Ley de IA de la UE de 2026: lo que los directores de tecnología y los equipos de producto deben cambiar antes de implementar la IA en Europa

22 de abril de 2026

Durante los últimos dos años, la mayor parte de las conversaciones sobre la Ley de IA de la UE se han limitado, en gran medida, a los equipos jurídicos, los responsables de cumplimiento normativo y los especialistas en políticas. A partir del 2 de agosto de 2026, esto cambiará de una manera mucho más práctica para los equipos de producto, ingeniería y plataformas.

Es entonces cuando entrará en vigor la mayor parte de las normas de la Ley de IA, incluido el marco para los sistemas de IA de alto riesgo del anexo III y las obligaciones de transparencia del artículo 50 para determinados sistemas de IA y contenidos generados por IA. La Ley entró en vigor el 1 de agosto de 2024. Las normas sobre prácticas prohibidas en materia de IA y sobre alfabetización en IA se aplican desde el 2 de febrero de 2025, y las obligaciones relativas a los modelos de IA de uso general se aplican desde el 2 de agosto de 2025. Algunas obligaciones para la IA de alto riesgo integrada en productos regulados se aplicarán más tarde, el 2 de agosto de 2027.

Esto no es otro resumen sobre el cumplimiento normativo. Se trata de una guía práctica para los equipos que diseñan, desarrollan, integran y lanzan sistemas de IA: qué aspectos deben revisar en su arquitectura, flujos de producto, registro de eventos, documentación, dependencias de proveedores y controles operativos antes de implementar la IA en Europa.

Por qué esto es importante para los directores de tecnología y los equipos de producto — No solo para los departamentos legal y de cumplimiento normativo

La Ley de IA de la UE se estructura como una normativa de seguridad de los productos aplicada a la IA. Las obligaciones que impone no son principalmente trámites burocráticos ni declaraciones de principios, sino requisitos técnicos.

En el caso de los sistemas de IA de alto riesgo, la ley exige que el registro automático de eventos esté integrado en el sistema desde el principio. Exige mecanismos de supervisión humana que no sean funciones añadidas a posteriori. Exige que se mantenga la documentación técnica a lo largo de todo el ciclo de vida del sistema. Exige que se realicen evaluaciones de conformidad antes de la comercialización. No se trata de elementos que un equipo jurídico pueda elaborar a posteriori. Son elementos que los equipos de ingeniería deben diseñar, desarrollar y mantener.

Las faltas de cumplimiento que surjan a partir de la aplicación de la normativa en 2026 no se deberán a equipos que hayan redactado documentación imperfecta. Se deberán a equipos que nunca clasificaron sus sistemas, lanzaron productos sin controles de gobernanza en su proceso de desarrollo y trataron a terceros Integraciones de IA como dependencias de software en lugar de componentes de IA regulados.

Los equipos de producto se enfrentan a una situación similar. Las obligaciones de transparencia establecidas en el artículo 50 exigen que se informe a los usuarios cuando interactúan con la IA. Si su sistema genera contenido, manipula medios o toma decisiones que afectan a los usuarios, es posible que deba modificar los flujos de su producto. Los puntos de contacto para el consentimiento, los mecanismos de divulgación, las rutas alternativas y los canales de escalación a personal humano son cuestiones de diseño de producto, y deben resolverse antes de la implementación.

En resumen: El cumplimiento de la Ley de IA de la UE en 2026 es, ante todo, una cuestión de producto, ingeniería y adquisiciones. La revisión legal forma parte del proceso, pero no puede sustituir a las decisiones de diseño que deberían haberse tomado durante la planificación del sprint.

Qué significa realmente la fecha límite de agosto de 2026

La ley se ha ido implementando por fases desde su entrada en vigor en agosto de 2024. Esta es la situación actual:

Fecha Lo que se aplica
Febrero de 2025 Prácticas prohibidas en materia de IA (artículo 5) y obligaciones en materia de alfabetización en IA
Agosto de 2025 Obligaciones del modelo GPAI y requisitos de infraestructura de gobernanza
Agosto de 2026 La mayoría de las normas restantes —incluida la IA de alto riesgo (Anexo III), la transparencia del artículo 50 y la aplicación nacional
Agosto de 2027 IA de alto riesgo integrada en productos regulados (dispositivos médicos, maquinaria, etc.)

