La ley de inteligencia artificial es el marco europeo que regula el desarrollo y el uso de sistemas de IA dentro de la Unión Europea. Su nombre oficial es Reglamento (UE) 2024/1689, aunque suele conocerse como Ley de IA o AI Act. La norma establece obligaciones diferentes según el uso del sistema, el riesgo para las personas y el papel que ocupa cada organización.
A 5 de agosto de 2026, una parte importante del Reglamento ya es aplicable. Las prácticas prohibidas y las obligaciones de alfabetización en IA comenzaron antes, mientras que determinados requisitos para sistemas de alto riesgo se han aplazado hasta diciembre de 2027 o agosto de 2028. Una empresa no puede limitarse a esperar esas fechas: debe revisar qué herramientas utiliza, para qué las emplea, qué datos procesan y qué decisiones pueden afectar a trabajadores, candidatos o clientes.
Qué regula realmente la ley de inteligencia artificial
La norma principal es el Reglamento Europeo de Inteligencia Artificial. Al tratarse de un reglamento, se aplica directamente en los Estados miembros y no necesita que cada país reproduzca todas sus reglas en una ley nacional.
España sí necesita organizar cuestiones como las autoridades competentes, la supervisión, los procedimientos y el régimen sancionador nacional. Para ello, el Gobierno presentó el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial. El proyecto fue presentado en el Congreso el 28 de mayo de 2026 y, en la fecha de actualización de este artículo, continúa en fase de enmiendas. No debe confundirse con una ley española definitivamente aprobada.
| Norma o marco | Qué regula | Situación en agosto de 2026 |
|---|---|---|
| Reglamento Europeo de Inteligencia Artificial | Clasificación, obligaciones, prohibiciones, transparencia y supervisión de sistemas de IA | Aplicable de forma progresiva, con determinados requisitos aplazados |
| Proyecto de ley orgánica español | Gobernanza, autoridades y aplicación del régimen sancionador en España | En tramitación parlamentaria |
| RGPD y LOPDGDD | Tratamiento de datos personales, perfiles y decisiones automatizadas | Plenamente aplicables |
| Estatuto de los Trabajadores | Información sobre algoritmos que influyen en decisiones laborales | Plenamente aplicable |
| Normativa sectorial | Reglas específicas en finanzas, sanidad, seguridad, consumo o productos regulados | Depende del sector y del uso concreto |
Cumplir el AI Act no sustituye al RGPD ni a la normativa laboral. Una herramienta puede no considerarse de alto riesgo según el Reglamento de IA y, aun así, incumplir las reglas de protección de datos si utiliza más información de la necesaria o toma decisiones automatizadas sin las garantías adecuadas.
Qué obligaciones están vigentes y cuáles llegan después
El calendario original del Reglamento ha cambiado. El AI Omnibus, que entró en vigor el 27 de julio de 2026, amplió los plazos aplicables a los sistemas de alto riesgo. Esto afecta especialmente a usos relacionados con empleo, educación, biometría, servicios esenciales y productos regulados.
| Fecha | Qué comenzó o comenzará a aplicarse | Qué debe revisar una empresa |
|---|---|---|
| 2 de febrero de 2025 | Prácticas prohibidas y medidas de alfabetización en IA | Usos prohibidos, conocimientos del personal, formación y orientación interna |
| 2 de agosto de 2025 | Reglas de gobernanza y obligaciones para modelos de IA de propósito general | Proveedores utilizados, contratos, documentación y modelos integrados en las herramientas |
| 2 de agosto de 2026 | Aplicación general del Reglamento y obligaciones de transparencia del artículo 50 | Chatbots, contenidos generados, información a usuarios, supervisión y cumplimiento interno |
| 2 de diciembre de 2027 | Requisitos para determinados sistemas de alto riesgo del anexo III | Selección, gestión de trabajadores, educación, biometría y otros usos sensibles |
| 2 de agosto de 2028 | Requisitos para sistemas de alto riesgo ligados a productos del anexo I | Maquinaria, dispositivos, juguetes, ascensores y otros productos sujetos a normativa sectorial |
El aplazamiento de los requisitos de alto riesgo no permite ignorar la IA utilizada hasta 2027. Las prácticas prohibidas, la alfabetización, determinadas obligaciones de transparencia, el RGPD y los derechos laborales ya pueden exigir medidas concretas.
