Ley de inteligencia artificial: qué prohíbe, a quién afecta y qué pasa con la ley española

La ley de inteligencia artificial que se aplica en España es el Reglamento europeo de IA (Reglamento (UE) 2024/1689, el «AI Act»): una norma de la Unión que obliga directamente, sin esperar a ninguna ley española. Ordena los usos de la IA por nivel de riesgo, prohíbe ocho prácticas desde febrero de 2025, exige desde agosto de 2026 que te avisen cuando hablas con un chatbot o ves un deepfake, y deja las obligaciones duras —contratación, crédito, educación— para el 2 de diciembre de 2027.

Si eres usuario, no te obliga a nada: te protege. Si tienes una pyme y usas ChatGPT para escribir o un chatbot en la web, lo que te toca hoy son cinco pasos sencillos. Y la ley española que tenía que repartir la vigilancia y fijar el procedimiento de multas caducó el 6 de octubre de 2026, el día que se disolvieron las Cortes. Abajo va cada cosa con su fecha y el artículo del que sale.

Qué es la ley de inteligencia artificial y por qué no está en el BOE

El Parlamento Europeo la aprobó el 13 de marzo de 2024, con 523 votos a favor, 46 en contra y 49 abstenciones¹, y entró en vigor el 1 de agosto de 2024². Es un reglamento, no una directiva, y la diferencia importa: una directiva necesita que cada país la convierta en ley propia; un reglamento se aplica tal cual en los 27 países desde el día que toca.

Por eso quien busca «ley de inteligencia artificial BOE» no encuentra el texto. Lo que sí está en el BOE es el estatuto de la AESIA, la Agencia Española de Supervisión de la Inteligencia Artificial, con sede en A Coruña, aprobado en 2023³. El Reglamento se publica en el Diario Oficial de la Unión Europea.

La ley reparte obligaciones entre dos figuras. El proveedor es quien desarrolla un sistema de IA, o lo encarga, y lo comercializa con su nombre o marca. El responsable del despliegue es quien lo usa bajo su autoridad en una actividad profesional: la gestoría que pone un chatbot en su web, la empresa que filtra currículos con una herramienta comprada. El uso personal y no profesional queda fuera. Y alcanza a empresas de fuera de la UE cuando lo que produce su sistema se usa aquí, que es lo que obliga a OpenAI, Google o Anthropic².

Si «sistema de IA» te suena a niebla, en qué es machine learning explico la jerarquía entre IA, aprendizaje automático y los modelos de lenguaje que hay detrás de ChatGPT.

Los cuatro niveles de riesgo, con ejemplos que reconoces

La ley no regula «la IA» en bloque. Regula usos, y les pone más exigencias cuanto más daño pueden hacer. La Comisión Europea los resume en cuatro escalones⁴:

• Riesgo inaceptable: prohibido. Puntuación social, manipulación dañina, reconocimiento de emociones en el trabajo… La lista completa va en el apartado siguiente.
• Alto riesgo: usos que pueden afectar de forma seria a la salud, la seguridad o los derechos. La Comisión pone como ejemplos el software que criba currículos, la puntuación de crédito que te deniega un préstamo, la IA que corrige exámenes o la que revisa solicitudes de visado.
• Riesgo de transparencia: el chatbot tiene que decir que es una IA; los deepfakes y cierto texto generado para informar al público tienen que ir señalados.
• Riesgo mínimo: filtros antispam, videojuegos con IA. Sin reglas específicas.

Casi todo lo que usa una pyme cae en los dos últimos escalones. Aparte va un carril para los modelos de propósito general, los grandes modelos que mueven ChatGPT, Gemini o Claude: desde el 2 de agosto de 2025 sus fabricantes tienen obligaciones de documentación y de derechos de autor, y los más potentes, los de «riesgo sistémico», además tienen que evaluar y mitigar esos riesgos⁴. Son pocas empresas, las mismas que salen en quién mueve la inteligencia artificial.

Qué prohíbe desde 2025 y qué se suma en diciembre

Desde el 2 de febrero de 2025 están prohibidas en toda la UE estas ocho prácticas⁴:

1. La manipulación y el engaño dañinos con IA.
2. Aprovecharse de vulnerabilidades por edad, discapacidad o situación económica.
3. La puntuación social de las personas por su comportamiento.
4. Predecir el riesgo de que alguien cometa un delito a partir de su perfil.
5. Recopilar caras de internet o de cámaras de vigilancia de forma indiscriminada para montar bases de reconocimiento facial.
6. Reconocer emociones en el trabajo y en los centros educativos.
7. La categorización biométrica para deducir datos protegidos, como la orientación sexual o la religión.
8. La identificación biométrica remota «en tiempo real» por la policía en espacios públicos, con excepciones tasadas.