A finales de 2025, la Comisión Europea propuso un paquete denominado “Ómnibus Digital” que podría ampliar ciertos plazos de alto riesgo hasta en 16 meses, siempre y cuando se disponga de normas armonizadas. Esa propuesta aún no se ha convertido en ley. Una planificación prudente considera agosto de 2026 como la fecha límite vinculante.

La ley tiene aplicación extraterritorial. Al igual que el RGPD, su ámbito de aplicación se rige por el alcance de los resultados de su sistema, y no por la dirección de registro de su empresa. Si su sistema de IA se utiliza en la UE o afecta a residentes de la UE, la ley es de aplicación, independientemente de si lo desarrolla en Londres, Austin o Dubái.

Comprender su papel en la cadena de suministro de la IA

Uno de los aspectos más importantes desde el punto de vista operativo —y más subestimados— de la ley es que tus obligaciones dependen de tu función, no solo tu tecnología.

La ley distingue entre:

  • Proveedores — entidades que desarrollen o encarguen un sistema de inteligencia artificial y lo comercialicen en el mercado de la UE bajo su propio nombre
  • Implementadores — entidades que utilizan un sistema de inteligencia artificial en un contexto profesional

Una empresa de SaaS que desarrolla una herramienta de contratación basada en inteligencia artificial y la comercializa a empresas europeas es una proveedor. Una empresa que integra esa herramienta en su flujo de trabajo de recursos humanos es una implementador. Ambos tienen obligaciones distintas.

Esta distinción es de suma importancia a la hora de integrar IA de terceros:

  • Si integras un modelo de terceros (a través de una API) en un producto que vendes a clientes europeos, podrías asumir responsabilidades a nivel de proveedor respecto al sistema posterior, incluso aunque no hayas entrenado tú mismo el modelo subyacente.
  • Si ajustas, adaptas o modificas sustancialmente un modelo de terceros, tu situación de cumplimiento cambia.
  • Si utilizas un modelo GPAI, como un LLM, a través de una API, el proveedor del modelo tiene obligaciones específicas en materia de GPAI; sin embargo, la clasificación y el control del sistema que desarrolles sobre la base de dicho modelo son tu responsabilidad.

En la práctica, muchos equipos de producto se encuentran simultáneamente proveedores para los sistemas que desarrollan y implementadores de las capacidades de GPAI que incorporan. Es posible que se apliquen ambos conjuntos de obligaciones.

Clasificación de riesgos: la pregunta que debes responder primero

Las obligaciones de la ley varían en función del riesgo. Antes de nada —antes de la documentación, antes de la infraestructura de registro, antes del rediseño del producto— debes clasificar tus sistemas de IA.

Nivel de riesgo Qué cubre Nivel de obligación
Inaceptable Manipulación subliminal, puntuación social, vigilancia biométrica en tiempo real Prohibido (desde febrero de 2025)
Alto riesgo Selección de personal, evaluación de solvencia crediticia, infraestructuras críticas, clasificación biométrica, evaluación educativa Obligaciones de cumplimiento total
Riesgo limitado Chatbots, contenido generado por IA Solo obligaciones de transparencia
Riesgo mínimo Filtros antispam, juegos de IA Sin obligaciones imperativas

El punto de decisión clave para la mayoría de los equipos de ingeniería es si un sistema entra dentro de la categoría de Anexo III: alto riesgo. La Comisión tenía la obligación legal de publicar directrices sobre la clasificación del artículo 6 antes de febrero de 2026 y no cumplió ese plazo. Se espera que las directrices definitivas se publiquen en los próximos meses. Si no está seguro de si su sistema cumple los requisitos, la falta de directrices oficiales no es motivo para esperar, sino para realizar su propia evaluación documentada y trabajar para alcanzar el estándar más alto.