También conviene distinguir entre la entrada en aplicación de una obligación y la fecha en la que una autoridad puede supervisarla. Desde agosto de 2026, las autoridades nacionales de vigilancia pueden exigir el cumplimiento de las disposiciones que ya resultan aplicables.
Cómo clasifica la Ley de IA los sistemas según su riesgo
El Reglamento sigue un enfoque basado en el riesgo. La clasificación no depende únicamente del nombre de la herramienta ni de la tecnología utilizada. Lo decisivo es la finalidad, las personas afectadas, los datos procesados y las consecuencias que puede producir el resultado.
| Categoría | Ejemplo | Consecuencia principal |
|---|---|---|
| Práctica prohibida | Reconocimiento de emociones en el trabajo fuera de las excepciones permitidas | El sistema no puede utilizarse |
| Alto riesgo | Herramienta destinada a filtrar candidatos o recomendar decisiones sobre empleo | Requisitos reforzados de gestión, documentación y supervisión cuando sean aplicables |
| Obligación de transparencia | Chatbot que interactúa directamente con una persona | Debe informarse de que se está interactuando con IA cuando corresponda |
| Riesgo mínimo | Herramienta utilizada para corregir la redacción de un correo | No asume los requisitos propios de los sistemas de alto riesgo |
| Modelo de propósito general | Modelo capaz de integrarse en múltiples aplicaciones y tareas | Su proveedor asume obligaciones específicas sobre documentación, información y riesgos |
Prácticas de inteligencia artificial prohibidas
La Unión Europea prohíbe determinados usos por considerar que generan un riesgo inaceptable. Entre ellos se encuentran determinadas formas de manipulación, explotación de vulnerabilidades, puntuación social, creación indiscriminada de bases de datos de reconocimiento facial y categorizaciones biométricas que infieren características protegidas.
En el ámbito laboral resulta especialmente relevante la prohibición de utilizar reconocimiento de emociones en centros de trabajo, salvo excepciones limitadas vinculadas a motivos médicos o de seguridad. Una empresa no debería utilizar una herramienta para inferir si una persona está nerviosa, motivada, comprometida o diciendo la verdad durante una entrevista.
Sistemas de alto riesgo
Un sistema puede considerarse de alto riesgo cuando se destina a una finalidad incluida en el Reglamento y puede afectar de manera significativa a derechos, oportunidades o condiciones de vida. En Recursos Humanos se incluyen determinados sistemas destinados a:
- Contratación o selección de candidatos.
- Publicación personalizada de ofertas de empleo.
- Evaluación o clasificación de candidaturas.
- Decisiones que afectan a las condiciones de trabajo.
- Promociones, despidos o finalización de relaciones laborales.
- Asignación de tareas basada en comportamientos o características personales.
- Supervisión y evaluación del rendimiento.
No toda función con IA dentro de una herramienta de Recursos Humanos será automáticamente de alto riesgo. Una función que ayuda a redactar una oferta no tiene la misma finalidad que un sistema que puntúa candidatos y decide quién continúa en el proceso.
Qué debe hacer una empresa para cumplir la Ley de IA
El cumplimiento comienza por conocer qué se está utilizando. Muchas organizaciones contratan herramientas oficiales, pero también tienen personas en el equipo que usan aplicaciones gratuitas, extensiones de navegador o cuentas personales sin que exista un registro centralizado.
- Crea un inventario de herramientas de IA. Incluye software contratado, funciones de IA integradas, pruebas piloto y herramientas utilizadas sin autorización formal.
- Documenta la finalidad de cada uso. No escribas únicamente «ChatGPT» o «asistente de IA». Indica si se utiliza para redactar ofertas, resumir reuniones, analizar currículums, responder consultas o preparar informes.
- Identifica el papel de la empresa. Comprueba si actúa como proveedor, responsable del despliegue, importador, distribuidor o entidad que modifica sustancialmente un sistema.
- Clasifica el riesgo. Analiza la finalidad, los datos, las personas afectadas, el grado de autonomía y las consecuencias de una respuesta incorrecta.
- Revisa al proveedor. Solicita información sobre el funcionamiento, las limitaciones, los datos utilizados, las medidas de seguridad, la conservación de información y la supervisión humana.
- Define permisos y restricciones. Decide qué datos puede consultar la herramienta, qué acciones puede ejecutar y qué usos quedan prohibidos.
- Adapta la alfabetización en IA. Forma y orienta a las personas según las herramientas que utilizan, sus conocimientos y el riesgo del proceso.
