Reglas v1.0.0 · revisadas el 2 de septiembre de 2026 · CELEX 02024R1689-20260727
Qué obliga hoy, qué llega en 2027 y 2028, y qué no se aplazó con el Ómnibus digital sobre IA. Con el artículo que lo dice.
El Reglamento (UE) 2024/1689 se aplica por fases, y esas fases cambiaron en julio de 2026. Esta página recoge el calendario vigente según el artículo 113 del texto consolidado, y las obligaciones asociadas a cada hito con su artículo o anexo. Todo sale del mismo árbol de reglas que usa nuestro autoevaluador, contrastado con las fuentes oficiales de la Unión Europea.
Aviso: Si has leído en algún sitio que los sistemas de alto riesgo del AI Act se aplican desde agosto de 2026, esa información está desactualizada. El Ómnibus digital sobre IA los aplazó a diciembre de 2027 y agosto de 2028. Lo que no se aplazó es todo lo demás, y es lo que afecta a la mayoría de las empresas.
El calendario, hito a hito
Fecha
Qué aplica
Estado
Base
Derecho de la representación legal de las personas trabajadoras a ser informada de los parámetros y la lógica de los algoritmos que afecten a decisiones laborales
Ya en vigor
Art. 64.4.d) del Estatuto de los Trabajadores (norma española, ajena al AI Act)
Capítulos I y II: definiciones, prácticas prohibidas (art. 5) y alfabetización en IA (art. 4)
Ya en vigor
Art. 113, letra a)
Modelos de IA de uso general (cap. V), gobernanza y régimen sancionador
Ya en vigor
Art. 113, letra b)
Aplicación general del Reglamento, incluida la transparencia del art. 50, y arranque de la supervisión por las autoridades nacionales de vigilancia del mercado
Ya en vigor
Art. 113, párrafo segundo
Nuevas prohibiciones del art. 5.1, letras b bis) y b ter): imágenes íntimas no consentidas y material de abuso sexual infantil generados por IA
Pendiente
Art. 113, letra a), inciso final
Requisitos y obligaciones de los sistemas de alto riesgo del anexo III (empleo, biometría, educación, crédito, servicios esenciales, infraestructuras críticas)
Pendiente
Art. 113, letra c), inciso i) — aplazado por el Ómnibus desde el 2-8-2026
Requisitos de los sistemas de alto riesgo del anexo I: IA integrada en productos ya regulados (máquinas, productos sanitarios, vehículos)
Pendiente
Art. 113, letra c), inciso ii) — aplazado por el Ómnibus
Las obligaciones, una por una
Ya en vigor
Derecho de la representación legal de las personas trabajadoras a ser informada de los parámetros y la lógica de los algoritmos que afecten a decisiones laborales
Art. 64.4.d) del Estatuto de los Trabajadores (norma española, ajena al AI Act)
Información a la representación de los trabajadores sobre algoritmos (norma española)
Artículo 64.4.d) del Estatuto de los Trabajadores
Desde el 12 de agosto de 2021, la representación legal de las personas trabajadoras tiene derecho a ser informada de los parámetros, reglas e instrucciones en que se basan los algoritmos que puedan incidir en las condiciones de trabajo, el acceso al empleo o el mantenimiento del empleo, incluida la elaboración de perfiles.
Esta obligación es española y ajena al Reglamento de IA: el aplazamiento del anexo III a diciembre de 2027 no la toca ni la suspende. Si usáis IA en selección o gestión de personas, ya está vencida. Es el error más frecuente en proyectos de RRHH.
Ya en vigor
Capítulos I y II: definiciones, prácticas prohibidas (art. 5) y alfabetización en IA (art. 4)
Art. 113, letra a)
Alfabetización en IA de tu personal
Artículo 4
Proveedores y responsables del despliegue adoptarán medidas para apoyar la promoción de la alfabetización en IA de su personal y de quienes se encarguen en su nombre del funcionamiento y la utilización de los sistemas.
Aplica desde el primer día de uso y sin umbral de tamaño: un autónomo que usa IA profesionalmente está dentro. El Ómnibus rebajó la intensidad («apoyar la promoción» en vez de «garantizar un nivel suficiente») y aclaró que no se exige garantizar el nivel de ninguna persona en particular, pero sigue siendo una obligación de hacer. El perímetro no son solo empleados: la Comisión incluye expresamente contratistas, proveedores de servicios y, según el riesgo, clientes.
Registro de las medidas de alfabetización adoptadas
Artículo 4 · Q&A de la Comisión (27-7-2026)
No hay obligación formal de expediente ni de certificado, pero la obligación es contextual: sin rastro documental es indefendible.
