La Ley de Inteligencia Artificial de la UE, que regula el desarrollo o el uso de la inteligencia artificial (IA) en la UE, entró en vigor el 1 de agosto de 2024 tras su aprobación por el Parlamento Europeo.
Con el fin de ayudar a preservar la continuidad del negocio y dar a las organizaciones la oportunidad de adaptarse a las nuevas regulaciones, contiene una serie de plazos continuos para reglas sobre deepfakes, modelos de IA de propósito general, entornos aislados regulatorios de IA, sistemas categorizados como de riesgo especialmente alto y más.
Cuando entró en vigor la Ley de IA, estableció múltiples plazos para que las empresas cumplieran con diversas restricciones basadas en el tamaño de la empresa y el uso previsto de la IA, entre otros factores. El 2 de febrero de 2025, se cumplió el primero de estos plazos de regulación de la IA, que imponía (entre otras normas, como disposiciones para la alfabetización en IA) prohibiciones sobre usos considerados de “riesgo inaceptable”, como la puntuación social, la extracción masiva de datos para crear bases de datos de reconocimiento facial, la sistemas de reconocimiento e IA que utilizan técnicas de manipulación o engañosas para distorsionar perjudicialmente el comportamiento de una persona.
El 2 de agosto de 2025, venció el segundo plazo móvil. Además de exigir la creación de varios órganos de gobierno de la IA, como el Foro Consultivo de la UE y el Consejo de IA, aplicó las obligaciones de la Ley de IA para los proveedores de modelos de IA de propósito general en temas como la transparencia en el desarrollo y el manejo de materiales protegidos por derechos de autor, así como requisitos adicionales para los sistemas que se considera que tienen “riesgo sistémico”. El 2 de agosto de 2026, la Ley de IA se hizo de aplicación general, destacando especialmente las normas sobre obligaciones de transparencia para sistemas como chatbots, la aplicación y medidas para apoyar la innovación en los Estados miembros de la UE.
Sin embargo, aún quedan varios plazos por delante y están sujetos a cambios. El Ómnibus de IA entró en vigor el 27 de julio de 2026, modificando la Ley de IA para simplificar algunas normas para las pequeñas y medianas empresas (PYME) y las startups. También cambió el calendario de las normas sobre los sistemas utilizados en contextos sensibles, como la biometría, las infraestructuras críticas y la aplicación de la ley, así como el calendario de las normas sobre los sistemas de IA utilizados junto con otros productos altamente regulados, como juguetes o ascensores. Además, amplió el plazo para que los estados miembros establezcan al menos un entorno aislado nacional regulador de IA.
A continuación se muestra una lista de los plazos restantes, según las modificaciones del Ómnibus de IA, así como las normas que entrarán en vigor en cada fecha:
Las últimas novedades sobre tecnología, respaldadas por conocimientos de expertos
Manténgase al día sobre las tendencias más importantes e intrigantes del sector en materia de IA, automatización, datos y mucho más con el boletín Think. Consulte la Declaración de privacidad de IBM.
El 2 de diciembre de 2026 entrarán en vigor dos nuevos requisitos impuestos por el Ómnibus de IA: la prohibición de dos usos concretos de la IA y el requisito de que determinados sistemas de IA que hayan llegado al mercado antes del 2 de agosto de 2026 garanticen que sus resultados sean legibles por máquina y detectables como IA.
Prácticas de IA prohibidas
En virtud del artículo 5 de la Ley de IA, a partir del 2 de diciembre de 2026, la Ley de IA prohíbe “la comercialización, la puesta en servicio o el uso de un sistema de IA que genere o manipule imágenes, vídeos, audio o material similar realistas de un partes íntimas de una persona física, o de una persona física identificable dedicada a actividades sexualmente explícitas, sin el consentimiento libre, específico, informado, inequívoco y explícito de esa persona para esa generación o manipulación”, así como el material que entre en las definiciones legales de la UE de material sobre abuso infantil.