Lo que los equipos de ingeniería deben revisar antes de la implementación

Si su sistema se clasifica como de alto riesgo, las implicaciones técnicas son considerables. Es aquí donde los equipos suelen encontrar las mayores deficiencias.

Registro y auditabilidad

El artículo 12 exige que los sistemas de IA de alto riesgo permitan técnicamente registro automático de eventos a lo largo de la vida útil del sistema. “Automático” significa que el sistema genera registros por sí mismo; la documentación manual no cumple este requisito. “Ciclo de vida” significa desde la implementación hasta el desmantelamiento, no solo la versión actual.

Los registros deben incluir: situaciones en las que el sistema pueda suponer un riesgo o sufrir modificaciones sustanciales, datos para el seguimiento posterior a la comercialización y datos para el seguimiento operativo por parte del responsable de la implantación. El artículo 18 exige que los registros se conserven durante un mínimo de seis meses.

La mayoría de los sistemas de registro capturan los resultados, pero no la lógica de decisión. Esa brecha es precisamente donde reside el riesgo de incumplimiento normativo.

En la práctica, los equipos deben revisar:

  • Si los registros recogen entradas, salidas, pasos de decisión intermedios, marcas de tiempo e interacciones del operador
  • Si se realiza un seguimiento de principio a fin de los flujos de trabajo de agentes de varios pasos
  • Si los registros se almacenan de manera que quede claro que no han sido manipulados

Documentación técnica

En el caso de los sistemas de alto riesgo, el anexo IV especifica nueve categorías de documentación técnica obligatoria que deben prepararse antes de la comercialización y mantenerse a lo largo de todo el ciclo de vida del sistema, entre las que se incluyen la arquitectura del sistema, la metodología de capacitación, los indicadores de desempeño, las limitaciones conocidas y la documentación sobre la gestión de riesgos. El artículo 18 exige que esta documentación se conserve durante 10 años.

En la práctica, los equipos deben revisar:

  • Si la documentación se actualiza junto con las versiones del modelo
  • Si abarca el rendimiento en conjuntos de datos representativos, incluidos los casos extremos
  • Ya sea que esté diseñado para permitir que un organismo regulador evalúe el cumplimiento sin tener que realizar ingeniería inversa del modelo

Procedencia de los modelos y dependencias de terceros

Si su sistema depende de un modelo base de terceros, debe comprender qué documentación proporciona ese proveedor y dónde comienzan sus obligaciones. Cuando se desarrolla una aplicación basada en un modelo GPAI y se implementa en un contexto de alto riesgo, las obligaciones del proveedor a nivel de la aplicación recaen en .

En la práctica, los equipos deben revisar:

  • La documentación sobre la gobernanza de la IA proporcionada por cada proveedor de modelos externo
  • Los límites contractuales de la responsabilidad
  • Independientemente de si su caso de uso entra dentro del alcance de lo documentado por el proveedor del modelo

Mecanismos de supervisión humana

Los sistemas de IA de alto riesgo deben diseñarse de manera que permitan a quienes los implementan ejercer una supervisión humana. Esto es un requisito de arquitectura, no una instrucción de proceso. El sistema debe poder ser detenido, anulado o marcado por un operador humano.

En la práctica, los equipos deben revisar:

  • ¿Cuenta su sistema con umbrales de confianza configurables que activan una revisión humana?
  • Si existen rutas de anulación en la interfaz de usuario y en el backend
  • Si se registran las intervenciones de supervisión humana

Controles de acceso y responsabilidad basada en roles

La ley exige implícitamente que se pueda identificar quién tomó las decisiones, modificó el sistema o aprobó las implementaciones. La «IA en la sombra» —es decir, los empleados que utilizan herramientas de IA externas que acceden a datos de producción sin que la sede central tenga visibilidad de ello— genera un riesgo de incumplimiento normativo que la mayoría de los equipos de ingeniería no están evaluando actualmente.