Basta «un registro interno de formaciones y/u otras iniciativas de orientación». Mínimo razonable: inventario de sistemas y rol de la organización en cada uno, perímetro de personas incluidas, medidas adoptadas con su justificación de proporcionalidad, evidencia de ejecución (temario, fechas, asistentes) y fecha de revisión.
Inferencia de emociones en el trabajo o en centros educativos
Artículo 5, apartado 1, letra f)
Está prohibido usar sistemas de IA para inferir las emociones de una persona física en los lugares de trabajo y en los centros educativos, salvo cuando el sistema esté destinado a instalarse por motivos médicos o de seguridad.
Esta es la única categoría de este informe que no admite plan a plazo: la prohibición está en vigor desde el 2 de febrero de 2025 y desde el 2 de agosto de 2026 hay autoridades de vigilancia del mercado operativas. Requiere análisis jurídico inmediato sobre si el uso concreto encaja en la excepción médica o de seguridad.
Puntuación social o de comportamiento de personas
Artículo 5, apartado 1, letra c)
Está prohibido evaluar o clasificar a personas durante un período de tiempo atendiendo a su comportamiento social o a características de su personalidad cuando la puntuación resultante provoque un trato perjudicial en contextos no relacionados con el origen de los datos, o injustificado o desproporcionado.
La prohibición es condicional: depende de si la puntuación produce ese trato perjudicial. Es exactamente el tipo de matiz que decide si hay infracción o no, y requiere análisis jurídico del caso concreto antes de cualquier otra medida.
Biometría: dónde está el límite entre permitido y prohibido
Artículo 5, apartado 1, letras g) y h) · Anexo III, punto 1
No toda biometría está prohibida. Lo prohibido es la categorización biométrica que deduzca raza, opiniones políticas, afiliación sindical, convicciones, vida u orientación sexual, y la identificación biométrica remota en tiempo real en espacios públicos con fines policiales. La verificación biométrica cuya única finalidad sea confirmar que alguien es quien dice ser queda expresamente excluida del anexo III.
El control de acceso por huella o cara para confirmar identidad es, en principio, verificación excluida. La identificación remota (reconocer a quién se ve, sin que se presente) entra en el anexo III. La línea depende del diseño concreto del sistema, y en paralelo aplica el RGPD por tratarse de datos biométricos. Requiere análisis.
Ya en vigor
Modelos de IA de uso general (cap. V), gobernanza y régimen sancionador
Art. 113, letra b)
Modelos de IA de uso general (GPAI)
Capítulo V
Las obligaciones del capítulo V recaen sobre el proveedor del modelo de uso general: documentación técnica, información a los proveedores posteriores, política de cumplimiento del derecho de autor y resumen del contenido de entrenamiento.
Si usáis GPT, Claude o Llama a través de su proveedor, esas obligaciones son de OpenAI, Anthropic o Meta, no vuestras. Lo vuestro es lo que se deriva de integrarlos: transparencia del artículo 50 si el resultado llega al público, artículo 4 siempre, y las obligaciones de proveedor si lo ponéis en el mercado bajo vuestra marca. Vigente desde el 2 de agosto de 2025.
Ya en vigor
Aplicación general del Reglamento, incluida la transparencia del art. 50, y arranque de la supervisión por las autoridades nacionales de vigilancia del mercado
Art. 113, párrafo segundo
Transparencia: la persona debe saber que habla con una IA
Artículo 50, apartado 1
Los proveedores garantizarán que los sistemas destinados a interactuar directamente con personas se diseñen de forma que estas estén informadas de que interactúan con un sistema de IA, salvo cuando resulte evidente para una persona razonablemente informada y atenta.
En vigor desde el 2 de agosto de 2026. Es de las obligaciones más baratas de cumplir y de las más visibles en una inspección: una línea en el chatbot y una mención en la política de uso.
Marcado legible por máquina del contenido sintético
Artículo 50, apartado 2
Los proveedores de sistemas que generen contenido sintético de audio, imagen, vídeo o texto velarán por que la salida esté marcada en formato legible por máquina y sea detectable como generada artificialmente.
No aplica cuando el sistema solo apoya la edición estándar o no altera sustancialmente los datos de entrada. El Código de Buenas Prácticas sobre transparencia del contenido generado por IA (10-6-2026) es la vía práctica: la Comisión concluyó el 8-7-2026 que cubre adecuadamente los apartados 2, 4 y 5. La adhesión es voluntaria.
