La IA ya tiene ley.
Y ya te alcanza.

Las dos cosas, y conviene no confundirlas.

El Reglamento (UE) 2024/1689, conocido como AI Act, está en vigor desde el 1 de agosto de 2024. Al ser un reglamento europeo se aplica directamente en España, sin necesidad de una ley nacional. Sus obligaciones van entrando por fases: las prohibiciones y la obligación de formación se aplican desde el 2 de febrero de 2025.

Lo que sigue en tramitación es la ley española para el buen uso y la gobernanza de la IA. Esa ley organizará la supervisión y concretará el régimen sancionador en España, pero no crea ni aplaza las obligaciones que ya nacen del Reglamento europeo.

Sí. El artículo 4 obliga, desde el 2 de febrero de 2025, a proveedores y empresas usuarias a adoptar medidas para que las personas que manejan sistemas de IA tengan conocimientos suficientes, ajustados al uso, al contexto y a los riesgos.

Afecta a empleados y también a autónomos o colaboradores que actúen por cuenta de la organización. Se aplica aunque únicamente utilicéis ChatGPT, Copilot o Gemini y no existe un umbral mínimo de tamaño.

Es una obligación de medios: no se exige garantizar un resultado académico concreto, pero sí haber tomado medidas razonables y poder demostrarlo.

No. La Comisión Europea ha aclarado expresamente que:

• No se exige ningún certificado oficial.
• No existe un curso homologado obligatorio.
• No es obligatorio nombrar un responsable de IA.
• El cumplimiento puede acreditarse mediante registros internos de formación, políticas de uso, guías y medidas equivalentes.
• No existe ningún permiso administrativo para utilizar ChatGPT u otras herramientas similares.

Evidencia. La obligación no consiste en tener un diploma, sino en demostrar que adoptaste medidas.

En la práctica, eso significa documentar qué formación se impartió, a quién, cuándo, con qué contenidos y qué reglas internas de uso existen. El documento no es un permiso previo para usar IA; es la forma de acreditar que la organización ha cumplido una obligación que ya le resulta aplicable.

Además, clientes y contratistas pueden exigir por contrato formación, política de uso e inventario de herramientas de IA. Es una exigencia contractual legítima, aunque no exista un certificado oficial.

Por esa falta, de forma aislada, hoy no existe una multa propia asignada. El régimen sancionador del Reglamento contempla multas para prácticas prohibidas y para otras obligaciones concretas, pero no tipifica una sanción autónoma por incumplir el artículo 4.

Eso no convierte la formación en opcional:

• Agravante: si existe otra infracción, el nivel de diligencia y las medidas adoptadas influyen en la cuantía de la sanción.
• Protección de datos: un empleado sin formar que introduzca datos de clientes en una herramienta pública puede provocar una brecha sancionable bajo el RGPD.

No poder demostrar que la empresa dio formación o instrucciones puede situarla en una posición especialmente desfavorable ante un incidente.

Es la fecha de aplicación general del Reglamento, pero conviene separar varias cuestiones.

Entra en aplicación la transparencia del artículo 50. Los chatbots dirigidos al público deben identificarse como IA y determinados contenidos generados o manipulados deben señalarse como tales.

Las autoridades ya existentes pueden actuar sobre todo lo que sea exigible: formación, prohibiciones y transparencia, con la AESIA y la AEPD como referencias operativas en España.

No llegan todavía todas las obligaciones de alto riesgo. Las correspondientes a los sistemas del Anexo III quedan aplazadas al 2 de diciembre de 2027 y las relacionadas con IA integrada en productos regulados del Anexo I, al 2 de agosto de 2028.

Nadie multa automáticamente por utilizar IA a partir de agosto. Lo relevante es cumplir las obligaciones concretas aplicables al uso que hace cada organización.

Sí, y los canales ya existen.

• El Reglamento reconoce el derecho a presentar reclamaciones ante la autoridad de vigilancia del mercado.
• La Comisión Europea dispone de una herramienta confidencial para comunicar infracciones del Reglamento.
• La AESIA admite comunicaciones por formulario y por escrito.
• La AEPD es competente cuando el uso de IA afecta a datos personales.

Como ocurre en protección de datos, el control no depende únicamente de inspecciones de oficio: puede comenzar por la reclamación de un cliente, un empleado o un competidor.

La AESIA, Agencia Española de Supervisión de la Inteligencia Artificial, es la autoridad de vigilancia del mercado prevista, junto con autoridades sectoriales para ámbitos concretos, como la AEPD en materia de datos personales o el Banco de España en el ámbito financiero.

El detalle del régimen sancionador español y el reparto final de competencias se encuentra en el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA, todavía en tramitación parlamentaria a la fecha de actualización del documento.

Mientras se aprueba, no existe un vacío legal: siguen siendo aplicables el Reglamento europeo, el RGPD, la normativa laboral, la propiedad intelectual, el secreto empresarial y las obligaciones contractuales.

Puedes esperar, pero estarías esperando a la norma equivocada. Las obligaciones principales nacen del Reglamento europeo, que ya se aplica directamente.

La formación y las prohibiciones son exigibles desde febrero de 2025 y la transparencia desde agosto de 2026. Además, muchos de los riesgos más inmediatos, como introducir datos personales en herramientas no autorizadas, ya están plenamente cubiertos por el RGPD.

Sí. Si un empleado utiliza IA en su trabajo, la empresa responde por el resultado.

Responde frente al cliente por contratos, calidad y confidencialidad; frente a la AEPD cuando existen datos personales; y frente a terceros en materia de propiedad intelectual o competencia. La herramienta no sustituye la responsabilidad de la organización.

Por eso la revisión humana de los resultados forma parte de un uso razonable y responsable de la IA.

Un expediente sencillo y proporcional al uso real que hagáis de la IA. La propia AEPD sigue un esquema equivalente en su política interna de uso de inteligencia artificial.

No existe una plantilla única obligatoria: cada organización debe dimensionar sus medidas según las herramientas utilizadas, las personas implicadas, los datos tratados y los riesgos existentes.