La ley reparte la IA en cuatro cajas según el peligro del uso
Según la Comisión Europea, que es el organismo que propone y vigila las leyes de la UE, la ley define cuatro niveles de riesgo: riesgo inaceptable, alto riesgo, riesgo de transparencia y riesgo mínimo o nulo [1]. Lo que se mide no es qué tan «lista» es la máquina, sino qué puede pasar si se usa de cierta forma.
Lo más sorprendente está en la última caja. La Comisión explica que la ley no introduce normas para la IA de riesgo mínimo o nulo, y que la gran mayoría de los sistemas que se usan hoy en la UE caen ahí. Sus ejemplos son los videojuegos con IA y los filtros de correo basura [1]. Así que la respuesta corta a la pregunta del título es que no: la ley no prohíbe «la IA», ni siquiera la regula toda con la misma dureza.
Una manera de imaginarlo, que es solo una comparación nuestra, es una piscina: donde el agua es profunda hay más barreras, y donde cubre poco hay menos requisitos. Veamos qué hay en las partes hondas, empezando por la caja más estricta.
Qué usos de la IA están prohibidos y qué significa «prohibido»
La Comisión enumera nueve prácticas prohibidas, entre ellas la manipulación y el engaño dañinos, el aprovechamiento de la vulnerabilidad de las personas, la «puntuación social», la recogida masiva y sin objetivo concreto de imágenes de internet o de cámaras de vigilancia para crear bases de datos de reconocimiento facial, y el reconocimiento de emociones en lugares de trabajo y en centros educativos [1]. También figura la identificación biométrica remota en tiempo real, con fines policiales, en espacios públicos [1]. La página de la Comisión solo da la lista; no revisamos aquí los detalles ni si hay excepciones.
La biometría es el uso del cuerpo, como la cara, para reconocer a una persona. Observa que la lista habla de usos concretos: recoger caras sin objetivo, o reconocer emociones en la escuela y el trabajo. No dice que «el reconocimiento facial» quede vetado en general. Las ocho primeras prohibiciones se aplican desde febrero de 2025. La novena, que veremos en el último apartado, entra en diciembre de 2026 [1]. Entre estas prohibiciones y la caja libre hay un escalón intermedio.
Qué usos de la IA se consideran de alto riesgo: los que pueden cambiar la vida de alguien
Los de alto riesgo no se prohíben: se permiten si cumplen requisitos estrictos. La Comisión pone como ejemplos la IA que ayuda a calificar exámenes y decide el acceso a la educación, los programas que clasifican currículos para contratar, la puntuación de crédito que puede negar un préstamo, la IA de cirugía asistida por robots, la gestión de fronteras y visados, y algunos usos en la justicia [1].
Lo que tienen en común es que el resultado de la IA puede decidir si alguien consigue una plaza, un trabajo o un préstamo. La propia Comisión señala un problema: a menudo no se puede saber por qué un sistema de IA tomó cierta decisión, y entonces cuesta comprobar si alguien salió perjudicado injustamente [1]. Por eso se exige, por ejemplo, evaluar y reducir riesgos, usar datos de calidad, guardar registros que permitan seguir el rastro de los resultados y mantener supervisión humana [1]. Queda otra caja, la que más se nota en el día a día.
Cuándo la IA tiene que avisar de que es una IA
La caja del riesgo de transparencia pide algo más sencillo: que las personas sepan cuándo tratan con una IA o con contenido generado por ella. Si hablas con un chatbot, debes poder saber que hablas con una máquina. Los proveedores de IA generativa deben hacer que lo que generan sea identificable, y las falsificaciones profundas (deepfakes) y ciertos textos publicados para informar al público deben etiquetarse de forma clara [1].
El marcado tiene una parte técnica: según el análisis de un despacho de abogados, el artículo 50.2 obliga a los proveedores a incorporar en lo generado marcas que una máquina pueda leer [3]. No consultamos el texto del artículo. Este aviso importa porque, sin él, sería difícil distinguir una imagen o una voz real de otra fabricada. Queda por ver qué ocurre si una empresa no cumple estas normas.
Qué multas puede recibir una empresa que incumple
El artículo 99 deja a cada país miembro fijar las sanciones, y pone topes máximos en tres escalones. Incumplir las prohibiciones puede costar hasta 35 millones de euros o, si es una empresa, hasta el 7 % de su facturación anual mundial del ejercicio anterior, lo que sea mayor. Incumplir otras obligaciones, entre ellas las de transparencia del artículo 50, puede costar hasta 15 millones o el 3 %. Dar información incorrecta, incompleta o engañosa a las autoridades puede costar hasta 7,5 millones o el 1 % [2].
Son topes, no cantidades fijas. La ley manda tener en cuenta la gravedad, la duración del problema, el tamaño de la empresa y cuánto colaboró con las autoridades. Para las pymes, el tope es la cifra más baja entre el importe y el porcentaje [2]. Falta responder una pregunta que mucha gente se hace: desde cuándo se aplica todo esto.
Qué cambió en 2026: se aplazaron los usos de alto riesgo, pero no los avisos
La ley entró en vigor el 1 de agosto de 2024 y se aplica por fases. Las prácticas prohibidas, desde el 2 de febrero de 2025. Las reglas para los modelos de IA de uso general (los que sirven de base para muchas aplicaciones), desde el 2 de agosto de 2025 [1].
En noviembre de 2025 la Comisión propuso el «AI Omnibus», un paquete de cambios para simplificar la ley. El acuerdo político llegó el 7 de mayo de 2026 y, ya como reglamento aprobado, la reforma entró en vigor el 27 de julio de 2026 [1]. Con él, las reglas para los usos de alto riesgo en zonas sensibles (biometría, infraestructuras críticas, educación, empleo, migración y fronteras) se aplican desde el 2 de diciembre de 2027, y las de sistemas integrados en productos como ascensores o juguetes, desde el 2 de agosto de 2028 [1].
No se aplazó todo. Las normas de transparencia siguen su calendario de agosto de 2026 [1]. Un análisis de un despacho de abogados, escrito justo después del acuerdo, añade un matiz: los sistemas ya comercializados antes del 2 de agosto de 2026 tendrían hasta el 2 de diciembre de 2026 para cumplir el marcado legible por máquinas [3]. El mismo cambio añadió la novena prohibición: los sistemas de IA que crean contenido sexual o íntimo sin consentimiento, o material de abuso sexual infantil, como las aplicaciones que «desnudan» fotos [1]. Con todo esto ya podemos probar la clasificación con ejemplos.
Cómo clasificar en las cuatro cajas la IA que usas
Piensa en tres funciones de tu teléfono o de un videojuego que probablemente usen IA, y piensa en cuál de las cuatro cajas estaría cada una y por qué. El filtro de correo basura sería de riesgo mínimo; un asistente con el que chateas, de riesgo de transparencia. Es una práctica de razonamiento: la clasificación real depende del texto de la ley y de cada caso, y no es lo mismo la intención que el uso concreto.
Si quieres seguir investigando, empieza por la página de la Comisión Europea, que resume las cuatro cajas y las fechas, y mira luego el artículo 99 para ver cómo se piensan las multas. Una pregunta que dejamos abierta: ¿cómo se comparan estas reglas con las de otros países, incluidos los de América Latina? Eso no lo hemos investigado aquí.