La normativa en inteligencia artificial nace con el propósito de minimizar el impacto negativo que esta puede tener sobre los derechos y libertades fundamentales de las personas. El nuevo marco regulatorio de la Unión Europea en materia de Inteligencia Artificial (de aquí en adelante IA) supone un cambio para las empresas europeas, ya que introduce obligaciones diferenciadas en función del nivel de riesgo asociado a su aplicación, promoviendo al mismo tiempo principios como la transparencia, la supervisión humana y la rendición de cuentas en el diseño, desarrollo y uso de estos sistemas, especialmente en ámbitos sensibles como la sanidad, la educación, el empleo o la seguridad.
En este artículo abordaremos tres marcos legales clave que están configurando el uso de IA en Europa, la Ley de Inteligencia Artificial (IA Act), el Reglamento de Datos (Data Act) y la Ley de Servicios de la Sociedad de la Información (LSSI), cada uno de los cuales regula un aspecto distinto pero complementario del entorno digital.
¿A quién afectan estas normas?
Los marcos legales como la IA Act, el Data Act o la LSSI no regulan la inteligencia artificial como tecnología en sí, sino la forma en que se utiliza. Toda esta normativa no prohíbe los algoritmos ni herramientas por sí mismas, sino que establece reglas sobre quién las usa, con qué fines, en qué contextos y con qué impacto potencial. El objetivo es que empresas, administraciones o desarrolladores asuman la responsabilidad del uso que hacen de la IA, sobre todo cuando puede afectar a derechos fundamentales, la privacidad o la seguridad de las personas. Así, la normativa busca garantizar un uso ético y seguro de la IA sin frenar la innovación tecnológica.
¿Qué es IA ACT y de qué se encarga?
La IA Act (Ley de Inteligencia Artificial de la Unión Europea) es la primera gran normativa a nivel mundial que regula el desarrollo, uso y comercialización de la inteligencia artificial en función del riesgo que puede suponer para los derechos fundamentales, la seguridad o la salud de las personas. Aprobada en 2024 y en vigor desde febrero de 2025, establece reglas estrictas para ciertos usos de la IA, especialmente en sectores sensibles como la sanidad, la educación, el empleo o la seguridad. Para ello, clasifica los sistemas de IA en cuatro niveles de riesgo, aplicando diferentes obligaciones según el impacto potencial que puedan tener sobre las personas. Son los siguientes:
Figura 1: Clasificación de niveles de riesgo de la IA según IA Act
Fuente: Lexy
Prácticas de riesgo inaceptable
Son pocos los usos de IA que tienen tal nivel de riesgo, en este caso se trataría de actividades como la manipulación cognitiva de personas vulnerables como niños, discriminación personal por diversos parámetros, identificación de personas biométricamente en tiempo real y el reconocimiento facial en espacios públicos. Este último caso solo se permitirá en situaciones excepcionales, como casos graves relacionados con la seguridad pública o investigaciones policiales, y únicamente bajo condiciones estrictas, ya sea en tiempo real o de forma diferida para fines judiciales.
Estos son los actos que quedan totalmente prohibidos de acuerdo con la normativa IA Act:
Manipulación psicológica: Está prohibido el uso de IA que emplee técnicas subliminales o engañosas para influir en el comportamiento de las personas y causarles daño.
Explotación de vulnerabilidades: Se prohíbe utilizar IA para aprovechar la edad, discapacidad o situación social/económica de alguien con el fin de manipular su conducta de forma perjudicial.
Sistemas de puntuación social: Queda prohibido usar sistemas de IA para clasificar a personas según su comportamiento o características personales si eso les causa un trato injusto, desproporcionado o perjudicial en contextos de ámbitos distintos.
Predicción delictiva sin base objetiva: Está prohibido usar inteligencia artificial para predecir si alguien va a cometer un delito basándose solo en su perfil personal (como su edad, origen, situación social) o en rasgos de personalidad, si no hay pruebas reales.
Solo se permite si una persona (como un juez o policía) ya tiene hechos concretos relacionados con un delito, y la IA se usa solo como apoyo.
Reconocimiento facial masivo: Está prohibido crear bases de datos de reconocimiento facial extrayendo imágenes de internet o cámaras sin consentimiento.
Lectura de emociones en entornos sensibles: Prohibido inferir emociones mediante IA en lugares de trabajo o centros educativos, excepto por motivos médicos o de seguridad.