Divulgación de ultrafalsificaciones y de texto de interés público
Artículo 50, apartado 4
Quien despliegue un sistema que genere o manipule imagen, audio o vídeo constitutivos de ultrafalsificación hará público que el contenido ha sido generado o manipulado artificialmente. Lo mismo para el texto publicado con el fin de informar al público sobre asuntos de interés público.
En obras manifiestamente creativas, satíricas o de ficción la obligación se limita a hacerlo público de forma que no dificulte el disfrute de la obra. En vigor desde el 2 de agosto de 2026.
Informar a quien queda expuesto a reconocimiento de emociones o categorización biométrica
Artículo 50, apartado 3
Los responsables del despliegue de un sistema de reconocimiento de emociones o de categorización biométrica informarán de su funcionamiento a las personas expuestas y tratarán sus datos conforme al RGPD.
Esta obligación de transparencia es adicional e independiente de la prohibición del artículo 5: cumplirla no legitima un uso prohibido. En vigor desde el 2 de agosto de 2026.
Pendiente
Nuevas prohibiciones del art. 5.1, letras b bis) y b ter): imágenes íntimas no consentidas y material de abuso sexual infantil generados por IA
Art. 113, letra a), inciso final
Contenido íntimo no consentido y material de abuso sexual infantil generados por IA
Artículo 5, apartado 1, letras b bis) y b ter)
El Ómnibus añadió dos prohibiciones nuevas sobre generación o manipulación de imágenes íntimas sin consentimiento explícito y de material del artículo 2, letras c) y e), de la Directiva 2011/93/UE.
Aplicables desde el 2 de diciembre de 2026. Si generáis o distribuís imagen o vídeo sintético de cara al público, conviene revisar antes de esa fecha los controles de entrada y los filtros de salida del sistema, y dejar constancia de ellos.
Pendiente
Requisitos y obligaciones de los sistemas de alto riesgo del anexo III (empleo, biometría, educación, crédito, servicios esenciales, infraestructuras críticas)
Art. 113, letra c), inciso i) — aplazado por el Ómnibus desde el 2-8-2026
Alto riesgo — empleo y gestión de trabajadores
Anexo III, punto 4
Son alto riesgo los sistemas destinados a la contratación o selección (publicar anuncios dirigidos, filtrar solicitudes, evaluar candidatos) y los destinados a decidir sobre condiciones laborales, promoción, rescisión, asignación de tareas o supervisión y evaluación del rendimiento.
Los requisitos del capítulo III se aplican desde el 2 de diciembre de 2027 (el Ómnibus los aplazó desde agosto de 2026). El trabajo de inventario, clasificación motivada y documentación técnica es de meses, no de semanas, y hay una obligación española que ya está en vigor con independencia de este plazo.
Alto riesgo — solvencia y calificación crediticia
Anexo III, punto 5, letra b)
Son alto riesgo los sistemas destinados a evaluar la solvencia de personas físicas o a establecer su calificación crediticia, salvo los utilizados al objeto de detectar fraudes financieros.
La excepción de detección de fraude es estrecha y debe poder justificarse por la finalidad declarada del sistema, no por su uso ocasional. Aplicable desde el 2 de diciembre de 2027.
Alto riesgo — educación y formación profesional
Anexo III, punto 3
Son alto riesgo los sistemas destinados a determinar el acceso o la admisión a centros educativos, a evaluar resultados del aprendizaje, a evaluar el nivel educativo apropiado y a vigilar comportamientos prohibidos durante los exámenes.
Aplicable desde el 2 de diciembre de 2027. La vigilancia de exámenes suele acompañarse de tratamiento biométrico, lo que añade el RGPD a la ecuación.
Alto riesgo — infraestructuras críticas
Anexo III, punto 2
Son alto riesgo los sistemas destinados a usarse como componentes de seguridad en la gestión y funcionamiento de infraestructuras digitales críticas, tráfico rodado o suministro de agua, gas, calefacción o electricidad.
La calificación depende de que el sistema sea componente de seguridad, no de que opere en el sector. Es la primera pregunta que hay que responder y documentar. Aplicable desde el 2 de diciembre de 2027.
Alto riesgo — servicios esenciales públicos y privados
Anexo III, punto 5
Son alto riesgo los sistemas usados por las autoridades públicas o en su nombre para evaluar la admisibilidad a prestaciones esenciales, los de evaluación de riesgos y fijación de precios en seguros de vida y salud, y los de triaje y priorización de llamadas de emergencia.
«En su nombre» alcanza a los contratistas privados de la Administración. Aplicable desde el 2 de diciembre de 2027.
