El Reglamento de IA de la UE (el AI Act) ya regula qué pueden hacer las máquinas con tus datos, y en 2026 entra en una de sus fases más jugosas. La ley de IA de Europa es el primer marco legal del mundo que clasifica los sistemas de inteligencia artificial por riesgo y prohíbe directamente los más abusivos. ¿Qué significa para tu privacidad? Que esa app que adivina tu estado de ánimo por la webcam, o el banco que te puntúa con un algoritmo opaco, ahora tienen reglas. La regulación de la inteligencia artificial no es ciencia ficción burocrática: define derechos sobre la IA que puedes ejercer mañana mismo. Aquí te lo explicamos sin la jerga de Bruselas y con el cariño justo.
Qué es exactamente el Reglamento de IA de la UE
El AI Act es el Reglamento (UE) 2024/1689, aprobado en 2024 y publicado en el Diario Oficial de la Unión Europea. Entró en vigor el 1 de agosto de 2024, pero su aplicación es escalonada hasta 2027.
La idea central es simple: no todos los sistemas de IA son igual de peligrosos. Un filtro de spam (hola, somos nosotros) no es lo mismo que un algoritmo que decide si te dan una hipoteca. Por eso la ley de IA de Europa organiza todo en una pirámide de riesgo.
- Riesgo inaceptable: prohibido. Puntuación social tipo China, manipulación subliminal, reconocimiento de emociones en el trabajo o la escuela.
- Alto riesgo: permitido con obligaciones estrictas. IA en sanidad, contratación, banca, justicia o infraestructuras críticas.
- Riesgo limitado: obligación de transparencia. Chatbots y deepfakes deben avisar de que son artificiales.
- Riesgo mínimo: barra libre. Videojuegos, filtros de correo, recomendadores básicos.
El órgano que vigila todo esto es la Oficina Europea de IA (AI Office), creada dentro de la Comisión. En España, la supervisión recae en la AESIA, la Agencia Española de Supervisión de la Inteligencia Artificial, con sede en A Coruña.
Calendario 2026: qué cambia este año
El AI Act no llegó de golpe. Se aplica por tramos, y 2026 es un año bisagra.
| Fecha | Qué entra en vigor |
|---|---|
| Febrero 2025 | Prohibiciones de prácticas inaceptables y obligación de alfabetización en IA |
| Agosto 2025 | Reglas para modelos de IA de propósito general (GPAI), tipo GPT o Gemini |
| Agosto 2026 | Aplicación general del grueso del reglamento, incluidos sistemas de alto riesgo del Anexo III |
| Agosto 2027 | Obligaciones para IA integrada en productos regulados (juguetes, dispositivos médicos) |
Traducido: a partir de agosto de 2026, las empresas que usen IA para seleccionar currículums, conceder créditos o gestionar tu historial médico tienen que cumplir requisitos de transparencia, supervisión humana y registro de datos. Y tú ganas el derecho a reclamar.
Cómo afecta a tu privacidad concretamente
Aquí está la chicha. La regulación de la inteligencia artificial se solapa con el RGPD, no lo sustituye. Donde el Reglamento General de Protección de Datos protege tus datos personales, el AI Act protege cómo los algoritmos toman decisiones sobre ti.
Estos son los cambios prácticos que notarás:
- Adiós al reconocimiento de emociones encubierto. Tu empresa no puede instalar una IA que analice tu cara para ver si estás motivado. Está prohibido en entornos laborales y educativos.
- Fin del scraping facial masivo. Queda prohibido crear bases de datos de reconocimiento facial rascando imágenes de internet o cámaras de seguridad sin criterio. Esto va directo contra empresas tipo Clearview AI.
- Derecho a explicación. Si un sistema de alto riesgo toma una decisión que te afecta (te deniegan un préstamo, descartan tu CV), puedes exigir una explicación clara de por qué.
- Etiquetado de contenido sintético. Los deepfakes y el texto generado por IA deben identificarse como tales. Menos sustos con vídeos falsos de famosos vendiéndote criptomonedas.
Ese último punto conecta con un problema que conocemos bien: las estafas de inversión online recurren a deepfakes para parecer legítimas. La obligación de etiquetado no las elimina, pero da base legal para perseguirlas.
La biometría es el otro frente. El uso de identificación biométrica remota en tiempo real en espacios públicos queda prohibido salvo excepciones policiales muy tasadas y con autorización judicial. Si te preocupa cuánto rastro dejas, te interesa revisar tu huella digital en internet antes de que un algoritmo la procese por ti.
