100 días para el reglamento de IA más exigente del mundo: qué prohíbe, qué obliga y qué pasa en España el 2 de agosto
El 2 de agosto de 2026, el Reglamento europeo de Inteligencia Artificial (AI Act) entra en plena vigencia para todos los sistemas de alto riesgo. Es la primera norma jurídicamente vinculante sobre IA en el mundo. Prohíbe sistemas que eran legales hasta hace poco —puntuación social, manipulación subliminal, reconocimiento facial masivo en espacios públicos— y exige auditorías independientes a cualquier empresa que use IA en sectores críticos. Las sanciones llegan al 7% de la facturación global anual. Qué cambia exactamente el 2 de agosto y quién tiene que hacer algo antes de esa fecha.
Tres conceptos para entender el reglamento
Qué es el AI Act y por qué es diferente de otras regulaciones
El Reglamento (UE) 2024/1689 —AI Act— es la primera norma jurídicamente vinculante del mundo que regula la inteligencia artificial de forma horizontal. A diferencia de regulaciones sectoriales, se aplica a cualquier empresa que use o venda sistemas de IA en la UE, independientemente de dónde esté su sede. Que sea americana, china o española da igual: si opera en Europa con IA, le aplica. Esta extraterritorialidad es su principal novedad respecto a la regulación tecnológica anterior.
El sistema de cuatro niveles de riesgo
El reglamento clasifica los sistemas de IA en cuatro categorías: riesgo inaceptable (prohibidos directamente), alto riesgo (permitidos con auditorías y requisitos estrictos), riesgo limitado (solo obligaciones de transparencia) y riesgo mínimo (sin regulación específica). Para entenderlo: un chatbot de atención al cliente es riesgo mínimo. Un sistema que decide si te conceden un crédito es alto riesgo. Un sistema de puntuación social ciudadana —como el de China— es riesgo inaceptable y está prohibido.
Qué es la AESIA
La Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña, es el organismo creado por España para supervisar el cumplimiento del AI Act en el territorio nacional. Es la primera agencia de este tipo en el mundo. Tiene capacidad inspectora, puede iniciar procedimientos sancionadores y coordina con la Oficina Europea de IA. Está operativa desde 2024 y trabaja con foco específico en deepfakes, protección de menores e impacto laboral de la IA.
Qué prohíbe, qué obliga y qué pasa en España el 2 de agosto
Los hechos
El Reglamento UE 2024/1689 entró en vigor el 1 de agosto de 2024. Las prohibiciones absolutas —sistemas de puntuación social ciudadana, manipulación subliminal mediante IA, reconocimiento facial masivo en tiempo real en espacios públicos, categorización biométrica por raza o religión— aplican desde el 2 de febrero de 2025. Las obligaciones para sistemas de IA de alto riesgo —en sectores como sanidad, educación, justicia, infraestructuras críticas, empleo o crédito bancario— entran en plena aplicación el 2 de agosto de 2026. Las empresas afectadas deberán demostrar antes de esa fecha que sus sistemas cuentan con registro en la base de datos de la UE, auditoría técnica independiente, supervisión humana obligatoria y evaluación de impacto sobre derechos fundamentales. Las sanciones van del 1,5% al 7% de la facturación global anual según la infracción (artículo 99 del reglamento).
El contexto
El AI Act es el primer marco regulatorio integral sobre IA del mundo. La UE apostó por regulación ex ante —establecer reglas antes de que los daños ocurran— frente al modelo de EE.UU., que prefiere regulación ex post o autorregulación sectorial. El reglamento se redactó antes del boom de ChatGPT (2022) y tuvo que ampliarse durante el proceso legislativo para incluir los modelos de IA de propósito general —los grandes modelos de lenguaje que alimentan chatbots de consumo masivo—, que tienen obligaciones diferenciadas según su potencial sistémico. El texto final tardó más de tres años desde la propuesta de la Comisión (2021) hasta su aprobación por el Parlamento Europeo (marzo 2024).
Las motivaciones posibles
No son intenciones confirmadas: son incentivos observables.
La UE Sin empresas tecnológicas propias dominantes en el sector de la IA, el instrumento normativo es la forma europea de influir en cómo se desarrolla la tecnología en su territorio. El objetivo implícito —exportar estándares al resto del mundo como ocurrió con el RGPD de protección de datos— convierte al AI Act en instrumento de poder regulatorio tanto como de protección ciudadana.
Las grandes tecnológicas Google, Meta, Microsoft y OpenAI dedicaron recursos significativos a influir en el proceso legislativo, especialmente para suavizar las obligaciones sobre los modelos de propósito general. El texto final es más flexible en ese punto de lo que la Comisión propuso en 2021. Las grandes empresas tienen más capacidad de absorber el coste de cumplimiento que las startups europeas, lo que puede reforzar su posición dominante.
Las empresas españolas Las que usan IA en selección de personal, concesión de crédito o atención sanitaria —que caen en la categoría de alto riesgo— deben cumplir antes del 2 de agosto. El coste de compliance es real y desproporcionado para las pymes: contratar consultores de certificación, redactar documentación técnica y establecer protocolos de supervisión humana tiene un precio que las grandes empresas absorben mejor.
El mayor reto no es el texto: es la capacidad real de hacerlo cumplir
Cómo lo han contado otros medios
La cobertura del AI Act ha oscilado entre dos marcos opuestos: "Europa se queda atrás en IA por exceso de regulación" y "Europa lidera la IA responsable". Ambos son parciales. Lo que la cobertura habitual omite es el problema central de implementación: la AESIA tiene un presupuesto y plantilla limitados para supervisar un ecosistema de decenas de miles de empresas que usan IA en España. El RGPD, aprobado en 2018, todavía se aplica de forma muy desigual entre estados miembros ocho años después. El AI Act puede seguir el mismo camino: ambicioso en el papel, irregular en la práctica.
Tener la mejor ley del mundo sobre IA no sirve de nada si no hay capacidad real de supervisarla. La regulación sin enforcement es publicidad institucional.
Lo que queda abierto
- ¿Cuántas empresas en España tienen sistemas de IA de alto riesgo y no han iniciado aún el proceso de cumplimiento? No hay cifra oficial publicada, lo que hace imposible evaluar si el plazo es realista.
- ¿Cuántos inspectores tiene la AESIA y cuántos necesitaría para supervisar efectivamente el mercado español? El ratio inspectores/empresas definirá si la regulación es real o cosmética.
- ¿Cómo afectará el AI Act a los sistemas de selección de personal por IA, que ya utilizan miles de empresas en España y que caen en la categoría de alto riesgo? ¿Cuántas de esas empresas lo saben?
Cómo verificamos este artículo
El texto del Reglamento UE 2024/1689 está publicado íntegramente en el Diario Oficial de la Unión Europea. Las fechas de aplicación —prohibiciones desde el 2 de febrero de 2025; alto riesgo desde el 2 de agosto de 2026— están en el artículo 113 del reglamento. Las multas del 7% están en el artículo 99. Los datos sobre la AESIA proceden de su web oficial (aesia.gob.es) y de la cobertura de El País Tecnología y Cinco Días (enero–abril 2026). Las motivaciones son incentivos observables, no intenciones confirmadas. Errores: redaccion@horadedespertar.org