Desde el 2 de diciembre de 2026 se suma una más, añadida por el ómnibus digital de este año: los sistemas que generan imágenes íntimas de una persona sin su consentimiento o material de abuso sexual infantil, como las apps de «desnudar»⁴⁵.

Ninguna es algo que una pyme haga sin enterarse, con una excepción que conviene revisar: el punto 6. Si alguna herramienta que usas en el trabajo promete deducir el estado de ánimo de tus empleados a partir de su cara o de su voz, eso está prohibido desde hace más de año y medio, salvo por motivos médicos o de seguridad².

Los plazos, después del ómnibus de 2026

La ley entra por fases, y en 2026 la UE cambió parte del calendario con el llamado ómnibus digital sobre IA: el Reglamento (UE) 2026/1744, publicado el 24 de julio y en vigor desde el 27 de julio de 2026¹¹⁵. Retrasó el alto riesgo y mantuvo la transparencia en agosto de 2026, con un único respiro: los generadores de imagen, audio, vídeo o texto que ya estaban a la venta antes del 2 de agosto tienen hasta el 2 de diciembre de 2026 para marcar lo que producen en un formato que una máquina pueda detectar¹¹. Así queda:

Dos cambios del ómnibus que le tocan a una pyme. El primero, la alfabetización en IA (artículo 4): antes había que garantizar que tu equipo tuviera un nivel «suficiente»; ahora proveedores y responsables del despliegue «adoptarán medidas para apoyar la promoción de la alfabetización en materia de IA» de su personal, y el texto aclara que no se exige garantizar un nivel específico a nadie¹¹. Sigue siendo una obligación. Solo que ahora se cumple con hechos —una formación, una norma interna— y no con un resultado medible. El segundo: las ventajas de papeleo que ya tenían las pymes se extienden a las «pequeñas medianas», las de menos de 750 empleados y hasta 150 millones de euros de facturación⁵.

A quién afecta: qué te pide según tu caso

La misma ley pide cosas muy distintas según qué papel tengas. Esta tabla es mi lectura de los artículos 4, 26 y 50 del Reglamento²:

La fila de los currículos es la delicada, porque ahí la IA decide sobre gente. Si te preocupa más el otro lado, el de quien busca empleo, en ¿va la IA a quitarme el trabajo? están los datos. Lo del chatbot lo desarrollo con el texto del artículo 50 en qué es un chatbot, y el etiquetado de vídeos y audios falsos en qué es un deepfake.

Qué pasa en España: la ley que caducó el 6 de octubre

Aunque el Reglamento se aplica solo, cada país tiene que decir quién vigila y con qué procedimiento se multa. En España eso iba en el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, que el Consejo de Ministros aprobó el 26 de mayo de 2026⁶ y que se publicó en el Boletín de las Cortes el 12 de junio⁷. Repartía la vigilancia: los productos con normas propias se quedaban con sus autoridades de siempre, y el resto —empleo, biometría, educación— iba sobre todo a la AESIA, con la Agencia Española de Protección de Datos y el Consejo General del Poder Judicial según el ámbito⁶. A la Administración no le ponía multas, solo una declaración de infracción y medidas correctoras, y le obligaba a nombrar un delegado de IA en cada entidad pública estatal⁷.

No llegó a votarse. El plazo de enmiendas se amplió seis veces, la última hasta el 7 de octubre⁸, y el 6 de octubre el BOE publicó el Real Decreto 806/2026, que disuelve las Cortes y convoca elecciones para el 29 de noviembre⁹. El Reglamento del Congreso es claro: disuelta la Cámara, «quedarán caducados todos los asuntos pendientes de examen y resolución»¹⁰. La ficha de seguimiento del proyecto lo da por caducado ese mismo día⁸.

¿Qué cambia para ti? Menos de lo que parece. Las prohibiciones y la transparencia europeas siguen aplicándose igual, y la AESIA sigue existiendo. Lo que queda a medias es la pieza nacional: el artículo 99 del Reglamento pide a cada país que fije sus normas de sanciones, y España no las tiene aprobadas. Esto es lectura mía del texto, no una resolución de nadie. El Gobierno que salga de las urnas tendrá que presentar el proyecto otra vez, y a día de hoy no hay calendario.

