Ley de IA en España y Reglamento Europeo: qué cambia para las empresas en 2026

La ley de IA en España es, hoy, el Reglamento (UE) 2024/1689 de Inteligencia Artificial, conocido como AI Act. Es un reglamento europeo: se aplica directamente en España sin necesidad de una ley nacional. Ya están en vigor las prácticas prohibidas, el deber de formar a tu personal en IA y las reglas para los modelos de propósito general. Desde el 2 de agosto de 2026 se aplican también las obligaciones de transparencia, como avisar de que un cliente habla con un chatbot.

Lo que ha cambiado en 2026 es el calendario. El paquete conocido como "Ómnibus digital sobre IA", aprobado como Reglamento (UE) 2026/1744 y publicado el 24 de julio de 2026, ha aplazado las obligaciones de los sistemas de alto riesgo: hasta el 2 de diciembre de 2027 para los usos del anexo III (selección de personal, crédito, educación…) y hasta el 2 de agosto de 2028 para la IA integrada en productos regulados. La ley española que debía completar el sistema de sanciones y autoridades no ha llegado a aprobarse: el proyecto caducó con la disolución de las Cortes el 6 de octubre de 2026.

En esta guía tienes el calendario actualizado, los niveles de riesgo, tus obligaciones si usas o desarrollas IA, las sanciones, el papel de la AESIA y qué cláusulas revisar en los contratos con tus proveedores de IA.

En resumen: si tu empresa usa IA, el Reglamento europeo ya te obliga a no usar prácticas prohibidas, a formar a quien maneja esas herramientas y a ser transparente con chatbots y contenido generado. Las obligaciones de alto riesgo se retrasan a diciembre de 2027 o agosto de 2028, pero no desaparecen. España aún no tiene su ley de adaptación. Empieza por inventariar tus herramientas de IA y revisar los contratos con los proveedores.

Situación verificada a 16 de octubre de 2026. Este es un ámbito en cambio constante: revisa las fechas antes de tomar decisiones.

¿Qué es el Reglamento Europeo de IA y a quién afecta?

El Reglamento (UE) 2024/1689 es la primera norma integral sobre inteligencia artificial de la UE. Entró en vigor el 1 de agosto de 2024 y se aplica por fases. No regula la tecnología en abstracto, sino los usos: cuanto más puede dañar un sistema la salud, la seguridad o los derechos de las personas, más obligaciones impone.

Los dos papeles que importan a casi cualquier empresa son:

• Proveedor: quien desarrolla un sistema de IA o lo comercializa con su nombre o marca. Una startup que vende un software de cribado de currículos es proveedora.
• Responsable del despliegue: quien usa un sistema de IA bajo su autoridad en una actividad profesional. Una pyme que usa ese software para seleccionar a sus empleados es responsable del despliegue. En la práctica, la mayoría de empresas españolas están en este grupo.

Se aplica también a proveedores de fuera de la UE si sus sistemas se comercializan aquí o sus resultados se usan en la Unión. Queda fuera el uso puramente personal y no profesional que haga un particular (artículo 2.10).

Ojo al artículo 25: si pones tu marca a un sistema de alto riesgo de otro, lo modificas de forma sustancial o lo usas para una finalidad de alto riesgo no prevista, pasas a ser proveedor.

Calendario del AI Act tras el Ómnibus digital

Este es el estado a octubre de 2026, con las modificaciones del Reglamento (UE) 2026/1744:

El Ómnibus se presentó como una simplificación. Además de mover las fechas de alto riesgo, rebaja la obligación de alfabetización, amplía a todas las pymes ciertas facilidades que antes eran solo para microempresas y extiende algunos tratamientos favorables a las pequeñas empresas de mediana capitalización. Puedes consultar el texto en EUR-Lex.

Aplazado no significa cancelado: preparar documentación, gestión de riesgos y contratos lleva tiempo, y diciembre de 2027 está a poco más de un año.

Los niveles de riesgo explicados con ejemplos de empresa

La mayoría de usos empresariales cotidianos (redactar correos, resumir documentos, traducir, programar) son de riesgo mínimo. El salto a alto riesgo llega cuando la IA interviene en decisiones sobre personas en los ámbitos del anexo III: empleo, educación, acceso a servicios esenciales como el crédito, infraestructuras críticas, biometría, aplicación de la ley, migración y justicia.

Un mismo modelo puede estar en niveles distintos según el uso. Un asistente de IA generativa es de riesgo mínimo si redacta tus propuestas comerciales y puede convertirse en parte de un sistema de alto riesgo si lo usas para ordenar candidatos.

¿Qué prácticas de IA están prohibidas?