En la práctica, los equipos deben revisar:

  • ¿Se lleva un inventario centralizado de todos los componentes de IA de su pila de producción?
  • ¿Determinan los controles de acceso basados en roles quién puede implementar, modificar o desactivar componentes de IA?
  • ¿Abarca tu proceso de gestión de incidentes específicamente los fallos de los sistemas de IA?

Lo que los equipos de producto deben revisar antes de la implementación

Transparencia y divulgación

Las obligaciones de transparencia del artículo 50 se aplicarán a determinados sistemas de IA —incluidos algunos sistemas de IA interactivos, sistemas de contenido sintético, sistemas de reconocimiento de emociones o categorización biométrica, y ciertos usos relacionados con los deepfakes, no solo los de alto riesgo— a partir de agosto de 2026. Si su producto interactúa con los usuarios a través de una interfaz conversacional, genera contenido o toma decisiones visibles que afectan a los usuarios, es posible que deba revelar que se utiliza IA.

En la práctica, los equipos deben revisar:

  • Si el contenido generado por IA se identifica como tal en la interfaz
  • Si se informa a los usuarios de que están interactuando con un chatbot o un asistente de IA
  • Si los puntos de contacto para la divulgación son visibles y claros, y no están ocultos en los términos del servicio

Rutas de escalado y de respaldo

En el caso de los sistemas de alto riesgo, los usuarios deben disponer de un procedimiento para recurrir a un operador humano cuando el sistema de IA tome una decisión que les afecte. Esto no es opcional.

En la práctica, los equipos deben revisar:

  • Si cada decisión basada en la inteligencia artificial que pueda afectar a un usuario cuenta con una vía de escalamiento o revisión correspondiente
  • Si las rutas alternativas funcionan cuando el componente de IA no está disponible
  • Si el plan de contingencia está documentado como parte de los requisitos operativos del sistema

Consentimiento y prácticas de tratamiento de datos

Para los equipos que implementan IA que procesa datos personales, las obligaciones del RGPD y de la Ley de IA se superponen en gran medida. La toma de decisiones automatizada, la base jurídica de los datos de entrenamiento y los derechos de los interesados se aplican simultáneamente.

En la práctica, los equipos deben revisar:

  • Si los flujos de consentimiento se ajustan a la forma en que el componente de IA procesa los datos
  • Si los interesados pueden ejercer derechos (acceso, supresión, oposición) que se extiendan a lo largo de su proceso de IA
  • Si su sistema permite retirar el consentimiento sin que queden datos de entrenamiento obsoletos en el entorno de producción

Lista de verificación práctica de preparación para directores técnicos y equipos de producto

Esta lista de verificación recoge recomendaciones prácticas basadas en los requisitos de la ley, no en una interpretación jurídica consolidada. Úsela como punto de partida para una evaluación interna, no como sustituto de un análisis jurídico formal.

Inventario y clasificación del sistema

  • [ ] Se ha realizado un inventario de todos los componentes de IA en producción y previstos en la hoja de ruta
  • [ ] Cada sistema cuenta con una evaluación documentada de los niveles de riesgo
  • [ ] Los sistemas situados cerca del territorio del anexo III se han evaluado según criterios específicos de casos de uso
  • [ ] Se han identificado las integraciones de IA de terceros y se ha revisado su estado de cumplimiento
  • [ ] Se ha determinado la función de proveedor frente a la de implementador para cada componente de IA

Ingeniería y Arquitectura

  • [ ] La infraestructura de registro captura entradas, salidas, pasos de decisión, marcas de tiempo y acciones del operador
  • [ ] Los registros se conservan durante al menos seis meses y se almacenan de forma que se detecte cualquier manipulación
  • [ ] Existe documentación técnica para cada sistema, y se actualiza en función de las versiones del modelo
  • [ ] La arquitectura del sistema incorpora mecanismos de intervención humana
  • [ ] Los controles de acceso basados en roles determinan quién puede implementar, modificar o desactivar componentes de IA
  • [ ] Se revisan y almacenan la procedencia de los modelos y la documentación de los modelos de terceros
  • [ ] El proceso de gestión de incidentes abarca los fallos de los sistemas de IA y los resultados adversos