- Aplica las obligaciones de transparencia. Informa cuando una persona interactúa con IA o cuando un contenido debe identificarse como generado o manipulado.
- Configura una supervisión humana real. La persona que revisa el resultado debe entenderlo, poder cuestionarlo y disponer de autoridad para rechazarlo.
- Mantén registros y revisa los cambios. Actualiza el análisis cuando cambien el modelo, el proveedor, los datos, los permisos o la finalidad.
El inventario no necesita comenzar como un proyecto técnico enorme. Una hoja controlada puede servir durante una primera fase si recoge el propietario de la herramienta, su finalidad, los datos tratados, los usuarios, el proveedor y la categoría de riesgo preliminar. Lo importante es que exista una persona responsable de mantenerla.
Qué cambia para los equipos de Recursos Humanos
Recursos Humanos reúne una gran cantidad de datos personales y participa en decisiones que pueden afectar al acceso al empleo, al salario, a la promoción o a la continuidad laboral. Por eso, un uso aparentemente eficiente puede asumir un riesgo elevado cuando influye realmente en una decisión.
| Uso de IA | Tratamiento orientativo | Control recomendado |
|---|---|---|
| Chatbot que responde dudas sobre políticas | Transparencia, protección de datos y control de fuentes | Indicar que es IA, limitar accesos y mostrar la documentación utilizada |
| IA que redacta una oferta de empleo | Riesgo normalmente limitado | Revisar exactitud, requisitos y posibles sesgos en el lenguaje |
| Sistema que ordena o descarta candidatos | Posible sistema de alto riesgo | Documentación, evaluación, supervisión humana y posibilidad de impugnar errores |
| IA que recomienda promociones | Posible sistema de alto riesgo | No convertir la puntuación en una decisión automática |
| Sistema que asigna tareas según el comportamiento | Posible sistema de alto riesgo | Revisar proporcionalidad, finalidad, datos y efectos laborales |
| Reconocimiento de emociones en entrevistas | Práctica generalmente prohibida | No utilizar salvo que concurra una excepción legal aplicable |
| IA que resume una evaluación de desempeño | Depende de cómo se utilice el resumen | Comprobar el contenido original y evitar que el resumen sustituya la valoración |
Ejemplo: utilizar IA para filtrar currículums
Una empresa contrata una herramienta que puntúa candidaturas y recomienda qué personas deben pasar a la siguiente fase. Aunque el software pertenezca a un proveedor externo, la empresa decide utilizarlo para seleccionar personal y puede actuar como responsable del despliegue.
Antes de utilizarlo debería conocer qué datos analiza, qué criterios influyen en la puntuación, cómo se han validado los resultados y qué errores se han detectado. También necesita comprobar que existe una revisión humana real, informar adecuadamente a las personas afectadas y coordinar el cumplimiento con el RGPD.
El responsable de selección no debería limitarse a aceptar la lista producida por el sistema. Debe poder revisar las candidaturas descartadas, identificar resultados extraños y corregir decisiones basadas en información incompleta o irrelevante.
Información a la representación legal de los trabajadores
El artículo 64.4.d del Estatuto de los Trabajadores reconoce el derecho del comité de empresa a ser informado sobre los parámetros, reglas e instrucciones en los que se basan algoritmos o sistemas de IA que influyen en decisiones que pueden afectar a las condiciones de trabajo, al acceso o al mantenimiento del empleo, incluida la elaboración de perfiles.
Esta obligación no exige entregar el código fuente del sistema, pero sí aportar información que permita comprender cómo interviene en la decisión. Una descripción genérica como «utilizamos inteligencia artificial para optimizar procesos» no explica qué datos se utilizan, qué resultado produce ni qué influencia tiene.
Proveedor y responsable del despliegue no tienen las mismas obligaciones
Comprar un software no traslada toda la responsabilidad al desarrollador. El Reglamento distribuye las obligaciones entre distintos actores según su participación en el desarrollo, la comercialización y el uso del sistema.
| Actor | Qué hace | Ejemplo |
|---|---|---|
| Proveedor | Desarrolla o comercializa el sistema bajo su nombre o marca | Empresa que vende una herramienta de selección con IA |
| Responsable del despliegue | Utiliza el sistema profesionalmente bajo su autoridad | Empresa que usa esa herramienta para seleccionar candidatos |
| Importador | Introduce en la UE un sistema de un proveedor establecido fuera de la Unión | Empresa europea que comercializa una solución extranjera |
| Distribuidor | Pone el sistema a disposición del mercado sin desarrollarlo | Partner que revende la herramienta |
El proveedor debe facilitar la documentación que le corresponda, pero la empresa usuaria sigue decidiendo la finalidad, los usuarios autorizados, los datos introducidos y la forma en que utiliza el resultado. Si modifica sustancialmente la herramienta o la usa con una finalidad diferente de la prevista, su papel jurídico puede cambiar.
