El Reglamento Europeo de IA explicado para marcas y negocios

En las últimas semanas, varios clientes nos han preguntado lo mismo con palabras distintas: «¿lo que hacemos con IA es legal?». Un hotel con un asistente de reservas en la web. Una inmobiliaria que genera imágenes de viviendas amuebladas virtualmente. Una clínica que usa IA para resumir las llamadas de su centralita. Todos habían oído hablar del Reglamento Europeo de Inteligencia Artificial, y casi todos imaginaban algo mucho más complicado de lo que realmente les afecta.

El reglamento es largo y técnico, pero su lógica es sencilla: cuanto más puede afectar un sistema de IA a la salud, la seguridad o los derechos de las personas, más obligaciones tiene. La mayoría de los usos que vemos en marcas y negocios están en los niveles más ligeros, con obligaciones razonables de transparencia y formación. Esta guía lo explica pensando en quien dirige una empresa o un departamento de marketing, no en juristas. Para decisiones concretas, conviene siempre contrastar con una asesoría especializada; aquí te damos el mapa para que esa conversación sea mucho más productiva.

01Qué es el Reglamento Europeo de IA y desde cuándo se aplica

El Reglamento (UE) 2024/1689, conocido en inglés como AI Act, es la primera ley integral sobre inteligencia artificial del mundo. Se publicó en el Diario Oficial de la Unión Europea el 12 de julio de 2024 y entró en vigor el 1 de agosto de 2024. Como es un reglamento, se aplica directamente en todos los países de la Unión, sin necesidad de transponerlo. El texto completo está disponible en EUR-Lex.

Su aplicación es escalonada:

• →2 de febrero de 2025: prohibiciones de los usos de riesgo inaceptable y obligación de alfabetización en IA del personal.
• →2 de agosto de 2025: obligaciones para los proveedores de modelos de IA de uso general (los grandes modelos de lenguaje e imagen), régimen de gobernanza y sanciones.
• →2 de agosto de 2026: la mayor parte del resto, incluidas las obligaciones de transparencia del artículo 50 y las de los sistemas de alto riesgo del anexo III.
• →2 de agosto de 2027: sistemas de alto riesgo integrados en productos regulados, como maquinaria o dispositivos médicos.

En noviembre de 2025, la Comisión Europea presentó una propuesta, dentro del llamado paquete Ómnibus digital, para ajustar algunos plazos, sobre todo los de alto riesgo, en función de la disponibilidad de normas técnicas. Conviene comprobar en cada momento en qué punto está esa tramitación. Para la mayoría de marcas, lo esencial ya está en vigor: formación del equipo y transparencia.

02Proveedor o responsable del despliegue: qué papel tiene tu empresa

El reglamento distingue varios papeles, y las obligaciones dependen de cuál ocupes.

• →Proveedor: quien desarrolla un sistema de IA o lo pone en el mercado con su nombre. OpenAI, Google o una empresa que crea su propio software de IA para venderlo.
• →Responsable del despliegue: quien utiliza un sistema de IA bajo su autoridad en una actividad profesional. Aquí está la mayoría de marcas: el hotel que instala un chatbot, la agencia que usa un generador de imágenes, la empresa que usa una herramienta de selección de personal.
• →Importador y distribuidor: quienes introducen o comercializan sistemas de terceros en la Unión.

Un matiz importante: si tu empresa encarga el desarrollo de un sistema de IA a medida y lo pone en servicio con su nombre, puede pasar a ser considerada proveedora de ese sistema. Si trabajas con un estudio o una consultora para construir un asistente propio, merece la pena aclarar los papeles por contrato.

03Los cuatro niveles de riesgo, con ejemplos de marca

El corazón del reglamento es la clasificación por riesgo. Esta tabla resume los niveles con ejemplos cercanos a lo que hace una empresa de servicios, comercio o turismo.

La mayoría de usos de IA en marketing, diseño y comunicación caen en riesgo mínimo o limitado. El alto riesgo aparece sobre todo cuando la IA interviene en decisiones sobre personas: contratar, conceder un crédito, admitir en un centro educativo. Si tu empresa usa una herramienta de IA para filtrar currículos, por ejemplo, ese uso sí merece un análisis detallado.