El artículo 5 prohíbe, desde el 2 de febrero de 2025:

1. Técnicas subliminales, manipuladoras o engañosas que alteren el comportamiento y causen un perjuicio considerable.
2. Explotar vulnerabilidades por edad, discapacidad o situación social o económica.
3. Puntuación social de personas que lleve a un trato perjudicial injustificado.
4. Predecir que una persona cometerá un delito basándose solo en su perfil o rasgos de personalidad.
5. Crear bases de datos de reconocimiento facial mediante extracción masiva de imágenes de internet o cámaras.
6. Inferir emociones en el lugar de trabajo y en centros educativos, salvo por motivos médicos o de seguridad.
7. Categorización biométrica para deducir raza, opiniones políticas, afiliación sindical, religión u orientación sexual.
8. Identificación biométrica remota en tiempo real en espacios públicos con fines policiales, salvo excepciones tasadas.

El Ómnibus añade dos prohibiciones aplicables desde el 2 de diciembre de 2026: sistemas que generen o manipulen imágenes o vídeos realistas de las partes íntimas de una persona sin su consentimiento, y sistemas que generen material de abuso sexual infantil.

Para una empresa, la más relevante suele ser la sexta: medir el estado de ánimo de los teleoperadores por la voz o la cámara está prohibido.

Qué obligaciones tiene tu empresa si solo usa IA

Si eres responsable del despliegue, esto es lo que te afecta según el tipo de uso.

En cualquier caso: alfabetización en IA (artículo 4)

Debes adoptar medidas para promover que tu personal y quienes usan sistemas de IA en tu nombre tengan un nivel suficiente de conocimiento, teniendo en cuenta su formación, su experiencia y el contexto de uso. Tras el Ómnibus, la norma aclara que no se exige garantizar un nivel concreto a cada persona. En la práctica: una política interna de uso de IA, una formación básica sobre qué datos no introducir y cómo revisar resultados, y un registro de lo que has hecho.

Si usas chatbots o generas contenido (artículo 50)

• Las personas deben saber que interactúan con una IA, salvo que sea evidente.
• Si generas o manipulas imágenes, audio o vídeo que parezcan reales (deepfakes), debes indicarlo.
• Si publicas textos generados por IA para informar al público sobre asuntos de interés público, también, salvo que haya revisión humana y alguien asuma la responsabilidad editorial.

Si usas un sistema de alto riesgo (artículo 26, desde diciembre de 2027)

• Usarlo conforme a las instrucciones del proveedor.
• Asignar la supervisión humana a personas con competencia, formación y autoridad.
• Asegurarte de que los datos de entrada que controlas son pertinentes.
• Vigilar su funcionamiento e informar al proveedor y a las autoridades de los riesgos e incidentes graves.
• Conservar los registros generados automáticamente al menos seis meses.
• Informar a los representantes de los trabajadores y a los afectados antes de usarlo en el trabajo. En España, el artículo 64.4.d del Estatuto de los Trabajadores ya reconoce al comité de empresa el derecho a conocer los parámetros de los algoritmos que afectan a las condiciones de trabajo.
• Informar a las personas sobre las que el sistema ayuda a tomar decisiones.

Las entidades públicas, las privadas que prestan servicios públicos y quienes usen IA para evaluar la solvencia o fijar precios de seguros de vida y salud deben además hacer una evaluación de impacto en los derechos fundamentales (artículo 27).

Y si la IA trata datos personales, el RGPD sigue aplicándose, incluidas las garantías del artículo 22 frente a decisiones exclusivamente automatizadas.

Qué obligaciones tiene tu empresa si desarrolla IA

Si eres proveedor de un sistema de alto riesgo, el Reglamento te exige, entre otras cosas, gestión de riesgos durante todo el ciclo de vida, calidad de los datos de entrenamiento, documentación técnica, registro de eventos, instrucciones de uso, supervisión humana desde el diseño, ciberseguridad, un sistema de gestión de la calidad, evaluación de la conformidad con marcado CE, inscripción en la base de datos de la UE y notificación de incidentes graves.

Si desarrollas productos sobre un modelo de propósito general de un tercero, el proveedor del modelo tiene sus propias obligaciones (documentación, política de derechos de autor, resumen de los datos de entrenamiento) desde agosto de 2025, pero tú sigues siendo proveedor de tu sistema. Necesitas que el contrato te garantice acceso a la información que te hace falta para cumplir.

Aunque las fechas parezcan lejanas, tus clientes empresariales te pedirán garantías contractuales mucho antes; repasa los errores legales comunes de las startups al firmar acuerdos.

¿Qué sanciones prevé el Reglamento de IA?