Tus nuevos derechos sobre la IA y cómo ejercerlos
La parte que nadie te cuenta: el AI Act te da herramientas, no solo prohibiciones. Estos son los derechos sobre la IA que puedes activar.
- Derecho a reclamar. Puedes presentar una queja ante la autoridad nacional (la AESIA en España) si crees que un sistema de IA vulnera el reglamento.
- Derecho a saber que hablas con una máquina. Todo chatbot debe identificarse. Si un "agente de atención al cliente" no lo hace, está incumpliendo.
- Derecho a supervisión humana. En decisiones de alto riesgo, una persona debe poder revisar y revertir lo que decida el algoritmo.
- Derecho a la transparencia del modelo. Los proveedores de IA generativa deben publicar resúmenes de los datos con los que entrenaron sus modelos.
El RGPD sigue siendo tu mejor aliado para el día a día. El derecho de acceso (artículo 15) y el de oposición a decisiones automatizadas (artículo 22) ya te protegían, y ahora se refuerzan. Si quieres ir un paso más allá, aprende a monitorizar si tus datos aparecen en la dark web, porque ningún reglamento europeo persigue a un foro ruso.
Una nota técnica que nos toca de cerca: los modelos de IA también se pueden engañar. Existen los ataques adversariales contra la inteligencia artificial, donde se manipula la entrada para confundir al sistema. El AI Act obliga a los sistemas de alto riesgo a ser robustos frente a estas manipulaciones, aunque la práctica todavía va por detrás de la teoría.
Qué deben hacer las empresas (y por qué te conviene saberlo)
Si tienes un negocio o trabajas con herramientas de IA, esto va contigo. Las multas no son simbólicas: por usar prácticas prohibidas, hasta 35 millones de euros o el 7% de la facturación global anual, lo que sea mayor.
Las obligaciones básicas para sistemas de alto riesgo incluyen documentación técnica, registros de actividad, supervisión humana, gestión de calidad de datos y evaluación de conformidad antes de salir al mercado.
Para una pyme, el reto suele ser saber si su herramienta entra en la categoría de alto riesgo o no. Si estás integrando IA en tu web o aplicación, conviene hacerlo con criterio desde el diseño. Por eso en proyectos de inteligencia artificial para empresas el cumplimiento normativo no es un añadido posterior, sino parte de la arquitectura. Y si tu proyecto incluye desarrollo de una página web o app, mejor cumplir el AI Act y el RGPD desde la primera línea de código que rehacerlo después.
Preguntas frecuentes
¿Cuándo entra en vigor el Reglamento de IA de la UE?
Entró en vigor el 1 de agosto de 2024, pero se aplica por fases. Las prohibiciones rigen desde febrero de 2025 y el grueso del reglamento, incluidos los sistemas de alto riesgo, desde agosto de 2026. Las últimas obligaciones llegarán en agosto de 2027.
¿El AI Act sustituye al RGPD?
No. Son complementarios. El RGPD protege tus datos personales y el AI Act regula cómo los sistemas de inteligencia artificial los procesan y toman decisiones. Una empresa que use IA con datos personales tiene que cumplir ambos.
¿Qué prácticas de IA están prohibidas en Europa?
La puntuación social de ciudadanos, la manipulación subliminal del comportamiento, el reconocimiento de emociones en el trabajo y la escuela, y la creación masiva de bases de datos faciales mediante scraping. La identificación biométrica en tiempo real solo se permite a la policía con autorización judicial.
¿Quién vigila el cumplimiento del AI Act en España?
La AESIA, la Agencia Española de Supervisión de la Inteligencia Artificial, con sede en A Coruña. A nivel europeo coordina la Oficina Europea de IA dentro de la Comisión. Ante un incumplimiento, puedes presentar tu reclamación a la AESIA.
¿Cómo sé si un chatbot o un vídeo está hecho con IA?
La ley obliga a etiquetarlo. Los chatbots deben avisar de que son artificiales y el contenido sintético, como los deepfakes, debe identificarse como generado por IA. Si no lo hacen, están incumpliendo el reglamento y puedes denunciarlo.
El siguiente paso
Entra hoy en la web de la AESIA y revisa su canal de reclamaciones: tener localizado dónde quejarte antes de necesitarlo es la mejor defensa que te da la ley de IA de Europa. Y si te ha picado el gusanillo de la privacidad, sigue curioseando por el blog de MataSpam, que aquí desconfiamos de los algoritmos por oficio.
