Reglamento europeo de IA: lo que aplica a un autónomo
Si usas IA como herramienta de trabajo eres responsable del despliegue, no proveedor, y la mayoría de tus usos son de riesgo mínimo sin obligaciones nuevas. Y el artículo 4, el de la alfabetización, dice literalmente que no exige garantizar «un nivel específico de alfabetización en materia de IA de ninguna persona en particular».
Si eres autónomo y usas IA para escribir correos, resumir reuniones o generar imágenes para tus redes, el Reglamento Europeo de Inteligencia Artificial te afecta mucho menos de lo que sugieren los titulares. La inmensa mayoría de esos usos entran en la categoría de riesgo mínimo, que el reglamento deja sin obligaciones nuevas.
Eso no significa que no haya nada que saber. Hay tres cosas que ya se aplican, y una de ellas empezó en agosto. Vamos por partes, con todo verificado en el texto oficial el 2 de octubre de 2026, porque el calendario cambió en julio y buena parte de lo que se publicó antes ya no sirve.
Tú no eres un proveedor, eres un responsable del despliegue
El reglamento reparte obligaciones según el papel que ocupas. El proveedor es quien desarrolla un sistema de IA y lo pone en el mercado con su nombre. El responsable del despliegue es quien utiliza un sistema de IA bajo su propia autoridad en el contexto de una actividad profesional.
Casi todo el peso del reglamento cae sobre los proveedores. Tú, que abres una herramienta que ha construido otro y la usas para tu trabajo, eres responsable del despliegue. Es una posición mucho más ligera. Si integras un modelo en un producto propio y lo comercializas con tu marca, entonces la conversación es otra y ahí sí conviene asesoramiento específico.
El uso de un sistema de IA en el marco de una actividad personal de carácter no profesional queda fuera de la definición de responsable del despliegue. Usar un generador de imágenes por afición no te convierte en sujeto obligado. Usarlo para tus clientes, sí.
El calendario real, con el cambio de julio de 2026
El Reglamento (UE) 2024/1689 se publicó en el Diario Oficial el 12 de julio de 2024 y entró en vigor el 1 de agosto de 2024. No se aplicó todo de golpe: se despliega por fases. Y esas fases se modificaron con el Reglamento (UE) 2026/1744, de 8 de julio de 2026, cuyo nombre oficial es «Ómnibus digital sobre IA».
Sobre su entrada en vigor circula bastante confusión, así que conviene hacer la cuenta despacio porque es sencilla. Se publicó en el Diario Oficial el 24 de julio de 2026, y su artículo 4 dice que «El presente Reglamento entrará en vigor a los tres días de su publicación en el Diario Oficial de la Unión Europea». Veinticuatro más tres: 27 de julio de 2026.
| Fecha | Qué empieza a aplicarse |
|---|---|
| 2 de febrero de 2025 | Prácticas de IA prohibidas y alfabetización en materia de IA |
| 2 de agosto de 2025 | Gobernanza y obligaciones de los modelos de IA de uso general |
| 2 de agosto de 2026 | Aplicación general del reglamento, incluidas las obligaciones de transparencia del artículo 50 |
| 2 de diciembre de 2027 | Sistemas de alto riesgo del anexo III (fecha aplazada por el omnibus desde el 2 de agosto de 2026) |
| 2 de agosto de 2028 | IA de alto riesgo integrada en productos ya regulados, como juguetes o ascensores |
Ese aplazamiento del alto riesgo es la novedad importante, y el ómnibus lo escribe con todas las letras: «procede fijar la fecha de aplicación del capítulo III, secciones 1, 2 y 3 el 2 de diciembre de 2027 en el caso de los sistemas de IA clasificados como de alto riesgo en virtud del artículo 6, apartado 2, y el anexo III, y el 2 de agosto de 2028 en el caso de los sistemas de IA clasificados como de alto riesgo en virtud del artículo 6, apartado 1».
El motivo que da la propia norma es que los costes de ejecución no justificaban mantener «su fecha inicial de aplicación, a saber, el 2 de agosto de 2026». Así que si has leído en algún sitio que las reglas de alto riesgo entraban en agosto de 2026, esa información quedó desfasada en julio.
Los cuatro niveles de riesgo y dónde caes tú
El reglamento clasifica los sistemas por el riesgo que generan, no por lo avanzados que sean.
- Riesgo inaceptable. Prácticas prohibidas desde febrero de 2025, como la puntuación social o el rastreo indiscriminado de imágenes faciales. El ómnibus amplió esta lista modificando el artículo 5, y conviene contarlo con sus palabras porque es más amplio de lo que suele resumirse: habla de sistemas que generan «imágenes, vídeos, audios y material similar de carácter íntimo y no consentidos», a lo que la norma llama «material íntimo no consentido», y también material de abusos sexuales de menores. No son solo imágenes, y el término legal no es «contenido sexual». Un detalle de calendario que casi nadie añade: esas letras nuevas del artículo 5 no son exigibles todavía. El artículo 113 las deja «aplicables a partir del 2 de diciembre de 2026», a diferencia del resto de prohibiciones, que lo son desde febrero de 2025.
- Alto riesgo. Sistemas que afectan a la salud, la seguridad o los derechos fundamentales. Aquí entra un caso que sí puede tocarte: el uso de IA para seleccionar personal. Si contratas y usas una herramienta que criba currículums, revisa esta categoría con calma.
- Riesgo limitado. Sistemas sujetos solo a obligaciones de transparencia: chatbots, generadores de contenido sintético, ultrafalsificaciones.
- Riesgo mínimo. Todo lo demás, sin obligaciones adicionales. Aquí está la mayoría de lo que usas a diario.
Transparencia: qué tienes que avisar y qué no
Esta es la parte que se aplica desde el 2 de agosto de 2026 y donde más confusión hay. Conviene separar quién tiene cada obligación.
