Cumplimiento del Reglamento Europeo de IA: multas GPAI en vigor y alto riesgo desde diciembre de 2027

El Reglamento Europeo de IA (EU AI Act, Reglamento UE 2024/1689) es la primera regulación integral de inteligencia artificial del mundo. Entró en vigor el 1 de agosto de 2024 y se aplica de forma escalonada: 2 de febrero de 2025 (alfabetización IA y prácticas prohibidas), 2 de agosto de 2025 (obligaciones GPAI y gobernanza), 2 de agosto de 2026 (aplicación general, transparencia y multas a proveedores GPAI), 2 de diciembre de 2027 (IA de alto riesgo del Anexo III) y 2 de agosto de 2028 (alto riesgo integrado en productos del Anexo I). Estas dos últimas fechas las fijó el Reglamento (UE) 2026/1744. Aplica a cualquier organización que provea o utilice IA en el mercado de la UE.

Aplica a cualquier organización que desarrolle, provea o utilice sistemas de IA en el mercado de la UE, tenga o no su sede en Europa. No distingue por sector ni por tamaño: una pyme que usa un chatbot, un banco que hace scoring de crédito o una empresa de EE.UU. con clientes europeos están dentro. Las obligaciones concretas cambian según tu rol (proveedor o deployer) y el nivel de riesgo del sistema, pero la alfabetización en IA (Art. 4) es transversal a casi todas.

El 2 de agosto de 2026 pasaron a aplicarse las multas a los proveedores de modelos GPAI (sus obligaciones rigen desde el 2 de agosto de 2025) y las obligaciones de transparencia del Art. 50, como avisar de que se está hablando con una IA. Los requisitos de la IA de alto riesgo del Anexo III (gestión de riesgos, calidad de datos, documentación técnica, supervisión humana y robustez), previstos para esa fecha, se aplazaron al 2 de diciembre de 2027 con el Reglamento (UE) 2026/1744. La IA de alto riesgo integrada en productos del Anexo I pasa al 2 de agosto de 2028.

Las multas superan a las del RGPD: hasta 35M€ o el 7% de la facturación anual mundial (la cifra que resulte mayor) por prácticas prohibidas. Para el resto de infracciones, incluidas las obligaciones de alto riesgo y las de proveedores GPAI: hasta 15M€ o el 3%. Por facilitar información incorrecta o engañosa a las autoridades: hasta 7,5M€ o el 1%. Para pymes y startups se aplica el menor de los dos importes.

Es un sistema de IA que, según el Anexo III, puede afectar a la seguridad o a los derechos fundamentales de las personas. Entran ahí la IA en selección y gestión de RRHH (filtrado de CVs, evaluación de desempeño), el scoring de crédito y seguros, la administración de justicia, el control de fronteras, las infraestructuras críticas, la educación (admisiones, evaluaciones) y la salud (diagnóstico, triaje). Si tu IA influye en decisiones que afectan a derechos de personas, probablemente es de alto riesgo.

Un modelo de IA de propósito general (GPAI) es un modelo entrenado a gran escala que sirve para muchas tareas distintas, como GPT, Claude o Gemini. Sus proveedores tienen obligaciones desde el 2 de agosto de 2025 (documentación técnica, transparencia, cumplimiento de copyright) y las multas asociadas son aplicables desde el 2 de agosto de 2026. Si tu empresa integra uno de estos modelos vía API, eres deployer y tienes obligaciones propias, aunque no seas el proveedor del modelo.

Aunque solo uses IA de terceros (ChatGPT, Copilot, un chatbot, una herramienta de RRHH), eres deployer y ya tienes obligaciones. Desde el 2 de febrero de 2025 debes adoptar medidas de alfabetización en IA para tu equipo (Art. 4) y no usar prácticas prohibidas. Si el sistema es de alto riesgo, sumas supervisión humana, transparencia y evaluación de impacto. Estas obligaciones no se pueden delegar en el proveedor del modelo. Comprueba en dos minutos cuáles te afectan con nuestro autodiagnóstico del Reglamento de IA.

Es la obligación, en vigor desde el 2 de febrero de 2025, de que toda organización que use o supervise sistemas de IA adopte medidas para que su personal conozca la IA: qué es, cómo funciona, sus riesgos y su uso responsable. Desde el Reglamento (UE) 2026/1744 es una obligación de medios: no exige garantizar un nivel concreto de cada persona ni documentarlo. Aun así, recomendamos adaptar la formación al rol y dejar constancia de ella para poder acreditarla. Es la primera obligación que afecta a prácticamente cualquier empresa, la desarrolle o no.

Empieza por saber qué tienes: nuestro autodiagnóstico del Reglamento de IA te sitúa en dos minutos, gratis. Para el inventario completo, nuestro Diagnóstico de cumplimiento IA inventaría todos tus sistemas de IA, los clasifica por nivel de riesgo según el reglamento, detecta los gaps frente al reglamento y te entrega un plan de acción priorizado en 2-3 semanas. A partir de ahí sabes exactamente qué hacer y en qué orden, sin gastar antes de tiempo. Si quieres profundizar en la arquitectura, lo acompañamos con consultoría de IA.

En esta página tienes el calendario al día, con las fechas del Reglamento (UE) 2026/1744, y los enlaces a los textos oficiales en EUR-Lex. Para ver qué obligaciones te afectan, haz nuestro autodiagnóstico del Reglamento de IA: diez preguntas y un resultado orientativo. Si prefieres una lectura aplicada a tu caso, el Diagnóstico de cumplimiento IA te da el estado real de tu organización frente al reglamento.