La Ley distingue entre los proveedores y los implementadores de sistemas de IA en lo que respecta a esta prohibición: para los proveedores, es ilegal poner un sistema en el mercado cuando la fabricación de ese material es el “propósito previsto” del sistema o un “resultado razonablemente previsible y reproducible” y el sistema carece de medidas de seguridad razonables.
Para los implementadores, la prohibición se aplica cuando utilizan un sistema de IA con el propósito de generar o manipular el material prohibido. La generación accidental está fuera de la prohibición, pero el uso indebido deliberado, la elusión de las salvaguardas o el uso de un sistema por lo demás legal para el fin prohibido están cubiertos.
Normas de legibilidad y transparencia
El artículo 111(4) de la Ley de IA especifica que los proveedores de sistemas de IA generativa más antiguos que creen audio, imágenes, vídeo o texto sintéticos y se hayan comercializado antes del 2 de agosto de 2026 deben asegurarse de que sus contenidos y resultados generados por IA sean legibles por máquina y “detectables como generados o manipulados artificialmente”. La norma no se aplica a los sistemas que se utilizan para tareas que ayudan con la “edición estándar” o que están autorizados con fines de aplicación de la ley.
Se trata de un plazo de transición para los sistemas más antiguos; los sistemas comercializados después del 2 de agosto de 2026 ya estaban sujetos a estos requisitos a partir de esa fecha.
El 2 de agosto de 2027 entrarán en vigor dos nuevas disposiciones de la Ley de IA:
· Plazos de cumplimiento progresivos para los modelos de IA de propósito general (GPAI) “heredados”
· Los Estados miembros deben tener acceso a un entorno aislado regulatorio para la IA
GPAI heredada
La Ley de IA de la UE define los modelos de IA de propósito general como “un modelo de IA, incluso cuando dicho modelo de IA se entrena con una gran cantidad de datos utilizando la autosupervisión a escala, que muestra una generalidad significativa y es capaz de realizar de manera competente una amplia gama de de tareas distintas, independientemente de la forma en que el modelo se comercialice, y que puede integrarse en una variedad de sistemas o aplicaciones posteriores”.
La Ley de IA de la UE crea normas separadas para la GPAI que incluyen políticas para respetar las leyes de derechos de autor de la UE, así como preparar y poner a disposición del público resúmenes detallados del contenido utilizado para entrenar el modelo. Los modelos de GPAI suelen estar supervisados por la Oficina de IA de la UE, que proporciona un código de buenas prácticas en materia de IA de propósito general que los proveedores pueden seguir para aliviar la carga administrativa. Si un modelo de GPAI se clasifica como de riesgo sistémico, los proveedores tendrán obligaciones adicionales.
La fecha límite del 2 de agosto de 2027 cierra un período de transición de dos años para los modelos de GPAI puestos en el mercado antes del 2 de agosto de 2025. Los proveedores deben cumplir con todas las normativas aplicables bajo la Ley de IA. Los modelos comercializados después del 2 de agosto de 2025 ya estaban sujetos a esta normativa.
Entornos aislados regulatorios de IA
A fecha de 2 de agosto de 2027, cada Estado miembro de la UE debe contar con al menos un entorno aislado regulatorio operativo de IA.
La Ley de IA define un entorno aislado regulatorio como “un entorno controlado que fomenta la innovación y facilita el desarrollo, el entrenamiento, las pruebas y la validación de sistemas de IA innovadores durante un tiempo limitado antes de su comercialización”. Los proveedores siguen sujetos a los requisitos de protección de datos y seguridad de los productos aplicables en estos entornos, entre otras restricciones legales.
Los entornos aislados deben establecer normas relativas a:
· Elegibilidad, selección y admisión
· Participación, monitorización y finalización
· Qué se probará y desarrollará en el entorno aislado
· Informes de salida
· Términos y condiciones
· Cooperación con las autoridades nacionales
Además, antes del 2 de agosto de 2027, la Comisión Europea también debe adoptar una legislación que identifique los casos en los que los requisitos u obligaciones específicos de la Ley de IA para ciertos sistemas de alto riesgo podrían verse limitados porque la legislación existente proporciona un “nivel de protección equivalente o superior”.