La obligación de que un chatbot informe de que es una IA recae sobre el proveedor, que debe diseñar el sistema para que la persona lo sepa. La obligación de marcar en formato legible por máquina los contenidos generados artificialmente también recae sobre el proveedor del sistema generativo. Es decir, sobre quien te vende la herramienta, no sobre ti.
Al responsable del despliegue le tocan dos supuestos concretos. Si generas o manipulas imagen, audio o vídeo que constituya una ultrafalsificación, tienes que revelar de forma visible que el contenido ha sido generado o manipulado artificialmente. Y si publicas texto generado con IA con la finalidad de informar al público sobre asuntos de interés público, tienes que indicarlo.
No, el reglamento no te obliga a etiquetar todos los textos que escribas con ayuda de IA. La obligación del responsable del despliegue se limita al texto publicado para informar al público sobre asuntos de interés público. La descripción de un producto, un correo comercial o un post sobre tu servicio no encajan en ese supuesto.
Hay un matiz de fechas que merece la pena conocer, y el ómnibus lo acota más de lo que suele contarse. No es un margen general: afecta a los sistemas de IA de uso general «que generen contenido sintético de audio, imagen, vídeo o texto y se hayan introducido en el mercado antes del 2 de agosto de 2026», que «adoptarán las medidas necesarias para cumplir lo dispuesto en el artículo 50, apartado 2, a más tardar el 2 de diciembre de 2026». El apartado 2 es precisamente el del marcado legible por máquina. Eso explica por qué no todo lo que generas hoy sale etiquetado: algunas herramientas siguen dentro de ese plazo.
Alfabetización en IA: la obligación que sí es tuya
El artículo 4 se aplica desde febrero de 2025 y afecta tanto a proveedores como a responsables del despliegue. Y es el que más se ha exagerado por ahí, porque en su redacción original obligaba a garantizar la alfabetización en materia de IA del personal. De ahí salieron bastantes titulares sobre cursos obligatorios.
El ómnibus lo reescribió entero, y merece la pena leer el texto nuevo tal cual: «Los proveedores y responsables del despliegue de sistemas de IA adoptarán medidas para apoyar la promoción de la alfabetización en materia de IA de su personal y demás personas que se encarguen en su nombre del funcionamiento y la utilización de sistemas de IA, teniendo en cuenta sus conocimientos técnicos, su experiencia, su educación y su formación, así como el contexto previsto de uso de los sistemas de IA».
El mismo artículo 4, a continuación, añade esto: «Esta obligación no exige que los proveedores o los responsables del despliegue garanticen un nivel específico de alfabetización en materia de IA de ninguna persona en particular.» Está en el texto vigente, no es una interpretación. Quien te venda un curso obligatorio para cumplir el artículo 4 no ha leído el artículo 4.
El considerando que lo explica dice que una solución «que imponga obligaciones estrictas para garantizar un nivel suficiente de alfabetización en materia de IA no sería adecuada para todos los tipos de proveedores y responsables del despliegue». Traducido: no es lo mismo un hospital que un autónomo que redacta correos.
¿Qué significa en la práctica? Si trabajas solo, formarte y dejar constancia de ello. Si tienes a alguien contratado, darle instrucciones escritas sobre qué se puede hacer con estas herramientas y qué no. Un documento de una página vale más que ninguno, y el artículo no te pide más que eso.
Sanciones, sin dramatismo
El reglamento prevé sanciones, y conviene verlas en su contexto real en lugar de en titulares. Están en su artículo 99, y no hace falta fiarse de nadie: las cifras y la fórmula están escritas allí.
Las prácticas prohibidas del artículo 5 se sancionan «con multas administrativas de hasta 35 000 000 EUR o, si el infractor es una empresa, de hasta el 7 % de su volumen de negocios mundial total correspondiente al ejercicio financiero anterior, si esta cuantía fuese superior». El incumplimiento del resto de obligaciones —entre ellas las de transparencia del artículo 50, que son las que pueden tocarte— baja a 15 000 000 EUR o el 3 %, con la misma fórmula. Y dar información inexacta, incompleta o engañosa a las autoridades, a 7 500 000 EUR o el 1 %.
Fíjate en esas tres palabras repetidas: si esta cuantía fuese superior. Para una empresa grande, el porcentaje suele ser mayor que el importe fijo, y es el porcentaje el que se aplica. Ahí es donde salen los titulares de decenas de millones.
El apartado 6 del mismo artículo 99 dice: «En el caso de las pymes, incluidas las empresas emergentes, cada una de las multas a que se refiere el presente artículo podrá ser por el porcentaje o el importe a que se refieren los apartados 3, 4 y 5, según cuál de ellos sea menor.» Es decir: a ti se te aplica el menor de los dos, no el mayor. Para un autónomo, el 7 % de su facturación está muy por debajo de 35 millones, así que el techo real es ese porcentaje.
El ómnibus añadió además un apartado 6 bis para las pequeñas empresas de mediana capitalización, con un matiz que conviene no confundir: en su caso la regla del importe menor cubre «los apartados 4 y 5», no el 3. O sea, no alcanza a las prácticas prohibidas. Para las pymes y las empresas emergentes sí cubre los tres.
El reglamento está construido para que la carga sea proporcional al tamaño. Eso no es una opinión tranquilizadora: está en el articulado, y ahora sabes en qué apartado buscarlo.
Este artículo es información general basada en el texto del reglamento y en fuentes oficiales de la Unión Europea. No es asesoramiento jurídico y Neurona IA no es un despacho de abogados. Si tu caso implica selección de personal, biometría, un producto propio con IA integrada o cualquier duda sobre clasificación de riesgo, consúltalo con un abogado o con tu asesor.