Producto y experiencia de usuario

  • [ ] Se han establecido puntos de contacto para la divulgación de información en los casos en que la ley exige transparencia
  • [ ] Existen vías de intervención humana para las decisiones tomadas por la IA que afectan a los usuarios
  • [ ] Los flujos de reserva se activan cuando el componente de IA no está disponible
  • [ ] Los flujos de consentimiento se ajustan a las prácticas de tratamiento de datos de la IA
  • [ ] La documentación del producto describe las capacidades, las limitaciones y el uso previsto de los componentes de IA

Gobernanza y procesos

  • [ ] Existe un responsable designado para el cumplimiento de las normas de IA en su organización
  • [ ] La gobernanza de la IA se integra en el proceso de desarrollo, y no se considera una revisión jurídica de última hora
  • [ ] Existe un plan de seguimiento poscomercialización para los sistemas de alto riesgo
  • [ ] Se ha llevado a cabo (o se ha programado) una evaluación de la conformidad para los sistemas de alto riesgo
  • [ ] Está previsto el registro en la base de datos de la UE para los sistemas de alto riesgo pertinentes

La relación entre la arquitectura y la gobernanza

Hay una tendencia que vale la pena destacar: los equipos más expuestos al riesgo de incumplimiento de la Ley de IA de la UE no son necesariamente los que desarrollan la IA más sofisticada. Son aquellos que actuaron con rapidez, integraron capacidades de IA de manera oportunista y nunca crearon la arquitectura subyacente necesaria para garantizar la observabilidad, la trazabilidad y la gobernanza a nivel del sistema.

Infraestructura de registro que genera pruebas con calidad de auditoría. Flujos de orquestación de modelos con rutas de decisión rastreables. Marcos de documentación que acompañan al sistema a lo largo de su ciclo de vida. Mecanismos de supervisión humana integrados en el flujo principal. No se trata de funciones de cumplimiento normativo, sino de buenas prácticas de ingeniería aplicadas a los sistemas de IA. La Ley, en muchos aspectos, está codificando lo que en entornos de producción Implementación de la IA debería verse.

Los equipos que hayan invertido en la disciplina de la plataforma descubrirán que la preparación para el cumplimiento normativo consiste principalmente en un ejercicio de documentación y evaluación, y no en una reconstrucción. Los equipos que no lo hayan hecho se enfrentarán a un camino más difícil.

Esta es la diferencia fundamental entre experimentar con la IA y implementación de la IA. La experimentación, por su propia naturaleza, implica un riesgo mínimo. La implementación en producción en mercados regulados implica que cada componente del sistema tiene un responsable, una finalidad, unos límites y un registro de auditoría.

Preguntas que hay que plantearse antes de implementar la IA en Europa

Se trata de recomendaciones prácticas, no de una lista de verificación jurídica definitiva.

  1. ¿Ya hemos clasificado este sistema? ¿Se trata de un riesgo elevado según el anexo III? ¿Hemos documentado nuestra evaluación?
  2. ¿Somos el proveedor, el implementador o ambos? ¿Entendemos cuáles son nuestras obligaciones en cada función?
  3. ¿De qué IA de terceros depende este sistema? ¿Dónde termina su responsabilidad y dónde empieza la nuestra?
  4. ¿Podemos reconstruir qué hizo el sistema y por qué? ¿Proporciona nuestra infraestructura de registro datos que satisfagan a un auditor?
  5. Si este sistema toma una decisión que afecta a un usuario, ¿qué sucede después? ¿Existe un proceso de escalamiento con personal? ¿Funciona?
  6. ¿Se indica en nuestro producto el uso de inteligencia artificial cuando es necesario? ¿Se reflejan las obligaciones de transparencia en la interfaz de usuario, y no solo en la política de privacidad?
  7. ¿Hemos realizado una EIPD o una EIR? En el caso de los sistemas de alto riesgo que manejan datos personales, es posible que se requieran ambos.
  8. ¿Está actualizada y versionada nuestra documentación técnica? ¿Podría un organismo regulador evaluar el cumplimiento a partir de ello?
  9. ¿Incluye nuestro proceso de desarrollo una etapa de control de gobernanza para la implementación de la IA? ¿O es que el cumplimiento normativo sigue siendo una cuestión secundaria en el momento del lanzamiento?