Alto riesgo — biometría
Anexo III, punto 1
Son alto riesgo los sistemas de identificación biométrica remota, los de categorización biométrica basada en atributos sensibles y los de reconocimiento de emociones. Queda excluida la verificación biométrica cuya única finalidad sea confirmar que una persona es quien dice ser.
Aplicable desde el 2 de diciembre de 2027, sin perjuicio de que las prohibiciones del artículo 5 y el RGPD ya están en vigor hoy.
Obligaciones como proveedor de un sistema de alto riesgo
Artículo 16
El proveedor responde del sistema de gestión de riesgos, la gobernanza de datos, la documentación técnica, el registro de eventos, las instrucciones de uso, la supervisión humana, la exactitud y robustez, el sistema de gestión de la calidad, el marcado CE y el registro en la base de datos de la UE.
Es el paquete más pesado del Reglamento. Aplicable desde el 2 de diciembre de 2027 para el anexo III. Ojo al artículo 25: quien pone su marca en un sistema de alto riesgo de otro, o lo modifica sustancialmente, pasa a ser proveedor y asume este paquete entero.
Obligaciones como responsable del despliegue de un sistema de alto riesgo
Artículo 26
Usar el sistema conforme a las instrucciones, encomendar la supervisión humana a personas con la competencia, formación y autoridad necesarias, vigilar el funcionamiento, conservar los registros y —cuando se use en el ámbito laboral— informar a las personas trabajadoras afectadas antes de la puesta en servicio.
La supervisión humana del artículo 26.2 es una obligación de formación distinta y más exigente que la del artículo 4, y esa sí está en la lista sancionadora del artículo 99.4. Aplicable desde el 2 de diciembre de 2027.
Evaluación de impacto sobre los derechos fundamentales (FRIA)
Artículo 27
Los organismos de Derecho público, las entidades privadas que prestan servicios públicos y los desplegadores de los sistemas del anexo III, punto 5, letras b) y c), deben evaluar el impacto sobre los derechos fundamentales antes del primer uso.
No es lo mismo que la evaluación de impacto del RGPD, aunque se apoya en ella: el artículo 27 permite complementar una EIPD existente en lugar de duplicarla. Aplicable desde el 2 de diciembre de 2027.
Pendiente
Requisitos de los sistemas de alto riesgo del anexo I: IA integrada en productos ya regulados (máquinas, productos sanitarios, vehículos)
Art. 113, letra c), inciso ii) — aplazado por el Ómnibus
Alto riesgo — IA integrada en productos regulados
Artículo 6, apartado 1 · Anexo I
La IA que sea componente de seguridad de un producto cubierto por la legislación de armonización de la Unión (máquinas, juguetes, productos sanitarios, vehículos, ascensores…) y que requiera evaluación de la conformidad por tercero es alto riesgo.
Aplicable desde el 2 de agosto de 2028. Si ya marcáis CE, la vía natural es integrar los requisitos del AI Act en el expediente técnico existente en lugar de abrir uno paralelo.
El régimen sancionador del artículo 99
Banda
Por qué infracción
Base
Hasta 35 M€ o el 7 % del volumen de negocio mundial
Prácticas de IA prohibidas del artículo 5
Artículo 99, apartado 3
Hasta 15 M€ o el 3 %
Obligaciones de proveedores (art. 16), representantes (22), importadores (23), distribuidores (24), responsables del despliegue (26), organismos notificados y transparencia del artículo 50
Artículo 99, apartado 4
Hasta 7,5 M€ o el 1 %
Información inexacta, incompleta o engañosa a las autoridades
Artículo 99, apartado 5
Para las pymes se aplica el menor de los dos importes, no el mayor (art. 99.6). Y una precisión que conviene tener: el artículo 4 no aparece en la lista del artículo 99.4, así que no hay tramo de multa europeo específico por incumplirlo. La vía es el artículo 99.1 más el derecho nacional español. Quien venda formación en IA con la cifra de 35 millones está citando el artículo 5, no el 4.
De dónde salen estas fechas
Todo plazo y toda cita de este fichero está validado contra el texto consolidado del Reglamento (UE) 2024/1689 a 27-7-2026 (post Ómnibus digital sobre IA). Ninguna fecha procede del conocimiento de un modelo.
Reglamento de IA consolidado: CELEX 02024R1689-20260727 —
texto en EUR-Lex
El árbol de reglas completo, en abierto: rules_v1.json
¿Y a ti qué te aplica?
Este calendario es general. Qué obligaciones concretas te alcanzan depende del papel que juegues frente a cada sistema de IA y de los ámbitos en los que lo uses. El autoevaluador lo resuelve en siete preguntas, sin guardar ningún dato.