Ley de IA UE 2026: fecha de aplicación y obligaciones
· 9 min de lectura
By Juan Pedro Márquez
📋 Referencia rápida
Audiencia: Directores de TI, CISOs y responsables de cumplimiento que despliegan IA en entornos regulados de la UE
Tiempo de lectura: ~9 minutos
Nivel: Intermedio
Qué obtendrás: Un desglose claro de las obligaciones del 2 de agosto de 2026, los cinco requisitos principales y una checklist práctica de cumplimiento para entornos Microsoft
La cuenta atrás es real. El 2 de agosto de 2026, la Ley de IA de la UE alcanza su hito de aplicación más decisivo: el día en que las obligaciones plenas para los sistemas de IA de alto riesgo pasan a ser aplicables en todos los estados miembros de la UE.
Si tu organización despliega IA en decisiones de RR. HH., scoring crediticio, infraestructuras críticas o cualquiera de las 8 categorías de alto riesgo definidas en el Anexo III, tienes la obligación legal de cumplir. Esto no es una guía. Es derecho europeo, con multas de hasta el 3 % de la facturación anual global — y hasta el 7 % para las infracciones más graves.
La cronología de la Ley de IA de la UE: dónde estamos
El reglamento entró en vigor el 1 de agosto de 2024, con una implementación por fases diseñada para dar tiempo de adaptación a las organizaciones:
- 2 de febrero de 2025 — Se activaron las prohibiciones de IA de riesgo inaceptable: scoring social por parte de autoridades públicas, vigilancia biométrica en tiempo real en espacios públicos, IA que explota vulnerabilidades psicológicas
- 2 de agosto de 2025 — Entraron en vigor las obligaciones para proveedores de modelos de IA de propósito general (GPT-4, Claude, Gemini)
- 2 de agosto de 2026 — Obligaciones plenas para los responsables del despliegue de IA de alto riesgo: la fecha límite crítica para las empresas
- 2 de agosto de 2027 — Obligaciones adicionales para ciertos sistemas de IA de alto riesgo heredados ya presentes en el mercado
La fecha de agosto de 2026 afecta a la inmensa mayoría de los despliegues de IA empresariales. Es el momento en que el trabajo de cumplimiento que has hecho —o no— se vuelve auditable.
¿Qué sistemas de IA son de alto riesgo?
El reglamento define la IA de alto riesgo en el Anexo III, cubriendo 8 categorías que los líderes de TI deben evaluar:
- Identificación biométrica — identificación remota, reconocimiento de emociones, categorización biométrica
- Infraestructuras críticas — gestión de agua, gas, electricidad, infraestructura digital
- Educación — IA que determina el acceso o evalúa a los alumnos
- Empleo — cribado de CV, monitorización del rendimiento, decisiones de promoción y despido
- Acceso a servicios esenciales — scoring crediticio, riesgo de seguros, elegibilidad para prestaciones sociales
- Aplicación de la ley — predicción de delitos, evaluación de pruebas (muy restringido)
- Migración — evaluación de riesgos, autenticación de documentos
- Administración de justicia — IA que asiste en la determinación de hechos judiciales
Clave para entornos Microsoft: El uso estándar de Microsoft 365 Copilot para productividad (correo, Teams, Word) es normalmente de riesgo mínimo. La categoría que requiere una evaluación empresarial cuidadosa es empleo/gestión de la plantilla: cualquier IA que toque procesos de RR. HH., evaluación del rendimiento o decisiones de contratación.
Las cinco obligaciones principales que se activan en agosto de 2026
La Ley de IA de la UE no es un ejercicio de marcar casillas. Establece un sistema de gestión de la calidad para la IA, similar en estructura a ISO 9001 pero específico para el riesgo de la IA. Estas son las cinco obligaciones que deben cumplir los responsables del despliegue de IA de alto riesgo.
1. Sistema de gestión de riesgos (Artículo 9)
Debes establecer, implementar, documentar y mantener un sistema de gestión de riesgos durante todo el ciclo de vida de la IA. Esto significa identificar riesgos previsibles, estimarlos y evaluarlos, adoptar medidas de mitigación y probar los riesgos residuales.