Transparencia, alfabetización y supervisión humana
Cuándo debe informarse sobre el uso de inteligencia artificial
Las obligaciones de transparencia del artículo 50 se aplican desde el 2 de agosto de 2026. No obligan a colocar una etiqueta idéntica en cualquier contenido asistido por IA. Establecen medidas específicas para determinados sistemas y situaciones.
Entre ellas se encuentran la obligación de informar a una persona cuando interactúa directamente con un sistema de IA, salvo que resulte evidente; la incorporación de marcas detectables en determinados contenidos generados o manipulados; y la identificación de deepfakes o de ciertos textos generados para informar al público sobre asuntos de interés público.
La empresa debe revisar qué obligación corresponde al proveedor del sistema y cuál recae sobre quien publica, utiliza o despliega el contenido. Para sistemas comercializados antes del 2 de agosto de 2026 existe un periodo limitado hasta el 2 de diciembre de 2026 para determinadas obligaciones técnicas de marcado y detección.
Qué exige ahora la alfabetización en IA
El artículo 4 obliga a proveedores y responsables del despliegue a adoptar medidas que apoyen el desarrollo de la alfabetización en IA de las personas que operan o utilizan los sistemas en su nombre. Tras la modificación de julio de 2026, la norma ya no exige garantizar un nivel específico o «suficiente» para cada persona.
Esto no elimina la obligación. La empresa debe considerar los conocimientos, la experiencia, la formación previa, el contexto y el riesgo de las herramientas utilizadas. Un equipo que emplea IA para corregir textos no necesita la misma preparación que un departamento que utiliza un sistema para evaluar candidatos.
La Comisión Europea no exige un certificado concreto ni un formato único de curso. La organización puede conservar registros internos de formaciones, guías, sesiones, políticas y otras medidas adoptadas. Pedir a todo el personal que lea las condiciones de una herramienta difícilmente será suficiente cuando el uso tiene riesgos relevantes.
Qué significa una supervisión humana real
Una revisión humana es efectiva cuando la persona comprende la recomendación, conoce las limitaciones del sistema, dispone de información adicional y puede rechazar o modificar el resultado antes de que produzca sus efectos.
La Agencia Española de Protección de Datos recomienda valorar la autoridad, competencia, capacidad, diligencia e independencia de quien interviene. Si un responsable confirma siempre la recomendación porque confía ciegamente en el sistema o no dispone de tiempo para revisarla, la intervención puede ser puramente formal.
Sanciones y autoridades responsables en España
Las sanciones dependen de la infracción, su duración, gravedad, intencionalidad, impacto y tamaño de la organización. Las infracciones relacionadas con prácticas prohibidas pueden alcanzar hasta 35 millones de euros o el 7 % del volumen de negocio mundial anual. Otros incumplimientos pueden llegar hasta 15 millones de euros o el 3 %, con reglas de proporcionalidad y límites específicos para pequeñas y medianas empresas.
La cuantía máxima no significa que cualquier error genere automáticamente una multa millonaria. La autoridad debe evaluar las circunstancias concretas, las medidas adoptadas, la cooperación, la reincidencia y los daños producidos.
En España, la supervisión puede corresponder a diferentes organismos según el sector y el derecho afectado. La AESIA desempeña un papel central en la supervisión de la inteligencia artificial, mientras que la Agencia Española de Protección de Datos conserva sus competencias cuando se tratan datos personales. También pueden intervenir autoridades financieras, electorales, judiciales o sectoriales.
El Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial pretende ordenar este reparto y desarrollar el régimen sancionador nacional. Mientras continúe en tramitación, debe presentarse como proyecto y no como una ley española ya aprobada.
Cómo puede ayudar Factorial sin sustituir el cumplimiento jurídico
Factorial puede ayudar a organizar dos partes del proceso: la formación interna y la gestión centralizada de determinados procesos de Recursos Humanos. Su software de formación permite asignar contenidos a equipos concretos, realizar un seguimiento del progreso y conservar información sobre las acciones formativas. Esto puede facilitar la documentación de las medidas de alfabetización en IA, aunque la empresa debe decidir qué conocimientos necesita cada perfil.
