Ley de IA de la UE: checklist de cumplimiento para apps (2026)

Actualizado en octubre de 2026: esta guía refleja la Ley de IA de la UE modificada por el Ómnibus Digital sobre IA (Reglamento (UE) 2026/1744), en vigor desde el 27 de julio de 2026. Es información general, no asesoramiento jurídico.

La Ley de IA de la UE ya no es un problema del futuro. Sus prohibiciones de determinadas prácticas de IA se aplican desde febrero de 2025, las normas para los modelos de IA de uso general desde agosto de 2025 y, el 2 de agosto de 2026, empezaron a aplicarse las disposiciones generales del reglamento, incluidas las obligaciones de transparencia que afectan a la mayoría de las apps de consumo.

Lo que no empezó en agosto de 2026 es la parte más exigente: las obligaciones para la IA de alto riesgo. En julio de 2026, la UE adoptó el Ómnibus Digital sobre IA, que trasladó esos plazos a fechas fijas posteriores. Si has leído una guía antigua que prometía «plena aplicación el 2 de agosto de 2026», está desactualizada.

Las multas son reales: hasta 35 millones de euros o el 7 % del volumen de negocios mundial anual, si esta cuantía fuese superior, por prácticas prohibidas. A modo de comparación, el máximo del RGPD es de 20 millones de euros o el 4 %.

Como el RGPD, la Ley de IA tiene alcance más allá de Europa. Se aplica a los proveedores que introducen sistemas de IA en el mercado de la UE o los ponen en servicio allí, a los responsables del despliegue ubicados en la UE y a los proveedores y responsables del despliegue de fuera de la UE cuyos resultados de salida de IA se utilizan en la UE. Una empresa de San Francisco que da servicio a usuarios europeos puede estar tan obligada como una de Berlín.

En iHux desarrollamos apps de IA para nosotros y para nuestros clientes, así que seguimos esto de cerca. Esto es lo que importa a los desarrolladores de apps, en lenguaje claro.

El sistema de clasificación de riesgos: ¿dónde encaja tu app?

Tus obligaciones dependen del nivel de riesgo en el que se sitúe tu sistema de IA. Acertar con la clasificación es el paso más importante.

Riesgo inaceptable (prohibido)

Estas prácticas están prohibidas desde el 2 de febrero de 2025. Entre ellas:

• la puntuación social que evalúa a las personas en función de su comportamiento o de sus características personales;
• las técnicas manipuladoras o engañosas, y la IA que explota vulnerabilidades derivadas de la edad, la discapacidad o la situación económica;
• la extracción no selectiva de imágenes faciales para crear bases de datos de reconocimiento facial;
• el reconocimiento de emociones en el lugar de trabajo y en centros educativos (con excepciones limitadas);
• la categorización biométrica que infiere rasgos sensibles como el origen étnico, las opiniones políticas o la orientación sexual;
• predecir que una persona cometerá un delito basándose únicamente en la elaboración de perfiles;
• la identificación biométrica remota en tiempo real en espacios de acceso público con fines de garantía del cumplimiento del Derecho, con excepciones estrictas.

A partir del 2 de diciembre de 2026, el Ómnibus Digital añade una nueva prohibición: los sistemas de IA que generan imágenes íntimas no consentidas o material de abuso sexual infantil.

Si tu app hace alguna de estas cosas, detente. No existe ninguna vía de cumplimiento.

Alto riesgo (regulación estricta)

La IA de alto riesgo incluye los sistemas utilizados en infraestructuras críticas, educación (admisiones, evaluación), empleo (selección de personal, evaluación del rendimiento), acceso a servicios esenciales (calificación crediticia, seguros), garantía del cumplimiento del Derecho, migración y administración de justicia, así como la IA que es un componente de seguridad de productos regulados, como productos sanitarios o máquinas.

Los requisitos incluyen gestión de riesgos, gobernanza de datos, documentación técnica, conservación de registros, transparencia hacia los usuarios, supervisión humana, precisión y ciberseguridad, además de una evaluación de la conformidad antes de introducir el sistema en el mercado.

