Esta guía resume la norma para que sepas por dónde empezar. No es asesoramiento jurídico: si usas IA en decisiones sobre personas, como contratar o conceder crédito, consulta con un abogado.
Qué es la ley de inteligencia artificial
Cuando se habla de «la ley de IA» casi siempre se habla del Reglamento (UE) 2024/1689, la norma europea de inteligencia artificial. Como es un reglamento, se aplica tal cual en toda la Unión Europea, también en España, sin necesidad de una ley nacional.
Regula la IA según el riesgo de cada uso. La mayoría de herramientas que usa una pyme (un chatbot, un asistente para redactar, un programa que clasifica facturas) están en los niveles bajos y tienen pocas obligaciones. Las exigentes son para los usos que pueden afectar seriamente a las personas.
El interés ha crecido mucho: en España, las búsquedas de «ley de inteligencia artificial» en Google se duplicaron con creces en el último año, según el Planificador de palabras clave de Google Ads.
Calendario: qué se aplica y desde cuándo
En julio de 2026 la UE aprobó el ómnibus digital sobre IA, el Reglamento (UE) 2026/1744, que retrasó parte de las fechas. Así queda el calendario:
| Fecha | Qué empieza a aplicarse |
|---|---|
| 1 de agosto de 2024 | Entra en vigor el reglamento |
| 2 de febrero de 2025 | Prácticas prohibidas y deber de formación en IA |
| 2 de agosto de 2025 | Obligaciones de los grandes modelos de IA de uso general, régimen de sanciones y autoridades nacionales |
| 2 de agosto de 2026 | Transparencia: avisar de que se habla con una IA y señalar el contenido falso realista |
| 2 de diciembre de 2026 | Fin del margen para marcar el contenido generado por IA en los sistemas que ya estaban en el mercado antes de agosto |
| 2 de diciembre de 2027 | Sistemas de alto riesgo del anexo III, como los de selección de personal o de crédito (antes, agosto de 2026) |
| 2 de agosto de 2028 | Alto riesgo en productos regulados, como maquinaria o productos sanitarios (antes, agosto de 2027) |
Los cuatro niveles de riesgo
- Prohibido. Usos que la UE considera inaceptables, como manipular a las personas con técnicas subliminales, aprovecharse de su edad o de su situación económica, la puntuación social o el reconocimiento de emociones de los trabajadores en el trabajo.
- Alto riesgo. Sistemas que influyen en decisiones importantes sobre personas: seleccionar candidatos, evaluar empleados, conceder un crédito, decidir el acceso a la educación. Tendrán que cumplir requisitos de calidad, supervisión humana y registro a partir de diciembre de 2027.
- Riesgo de transparencia. Chatbots, agentes de voz y sistemas que generan imágenes, audio, vídeo o texto. La obligación principal es avisar.
- Riesgo mínimo. La mayoría de usos: filtros de spam, correctores, recomendaciones de productos. Sin obligaciones específicas.
Qué tiene que hacer una pyme que usa IA
- Haz una lista de las herramientas de IA que usáis. Para qué se usa cada una, quién la usa y si trata datos de clientes o de empleados. Es el punto de partida de todo lo demás.
- Que tu chatbot o tu agente de voz avise de que es una IA. La obligación de diseñarlo así es de quien lo desarrolla, pero ante el cliente da la cara tu negocio: comprueba que se presenta como asistente desde el primer mensaje.
- Señala el contenido falso realista. Si publicas imágenes, vídeos o audios generados con IA que parecen reales (una persona diciendo algo que no dijo, un lugar que no existe), indica que están generados o manipulados con IA.
- Forma a tu equipo. Desde febrero de 2025 las empresas que usan IA deben procurar que su personal sepa usarla. El ómnibus digital suavizó la redacción: ahora se pide tomar medidas, como una formación básica, sin exigir un nivel concreto a cada persona.
- No uses prácticas prohibidas. En una pyme lo más fácil de pisar es el reconocimiento de emociones de los empleados, por ejemplo con cámaras o en videollamadas. Está prohibido en el lugar de trabajo, salvo por motivos médicos o de seguridad.
- Si usas IA para personal o para crédito, prepárate para el alto riesgo. Filtrar currículos, puntuar candidatos o evaluar el rendimiento con IA entra en el anexo III. Tienes hasta diciembre de 2027, pero conviene empezar a documentar ya cómo se usa y quién supervisa.
- Sigue cumpliendo el RGPD. La ley de IA no sustituye a la de protección de datos. Si el chatbot trata datos personales, hay que informar al cliente, tener una base legal y firmar un contrato de encargado del tratamiento con el proveedor.
Qué textos hay que etiquetar y cuáles no
Es la duda más frecuente. En general:
- Un correo, una propuesta o una ficha de producto que escribes con ayuda de la IA y revisas tú: no hace falta avisar.
- Una imagen o un vídeo realista de personas, lugares o hechos que no existen: sí.
- Un texto sobre asuntos de interés público publicado tal cual lo generó la IA, sin que nadie lo revise: sí.
La Comisión Europea publicó en julio de 2026 unas directrices sobre estas obligaciones de transparencia, y en junio un código de buenas prácticas para marcar y etiquetar el contenido generado por IA.
Multas
El reglamento fija topes según la gravedad:
| Incumplimiento | Tope de la multa |
|---|---|
| Prácticas prohibidas | 35 millones de euros o el 7 % de la facturación mundial anual |
| Otras obligaciones, como la de transparencia | 15 millones de euros o el 3 % |
| Dar información incorrecta a las autoridades | 7,5 millones de euros o el 1 % |
Para las grandes empresas se aplica la cifra más alta de las dos. Para las pymes y las startups, la más baja.
Y en España
La autoridad que vigila es la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña. La Agencia Española de Protección de Datos sigue a cargo del RGPD.
En junio de 2026 llegó al Congreso el proyecto de ley orgánica para el buen uso y la gobernanza de la inteligencia artificial, que completa el reglamento europeo en España: qué autoridad vigila cada sector, el régimen de sanciones y los espacios controlados de pruebas. Cuando escribimos esta guía sigue en tramitación. Las obligaciones de fondo ya vienen del reglamento europeo.
Cómo lo aplicamos en Lattzy
Los agentes que construimos se presentan como asistentes desde el primer mensaje y no se hacen pasar por ninguna persona. Si no tienen un dato, no lo inventan: recogen la consulta y la pasan a alguien del equipo. Y las decisiones del negocio siguen siendo del dueño. Es lo que pide la ley y, sobre todo, lo que hace que los clientes confíen.
Si quieres saber qué es exactamente un agente y qué puede hacer, empieza por qué es un agente de IA.