Ley de Inteligencia Artificial: obligaciones 2026-2027

La inteligencia artificial se está incorporando rápidamente al funcionamiento de las empresas. Herramientas como ChatGPT, Microsoft Copilot y otras aplicaciones permiten redactar documentos, resumir información, analizar datos o automatizar determinadas tareas administrativas.

Sin embargo, su utilización también plantea dudas importantes.

¿Puede una empresa introducir datos de sus clientes en una herramienta de IA? ¿Es obligatorio informar cuando se utiliza inteligencia artificial? ¿Puede emplearse para seleccionar trabajadores? ¿Existen sanciones por incumplir la normativa?

La Unión Europea ha aprobado el Reglamento de Inteligencia Artificial, conocido como AI Act, que establece un marco común para el desarrollo y la utilización de estos sistemas.

La normativa ya está aplicándose de forma progresiva. En 2026 han comenzado a exigirse nuevas obligaciones y durante 2027 entrarán en aplicación otras específicas para determinados sistemas considerados de alto riesgo.

No todas las empresas tienen las mismas obligaciones. La diferencia depende de qué inteligencia artificial utilizan, con qué finalidad y qué papel desempeñan respecto al sistema.

En este artículo explicamos los aspectos más importantes para pequeñas y medianas empresas, gestorías, asesorías y despachos profesionales.

1. ¿Qué es la Ley Europea de Inteligencia Artificial?

La llamada Ley Europea de Inteligencia Artificial es el Reglamento (UE) 2024/1689, conocido internacionalmente como AI Act.

Su objetivo es establecer normas comunes que permitan desarrollar y utilizar sistemas de inteligencia artificial protegiendo la seguridad, la salud y los derechos fundamentales de las personas.

La regulación no pretende prohibir la inteligencia artificial ni impedir su utilización por parte de las empresas.

Lo que establece es un conjunto de obligaciones diferentes según los riesgos que pueda presentar cada sistema.

Por ejemplo, no tiene las mismas implicaciones utilizar IA para preparar un borrador de correo electrónico que emplearla para evaluar automáticamente a candidatos a un puesto de trabajo.

El Reglamento entró en vigor el 1 de agosto de 2024 y comenzó a aplicarse por fases.

Además, en julio de 2026 entró en vigor una modificación denominada AI Omnibus, que introdujo simplificaciones y cambios en algunas fechas de aplicación.

Por tanto, las empresas deben prestar atención al calendario actualizado y no únicamente al texto original de 2024.

2. ¿Cuándo entra en vigor la Ley de Inteligencia Artificial en España?

La Ley de IA es un reglamento europeo, por lo que resulta directamente aplicable en los Estados miembros de la Unión Europea, incluida España, de acuerdo con sus propias disposiciones y fechas de aplicación.

No es necesario esperar a una nueva ley española para que todas sus obligaciones tengan efectos.

Las principales fechas son las siguientes:

1 de agosto de 2024: entrada en vigor del Reglamento.
2 de febrero de 2025: aplicación de determinadas prácticas prohibidas y medidas relacionadas con la formación y comprensión de la IA.
2 de agosto de 2025: comienzo de las obligaciones relativas a los proveedores de modelos de IA de uso general y su gobernanza.
2 de agosto de 2026: aplicación de la mayoría de las disposiciones generales, incluidas determinadas obligaciones de transparencia.
2 de diciembre de 2026: aplicación de nuevas prohibiciones y vencimiento de ciertas medidas transitorias sobre contenidos generados artificialmente.
2 de diciembre de 2027: aplicación de las obligaciones correspondientes a determinados sistemas de IA de alto riesgo del anexo III.
2 de agosto de 2028: aplicación de las normas para sistemas de alto riesgo integrados en determinados productos regulados.

Estas fechas tienen en cuenta las modificaciones introducidas en 2026.

La Ley de IA no comienza en 2027: ya es aplicable parcialmente y continuará desplegándose durante los próximos años.

3. ¿Qué empresas están afectadas por el Reglamento de IA?

La normativa puede afectar tanto a grandes compañías como a pequeñas empresas.

Pero conviene distinguir dos situaciones.

Empresas que desarrollan o comercializan sistemas de IA

Una empresa que desarrolla una aplicación basada en inteligencia artificial y la comercializa puede asumir obligaciones como proveedor del sistema.

Estas obligaciones dependen de la naturaleza de la aplicación, su finalidad y su clasificación de riesgo.

Empresas que utilizan inteligencia artificial

Una gestoría que utiliza una herramienta de IA para preparar documentos o una consultora que incorpora un asistente inteligente en sus procesos puede actuar como responsable del despliegue del sistema.