Nuevos plazos con el Ómnibus Digital:

• 2 de diciembre de 2027: sistemas de alto riesgo independientes enumerados en el anexo III (los ámbitos anteriores, como el empleo y la calificación crediticia).
• 2 de agosto de 2028: IA de alto riesgo integrada en productos cubiertos por la legislación de producto de la UE (anexo I).

Son fechas fijas. No dependen de cuándo se publiquen las normas técnicas.

Riesgo limitado (obligaciones de transparencia)

Aquí es donde encajan la mayoría de las apps de consumo y de empresa, y estas normas se aplican desde el 2 de agosto de 2026. Según el artículo 50:

• Hay que informar a las personas de que están interactuando con una IA (por ejemplo, un chatbot), salvo que resulte evidente por el contexto.
• Los proveedores de IA generativa deben marcar los resultados de salida sintéticos (texto, imágenes, audio, vídeo) en un formato legible por máquina para que puedan detectarse como generados por IA. Los sistemas generativos ya introducidos en el mercado antes del 2 de agosto de 2026 tienen hasta el 2 de diciembre de 2026 para cumplir; los sistemas más recientes no tienen periodo de gracia.
• Hay que informar a las personas cuando se les aplique un sistema de reconocimiento de emociones o de categorización biométrica.
• Las ultrasuplantaciones (deepfakes) deben revelarse, y el texto generado por IA que se publique para informar al público sobre asuntos de interés público debe etiquetarse, con algunas excepciones.

Los motores de recomendación simples no están cubiertos por el artículo 50.

Riesgo mínimo (sin requisitos adicionales)

Los filtros de spam, la IA en videojuegos, los motores de recomendación básicos y otros usos de bajo impacto similares no tienen requisitos adicionales de la Ley de IA más allá de la legislación vigente. Se fomentan los códigos de conducta voluntarios.

Modelos de IA de uso general: qué se te aplica

Si tu app se basa en un modelo de IA de uso general de un proveedor externo, la mayoría de las obligaciones a nivel de modelo recaen en ese proveedor. Desde agosto de 2025 deben facilitar documentación técnica, respetar la normativa de la UE sobre derechos de autor y publicar un resumen de sus datos de entrenamiento. Los modelos con riesgo sistémico conllevan obligaciones adicionales, como las pruebas adversarias y la notificación de incidentes.

Como desarrollador de apps que utiliza estos modelos, debes usar el modelo dentro de su finalidad prevista documentada, añadir salvaguardias adecuadas a tu caso de uso, cumplir las obligaciones de transparencia anteriores y conservar registros de tu evaluación de riesgos.

La checklist práctica de cumplimiento para desarrolladores de apps

Prioridad 1: clasificación y evaluación (hazlo ya)

1. Audita cada componente de IA de tu aplicación: cada punto en el que la IA toma o influye en decisiones, incluidos los servicios de IA de terceros y los modelos integrados.
2. Clasifica cada componente por nivel de riesgo, utilizando el anexo III del reglamento y las directrices de la Comisión. En caso de duda, clasifica al alza.
3. Documenta tu razonamiento. Este registro es tu primera línea de defensa ante cualquier investigación regulatoria.

Prioridad 2: transparencia (ya obligatoria)

1. Informa a los usuarios cuando interactúan con un sistema de IA, por ejemplo con etiquetas claras en las conversaciones con chatbots.
2. Si ofreces una función de IA generativa, haz que sus resultados de salida sean detectables como generados por IA mediante un marcado legible por máquina, no solo con una etiqueta visual. Para los sistemas ya introducidos en el mercado, el plazo es el 2 de diciembre de 2026.
3. Revela las ultrasuplantaciones y el texto de interés público generado por IA cuando lo exija el artículo 50.
4. Como buena práctica (y en parte obligatorio según el RGPD), explica en tu política de privacidad qué funciones de IA utilizas y qué datos tratan.

