← Leyes

AI Act

La primera ley general sobre inteligencia artificial en cualquier parte del mundo. No regula la IA como tal. Clasifica sus usos según cuánto riesgo generan, prohíbe directamente una lista corta y les indica a todos los demás cuándo tienen que avisar que intervino una máquina.

Cómo leer esta página. Toca cualquier palabra subrayada para ver el término jurídico preciso y una definición breve. Abre cualquier recuadro “Más a fondo” para ver el detalle y los puntos discutidos. El texto principal se sostiene por sí solo: puedes saltarte ambas cosas y aun así entender todo el argumento.

Qué es

El Reglamento (UE) 2024/1689 —el Reglamento de Inteligencia Artificial (AI Act)— se adoptó el 13 de junio de 2024, se publicó en el Diario Oficial el 12 de julio de 2024 y entró en vigor el 1 de agosto de 2024. Está concebido como una ley de seguridad de productos y no como una ley de medios: las obligaciones se aplican a un sistema según el uso al que se destina, y recaen sobre dos roles: el proveedor (provider), que desarrolla un sistema y lo introduce en el mercado, y el responsable del despliegue (deployer), que lo usa.

Los niveles de riesgo

La Comisión describe cuatro niveles. Riesgo inaceptable: una lista corta de prácticas que el artículo 5 prohíbe directamente. Alto riesgo: sistemas usados en el empleo, la educación, el crédito, las infraestructuras críticas, la aplicación de la ley y ámbitos similares, que deben cumplir requisitos de datos, documentación, precisión y supervisión humana antes de poder venderse. Riesgo de transparencia: sistemas con los que las personas interactúan o que generan contenido, que deben informar qué son, según el artículo 50. Riesgo mínimo: todo lo demás, sin obligaciones nuevas; y la Comisión dice que ahí se encuentra la gran mayoría de los sistemas en uso en la UE.

Las prohibiciones que importan aquí

El artículo 5 se aplica desde el 2 de febrero de 2025. Tres de sus prohibiciones tocan directamente el tema de este sitio.

Técnicas manipuladoras o engañosas. Está prohibido introducir en el mercado o usar un sistema de IA que se sirva de “técnicas subliminales que trasciendan la conciencia de una persona o de técnicas deliberadamente manipuladoras o engañosas”, con el objetivo o el efecto de “alterar de manera sustancial el comportamiento de una persona o un colectivo de personas, mermando de manera apreciable su capacidad para tomar una decisión informada”, y que las lleve a tomar una decisión que de otro modo no habrían tomado, de un modo que provoque, o sea razonablemente probable que provoque, un perjuicio considerable.

Explotación de vulnerabilidades. Lo mismo vale para un sistema que explote vulnerabilidades “derivadas de su edad o discapacidad, o de una situación social o económica específica” para alterar de manera sustancial el comportamiento de un modo que provoque, o sea razonablemente probable que provoque, un perjuicio considerable. No hace falta intención: los considerandos dicen que basta con que el perjuicio resulte de la práctica.

Inferencia de emociones en el trabajo y en la escuela. Está prohibido usar sistemas de IA “para inferir las emociones de una persona física en los lugares de trabajo y en los centros educativos”, salvo cuando el sistema esté destinado a fines médicos o de seguridad. Es la más acotada de las tres y la más clara: una cámara en un aula que califica la atención o el estado de ánimo no es una zona gris.

En 2026 se agregaron dos prohibiciones más, que se aplican a partir del 2 de diciembre de 2026: los sistemas de IA que generan o manipulan imágenes sexuales de una persona identificable sin su consentimiento explícito, y los sistemas que generan material de abuso sexual infantil. Infringir el artículo 5 conlleva la sanción más alta de la ley: hasta 35 millones de euros o el 7% del volumen de negocios mundial total anual, lo que sea mayor. Otras obligaciones, incluido el artículo 50, conllevan hasta 15 millones de euros o el 3%.