El 2 de diciembre de 2027 entrarán en vigor las normas para los sistemas de alto riesgo del anexo III de la Ley de IA.
Este plazo era originalmente el 2 de agosto de 2026, pero el Ómnibus IA lo pospuso. El anexo III se refiere a las normas especiales para los sistemas de alto riesgo implicados en:
· Datos biométricos
· Infraestructura crítica, incluyendo la infraestructura digital crítica, el tráfico por carretera o el suministro de agua, gas, calefacción o electricidad
· Educación y formación profesional
· Empleo y gestión de los trabajadores
· Servicios públicos y privados esenciales, incluidos servicios sanitarios, seguros, crédito al consumo y llamadas de emergencia
· Aplicación de la ley
· Migración, asilo y control de fronteras
· Administración de justicia y procesos democráticos
El 2 de diciembre de 2027, los proveedores de sistemas incluidos en el anexo III deberán implementar:
Sistemas de gestión de riesgos
Los proveedores deben establecer, implementar y documentar un sistema de gestión de riesgos a lo largo del ciclo de vida del sistema de IA de alto riesgo. Este debe identificar, analizar y evaluar los riesgos derivados del uso previsto del sistema y cualquier “uso indebido razonablemente previsible”, al tiempo que adopta las medidas adecuadas de gestión de riesgos.
Controles y gobierno de los datos
Los conjuntos de datos utilizados por los sistemas de alto riesgo para su entrenamiento están sujetos a requisitos de calidad y gobierno en materia de:
· Recopilación de datos
· Detección y mitigación de sesgos
· Pertinencia y representatividad
· Propiedades estadísticas adecuadas
· Consideración del contexto particular en el que se utilizará el sistema
Documentación técnica
Los proveedores deben preparar documentación técnica que muestre cómo el sistema cumple con la Ley de IA, así como proporcionar a las autoridades la información necesaria para inspeccionar sus sistemas para verificar su cumplimiento.
Información de registro automática
En virtud del capítulo III, sección 2, artículo 12 de la Ley de IA, los sistemas de IA de alto riesgo deben “permitir técnicamente el registro automático de eventos (registros) a lo largo de la vida útil del sistema”.
Los sistemas deben proporcionar registros rastreables que rastreen el funcionamiento del sistema y las situaciones que podrían crear riesgos tal como se definen en la Ley de IA.
Requisitos de transparencia e instrucciones para los implementadores
La ley establece que “los sistemas de IA de alto riesgo se diseñarán y desarrollarán de tal manera que garanticen que su funcionamiento sea lo suficientemente transparente como para permitir a los implementadores interpretar el resultado de un sistema y utilizarlo adecuadamente”.
Esto incluye instrucciones de uso e información descriptiva sobre:
· El propósito previsto del sistema
· Sus capacidades y rendimiento
· Limitaciones conocidas
· Cualquier circunstancia que pueda afectar al rendimiento
· Supervisión humana
· Mantenimiento, monitorización e información de registro
Supervisión humana
Los sistemas de IA de alto riesgo “se diseñarán y desarrollarán de tal manera, incluyendo herramientas adecuadas de interfaz hombre-máquina, que puedan ser supervisados eficazmente por personas físicas durante el periodo en que estén en uso”.
Las medidas de supervisión deben escalarse en función de los “riesgos, el nivel de autonomía y el contexto de uso” del sistema de IA de alto riesgo, y deben permitir a quienes realizan la supervisión comprender las capacidades y limitaciones del sistema, detectar sesgos de automatización, interpretar resultados, descartar, anular o invertir un resultado si lo consideran necesario, o intervenir o detener el sistema cuando sea necesario.