En este caso, sus obligaciones no son necesariamente las mismas que las del fabricante de la tecnología.

También existen situaciones en las que una empresa modifica sustancialmente un sistema o cambia su finalidad de utilización, lo que puede afectar a su consideración jurídica.

Por eso, el primer paso consiste en identificar qué sistemas de IA utiliza realmente la empresa y para qué los utiliza.

4. ¿Qué sistemas de inteligencia artificial están prohibidos?

El Reglamento Europeo establece determinadas prácticas prohibidas porque se consideran incompatibles con la protección de los derechos fundamentales o presentan riesgos inaceptables.

Entre ellas se encuentran, con las condiciones y excepciones previstas legalmente:

Determinadas técnicas de manipulación que alteran significativamente el comportamiento de las personas y pueden causar perjuicios importantes.
Sistemas que explotan vulnerabilidades de personas o colectivos.
Determinados sistemas de puntuación social.
Algunos usos de identificación biométrica.
Sistemas de reconocimiento de emociones en el trabajo o en centros educativos, salvo las excepciones legalmente establecidas.
Determinadas prácticas de categorización biométrica basadas en características especialmente sensibles.

Además, desde diciembre de 2026 se aplican nuevas prohibiciones relacionadas con sistemas destinados a generar determinados contenidos íntimos no consentidos y material de abuso sexual infantil.

Estas prohibiciones no significan que todas las herramientas de inteligencia artificial estén prohibidas.

La regulación se centra en prácticas concretas y en sus riesgos.

5. ¿Se puede utilizar ChatGPT o Microsoft Copilot en una empresa?

Sí. La Ley Europea de IA no establece una prohibición general de utilizar herramientas como ChatGPT o Microsoft Copilot.

Estas aplicaciones pueden ayudar en tareas como:

Preparación de borradores de documentos.
Resumen de información.
Clasificación de textos.
Redacción de comunicaciones internas.
Preparación de propuestas comerciales.
Búsqueda y organización de información.
Asistencia en programación.
Automatización de determinados procesos.

Pero es importante distinguir entre utilizar una herramienta de IA y autorizar cualquier utilización de los datos de la empresa.

El hecho de que una aplicación esté disponible comercialmente no significa que cualquier información pueda introducirse en ella sin restricciones.

Antes de implantarla deben revisarse, entre otros aspectos, las condiciones del proveedor, el tratamiento de los datos, los permisos de acceso y las necesidades de supervisión humana.

También hay que tener presente que una respuesta generada por IA puede contener errores, incluso cuando parece perfectamente redactada.

Por eso resulta recomendable mantener un procedimiento de revisión para los contenidos que puedan tener consecuencias económicas, jurídicas o profesionales.

6. ¿Puede una gestoría introducir facturas, nóminas o datos de clientes en una IA?

Esta es una cuestión especialmente importante para gestorías, asesorías fiscales, despachos de abogados y consultoras.

Estos profesionales manejan información confidencial y, en muchos casos, datos personales de trabajadores, clientes y proveedores.

Introducir esa información en una herramienta de inteligencia artificial implica analizar previamente cómo se van a tratar los datos.

Hay que comprobar cuestiones como:

Qué información se envía al proveedor.
Para qué finalidades puede utilizarse.
Dónde se almacena y durante cuánto tiempo.
Qué medidas de seguridad se aplican.
Si existe tratamiento por terceros.
Qué garantías contractuales y legales corresponden.
Quién puede acceder a las conversaciones y documentos.
Qué posibilidades existen de limitar la conservación o reutilización de los datos.

El Reglamento Europeo de IA no sustituye al Reglamento General de Protección de Datos (RGPD).

Cuando se tratan datos personales, deben cumplirse simultáneamente las normas que resulten aplicables en materia de inteligencia artificial y protección de datos.

Por ejemplo, una asesoría podría utilizar IA para preparar una plantilla de comunicación o resumir información pública sin necesidad de introducir datos identificativos de sus clientes.

Pero si pretende analizar nóminas reales, contratos laborales o documentos fiscales que contienen datos personales, debe revisar previamente las condiciones técnicas, contractuales y jurídicas del tratamiento.

Una alternativa puede ser trabajar con información anonimizada cuando resulte viable, aunque eliminar nombres y apellidos no siempre garantiza una anonimización efectiva.

7. ¿Qué cambia con las obligaciones de transparencia?

Uno de los aspectos importantes de la normativa es que las personas deben poder identificar determinadas situaciones en las que están interactuando con inteligencia artificial o reciben contenido generado artificialmente.

El artículo 50 del Reglamento establece obligaciones de transparencia para ciertos proveedores y usuarios profesionales de sistemas de IA.