Lo que el artículo 5 no cubre

Las palabras son amplias; los umbrales, no. Cada prohibición exige una alteración sustancial del comportamiento y un perjuicio considerable, y los propios considerandos de la ley cierran expresamente el hueco evidente: “no debe considerarse que las prácticas comerciales comunes y legítimas (por ejemplo, en el campo de la publicidad) que cumplan el Derecho aplicable son, en sí mismas, prácticas de manipulación perjudiciales que posibilita la IA”. A juzgar por la letra del texto, un feed común, optimizado para el engagement, no es lo que el artículo 5 se escribió para atrapar. La ley que la UE escribió para eso es el Reglamento de Servicios Digitales (Digital Services Act, DSA).

Transparencia: chatbots, ultrasuplantaciones (deepfakes) y texto generado

El artículo 50 se aplica desde el 2 de agosto de 2026, y es la parte de la ley con la que se encontrará la mayoría de la gente.

Un proveedor debe diseñar un sistema destinado a “interactuar directamente con personas físicas” de modo que se informe a las personas de que están tratando con un sistema de IA, salvo que sea evidente para una persona razonablemente bien informada. El proveedor de un sistema que genera audio, imagen, video o texto sintéticos debe marcar los resultados “en un formato legible por máquina y que sea posible detectar que han sido generados o manipulados de manera artificial”; los sistemas que ya estaban en el mercado antes del 2 de agosto de 2026 tienen hasta el 2 de diciembre de 2026 para cumplir con esa obligación. El responsable del despliegue de un sistema de reconocimiento de emociones o de categorización biométrica debe informar a las personas expuestas a él. Y el responsable del despliegue que publica una ultrasuplantación debe informar que el contenido se generó o se manipuló de manera artificial.

Hay una disposición más, y es la que alcanza a quienes publican. Según la segunda parte del artículo 50(4), el responsable del despliegue de un sistema “que genere o manipule texto que se publique con el fin de informar al público sobre asuntos de interés público” debe informar que el texto se generó o se manipuló de manera artificial. La excepción está escrita en el mismo apartado: la obligación no se aplica “cuando el contenido generado por IA haya sido sometido a un proceso de revisión humana o de control editorial y cuando una persona física o jurídica tenga la responsabilidad editorial por la publicación del contenido”. La guía de la Comisión lo interpreta de forma estricta: un examen deliberado a cargo de personas competentes para hacerlo, y un control que se ejerce de verdad, no una comprobación formal o superficial.

El calendario

La ley llega por etapas. 2 de febrero de 2025: las definiciones y las prohibiciones del artículo 5. 2 de agosto de 2025: las disposiciones de gobernanza y las normas para los modelos de IA de uso general. 2 de agosto de 2026: el Reglamento se aplica de manera general, incluido el artículo 50, y desde esa fecha la Oficina de IA y las autoridades de los Estados miembros son responsables de aplicarlo, supervisarlo y hacerlo cumplir.

Las normas de alto riesgo cambiaron de fecha. El Digital Omnibus on AI —el Reglamento (UE) 2026/1744, del 8 de julio de 2026, publicado el 24 de julio de 2026 y en vigor desde el 27 de julio de 2026— aplazó las obligaciones de los sistemas de alto riesgo enumerados en el anexo III al 2 de diciembre de 2027, y las de la IA de alto riesgo integrada en productos regulados al 2 de agosto de 2028. No aplazó las prohibiciones ni el artículo 50.

Cómo encaja junto al DSA

Las dos leyes se apilan en capas; no compiten. El AI Act regula los sistemas; el DSA regula los servicios que los llevan. Cuando hay sistemas o modelos de IA integrados en una plataforma en línea de muy gran tamaño (very large online platform, VLOP) o en un motor de búsqueda en línea de muy gran tamaño, designados como tales, los considerandos del AI Act dicen que quedan sujetos al propio marco de gestión de riesgos del DSA y que, por consiguiente, “debe presumirse que se han cumplido las obligaciones correspondientes” del AI Act, salvo que surjan riesgos sistémicos (systemic risks) significativos que el DSA no cubra. En sentido inverso, las obligaciones de etiquetado del AI Act se describen como “especialmente pertinentes para facilitar la aplicación efectiva” del DSA, porque una plataforma no puede mitigar el riesgo sistémico de que se difunda contenido generado artificialmente si no puede identificar cuál es ese contenido. El AI Act también deja intactas las normas del DSA sobre la responsabilidad de los intermediarios.