Categorización biométrica sensible: Se prohíbe el uso de IA para clasificar a personas según datos biométricos que revelen raza, orientación sexual, religión, opiniones políticas, etc…
Figura 2: Reconocimiento facial por IA
Fuente: Fepropaz
Prácticas de alto riesgo
Los sistemas de IA se consideran de alto riesgo, según la AI Act, cuando se usan en ámbitos sensibles donde sus decisiones pueden afectar significativamente la salud, la seguridad o los derechos fundamentales de las personas. Esto incluye sistemas aplicados en infraestructuras críticas, sanidad, educación, empleo, finanzas, seguridad pública, control migratorio y justicia, como por ejemplo una IA que corrige exámenes, filtra currículums, controla trenes, autoriza préstamos o asiste a jueces. Por su impacto potencial, estos sistemas deben cumplir requisitos legales estrictos en cuanto a gestión de riesgos, contar con datos de calidad, trazabilidad de los mismos, transparencia, supervisión humana y estándares de precisión y seguridad. Un principio clave es el de «human in the loop», que exige que una persona supervise o pueda intervenir en las decisiones de la IA, para garantizar control humano y evitar la dependencia de la IA.
Figura 3: Boceto de IA corrigiendo exámenes
Fuente: 20 minutos a través de DALL-E
Prácticas de riesgo limitado
Los sistemas de inteligencia artificial de riesgo limitado son aquellos que no suponen una amenaza directa para la seguridad o los derechos fundamentales, pero que pueden dar lugar a creer que el contenido ha sido generado por un humano cuando no ha sido así. Por este motivo, la AI Act impone ciertas obligaciones de información para asegurar que los usuarios sepan cuándo están interactuando con una IA. Un ejemplo muy claro es el de los chatbots, pues es obligatorio avisar claramente a la persona de que está interactuando con ellos y no con un humano, para que pueda tomar decisiones de forma informada. Esto también aplica a la IA generativa, por lo que los proveedores deben asegurarse de que los contenidos generados por la IA como imágenes, vídeos o textos puedan ser identificados como tales. En particular, cuando se trata de deepfakes (falsificaciones profundas) o de contenidos creados para informar sobre asuntos de interés público, la ley exige que estén etiquetados de forma clara y visible, para evitar malentendidos o desinformación.
Figura 4: Asistente de compra en ecommerce automatizado por IA
Fuente: Elaboración propia a través de ChatGPT
Prácticas de riesgo mínimo
Los sistemas de inteligencia artificial de riesgo mínimo o nulo son aquellos que no presentan un riesgo significativo para la salud, la seguridad ni los derechos fundamentales de las personas, por lo que la Ley de IA no les impone ninguna obligación legal específica. Esto significa que las empresas y desarrolladores pueden utilizarlos, venderlos o distribuirlos libremente dentro de la Unión Europea, sin necesidad de cumplir con requisitos especiales. Algunos ejemplos de sistemas de inteligencia artificial de riesgo mínimo son filtros de spam en correos electrónicos, videojuegos que adaptan la dificultad mediante IA, asistentes virtuales simples y sistemas de recomendación de contenidos como películas, música o productos utilizados en plataformas como Netflix, Spotify o Amazon.
Figura 5: Sistema de recomendación de música por IA en Spotify ‘DJ Livi’
Fuente: Playgroundweb
¿Cuáles van a ser los mecanismos de supervisión de la IA Act?
AESIA: Todos los países de la Unión Europea deben designar una autoridad nacional supervisora de la IA. En España esta autoridad es la Agencia Española de Supervisión de Inteligencia Artificial (AESIA), cuya principal misión es asegurarse que las entidades públicas y privadas cumplan con la normativa de manera que protejan la privacidad, igualdad de trato y los derechos fundamentales. Por otra parte, en el caso de España, la AESIA trabajará juntamente con la Agencia Española de Protección de Datos (AEPD), que se encargará de revisar que el tratamiento de datos personales sea lícito, seguro y respetuoso con los derechos de las personas.
