técnica, evaluación de la conformidad y marcado CE para sistemas de alto riesgo. En gran medida desde el 2 de agosto de 2026.
Un responsable del despliegue (usa IA bajo su propia autoridad)
El artículo 26 aplica a los sistemas de alto riesgo: supervisión humana, monitorización, registros, información a los trabajadores y una evaluación de derechos fundamentales cuando se exija. Constrúyalo ya para la fecha del 2 de agosto de 2026.
Un importador o distribuidor
Solo puede comercializar sistemas de alto riesgo conformes, debe verificar la conformidad y el marcado CE del proveedor, y debe actuar cuando sepa que un sistema no es conforme.
Un comprador que adquiere IA para su cadena de suministro
Normalmente es el responsable del despliegue. Exija las instrucciones del proveedor, la clase de riesgo, el estado de conformidad y la capacidad de registro, y trate a los proveedores de IA como parte de su diligencia de proveedores NIS2.
Fuentes: Reglamento (UE) 2024/1689 (Reglamento de IA) y las páginas de la Comisión Europea sobre el Reglamento de IA. Las fechas, los niveles y los papeles reflejan el reglamento publicado; confirme la clasificación de un sistema concreto con asesoramiento cualificado.
Cómo ayuda norppa.io
norppa.io no hará que un sistema de IA cumpla el Reglamento de IA (eso corresponde al proveedor y al responsable del despliegue) pero le da visibilidad sobre la exposición a la IA en su cadena de suministro, que es donde empieza la diligencia del responsable del despliegue. Su escaneo saca a la luz endpoints de servicios de IA, API de modelos e inferencia expuestas e interfaces relacionadas con IA (incluidos endpoints de Model Context Protocol) en la superficie de ataque de sus proveedores.
Los cuestionarios de autoevaluación captan lo que ningún escaneo externo ve (qué sistemas de IA despliega un proveedor, su clase de riesgo, su estado de conformidad y sus arreglos de supervisión humana) y cada respuesta se coteja con el perfil técnico en vivo, lista para su expediente de proveedores. Es el mismo enfoque continuo y respaldado por evidencia que espera NIS2, extendido a la IA que ejecutan sus proveedores.