Qué significa para un sitio como este

Dicho sin rodeos: el AI Act no regula sitios web. Regula a los proveedores y a los responsables del despliegue de sistemas de IA, y un sitio solo queda alcanzado cuando desempeña uno de esos roles.

El artículo 50(1) trata de los sistemas con los que la gente conversa; aquí no hay ningún chatbot. El artículo 50(2), el marcado legible por máquina de los resultados generados, es una obligación del proveedor del sistema generativo —la empresa que fabrica la herramienta—, no de quien publica sus resultados. La segunda parte del artículo 50(4) es la que más se acerca a este sitio: texto publicado para informar al público sobre asuntos de interés público. Pero esa obligación no se aplica cuando el contenido pasó por una revisión humana o un control editorial y una persona u organización tiene la responsabilidad editorial de la publicación; y este sitio lo publican personas que tienen esa responsabilidad, y cuando una página ha tenido una revisión humana línea por línea, la fecha aparece en el pie de esa misma página.

Por eso, el aviso en el pie de cada página de este sitio —que parte del contenido se creó con la ayuda de herramientas de IA y puede contener errores— no es el cumplimiento de un requisito legal. Es la lectura que el propio sitio hace del principio detrás del artículo 50: que quien lee tiene derecho a saber cómo se produjo lo que está leyendo. Un sitio que sostiene en otras páginas que los mecanismos de procedencia y de corrección son lo que hace confiable una fuente resultaría extraño si ocultara los suyos. La página Cómo comunicamos explica el resto del método, y Correcciones registra lo que se ha corregido.

Los puntos discutidos: qué alcanzan las prohibiciones y qué cambió el aplazamiento de 2026 +

Todavía no se ha puesto a prueba si el artículo 5 alcanza la ingeniería de la atención. Leída en su sentido más amplio, la expresión “técnicas deliberadamente manipuladoras o engañosas” que alteran de manera sustancial el comportamiento y provocan un perjuicio considerable podría describir buena parte de lo que el resto de este sitio documenta. Leída como indican los propios considerandos de la ley, con la exclusión de las “prácticas comerciales comunes y legítimas (por ejemplo, en el campo de la publicidad)”, describe mucho menos. La Comisión publicó el 4 de febrero de 2025 unas directrices sobre las prácticas prohibidas para ayudar a aplicarlas, pero las directrices no son vinculantes: la interpretación con autoridad le corresponde al Tribunal de Justicia, y no se ha informado de ninguna sentencia de ese tribunal sobre el artículo 5. Hay otros dos límites que importan: la prohibición solo actúa cuando la práctica se lleva a cabo mediante un sistema de IA, y el umbral del perjuicio es “considerable”, una exigencia más alta que el costo difuso y acumulado que describe la investigación sobre el diseño orientado al engagement.

El aplazamiento de 2026 se lee de dos maneras. El Digital Omnibus on AI fue presentado por la Comisión como una simplificación: los estándares y las autoridades nacionales de los que dependen las normas de alto riesgo no estaban listos, y aplicarlas en la fecha original habría elevado los costos sin elevar la protección. Los grupos de derechos digitales lo han leído al revés: como el primer debilitamiento de una ley que todavía no se había puesto a prueba. Lo que puede decirse sin tomar partido es acotado y verificable: las obligaciones de alto riesgo se postergaron más de un año, al 2 de diciembre de 2027 y al 2 de agosto de 2028; las prohibiciones del artículo 5 y las obligaciones de transparencia del artículo 50 no se movieron; y en el mismo instrumento se agregaron dos prohibiciones nuevas, sobre imágenes sexuales no consentidas y sobre material de abuso sexual infantil generado.

Digital Services Act →
La IA y la siguiente capa →
Cómo comunicamos →