Comité Europeo de IA: El Comité Europeo de IA será un órgano creado a nivel de la Unión Europea con el objetivo de coordinar la aplicación de la AI Act entre los distintos Estados miembros. Su función principal será armonizar los criterios de supervisión y ejecución de la normativa, actuando como punto de referencia para las autoridades nacionales. Este comité funcionará de forma similar al Comité Europeo de Protección de Datos del RGPD, proporcionando asesoramiento y promoviendo una implementación coherente y uniforme de la legislación en todo el territorio europeo.
Autoridades de vigilancia del mercado: Las autoridades de vigilancia del mercado son organismos ya existentes que se encargan de supervisar la seguridad de productos físicos, y con la AI Act también tendrán competencias cuando esos productos incorporen sistemas de inteligencia artificial. Su papel será verificar que dichos sistemas cumplen con la normativa, mediante inspecciones, solicitudes de información técnica a proveedores y usuarios, y la posibilidad de tomar medidas como la suspensión de productos que representen un riesgo.
Figura 6: Edificio de la Agencia Española de Supervisión de Inteligencia Artificial (AESIA) en a Coruña
Fuente: Xataka
¿Qué es el Data Act y de qué se encarga?
La Data Act es una normativa de la Unión Europea cuyo propósito es regular el acceso a los datos generados por dispositivos conectados (Internet de las Cosas), facilitando su uso tanto por empresas como por consumidores y promoviendo la interoperabilidad entre sistemas. Esta legislación, que entró en vigor en enero de 2024 pero no será aplicable hasta septiembre de 2025, busca que los productos y servicios conectados estén diseñados de forma que los usuarios (ya sean empresas o particulares) puedan acceder, utilizar y compartir los datos generados de manera sencilla, segura y transversal en distintos sectores. Aunque los titulares de los datos serán los fabricantes de los dispositivos o servicios, los usuarios que los empleen tendrán derecho a acceder a esa información y compartirla con terceros si así lo desean. Todo ello se realizará dentro de un marco justo, razonable y equitativo, evitando cláusulas abusivas y limitaciones impuestas por grandes empresas, con el fin de garantizar unas condiciones de acceso no discriminatorias y fomentar una economía digital más abierta y competitiva.
Data Act en B2C
Un ejemplo de intercambio entre empresas y particulares es el de los coches inteligentes, los cuales están equipados con sensores que registran constantemente información sobre el estilo de conducción, el consumo de combustible, el estado del motor o incluso las rutas recorridas. Con la Data Act, todos los usuarios podrán acceder a estos datos de manera fácil y gratuita.
Data Act en B2B
En un entorno B2B, los datos generados por paneles solares instalados en edificios industriales podrían ser compartidos entre distintas empresas involucradas, como los propietarios del edificio, mantenedores o proveedores energéticos. Esto facilitaría el mantenimiento, la comparación de rendimiento entre sistemas y el desarrollo de servicios energéticos más eficientes y personalizados.
Data Act en B2G
En ciertas circunstancias poco comunes, como cuando hay un suceso extraordinario que lo justifique, las empresas pueden verse en la necesidad de proporcionar algunos de sus datos a entidades públicas. A este tipo de intercambio se le conoce como compartición de datos entre el sector empresarial y las administraciones públicas, o B2G por sus siglas en inglés y puede surgir por dos motivos principales:
Emergencias Públicas
Este sería el caso de situaciones críticas como pandemias, desastres naturales de gran magnitud o ciberataques a gran escala. En estos casos, los gobiernos pueden solicitar datos, incluso si incluyen información personal, con el objetivo de tomar decisiones rápidas y proteger a la población. Debido a la situación de emergencia, las empresas (de cualquier tamaño) deben responder en un plazo de hasta 5 días laborables y no tienen derecho a una compensación económica, aunque se busca que el impacto para las pequeñas empresas sea mínimo.
Otras necesidades excepcionales
En este caso la petición de los datos no nacería de una emergencia, pero serían igualmente de obligado envío. Por ejemplo, si una institución pública necesita datos para analizar cómo se ha recuperado una región tras una emergencia, puede solicitarlos a empresas privadas de telecomunicaciones para saber cómo se han reestablecido las comunicaciones o empresas energéticas para conocer la recuperación del suministro. En este caso, a diferencia de las emergencias públicas, no se pueden pedir datos personales, y las empresas sí tienen derecho a una compensación justa, que cubre los costes de procesar y adaptar los datos más un pequeño margen. El plazo de respuesta se ampliaría hasta los 30 días laborables, y las pequeñas empresas están excluidas de estas obligaciones.