El artículo 99 fija multas máximas en tres escalones, siempre la cifra mayor de las dos:

Para las pymes y las empresas emergentes se aplica la menor de las dos cifras, y el Ómnibus extiende esa regla a las pequeñas empresas de mediana capitalización. Los proveedores de modelos de propósito general tienen un régimen propio, con multas que impone la Comisión.

Ejemplo práctico con cifras

Una pyme con una facturación de 20 millones de euros instala un software que analiza la voz de sus agentes para detectar su estado emocional, una práctica prohibida. Para una gran empresa, el máximo sería el mayor entre 35 millones y el 7 % de su facturación. Para la pyme, se aplica el menor: el 7 % de 20 millones, es decir, 1,4 millones de euros como techo. Si fuera un incumplimiento de transparencia, como un chatbot que no se identifica, el techo sería el 3 %: 600.000 euros. Son máximos; la multa concreta depende de la gravedad, la duración, la cooperación y el tamaño de la empresa.

¿Hay una ley de IA en España? La AESIA y el proyecto caducado

España tiene ya una autoridad: la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña, cuyo estatuto aprobó el Real Decreto 729/2023. En 2023 se creó también un entorno controlado de pruebas para sistemas de alto riesgo (Real Decreto 817/2023).

Lo que no tiene es la ley que debía adaptar el Reglamento al ordenamiento español. El Consejo de Ministros aprobó el 26 de mayo de 2026 el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, que designaba a las autoridades de vigilancia (AESIA como autoridad central, y el Banco de España, la Agencia Española de Protección de Datos y el Consejo General del Poder Judicial en sus ámbitos), fijaba el régimen sancionador español y regulaba el uso de la IA en la Administración. El proyecto no llegó a aprobarse y caducó el 6 de octubre de 2026, cuando el Real Decreto 806/2026 disolvió las Cortes y convocó elecciones generales para el 29 de noviembre.

Qué significa para tu empresa:

• El Reglamento se aplica igual. Las obligaciones y las prohibiciones no dependen de la ley española.
• El detalle nacional queda pendiente. Quién sanciona cada sector y cómo se tramitan los expedientes tendrá que definirlo una nueva ley, que el próximo Gobierno tendrá que presentar de nuevo.
• No esperes a la ley para prepararte. Los contratos que firmes hoy con proveedores de IA seguirán vigentes en 2027.

Qué cláusulas revisar en los contratos con proveedores de IA

Aquí está el trabajo práctico. Cuando contratas una herramienta de IA (un chatbot, un software de selección, un asistente de redacción, una API), revisa estas cláusulas:

1. Uso de tus datos para entrenar. Debe estar excluido o requerir tu autorización expresa.
2. Protección de datos. Si hay datos personales, necesitas un encargo del tratamiento conforme al artículo 28 del RGPD, con ubicación de los servidores y subencargados identificados.
3. Clasificación y finalidad prevista. El contrato debe describir para qué está pensado el sistema. Si lo usas para otra cosa de alto riesgo, podrías convertirte en proveedor.
4. Garantía de cumplimiento. El proveedor garantiza que cumple el Reglamento en lo que le corresponde, también cuando cambien las normas.
5. Documentación e instrucciones. Necesitas recibir las instrucciones de uso y la información técnica para cumplir tus propias obligaciones.
6. Cambios en el sistema. Aviso previo de actualizaciones relevantes y de cambios de modelo.
7. Incidentes. Plazo para notificarte fallos graves, brechas de seguridad o resultados discriminatorios.
8. Responsabilidad. Muchos contratos la limitan a lo pagado en los últimos 12 meses y excluyen cualquier incumplimiento normativo. Negocia que las infracciones de datos y del Reglamento de IA queden fuera de ese límite.
9. Propiedad de los resultados y confidencialidad. Quién es titular de lo generado y qué pasa con tu información confidencial; sobre esto último tienes más en NDA y acuerdos de confidencialidad.
10. Salida. Derecho a recuperar tus datos en un formato útil y a que se borren al terminar, sin permanencias que te aten a un proveedor que deje de cumplir. Revisa también la renovación automática.

Muchas de estas cláusulas no están en un contrato negociado, sino en unas condiciones generales que aceptas con un clic. Lo explicamos en términos y condiciones: qué aceptas.

Dos cláusulas problemáticas y cómo equilibrarlas

Cláusula problemática: "El Proveedor podrá utilizar los datos facilitados por el Cliente y los resultados generados para mejorar y desarrollar sus servicios."