Prioridad 3: prepárate para las obligaciones de alto riesgo (antes de diciembre de 2027)

Si algún componente es de alto riesgo, aprovecha bien el tiempo adicional:

1. Diseña la supervisión humana: las personas deben poder entender, supervisar y anular las decisiones de la IA.
2. Crea registros y pistas de auditoría que recojan entradas, resultados de salida y factores de decisión.
3. Realiza pruebas continuas de sesgo e impacto discriminatorio como parte de tu flujo de desarrollo.
4. Define qué constituye un incidente grave para tu producto y cómo lo notificarías.
5. Planifica la evaluación de la conformidad, que puede llevar meses.

La estructura de las multas: qué está realmente en juego

Las sanciones se establecen en el artículo 99 y se aplican desde el 2 de agosto de 2025:

• Prácticas prohibidas (cualquier infracción del artículo 5): hasta 35 millones de euros o el 7 % del volumen de negocios mundial anual, si esta cuantía fuese superior.
• La mayoría de las demás obligaciones, incluidas las obligaciones de transparencia del artículo 50 y las obligaciones de proveedores, responsables del despliegue, importadores y distribuidores: hasta 15 millones de euros o el 3 %, si esta cuantía fuese superior.
• Presentar información inexacta, incompleta o engañosa a organismos notificados o autoridades en respuesta a una solicitud: hasta 7,5 millones de euros o el 1 %, si esta cuantía fuese superior.

Para las pymes y las empresas emergentes, cada multa tiene como tope la menor de las dos cuantías, y el Ómnibus Digital amplía un alivio similar a las pequeñas empresas de mediana capitalización. Además, desde el 2 de agosto de 2026 la Comisión Europea puede multar a los proveedores de modelos de IA de uso general con hasta 15 millones de euros o el 3 %.

Más allá del cumplimiento: la oportunidad estratégica

Los requisitos de la Ley de IA (transparencia, supervisión humana, pruebas de sesgo, documentación) son también las señas de identidad de los productos de IA bien construidos. Los usuarios confían en las apps que son transparentes sobre su IA. Los compradores empresariales piden pistas de auditoría y supervisión humana. Las pruebas de sesgo detectan problemas de calidad antes de que se conviertan en problemas de reputación.

Los equipos que tratan la Ley de IA como un marco de calidad de producto, y no como un trámite legal, crean mejores productos y ganan más confianza, sobre todo en mercados empresariales donde el cumplimiento forma parte de la decisión de compra.

El calendario de un vistazo

• 1 de agosto de 2024: entra en vigor la Ley de IA.
• 2 de febrero de 2025: se prohíben las prácticas prohibidas; comienzan las obligaciones de alfabetización en materia de IA. (Desde entonces, el Ómnibus Digital ha suavizado la obligación de alfabetización, que pasa a consistir en adoptar medidas que apoyen la alfabetización en materia de IA).
• 2 de agosto de 2025: se aplican las normas para los modelos de IA de uso general; se aplican la gobernanza y el régimen sancionador.
• 27 de julio de 2026: entra en vigor el Ómnibus Digital sobre IA.
• 2 de agosto de 2026: aplicación general, incluidas las obligaciones de transparencia del artículo 50 y las facultades sancionadoras de la Comisión respecto a los modelos de IA de uso general.
• 2 de diciembre de 2026: plazo del marcado legible por máquina para los sistemas generativos ya introducidos en el mercado; prohibición de la IA que genera imágenes íntimas no consentidas o material de abuso sexual infantil.
• 2 de diciembre de 2027: obligaciones para los sistemas de alto riesgo independientes (anexo III).
• 2 de agosto de 2028: obligaciones para la IA de alto riesgo en productos regulados (anexo I).

Por dónde empezar

Empieza tu clasificación de riesgos esta semana, asegúrate de cubrir tus obligaciones de transparencia (afectan a casi todos y ya están en vigor) y, si sospechas de algún uso de alto riesgo, recurre pronto a asesoramiento jurídico. Diciembre de 2027 parece lejano, pero el trabajo de conformidad lleva meses.

En iHux integramos las consideraciones de la Ley de IA en el proceso de desarrollo de cada producto que lanzamos, porque cuesta mucho menos que adaptar el cumplimiento después del lanzamiento. Si estás creando una app con IA y quieres un socio que piense en esto desde el primer día, habla con nosotros.