Reglamento de IA en España: obligaciones para empresas

Qué normas debe mirar hoy una empresa en España

La norma central es el Reglamento (UE) 2024/1689, conocido como Reglamento de Inteligencia Artificial o AI Act. Es directamente aplicable en los Estados miembros, incluida España, con fechas escalonadas. No hay que confundirlo con el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial: a 17 de septiembre de 2026, el Congreso lo tramita en comisión y el plazo de enmiendas está ampliado hasta el 23 de septiembre. Sigue siendo un proyecto, no una ley vigente.

Además del AI Act, una empresa puede tener que cumplir el RGPD y la LOPDGDD si trata datos personales, legislación laboral si usa algoritmos en el trabajo y normas de igualdad cuando una decisión pueda discriminar. La obligación concreta depende del uso, las personas afectadas y el papel de la empresa en la cadena de IA; no basta con etiquetar una herramienta como “agente”.

Fechas del Reglamento europeo que conviene separar

Fecha	Qué empieza a aplicarse
2 febrero 2025	Alfabetización en IA y prohibiciones originales del artículo 5.
2 agosto 2025	Reglas de gobernanza y obligaciones para proveedores de modelos de IA de uso general.
2 agosto 2026	Aplicación general del Reglamento, incluidas las obligaciones de transparencia del artículo 50.
2 diciembre 2026	Nuevas prohibiciones incorporadas por el Reglamento 2026/1744 sobre cierto material íntimo no consentido y material de abuso sexual infantil generado o manipulado con IA.
2 diciembre 2027	Requisitos principales para sistemas de alto riesgo clasificados por el artículo 6.2 y el anexo III, como ciertos usos de empleo.
2 agosto 2028	Requisitos principales para IA de alto riesgo integrada en productos regulados del anexo I.

El Reglamento (UE) 2026/1744 —la modificación conocida como AI Omnibus— entró en vigor en julio de 2026 y cambió, entre otras cosas, los plazos de los sistemas de alto riesgo. Por eso no conviene reutilizar calendarios anteriores que sitúen todas esas obligaciones en agosto de 2026. El aplazamiento tampoco suspende otras normas que ya sean aplicables, como protección de datos o derechos laborales.

La Comisión Europea identifica a la Agencia Española de Supervisión de Inteligencia Artificial (AESIA) en su listado de autoridades de vigilancia del mercado; la página consultada el 7 de septiembre de 2026 marca su designación con un asterisco de adopción nacional pendiente. Comprueba ese estado antes de dirigir una comunicación formal. La AEPD conserva sus competencias en protección de datos.

Una comprobación inicial de cuatro pasos

1. Haz un inventario de los sistemas, incluidos agentes conectados a correo, CRM, ERP y bases documentales.
2. Describe para qué se usa cada uno y si afecta a trabajadores, clientes u otras personas.
3. Identifica si la empresa actúa como proveedor, responsable del despliegue u otro operador.
4. Revisa por separado AI Act, privacidad, relaciones laborales, igualdad y seguridad.

Como siguiente paso, consulta quién es proveedor o responsable del despliegue, qué prácticas están prohibidas y cómo afecta la norma al uso de IA en recursos humanos.

Fuentes oficiales

• Reglamento (UE) 2024/1689, texto consolidado vigente.
• Reglamento (UE) 2026/1744, modificación del Reglamento de IA.
• Estado de tramitación del Proyecto de Ley Orgánica en el Congreso.
• Autoridades de vigilancia del mercado según la Comisión Europea.

Contenido informativo; no sustituye el asesoramiento jurídico sobre un sistema concreto.