Versión equilibrada: "El Proveedor no utilizará los datos de entrada del Cliente ni los resultados generados para entrenar, ajustar o mejorar modelos de inteligencia artificial, propios o de terceros, sin autorización previa y por escrito del Cliente. A la terminación del contrato, el Proveedor devolverá los datos en un formato estructurado y los suprimirá en un plazo máximo de 30 días, salvo obligación legal de conservación."

Cláusula problemática: "El Proveedor no garantiza que el Servicio cumpla con ninguna normativa específica. El Cliente es el único responsable del uso que haga de los resultados."

Versión equilibrada: "El Proveedor garantiza que el Sistema, utilizado conforme a la finalidad prevista descrita en el Anexo I, cumple las obligaciones que le corresponden como proveedor en virtud del Reglamento (UE) 2024/1689. Facilitará al Cliente las instrucciones de uso y la información necesaria para cumplir sus obligaciones como responsable del despliegue, y le notificará en un plazo de 15 días cualquier modificación sustancial del Sistema o incidente grave."

Las cláusulas de responsabilidad y datos son de las que más dinero cuestan a una empresa pequeña; tienes otros ejemplos en cláusulas pequeñas que cuestan miles de euros a startups y pymes.

Si ya has firmado contratos con proveedores de IA

No hace falta romper nada, pero sí revisar:

1. Inventaria los contratos y las condiciones aceptadas online de cada herramienta de IA que usa tu empresa, incluidas las que usan los empleados por su cuenta.
2. Clasifica cada uso por nivel de riesgo. Si alguno roza lo prohibido, deja de usarlo ya: esas prohibiciones están en vigor.
3. Identifica las fechas de renovación y los preavisos. La renovación es el mejor momento para negociar cláusulas de cumplimiento.
4. Pide un anexo a los proveedores de usos sensibles: compromiso de cumplimiento, documentación y no entrenamiento con tus datos.
5. Revisa el encargo del tratamiento si hay datos personales y no lo tienes firmado.
6. Si el proveedor no ofrece garantías para un uso de alto riesgo, planifica el cambio antes de diciembre de 2027.

Errores frecuentes de las empresas con el AI Act

• Pensar que solo afecta a quien desarrolla IA. La mayoría de obligaciones prácticas recaen también en quien la usa.
• Creer que el aplazamiento lo deja todo para 2027. Las prohibiciones, la alfabetización, la transparencia y las reglas de modelos generales ya se aplican.
• Confundir "uso ChatGPT" con "estoy exento". Depende de para qué lo uses: redactar un correo no es lo mismo que filtrar candidatos.
• Ignorar las herramientas que usan los empleados por su cuenta. Si se usan en el trabajo, son tu responsabilidad.

Cómo revisar tus contratos de IA con LexyAi

Cuando un proveedor de IA te envía su contrato, sus condiciones o su anexo de protección de datos, LexyAi te ayuda a localizar en pocos minutos las cláusulas de esta guía: uso de datos para entrenamiento, limitaciones de responsabilidad que excluyen incumplimientos normativos, renovaciones automáticas, ausencia de garantías y ley aplicable extranjera. Su base legal incluye normativa europea como el RGPD y el propio Reglamento de IA. Desde el plan Professional, las cláusulas abusivas llegan con su base legal, el informe sugiere preguntas para negociar y puedes programar alertas para los preavisos de renovación, que es cuando conviene renegociar. Si el proveedor te devuelve el contrato con cambios, la comparación de versiones te dice qué ha tocado. Para casos de alto riesgo o contratos de importe alto, consulta a un especialista: llegar con el análisis hecho acorta la revisión. Tienes más casos de uso en las páginas para pymes y para startups.

Checklist de cumplimiento del Reglamento de IA para empresas

• Tengo un inventario de todas las herramientas de IA que usa la empresa, incluidas las de uso individual.
• He clasificado cada uso por nivel de riesgo y ninguno encaja en una práctica prohibida.
• He aprobado una política interna de uso de IA y he formado al personal que la usa.
• Mis chatbots se identifican como IA y el contenido sintético se etiqueta.
• He revisado si alguna herramienta interviene en decisiones sobre personas (empleo, crédito, seguros).
• Los contratos con proveedores excluyen el uso de mis datos para entrenar modelos.
• Tengo firmado el encargo del tratamiento cuando hay datos personales.
• Los contratos incluyen garantías de cumplimiento, documentación y aviso de incidentes.
• He anotado las fechas de renovación y preaviso de cada proveedor.
• He informado a la representación de los trabajadores si uso algoritmos que afectan a sus condiciones.
• Tengo un plan para los usos de alto riesgo antes del 2 de diciembre de 2027.

---

Este artículo tiene carácter informativo y no constituye asesoramiento jurídico. Para situaciones específicas, consulta siempre con un abogado colegiado.