Figura 7: Transmisión de datos de acuerdo con la normativa Data Act
Fuente: Transforma Insights
Interoperabilidad entre los datos
Como se ha mencionado anteriormente, todos estos datos deben poder ser compartidos e interpretados entre diferentes sistemas, plataformas o dispositivos de forma fluida, sin necesidad de conversiones complejas ni bloqueos técnicos. Por ejemplo, una empresa que almacena datos generados por sus dispositivos conectados en la nube de Google podría, gracias a la Data Act, transferirlos a otro proveedor como Microsoft sin enfrentarse a obstáculos técnicos o cláusulas abusivas. La normativa garantiza que este proceso se realice de forma segura, eficiente y en condiciones justas, fomentando la competencia y evitando la dependencia de un único proveedor.
¿Qué es la LSSI y por qué está relacionada con la IA?
Ley de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI) es una normativa española que desde 2002 regula los servicios y actividades en internet de carácter económico, es decir, cualquier plataforma que genere ingresos de forma directa como un ecommerce o indirecta, como hacer promoción de un producto o servicio en redes sociales. El principal objetivo es garantizar la seguridad jurídica en el entorno digital y proteger los derechos de los usuarios.
En el contexto de la IA, la LSSI podría tener una incidencia directa en ecommerce que tuvieran chatbots de atención al cliente o utilizaran SaaS de analítica de datos para realizar recomendaciones en base a los gustos de los consumidores. Estos sistemas, al formar parte de una actividad económica, deben cumplir con los deberes de información clara, trazabilidad, y consentimiento informado recogidos en la LSSI. Además, si la IA interviene en la comunicación comercial automatizada (por ejemplo, mediante correos electrónicos generados por IA o anuncios personalizados), la LSSI obliga a que dichas acciones sean identificables como publicidad, que el destinatario pueda oponerse a recibirlas, y que se cumplan los principios de transparencia.
La LSSI también se complementa con otras normativas como el Reglamento General de Protección de Datos (RGPD), que regula el tratamiento de datos personales por parte de sistemas automatizados, y con la futura AI Act.
En definitiva, la LSSI resulta de obligado cumplimiento para las empresas que integran IA en sus servicios digitales, garantizando que el desarrollo y despliegue de estas tecnologías se haga de manera legal, ética y responsable.
Todas estas normativas están coordinadas y conectadas con la RGPD
La Ley de Protección de Datos, compuesta por el RGPD (Reglamento General de Protección de Datos europeo) y la LOPDGDD (Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales en España), regula el uso de datos personales por parte de cualquier sistema, incluyendo los basados en inteligencia artificial. En el contexto de la IA, esta ley garantiza que el tratamiento de información personal se haga con una base legal clara (como el consentimiento), que se respeten principios como la minimización de datos y que se ofrezcan garantías frente a decisiones automatizadas, como el derecho a no ser sometido a una decisión que afecte a un ser humano sin intervención humana.
Mientras que el RGPD protege los datos personales procesados por la IA, la IA ACT se encarga de regular el funcionamiento del sistema. El RGPD también tiene un papel clave en la aplicación de la Data Act, ya que esta nueva normativa regula el acceso, intercambio y uso de datos (principalmente los no personales), pero establece que, si en ese proceso se tratan datos personales, se debe cumplir estrictamente con el RGPD. En el caso de la LSSI, que regula los servicios digitales con finalidad económica (como webs, ecommerce o plataformas que utilizan IA), también se ve afectada por el RGPD cuando estas actividades implican la recogida o tratamiento de datos personales, por ejemplo, a través de formularios, cookies o sistemas de analítica.
¿Todas las empresas van a tener que cumplir con la normativa en Inteligencia Artificial?
Sí, todas las empresas deberán cumplir con la normativa en inteligencia artificial, pero las microempresas y pymes contarán con apoyos específicos para facilitar su adaptación. Entre las medidas previstas están el acceso prioritario a entornos de prueba seguros, reducción de tasas y costes de cumplimiento, representación en la elaboración de normas, documentación simplificada, formación adaptada y canales de asesoramiento directo. Además, en el caso de modelos de IA de uso general, sus obligaciones serán proporcionales a su tamaño y capacidad.
Unidad de Inteligencia Competitiva del ITC-AICE
