El reglamento europeo de inteligencia artificial lleva dos años en vigor y ha entrado en su fase de aplicación general esta misma semana, el 2 de agosto de 2026. Si diriges una empresa de veinte o cincuenta personas y llevas meses viendo titulares alarmantes sin saber si te afectan, este artículo intenta responder a la única pregunta que importa: qué tienes que hacer tú, en concreto, si usas inteligencia artificial pero no la fabricas.
La respuesta corta es que probablemente menos de lo que temes, salvo en un caso muy concreto que conviene mirar con calma. Y hay una novedad reciente que cambia los plazos y que se ha contado poco.
Lo que cambió en julio en el reglamento europeo de inteligencia artificial
Durante meses, la fecha que circulaba para las obligaciones de los sistemas de alto riesgo era agosto de 2026. Esa fecha ya no es la vigente.
El llamado AI Omnibus, un paquete de simplificación propuesto en noviembre de 2025 y acordado entre el Parlamento y el Consejo en mayo de 2026, entró en vigor el 27 de julio de 2026. Retrasa la aplicación de las obligaciones de alto riesgo hasta el 2 de diciembre de 2027 para los sistemas independientes, y hasta el 2 de agosto de 2028 para los sistemas de IA integrados en productos regulados como maquinaria o ascensores. El motivo declarado es que las normas técnicas de referencia no estaban listas a tiempo.
El calendario que hay que tener en la cabeza, entonces, es este:
- 1 de agosto de 2024: el reglamento entra en vigor, sin obligaciones aplicables todavía.
- 2 de febrero de 2025: empiezan a aplicarse las prácticas prohibidas y la obligación de alfabetización en IA.
- 2 de agosto de 2025: obligaciones para los modelos de propósito general, gobernanza y régimen sancionador.
- 2 de agosto de 2026: aplicación general del resto del reglamento.
- 2 de diciembre de 2027: obligaciones para los sistemas de alto riesgo independientes.
- 2 de agosto de 2028: sistemas de alto riesgo integrados en productos.
Que haya más plazo no significa que el asunto desaparezca. Significa que tienes tiempo de hacerlo bien en lugar de comprar deprisa una solución de cumplimiento a quien te llame por teléfono.
Las categorías de riesgo del reglamento europeo de inteligencia artificial
El reglamento no regula la inteligencia artificial en bloque, sino según lo que se hace con ella. La Comisión Europea define cuatro niveles.
Riesgo inaceptable. Prácticas prohibidas: puntuación social, manipulación, reconocimiento de emociones en el puesto de trabajo, extracción masiva de imágenes faciales y unas cuantas más. Están prohibidas desde febrero de 2025 y son sancionables. Es improbable que una pyme normal esté aquí, pero conviene saber que el reconocimiento de emociones de empleados está en la lista, porque alguna herramienta comercial lo ha ofrecido.
Alto riesgo. Sistemas que pueden afectar seriamente a la salud, la seguridad o los derechos fundamentales. Aquí entran, entre otros, los usos en educación, empleo, servicios esenciales y acceso al crédito. Es la categoría donde una pyme sí puede caer sin darse cuenta.
Riesgo de transparencia. Obligación de informar a las personas de que están interactuando con una IA o de que un contenido ha sido generado por ella. Es la categoría de casi cualquier chatbot de atención al cliente y se resuelve, básicamente, diciéndolo.
Riesgo mínimo. La inmensa mayoría de los usos, sin obligaciones nuevas. Aquí está la IA que redacta un borrador de correo, resume una reunión o te ayuda a ordenar la agenda.
Qué te toca si usas IA pero no la desarrollas
Esta distinción es la que más confusión genera. El reglamento diferencia entre quien fabrica un sistema de IA y quien lo utiliza en su actividad. Si compras o contratas una herramienta, eres lo segundo, y tus obligaciones son bastante más ligeras.