¿Contamos con un plan de seguimiento poscomercialización? ¿Qué da lugar a una revisión o a un informe de incidente?

Errores comunes que cometen las empresas

Considerar el cumplimiento normativo como una revisión jurídica de última instancia. Los requisitos que impone la ley —registro, documentación, supervisión humana, transparencia— son decisiones de diseño. No pueden incorporarse a un producto ya lanzado sin un importante trabajo de reelaboración.

Ignorar las obligaciones relativas a los modelos de terceros. Integración de un modelo de lenguaje grande (LLM) El uso de la API no transfiere tus responsabilidades de cumplimiento al proveedor del modelo. Si estás desarrollando un producto basado en un modelo GPAI y lo implementas en un contexto de alto riesgo, las obligaciones propias de un proveedor de alto riesgo recaen sobre ti.

Confundir la alfabetización en IA con la gobernanza de la IA. Saber lo que dice la ley no es lo mismo que contar con la infraestructura necesaria para demostrar el cumplimiento. La documentación, el registro, los mecanismos de supervisión y las evaluaciones de conformidad son resultados operativos, no posiciones políticas.

A la espera de la ampliación del Digital Omnibus. La propuesta existe. Es posible que se apruebe. Pero aún no se ha convertido en ley y no elimina las obligaciones de cumplimiento subyacentes; solo ajusta, en teoría, el plazo para categorías específicas del Anexo III.

Aplicar la lógica del RGPD y dar por sentado que es suficiente. Los marcos se solapan, pero no son idénticos. La Ley de IA añade requisitos específicos —registro de actividades, documentación técnica, supervisión humana, evaluación de la conformidad— que el RGPD no contempla.

Cómo puede ayudar un socio de implementación especializado en ingeniería

Pasar de la fase experimental de la IA a una implementación lista para la producción en mercados regulados es un reto de ingeniería, no solo un mero trámite de cumplimiento normativo. El trabajo es concreto: crear una infraestructura de registro que genere pruebas válidas para auditorías; diseñar mecanismos de supervisión humana que funcionen a nivel de arquitectura; establecer marcos de documentación que acompañen al sistema a lo largo de su ciclo de vida; revisar orquestación de modelos canales para la trazabilidad; evaluación de las dependencias de terceros; e integración de controles de gobernanza en los flujos de trabajo de desarrollo.

En Carmatec, este es el trabajo que hemos estado realizando con nuestros clientes en el ámbito de la integración de la inteligencia artificial, ingeniería de plataformas, y sistemas empresariales. Hemos creado Canales RAG, implementado Automatización basada en IA, y ayudó a las empresas a pasar de la fase de prueba de concepto a la de producción. Los requisitos de infraestructura que conlleva el cumplimiento de la Ley de IA de la UE no suponen una nueva categoría de trabajo, sino que reflejan cómo es la implementación de IA a nivel de producción cuando se lleva a cabo correctamente.

Si su equipo está desarrollando sistemas de IA para el mercado europeo y está analizando las cuestiones de preparación mencionadas anteriormente, estamos en condiciones de ayudarle a evaluar su situación actual, identificar qué aspectos deben modificarse y avanzar hacia sistemas listos para su implementación con una arquitectura que garantice el cumplimiento normativo.

Preguntas más frecuentes

¿Se aplica la Ley de IA de la UE a mi empresa si tenemos nuestra sede fuera de la UE?

La Ley tiene aplicación extraterritorial. Si su sistema de IA está implementado en la UE o si sus resultados afectan a residentes de la UE, la Ley es de aplicación, independientemente del lugar donde esté constituida su empresa o de dónde se aloje el modelo. Esto refleja el modelo territorial del RGPD.