Multas: cuánto, a quién y la regla de las pymes

El Reglamento fija tres topes, siempre «hasta»²:

• Prácticas prohibidas: hasta 35 millones de euros o el 7 % de la facturación mundial del año anterior, lo que sea mayor.
• Otros incumplimientos, incluida la transparencia del artículo 50: hasta 15 millones o el 3 %.
• Dar información falsa o incompleta a las autoridades: hasta 7,5 millones o el 1 %.

Para las pymes y las empresas de nueva creación la regla se da la vuelta: se aplica la cifra menor de las dos. Un ejemplo con números que me invento: una pyme que factura 2 millones al año y cae en el tramo del 3 % tiene un tope de 60.000 euros, no de 15 millones. Sigue siendo un golpe serio para una empresa de ese tamaño, pero no es la cifra de los titulares.

Lo que haría esta semana si tengo una pyme

Nada de esto requiere un abogado para empezar. Es por donde empezaría yo, antes de que haga falta uno:

1. Lista de herramientas de IA en uso, incluidas las que la gente usa por su cuenta con su cuenta personal.
2. Una hora de formación y una norma escrita de qué no se pega en un chat de IA (datos de clientes, contratos, nóminas). Es la forma más barata de demostrar medidas de alfabetización, y de paso te cubre con el RGPD.
3. El chatbot, que lo diga en el primer mensaje. «Soy un asistente automático» y un camino para hablar con una persona.
4. Etiqueta cualquier imagen, voz o vídeo realista de una persona hecho con IA, aunque sea para un anuncio.
5. Si usas IA para seleccionar o evaluar gente, apúntalo para 2027 y pide por escrito al proveedor cómo piensa cumplir con el alto riesgo. Si no tiene respuesta, es información útil.

Una nota sobre este mismo blog: los borradores los prepara una IA y yo los reviso, corrijo y publico con mi nombre. A mi juicio eso encaja en la excepción del artículo 50.4 —revisión humana y una persona que responde de lo publicado—, así que el texto no tendría que llevar etiqueta. Lo cuento igualmente: prefiero que se vea cómo se hace. Para los riesgos de la IA que te tocan antes que cualquier multa, tengo una escala en riesgos de la IA.

Preguntas frecuentes

¿Cuándo entra en vigor la ley de inteligencia artificial?

Entró en vigor el 1 de agosto de 2024, pero se aplica por fases: prohibiciones desde el 2 de febrero de 2025, modelos de propósito general desde el 2 de agosto de 2025, transparencia y aplicación general desde el 2 de agosto de 2026, alto riesgo desde el 2 de diciembre de 2027 y alto riesgo en productos regulados desde el 2 de agosto de 2028.

¿Qué dice el BOE sobre la inteligencia artificial?

El Reglamento europeo no se publica en el BOE: va en el Diario Oficial de la UE y se aplica directamente. En el BOE está el estatuto de la AESIA (Real Decreto 729/2023). La ley orgánica española que lo adaptaba caducó el 6 de octubre de 2026 con la disolución de las Cortes.

¿Tengo que avisar si uso ChatGPT para escribir los textos de mi web?

El artículo 50.4 obliga a avisar cuando publicas texto generado por IA para informar al público sobre asuntos de interés público, salvo que haya pasado por revisión humana y alguien asuma la responsabilidad editorial. Una ficha de producto no es, en principio, información de interés público. Las imágenes, audios o vídeos realistas que puedan pasar por auténticos (deepfakes) se etiquetan, con un aviso más ligero si la obra es claramente artística o satírica.

¿La ley de IA europea se aplica a empresas de fuera de Europa?

Sí. Se aplica a quien ponga un sistema de IA en el mercado europeo y a los proveedores y responsables de fuera de la UE cuando el resultado del sistema se use en la Unión. Por eso OpenAI, Google o Anthropic están obligados aunque no sean europeas.

¿Qué ha pasado con la ley española de inteligencia artificial?

El proyecto llegó al Congreso en junio de 2026, pero caducó el 6 de octubre al disolverse las Cortes para las elecciones del 29 de noviembre. El nuevo Gobierno tendrá que volver a presentarlo. El Reglamento europeo sigue aplicándose igual.