Precisión y ciberseguridad
La Ley exige que los proveedores de sistemas de alto riesgo diseñen y desarrollen esos sistemas para establecer métricas de precisión y lograr resiliencia tanto contra “errores, fallos o incoherencias” como contra intentos de terceros de explotar vulnerabilidades en el sistema.
Además de estos requisitos para los sistemas, los proveedores y operadores deberán proporcionar:
Sistemas de gestión de calidad
Los proveedores deben establecer un sistema de gestión de calidad que garantice el cumplimiento de las políticas relevantes para el sistema mediante la monitorización del diseño y el desarrollo, las pruebas, la gestión de datos, la gestión de riesgos, la monitorización posterior a la comercialización, la notificación de incidentes y las medidas correctivas.
Evaluación de la conformidad y registro
Antes de comercializar un sistema, los proveedores deben registrarlo y completar una evaluación de conformidad basada en las características del sistema y las disposiciones aplicables.
Monitorización posterior a la comercialización
Los proveedores deben demostrar la capacidad de monitorizar su sistema una vez que esté en el mercado y tomar las medidas correctivas adecuadas en caso de incumplimiento, lo que podría incluir subsanar el sistema, suspender su comercialización, desactivarlo o retirarlo del mercado.
Notificación de incidentes graves
Los proveedores deben informar sobre los “incidentes graves” que reúnan los requisitos, que son eventos que conducen directa o indirectamente a al menos uno de los siguientes cuatro resultados:
· Muerte o daños graves para la salud.
· Perturbación grave e irreversible de la gestión y el funcionamiento de infraestructuras críticas.
· Infracciones de las obligaciones derivadas del Derecho de la Unión destinadas a proteger los derechos fundamentales.
· Daños graves a la propiedad o al medioambiente.
Los implementadores están sujetos a un conjunto separado de obligaciones, que incluyen seguir instrucciones de uso, proporcionar supervisión humana, sistemas de monitorización, conservar registros y tomar acciones específicas cuando se identifiquen riesgos o incidentes graves. Pueden aplicarse obligaciones adicionales en función del implementador y el caso de uso.
A partir del 2 de agosto de 2028, los requisitos pertinentes de alto riesgo se aplicarán a los sistemas de IA clasificados como de alto riesgo según el Artículo 6(1). Un sistema de IA entra en esta categoría cuando se cumplen las dos condiciones siguientes:
· Está destinado a ser un componente de seguridad de un producto cubierto por la legislación de armonización de la Unión que figura en la sección A del anexo I, o es en sí mismo un producto de este tipo.
· Esa legislación exige que el producto cubierto se someta a una evaluación de conformidad de un tercero antes de su comercialización o puesta en servicio.
Entre los ejemplos de productos que entran en esta categoría de riesgo se incluyen ciertos tipos de juguetes y ascensores. La maquinaria está sujeta a un enfoque sectorial específico con arreglo a la sección B del anexo I. El Reglamento (UE) 2023/1230 debe incorporar los requisitos correspondientes de salud y seguridad relacionados con la IA mediante actos delegados que se apliquen antes del 2 de agosto de 2028.
En virtud del artículo 2(13) de la Ley de IA modificada por la Ley Ómnibus de IA, algunos requisitos para los sistemas de alto riesgo pueden verse limitados por actos delegados de la Comisión Europea si la normativa existente proporciona un “nivel de protección equivalente o superior” a la Ley de IA. En virtud de una disposición adicional, determinados productos relacionados con la maquinaria y el transporte que ya están cubiertos por la legislación sectorial reciben un tratamiento especial a través de los reguladores de ese sector.
Recursos
Fomente la resiliencia de su empresa a través de la implementación de soluciones con IA para la cadena de suministro y la gestión inteligente de los activos.
Transforme sus operaciones comerciales con IBM mediante el uso de datos enriquecidos y potentes tecnologías de IA que le permitan integrar procesos de optimización.
IBM Cloud Pak for Business Automation es un conjunto modular de componentes de software integrados para la gestión y automatización de operaciones.