Atención a las prácticas prohibidas en marketing

Entre los usos prohibidos hay dos que conviene tener presentes en comunicación: los sistemas que usan técnicas subliminales o deliberadamente manipuladoras para alterar el comportamiento de las personas de forma que puedan causarles un perjuicio importante, y los que explotan vulnerabilidades por edad, discapacidad o situación social o económica. Cualquier estrategia de persuasión basada en IA debería mantenerse lejos de esas fronteras. En la guía sobre ética de la IA en diseño hablamos de cómo trabajar la persuasión con respeto.

04Transparencia: chatbots, contenido generado y ultrafalsificaciones

Para las marcas, el artículo 50 es probablemente el más relevante. Establece obligaciones de transparencia que se aplican a partir de agosto de 2026.

Chatbots y asistentes

Si tu web, tu app o tu WhatsApp tienen un asistente con IA que conversa con personas, estas deben saber que están hablando con una IA, salvo que sea evidente por el contexto. Un aviso claro al empezar la conversación es suficiente. Cómo diseñar ese aviso para que sea útil y amable lo contamos en chatbots y asistentes web.

Contenido generado por los proveedores

Los proveedores de sistemas que generan audio, imagen, vídeo o texto deben marcar ese contenido de forma legible por máquinas, para que pueda detectarse como generado. Es una obligación de quien fabrica la herramienta, no de quien la usa, y se materializa en marcas de agua invisibles y metadatos como las credenciales de contenido del estándar C2PA. Como usuario, lo que te corresponde es no eliminar esas marcas.

Ultrafalsificaciones

Quien despliega un sistema que genera o manipula imagen, audio o vídeo que se parece de forma realista a personas, objetos, lugares o hechos reales, y que podría hacerse pasar por auténtico, debe indicar que es artificial. Cuando el contenido forma parte de una obra evidentemente artística, creativa, satírica o de ficción, la obligación se limita a revelarlo de forma que no estropee la obra.

En la práctica de una marca:

• →Una persona realista generada para un anuncio, presentada como si fuera real: se indica.
• →Una voz clonada de un portavoz: se indica, y además requiere su consentimiento.
• →Un piso amueblado virtualmente para un anuncio inmobiliario: se indica, porque muestra un estado que no es el real. Además, es una cuestión de honestidad comercial.
• →Una ilustración claramente no fotográfica o un fondo abstracto: no es una ultrafalsificación.

Lo explicamos con más ejemplos de producción en IA en vídeo y motion graphics.

Textos sobre asuntos de interés público

Los textos generados o manipulados con IA que se publican para informar al público sobre asuntos de interés público deben indicar que lo son, salvo que hayan pasado por revisión humana y alguien asuma la responsabilidad editorial. Para una marca que publica guías o noticias revisadas por su equipo, esta excepción es la situación habitual.

Clave: la transparencia que pide el reglamento coincide con una buena práctica de marca. Decir con naturalidad cuándo hay IA en una conversación o en una imagen realista genera más confianza que dejar que el público lo descubra.

05Alfabetización en IA: la obligación que ya está en vigor

Desde el 2 de febrero de 2025, el artículo 4 pide a proveedores y responsables del despliegue que adopten medidas para garantizar que su personal, y quienes usan IA en su nombre, tengan un nivel suficiente de alfabetización en IA, teniendo en cuenta sus conocimientos, su experiencia y el contexto de uso.

El reglamento no exige un título concreto ni un número de horas. Para una pyme, una aproximación razonable y proporcionada es:

1. 01Hacer inventario de quién usa IA en la empresa y para qué.
2. 02Formar al equipo en lo básico: qué hacen los modelos, por qué pueden equivocarse, qué datos no deben compartirse y cómo revisar los resultados.
3. 03Formar específicamente a quienes usan IA en tareas sensibles, como atención al cliente o selección.
4. 04Documentar la formación: fecha, contenido, asistentes.
5. 05Actualizarla cuando cambian las herramientas o los usos.

06Cómo prepararse: un plan en seis pasos

Este es el plan que proponemos a las empresas con las que trabajamos. Para una pyme, puede completarse en pocas semanas.