Factorial One permite trabajar con información y procesos dentro de Factorial y colaborar en la creación de informes, encuestas y evaluaciones. Mantener la información en una plataforma centralizada puede facilitar la gestión de accesos, pero no garantiza por sí solo el cumplimiento de la Ley de IA.
La empresa sigue siendo responsable de definir la finalidad, revisar los permisos, mantener los datos actualizados y decidir qué resultados necesitan supervisión humana. Una función útil en un contexto puede resultar inadecuada en otro si interviene en decisiones que afectan a candidatos o empleados.
Empieza por saber qué herramientas está utilizando tu empresa
La primera medida no consiste en redactar una política extensa, sino en localizar los sistemas utilizados y entender para qué sirven. Con un inventario, una clasificación inicial y responsables definidos, la empresa puede priorizar los usos prohibidos o sensibles, preparar la formación y corregir los procesos antes de que se produzca una incidencia. Cuando existan dudas jurídicas o un posible sistema de alto riesgo, conviene revisar el caso con profesionales especializados.
Preguntas frecuentes sobre la ley de inteligencia artificial
La regulación europea de la IA combina obligaciones que ya están vigentes con plazos posteriores para determinados sistemas de alto riesgo. Estas respuestas aclaran las fechas principales, las responsabilidades de las empresas y los controles que deben aplicarse cuando la inteligencia artificial influye en decisiones sobre personas.
El Reglamento Europeo de Inteligencia Artificial entró en vigor el 1 de agosto de 2024 y comenzó a aplicarse por fases. Las prácticas prohibidas y la alfabetización en IA se aplican desde febrero de 2025, mientras que la mayor parte del Reglamento comenzó a aplicarse el 2 de agosto de 2026. Algunos requisitos de alto riesgo llegarán en 2027 y 2028.
Desde agosto de 2026 se aplican la mayor parte de las reglas generales, las competencias de supervisión y las obligaciones de transparencia del artículo 50. Las empresas también debían haber revisado anteriormente las prácticas prohibidas y las medidas de alfabetización en IA. Los requisitos concretos dependen de la finalidad del sistema y del papel de la organización.
La norma prohíbe determinados usos de manipulación, explotación de vulnerabilidades, puntuación social, creación indiscriminada de bases de reconocimiento facial y categorización biométrica sensible. También prohíbe, con excepciones limitadas, el reconocimiento de emociones en centros de trabajo y educativos. La prohibición depende del uso concreto, no únicamente del nombre o de la tecnología de la herramienta.
Debe analizar para qué se utiliza el sistema, quién resulta afectado y qué consecuencias produce. En Recursos Humanos pueden considerarse de alto riesgo determinadas herramientas destinadas a seleccionar candidatos, recomendar promociones, asignar tareas o evaluar el rendimiento. Una función de apoyo a la redacción no tiene necesariamente la misma clasificación que un sistema que influye directamente en una decisión laboral.
La empresa debe adoptar medidas que apoyen la alfabetización en IA de las personas que operan o utilizan sistemas en su nombre. No existe un curso único, un certificado obligatorio ni un nivel idéntico para toda la plantilla. La formación y las orientaciones deben adaptarse a la experiencia del usuario, al contexto, a las herramientas utilizadas y a los riesgos asociados.
El proveedor desarrolla o comercializa el sistema bajo su nombre, mientras que el responsable del despliegue lo utiliza profesionalmente bajo su autoridad. Una empresa que compra una herramienta de selección suele ser responsable del despliegue. Aunque el proveedor conserve obligaciones propias, la empresa usuaria decide la finalidad, los datos, los permisos y la forma de utilizar los resultados.
La Ley de IA no sustituye al RGPD ni al Estatuto de los Trabajadores. Una herramienta debe cumplir simultáneamente las normas aplicables a su uso. Si procesa datos personales, influye en decisiones automatizadas o afecta a las condiciones de trabajo, la empresa debe revisar la base jurídica, la información proporcionada, la supervisión humana y los derechos de las personas afectadas.
Factorial permite gestionar formaciones internas, asignar contenidos, seguir el progreso y conservar registros de las acciones realizadas. Factorial One también trabaja con datos y procesos centralizados dentro de la plataforma. Estas funciones pueden facilitar la organización, pero la empresa sigue necesitando clasificar sus usos de IA, configurar controles y solicitar asesoramiento jurídico cuando sea necesario.