Por ejemplo, los sistemas destinados a interactuar directamente con personas deben estar diseñados para informar de que se trata de una inteligencia artificial, salvo cuando resulte evidente en las circunstancias de uso.

También existen obligaciones relativas a contenidos sintéticos y determinados vídeos, imágenes o audios manipulados, conocidos como deepfakes.

Para determinados textos generados por IA y publicados con la finalidad de informar al público sobre asuntos de interés público, existen igualmente obligaciones de información, con excepciones cuando se cumplen las condiciones de revisión humana, control editorial y responsabilidad sobre la publicación.

Esto no significa que todas las empresas deban colocar automáticamente una advertencia de IA en cualquier documento redactado con ayuda de ChatGPT.

Las obligaciones concretas dependen del contenido, del uso realizado y de las condiciones establecidas en el Reglamento.

En una empresa que incorpora un chatbot a su página web, por ejemplo, conviene revisar cómo informar adecuadamente al visitante de que está interactuando con un sistema automatizado.

8. ¿Qué ocurre con la inteligencia artificial utilizada para seleccionar trabajadores?

Esta es una de las áreas en las que el Reglamento establece exigencias especialmente importantes.

Determinados sistemas de IA utilizados para contratación, selección de personal, evaluación de candidatos, promoción profesional, asignación de tareas o supervisión del rendimiento pueden clasificarse como sistemas de alto riesgo.

La razón es que sus decisiones o recomendaciones pueden influir significativamente en la vida profesional de las personas.

Por ejemplo, una aplicación que analiza currículums y asigna automáticamente puntuaciones para seleccionar candidatos puede estar comprendida dentro de los sistemas de alto riesgo definidos por el Reglamento.

En estos casos, las obligaciones pueden incluir medidas de gestión de riesgos, documentación, supervisión humana y otros requisitos específicos.

Tras las modificaciones normativas de 2026, las disposiciones correspondientes a los sistemas de alto riesgo del anexo III comenzarán a aplicarse, con carácter general, el 2 de diciembre de 2027.

Por tanto, una empresa que esté pensando en incorporar IA para procesos de recursos humanos debería evaluar cuidadosamente la finalidad y las características de la herramienta antes de implantarla.

9. ¿Es obligatorio formar a los trabajadores en inteligencia artificial?

La normativa europea contempla medidas para favorecer que las personas que utilizan sistemas de IA comprendan sus capacidades, limitaciones y riesgos.

Esto se conoce como alfabetización en inteligencia artificial.

El artículo 4, modificado en 2026, establece que los proveedores y responsables del despliegue adopten medidas para apoyar la formación y comprensión de la IA entre las personas que utilizan estos sistemas en su nombre.

No exige que cada trabajador alcance un nivel académico concreto ni establece un curso universal obligatorio idéntico para todas las empresas.

La formación debe adaptarse a las características de las herramientas, a la experiencia de las personas y al contexto de utilización.

En una pequeña empresa, estas medidas pueden incluir:

Explicar qué herramientas están autorizadas.
Indicar qué datos pueden utilizarse.
Enseñar a comprobar las respuestas generadas.
Advertir sobre posibles errores o información inventada.
Establecer normas para revisar documentos importantes.
Informar sobre riesgos de confidencialidad y seguridad.

No basta con instalar una aplicación de IA: también es importante enseñar a utilizarla correctamente.

10. ¿Qué sanciones contempla la Ley Europea de IA?

El Reglamento contempla sanciones importantes para determinados incumplimientos.

En los supuestos más graves relacionados con prácticas prohibidas, los límites generales pueden alcanzar los 35 millones de euros o el 7 % del volumen de negocios mundial anual de la empresa, según los criterios previstos en la norma.

Para otras infracciones se contemplan límites diferentes.

Estas cantidades son máximos legales para determinadas infracciones y no deben interpretarse como multas automáticas para cualquier pequeña empresa que utilice incorrectamente una herramienta de IA.

La normativa establece criterios específicos para la imposición de sanciones, con atención a la naturaleza y gravedad de la infracción y a las circunstancias de las organizaciones afectadas.

El objetivo de una empresa no debería ser actuar únicamente por miedo a una sanción.

Una utilización responsable de la inteligencia artificial también ayuda a proteger la información, evitar errores y mantener la confianza de clientes y trabajadores.

11. Cómo preparar una pequeña empresa para cumplir la normativa

Antes de contratar nuevas herramientas o desarrollar aplicaciones complejas, recomendamos realizar una revisión sencilla del uso actual de la inteligencia artificial.

Primero: identificar las herramientas utilizadas.

Comprobar qué aplicaciones de IA están utilizando los trabajadores, incluso aquellas que no han sido contratadas directamente por la empresa.

