En agosto de 2025 entró en vigor la primera regulación integral de inteligencia artificial del mundo. Y no pasó nada, al menos en apariencia. No hubo titulares ese día, y la gente que usa ChatGPT cada mañana no notó ninguna diferencia. Pero el EU AI Act es probablemente la ley más importante que ha aprobado Europa en la última década para el sector tecnológico, y en 2026 sus efectos ya se notan, aunque casi siempre por debajo del radar.
Qué es el EU AI Act y cómo funciona
Es un reglamento europeo que ordena los sistemas de IA según el riesgo que suponen y le pone obligaciones distintas a cada nivel. No prohíbe la IA en bloque. Prohíbe usos concretos que considera peligrosos y exige transparencia y supervisión para los que tocan derechos fundamentales.
Las categorías son cuatro. Riesgo inaceptable, que está directamente prohibido. Alto riesgo, con obligaciones estrictas. Riesgo limitado, que solo pide transparencia. Y riesgo mínimo, que se queda sin regulación específica. La mayoría de los chatbots y herramientas de consumo que usas a diario caen en riesgo limitado o mínimo. Los que entran en alto riesgo son los que deciden cosas serias sobre personas: contratación, concesión de crédito, diagnóstico médico, infraestructuras críticas o justicia penal.
Lo que está prohibido desde agosto de 2025
Lo clasificado como riesgo inaceptable quedó fuera de la ley desde el primer día. Ahí entran los sistemas de puntuación social al estilo del modelo chino, la identificación biométrica en tiempo real en espacios públicos (salvo excepciones muy concretas de seguridad nacional), los sistemas pensados para manipular el comportamiento de forma inconsciente y los que se aprovechan de la vulnerabilidad de alguien por su edad, su discapacidad o su situación económica.
Algunos de estos usos eran más teóricos que reales en Europa. Otros no. El reconocimiento facial en espacios públicos, que algunas ciudades ya probaban como herramienta policial, queda en una zona gris que la ley obliga a revisar. Varios proyectos piloto en aeropuertos y estadios han tenido que pararse para comprobar si cumplen. Y aquí, personalmente, creo que está uno de los mayores aciertos de la norma: frenar primero y comprobar después, en lugar de al revés.
Lo que cambia para las empresas que usan IA
Es donde el impacto se siente de verdad en 2026. Una empresa europea que use IA para seleccionar personal tiene que cumplir todo el paquete de alto riesgo: documentación técnica, evaluación de conformidad, registro en la base de datos de la UE y un humano supervisando cada decisión. Lo mismo para el scoring crediticio, la gestión algorítmica de empleados o la priorización de pacientes en urgencias.
El problema real que estoy viendo es otro: muchas pymes no saben si su herramienta cae en alto riesgo o no. Usan un software de RRHH que puntúa currículums automáticamente. ¿Eso es alto riesgo? Pues depende de cómo lo uses, y esa ambigüedad asusta. El resultado es que algunas empresas conservadoras están abandonando herramientas que probablemente ni siquiera estarían reguladas, por miedo a una multa. La ley quería dar seguridad y, de momento, en ese terreno está generando lo contrario.
Tus derechos como ciudadano europeo
Esta es la parte que más te interesa si no trabajas en tecnología, porque te da derechos que puedes ejercer ya. Si interactúas con una IA en un contexto de alto riesgo (una solicitud de empleo, una evaluación de crédito, una atención médica asistida por IA), tienen que decírtelo: no puede ser algo oculto. Puedes pedir que un humano revise cualquier decisión importante que se haya tomado con ayuda de IA. Puedes exigir que te expliquen la lógica básica de esa decisión. Y si te perjudica, puedes impugnarla.
Ahora bien, seamos honestos: ejercer estos derechos en 2026 sigue siendo más fácil sobre el papel que en la práctica, porque buena parte de los mecanismos de reclamación todavía no están en marcha. El marco legal existe. La maquinaria para hacerlo valer va por detrás.
Lo que pienso de la regulación
Mi valoración, sin rodeos: el EU AI Act es la respuesta correcta a un problema real, pero llega tarde y con demasiada complejidad encima. Los modelos de IA evolucionan tan rápido que cualquier marco nace medio desactualizado. La clasificación por riesgo tiene todo el sentido en 2025; en 2027, cuando los agentes autónomos sean lo normal, habrá que repensarla casi entera.
Lo que más me convence no es la lista de prohibiciones, que en su mayoría veta cosas que nadie defendía en voz alta. Es la obligación de documentar y auditar los sistemas de alto riesgo. Que una empresa no pueda usar IA para decidir a quién contrata sin poder explicar cómo funciona ni demostrar que no discrimina me parece de cajón. El verdadero reto es hacer que eso sea viable para una pyme de diez empleados que usa un programa de terceros, no para una multinacional con un departamento legal entero.
Preguntas frecuentes
¿Afecta el EU AI Act a ChatGPT o Claude?
Los modelos de propósito general como ChatGPT o Claude tienen obligaciones específicas bajo el AI Act (transparencia sobre capacidades y limitaciones, publicación de resúmenes de datos de entrenamiento). No están en la categoría de alto riesgo por sí mismos, pero si se usan en aplicaciones de alto riesgo, el sistema completo debe cumplir con esa categoría.
¿Cuáles son las multas por incumplimiento?
Hasta 35 millones de euros o el 7% de la facturación mundial anual por infracciones de riesgo inaceptable. Hasta 15 millones o el 3% por incumplimiento de otras obligaciones. Es el mismo esquema que el RGPD, con multas proporcionales a la gravedad y al tamaño de la empresa.
¿Cuándo se aplica completamente el EU AI Act?
Las prohibiciones de riesgo inaceptable desde agosto de 2025. Los requisitos para sistemas de alto riesgo tienen plazos de transición que van hasta 2027 según el tipo de sistema. Los requisitos para modelos de IA de propósito general desde agosto de 2025.