¿Qué se considera un sistema de IA de alto riesgo según la Ley de IA de la UE?

Los sistemas de alto riesgo se enumeran en el anexo III y abarcan casos de uso específicos, entre los que se incluyen la selección de personal y la revisión de currículos, la calificación crediticia, la gestión de infraestructuras críticas, la categorización biométrica y las herramientas de evaluación educativa. Si su sistema entra dentro de estas categorías o se aproxima a ellas, debe llevar a cabo un ejercicio documentado de clasificación de riesgos.

Si utilizamos un modelo de lenguaje grande (LLM) de terceros a través de una API, ¿tenemos obligaciones de cumplimiento normativo?

Sí. Si desarrollas una aplicación basada en un modelo de GPAI y la implementas en un contexto de alto riesgo, las obligaciones del proveedor de alto riesgo recaen sobre ti. El cumplimiento normativo del proveedor del modelo no sustituye al tuyo como desarrollador de la aplicación.

¿Cuál es la multa por incumplimiento?

En el caso de infracciones relacionadas con sistemas de IA de alto riesgo, las sanciones pueden ascender a 15 millones de euros o al 31 % de la facturación anual global, lo que sea mayor. En cuanto a las prácticas de IA prohibidas, el límite máximo es de 35 millones de euros o el 71 % de la facturación anual global. A estas cantidades se les pueden sumar las sanciones previstas en el RGPD por la toma de decisiones automatizada.

La propuesta del «Omnibus digital» podría retrasar algunos plazos. ¿Deberíamos esperar?

No. La propuesta aún no se ha convertido en ley y, aunque se apruebe, solo modificaría el calendario para determinadas categorías del Anexo III; no elimina las obligaciones subyacentes. Lo más prudente es planificar teniendo en cuenta el plazo de agosto de 2026.

¿Se aplica la ley a las herramientas internas de IA, y no solo a los productos destinados a los clientes?

Depende del caso concreto. Las herramientas internas de IA que toman decisiones que afectan a los trabajadores —como la evaluación del desempeño, la asignación de tareas o la supervisión del lugar de trabajo— pueden entrar en las categorías de alto riesgo del Anexo III y requerir una revisión de su clasificación.

Conclusión

La Ley de IA de la UE no es una carga normativa futura. Se trata de un requisito técnico vigente cuya fecha de entrada en vigor es el 2 de agosto de 2026.

Las organizaciones que sabrán gestionarlo con mayor eficacia serán aquellas que lo traten como lo que realmente es: una normativa de seguridad de productos que exige el mismo rigor técnico que merece cualquier sistema de producción. La clasificación de sistemas, el registro de nivel de auditoría, la documentación versionada, la arquitectura de supervisión humana, los flujos de productos transparentes y la gobernanza integrada en el proceso de desarrollo: estos son los pilares de una implementación de IA que cumpla con las normas. También son, y no es casualidad, los pilares de los sistemas de IA que son confiables, mantenibles y dignos de confianza en producción.

Si tu equipo está trabajando actualmente en la implementación de funciones de IA en Europa y aún no ha llevado a cabo un ejercicio de clasificación sistemático, revisado tu infraestructura de registro ni evaluado las dependencias de modelos de terceros, ahora es el momento de empezar.

Acerca de Carmatec

Carmatec Llevamos 23 años desarrollando plataformas de software. Colaboramos con empresas de carácter tecnológico en el Reino Unido, Europa, Norteamérica, Oriente Medio y la India para llevar la IA de la fase experimental a una implementación lista para producción, con la arquitectura, la observabilidad y la disciplina de entrega que exigen los sistemas de producción.

Si está preparando sistemas de IA para su implementación en Europa y necesita un socio con experiencia en ingeniería que le ayude a evaluar su estado de preparación, revisar la arquitectura y trabajar para garantizar una implementación que cumpla con la normativa, póngase en contacto con nuestro equipo.