Segundo: clasificar los usos.

Distinguir entre tareas de redacción, análisis documental, atención al cliente, automatización, recursos humanos y procesos que puedan afectar a personas.

Tercero: revisar el tratamiento de datos.

Comprobar las condiciones de privacidad, las medidas de seguridad y la posible utilización de información confidencial.

Cuarto: establecer normas internas.

Definir qué aplicaciones están autorizadas, qué información puede introducirse y qué resultados requieren revisión.

Quinto: informar y formar a los trabajadores.

Explicar las posibilidades y limitaciones de estas herramientas de forma proporcionada al uso que realiza cada empleado.

Sexto: mantener supervisión humana.

Evitar que decisiones importantes dependan exclusivamente de respuestas automáticas sin comprobación adecuada.

Séptimo: revisar periódicamente la normativa.

El calendario de aplicación de la Ley de IA se extiende hasta 2028 y las obligaciones pueden depender del tipo de sistema utilizado.

Estas medidas permiten empezar a ordenar la utilización de la inteligencia artificial sin necesidad de implantar procedimientos desproporcionados para una pequeña empresa.

12. ¿Es necesario dejar de utilizar herramientas de IA hasta cumplir todos los requisitos?

No necesariamente.

Para muchas pequeñas empresas, las herramientas de IA pueden seguir siendo útiles en tareas de bajo riesgo, siempre que se respeten las obligaciones aplicables.

Por ejemplo, utilizar un asistente para mejorar la redacción de una comunicación comercial, preparar un esquema o resumir documentación pública presenta una situación muy diferente de utilizarlo para analizar datos médicos o tomar decisiones laborales.

En estos últimos casos pueden existir requisitos legales adicionales, mayores riesgos y la necesidad de una evaluación más especializada.

Por tanto, no todas las empresas necesitan las mismas soluciones técnicas ni el mismo nivel de documentación.

Lo razonable es estudiar primero qué se está haciendo realmente con la IA.

13. Cómo puede ayudar Dibecla a utilizar inteligencia artificial en la empresa

En Dibecla trabajamos en el desarrollo de aplicaciones, sistemas informáticos, automatización y soluciones tecnológicas adaptadas a pequeñas y medianas empresas.

La inteligencia artificial ofrece nuevas posibilidades para mejorar procesos administrativos y reducir tareas repetitivas, pero su incorporación debe estudiarse con criterios técnicos y de seguridad.

Entre las áreas en las que podemos ayudar se encuentran:

Análisis de procesos que podrían beneficiarse de automatización.
Integración de herramientas de IA con aplicaciones empresariales.
Desarrollo de soluciones adaptadas a necesidades concretas.
Revisión técnica de permisos y accesos.
Protección de la información utilizada por las aplicaciones.
Diseño de procedimientos que incorporen revisión humana.
Asesoramiento tecnológico para elegir soluciones proporcionadas.

En una gestoría, por ejemplo, puede resultar interesante estudiar la clasificación de correos, la organización de documentos o la extracción de información de facturas.

Pero antes de automatizar estos procesos deben analizarse la calidad de los datos, la seguridad, las autorizaciones y la necesidad de intervención humana.

Dibecla puede ayudar a diseñar e implantar la parte tecnológica, coordinándose con los responsables jurídicos y de protección de datos cuando sea necesario.

Conclusión: la Ley de IA ya afecta a las empresas, pero no todas tienen las mismas obligaciones

La Ley Europea de Inteligencia Artificial no es una regulación reservada exclusivamente a grandes empresas tecnológicas.

También puede afectar a organizaciones que utilizan asistentes de IA, sistemas automatizados de atención al cliente o herramientas que intervienen en procesos administrativos y laborales.

Pero no todos los usos presentan el mismo riesgo ni requieren idénticas medidas.

En 2026 ya están aplicándose obligaciones relevantes de la normativa. En 2027 comenzarán a exigirse otras disposiciones para determinados sistemas de alto riesgo.

Por ello, las empresas deberían conocer las herramientas que utilizan, proteger sus datos y establecer procedimientos razonables de supervisión y formación.

La inteligencia artificial puede ayudar a mejorar el funcionamiento de una empresa, siempre que se integre de forma segura, controlada y adecuada a sus necesidades.

En Dibecla podemos ayudarte a estudiar cómo incorporar inteligencia artificial y automatización en tus procesos empresariales.

Si estás valorando implantar estas tecnologías, contacta con Dibecla y estudiaremos las alternativas más adecuadas para tu organización.

Fuentes oficiales consultadas

Información normativa revisada a 30 de octubre de 2026. Este artículo tiene carácter informativo y no sustituye una evaluación jurídica individualizada.