Ley de IA europea: aplicación plena y lecciones del primer ciclo
Actualizado: 2026-05-03
La Ley de IA europea entró en vigor en agosto de 2024 con un calendario escalonado. Las prohibiciones absolutas y las obligaciones básicas de transparencia arrancaron en febrero de 2025. Las obligaciones para modelos de uso general llegaron en agosto de 2025. Y en agosto de 2026 —hace siete meses— la Ley entró en aplicación plena para sistemas de alto riesgo. El primer ciclo completo de cumplimiento termina ahora, y con él llegan las primeras conclusiones prácticas sin relato institucional.
Puntos clave
- Las obligaciones de transparencia sobre contenido generado con IA se han absorbido con bajo coste porque el trabajo técnico ya existía.
- Identificar qué sistemas son «de alto riesgo» ha sido el principal cuello de botella operativo.
- La supervisión humana efectiva y los registros de incidentes son los costes más inesperados.
- El incumplimiento más generalizado: notificación a usuarios afectados por decisiones automatizadas.
- Las sanciones del primer ciclo son pedagogías, no punitivas; la presión real llegará a partir de 2027.
Qué se cumple sin esfuerzo
Algunas obligaciones de la Ley se han absorbido con facilidad porque coincidían con prácticas que las empresas serias ya tenían. La transparencia sobre contenido generado con IA, obligatoria desde 2025, se ha integrado en la mayoría de productos sin problema:
- Avisos visibles en imágenes y vídeos generados.
- Marcas de agua cuando es técnicamente viable.
- Etiquetado en conversaciones automatizadas.
La prohibición de usos inaceptables —scoring social generalizado, identificación biométrica en espacios públicos sin autorización judicial— tampoco ha causado problemas serios porque ninguna empresa seria en Europa planeaba hacerlos.
La documentación de gestión de riesgos y evaluación de impacto ha sido más trabajosa pero asumible para empresas con procesos GDPR maduros. Las que ya tenían DPO y procesos establecidos han incorporado las obligaciones de IA Act como capa adicional sin revolver estructuras.
Qué ha costado más
El coste más alto del primer ciclo no está en las obligaciones nuevas sino en identificar qué sistemas encajan como «alto riesgo». La definición incluye ocho categorías concretas más criterios que dejan zonas grises. Empresas que usan IA para filtrar CVs, decidir admisión educativa, evaluar crédito o priorizar urgencias médicas se han encontrado con que sus sistemas caen en alto riesgo incluso cuando la función asistida parecía menor.
El proceso de clasificación ha requerido trabajo legal y técnico coordinado que muchas empresas no tenían presupuesto para hacer adecuadamente. El resultado práctico es que algunas sobreclasificaron sus sistemas para evitar riesgo regulatorio, asumiendo carga de cumplimiento innecesaria, y otras subclasificaron por optimismo interpretativo, arriesgando sanciones en auditoría.
El segundo coste alto fue la supervisión humana efectiva: no basta con poner a un humano delante que aprueba todo sin mirar, pero tampoco es realista pedir revisión detallada de cada decisión en sistemas que procesan miles al día. Las empresas han tenido que diseñar flujos con muestreo, alertas por desviación y capacidad real de anular decisiones individuales.
El tercer coste es la gestión de registros de incidentes: sesgos detectados, errores significativos, fallos de seguridad. Montar esta infraestructura con integridad y retención adecuada no es trivial en empresas cuya telemetría interna no estaba diseñada para auditoría externa.
Lo que se incumple de facto
Tres patrones de incumplimiento se repiten con frecuencia en el primer ciclo:
-
Notificación a usuarios afectados: la Ley requiere informar cuando una decisión que afecta significativamente a una persona ha sido tomada con un sistema IA. En la práctica, muchas empresas notifican solo cuando la Ley lo exige explícitamente y evitan hacerlo en zonas grises.
-
Calidad de la documentación de datos de entrenamiento: para sistemas que usan modelos propietarios de terceros, la documentación depende de lo que el proveedor publique, y muchos proveedores publican menos de lo que la Ley pediría si el sistema fuera propio. La Comisión Europea ha empezado a presionar a proveedores grandes, pero los plazos son largos.
-
Cumplimiento como proceso continuo: muchas empresas hicieron el ejercicio de cumplimiento como documentación estática una vez al año en lugar de proceso continuo. La Ley implícitamente espera que el análisis de riesgos se actualice cuando el sistema cambia; en la práctica muchas organizaciones producen el informe inicial, lo archivan y siguen modificando el sistema sin revisar el cumplimiento.
Sanciones reales en el primer ciclo
Las sanciones aplicadas han sido pocas pero visibles:
- Octubre de 2026: multa de dos millones de euros a una plataforma de empleo francesa por sistema de filtrado de CVs sin supervisión humana adecuada.
- Enero de 2026: sanción a un banco alemán por sistema de scoring de crédito sin documentación de datos de entrenamiento completa.
Ambas sanciones estuvieron muy por debajo del máximo teórico del reglamento, señal de que los reguladores están en fase pedagógica más que punitiva. La expectativa es que las multas realmente altas lleguen a partir de 2027 cuando el cuerpo doctrinal esté establecido.
Lo que parece haber funcionado
Dos cosas merecen mención positiva:
- La Oficina de IA europea ha actuado con más pragmatismo del que muchos temían. Sus documentos de guía publicados durante 2025 y 2026 han aclarado puntos oscuros sin endurecer interpretaciones más allá de lo razonable.
- La Ley ha empujado a muchas empresas a profesionalizar la gobernanza de IA que antes era ad-hoc o inexistente: comités internos, roles específicos de cumplimiento, revisión estructurada de sistemas antes de despliegue.
Qué falta
Dos puntos pendientes marcan la agenda para el próximo ciclo:
- Armonización entre autoridades nacionales: hay divergencias de interpretación entre España, Francia, Alemania e Italia que crean incertidumbre multinacional.
- Tratamiento de modelos de uso general: la definición de «riesgo sistémico» sigue siendo ambigua para casos concretos, y los criterios de entrada y salida de la lista no son completamente transparentes.
Mi lectura
El primer ciclo de aplicación plena termina con un balance más matizado de lo que esperaban tanto entusiastas como detractores. La Ley no ha destruido la innovación europea ni ha resuelto todos los problemas de transparencia y sesgo que motivaron su redacción.
Para las empresas, la lección práctica es que el cumplimiento es asumible si se trata como proceso continuo integrado con gestión de riesgos y protección de datos, y es caro y arriesgado si se trata como proyecto puntual de informe anual. Las que han entendido esto en el primer ciclo están bien posicionadas para los siguientes; las que no, probablemente tendrán noticias del regulador antes del próximo agosto.