Cuando el sistema es de alto riesgo, quien lo usa tiene que hacer, en esencia, cinco cosas: usarlo conforme a las instrucciones del fabricante, encargar la supervisión humana a personas con formación y autoridad para ejercerla de verdad, vigilar que los datos de entrada sean adecuados, conservar los registros automáticos del sistema durante al menos seis meses y avisar al proveedor y a la autoridad si detecta un incidente grave.
Hay dos obligaciones más que en España se pasan por alto con frecuencia. Antes de poner en marcha un sistema de alto riesgo en el trabajo, el empleador tiene que informar a los representantes de los trabajadores y a los trabajadores afectados. Y cuando el sistema interviene en decisiones que afectan a una persona, hay que informar a esa persona de que se está usando.
Ninguna de las cinco exige un departamento de cumplimiento. Exigen tener escrito quién supervisa qué, y poder demostrarlo.
Por qué la selección de personal es el caso a mirar
Si tu empresa hace selección, propia o para clientes, esta es la parte que te concierne.
El anexo III del reglamento clasifica como alto riesgo los sistemas de IA destinados a “la contratación o selección de personas físicas, en particular para publicar anuncios de empleo dirigidos, analizar y filtrar solicitudes de empleo y evaluar a los candidatos”. Es difícil ser más explícito. Filtrar currículos con IA está nombrado por escrito en la norma.
Esto no prohíbe usar inteligencia artificial en selección, y conviene decirlo claro porque hay bastante alarmismo interesado. Lo que hace es exigir supervisión humana efectiva, información a las personas afectadas y trazabilidad de lo que hizo el sistema.
La consecuencia práctica es que cambia qué herramienta te conviene. Un sistema que devuelve una puntuación del uno al diez sin explicar de dónde sale te deja en mala posición: no podrás justificar la decisión ante un candidato que pregunte, ni ante una inspección. Un sistema que te dice qué candidatos cumplen los criterios que tú escribiste, con la razón al lado, y que deja constancia de quién revisó qué, te deja en buena posición sin trabajo adicional.
Es la diferencia entre automatizar la decisión y automatizar la preparación de la decisión. Lo desarrollamos en ¿necesitas un ATS o un proceso?, y es el criterio con el que construimos The Vive Talent.
La ley de IA en España: quién supervisa
La autoridad nacional de supervisión es AESIA, la Agencia Española de Supervisión de la Inteligencia Artificial, con sede en A Coruña. Además, el Gobierno aprobó en mayo de 2026 un proyecto de ley para adaptar el régimen sancionador en España; al tratarse de un proyecto de ley, todavía tiene pendiente su tramitación parlamentaria, de modo que conviene seguirlo antes de dar por firmes sus detalles.
Qué haríamos nosotros en tu lugar
Tres cosas, por este orden, y ninguna cuesta dinero.
Primero, escribir la lista de sitios donde ya se usa IA en la empresa, incluidas las pestañas de ChatGPT que el equipo abre por su cuenta. Casi siempre hay más de los que la dirección cree.
Segundo, marcar cuáles tocan decisiones sobre personas: contratar, promocionar, admitir a un alumno, conceder una ayuda. Ese subconjunto es el que merece atención; el resto es riesgo mínimo y puedes olvidarte.
Tercero, para ese subconjunto, asegurarte de que hay una persona con nombre y apellidos que revisa y de que el sistema deja rastro de lo que propuso y de quién decidió.
Esto último es, además, buena práctica operativa con independencia de la ley. Un sistema cuyas recomendaciones nadie revisa acaba tomando decisiones que nadie sabe defender, y eso hace daño mucho antes de que aparezca un inspector. Es la misma idea que explicamos en de la era digital a la era inteligente: la IA prepara el trabajo y las personas deciden.
Si usáis o estáis a punto de usar IA en algún proceso que afecte a personas y no tenéis claro dónde caéis, escríbenos contando el caso. Te diremos lo que vemos, incluso si la respuesta es que no os afecta y no hay nada que hacer.