1. 01Inventario de usos de IA. Una hoja con cada herramienta, quién la usa, para qué, con qué datos y si el resultado llega a clientes o al público.
2. 02Clasificación por riesgo. Para cada uso, el nivel de la tabla anterior. La mayoría serán mínimos; marca con atención cualquiera que toque decisiones sobre personas.
3. 03Revisión de transparencia. Chatbots con aviso, contenidos realistas generados señalados, procesos para que el equipo sepa cuándo etiquetar.
4. 04Contratos y proveedores. Revisa las condiciones de cada herramienta: cumplimiento del reglamento, protección de datos, uso de tus datos para entrenamiento. Si encargas desarrollos a medida, aclara quién es el proveedor.
5. 05Formación y política interna. El plan de alfabetización del apartado anterior, más una política breve de uso de IA.
6. 06Revisión periódica. Una vez al semestre, actualiza el inventario y repasa las novedades normativas y las guías que publiquen la Comisión y la AESIA.

Preguntas para tus proveedores de IA

Buena parte del cumplimiento de una marca depende de las herramientas que elige. Cuando contratamos o recomendamos un servicio con IA, estas son las preguntas que hacemos, y que puedes trasladar tal cual a cualquier proveedor:

• →¿Cómo cumple vuestro sistema con el Reglamento Europeo de IA y en qué nivel de riesgo lo clasificáis?
• →¿Marcáis como generado el contenido que produce la herramienta? ¿Con qué estándar?
• →¿Dónde se procesan los datos y con qué garantías si salen de la Unión Europea?
• →¿Usáis los datos que os enviamos para entrenar o mejorar vuestros modelos? ¿Se puede desactivar?
• →¿Ofrecéis contrato de encargado del tratamiento?
• →¿Qué documentación nos dais para explicar el sistema a nuestro equipo y a nuestros clientes?

Un proveedor serio responde a estas preguntas con soltura y por escrito. Guardar esas respuestas junto al inventario de usos de IA es, además, una forma sencilla de documentar tu diligencia.

Y no te olvides del RGPD

El Reglamento de IA no sustituye al Reglamento General de Protección de Datos: se suman. Si un sistema de IA trata datos personales, siguen aplicándose la base legal, la información a los interesados, los contratos de encargado del tratamiento y, en su caso, la evaluación de impacto. La AEPD ha publicado materiales específicos sobre IA y protección de datos que resultan muy útiles.

07Sanciones, en su justa medida

El reglamento prevé multas que, en el caso de prácticas prohibidas, pueden llegar a 35 millones de euros o al 7 % del volumen de negocio mundial; para otros incumplimientos, hasta 15 millones o el 3 %; y por facilitar información incorrecta a las autoridades, hasta 7,5 millones o el 1 %. Para pymes y empresas emergentes se aplica la cifra más baja de cada par, y el texto pide proporcionalidad.

Lo mencionamos para completar el mapa, no para preocupar. En los usos habituales de una marca, cumplir es sencillo y está muy alineado con lo que ya es una buena práctica: ser claro con las personas, formar al equipo y elegir proveedores responsables. El reglamento también contempla espacios controlados de pruebas, conocidos como sandboxes regulatorios, y medidas de apoyo para pymes, como guías y canales de consulta.

08Una oportunidad para hacer las cosas bien

Volviendo a las preguntas del principio: el hotel solo tuvo que añadir un aviso a su asistente y formar a su equipo de recepción; la inmobiliaria incorporó una etiqueta discreta, «Amueblado virtualmente», en las fotos retocadas, algo que además sus compradores agradecieron; y la clínica revisó con su delegado de protección de datos el tratamiento de las grabaciones. Nada de eso frenó su forma de trabajar. Les dio tranquilidad.

En SIMA diseñamos y desarrollamos asistentes, automatizaciones y experiencias con IA que tienen en cuenta el reglamento desde el primer boceto, de la mano de la asesoría jurídica de cada cliente cuando hace falta. Si quieres saber cómo encaja la IA en tu web o tu comunicación sin dudas legales, en desarrollo web y apps con IA te contamos cómo trabajamos, o escríbenos y lo revisamos juntos.