Es una obligación continua, no una evaluación puntual. Para clientes de Microsoft, las capacidades de IA responsable de Azure AI Foundry aportan herramientas para la evaluación del riesgo del modelo; tu tarea es documentar la evaluación de riesgos específica del despliegue sobre esa base.
2. Datos y gobernanza de datos (Artículo 10)
Los sistemas de IA de alto riesgo deben tener prácticas documentadas de gobernanza de datos que cubran recopilación, etiquetado, almacenamiento, filtrado y mitigación de sesgos. Para despliegues de Microsoft, la documentación de privacidad de Microsoft 365 Copilot cubre la gobernanza de datos del lado del proveedor. Tu organización debe documentar la capa superior: qué datos aportas, cómo los gobiernas y cómo aseguras que están libres de sesgos discriminatorios.
3. Documentación técnica (Artículo 11 + Anexo IV)
Esta es la brecha de cumplimiento que veo con más frecuencia. Las organizaciones asumen que, como despliegan la IA de un proveedor que cumple, la documentación técnica recae por completo en el proveedor. No es así.
Los responsables del despliegue deben mantener documentación del Anexo IV para cada despliegue de alto riesgo: descripción general, arquitectura técnica, procedimientos de monitorización y control, registros de gestión de riesgos, registro de cambios, normas aplicadas y la declaración UE de conformidad del proveedor. Las Notas de Transparencia de Microsoft forman el componente del proveedor; tú lo complementas con las particularidades de tu despliegue.
4. Supervisión humana (Artículo 14)
La IA de alto riesgo debe desplegarse con supervisión humana efectiva: la capacidad de entender las limitaciones del sistema, ignorar o anular las salidas de la IA y detener el sistema cuando sea necesario. Ningún sistema de IA de alto riesgo debería tomar decisiones finales sin revisión.
Microsoft Purview y Azure Policy proporcionan la infraestructura para documentar y hacer cumplir la supervisión humana en entornos Microsoft.
5. Monitorización poscomercialización y notificación de incidentes (Artículos 72-73)
Los responsables del despliegue deben establecer procedimientos de monitorización poscomercialización y notificar los incidentes graves a las autoridades nacionales en un plazo de 15 días. Necesitas un procedimiento definido de respuesta a incidentes de IA —separado de tu respuesta a incidentes de TI general— que especifique qué constituye un incidente de IA notificable y quién es responsable de la notificación regulatoria.
Azure Monitor y Microsoft Sentinel proporcionan la infraestructura de monitorización; tu equipo de gobernanza define el umbral de incidente y el flujo de notificación.
Tres patrones de fallo que evitar
Tras trabajar con equipos de TI empresariales por toda EMEA en gobernanza de IA, veo los mismos patrones de fallo una y otra vez:
- Asumir que el cumplimiento del proveedor te cubre. La postura de cumplimiento de Microsoft reduce tu carga, no la elimina. Eres un responsable del despliegue con obligaciones independientes según el Artículo 29.
- Sin un único responsable de gobernanza. La gobernanza de IA por comité produce documentación que nadie mantiene y procedimientos de supervisión que nadie ejerce. Nombra a un responsable con nombre y apellidos antes de agosto.
- Empezar la documentación demasiado tarde. La documentación del Anexo IV tarda de 4 a 8 semanas en completarse para un despliegue no trivial. Una presentación titulada "Marco de gobernanza de IA" no es documentación del Anexo IV.
Checklist práctica de cumplimiento para el 2 de agosto de 2026
| Área | Acción | Prioridad |
|---|---|---|
| Gobernanza | Nombrar a un responsable de gobernanza de IA con mandato explícito | 🔴 Crítico |
| Inventario | Completar el inventario de sistemas de IA con su clasificación de riesgo | 🔴 Crítico |
| Documentación | Documentación técnica del Anexo IV para cada sistema de alto riesgo | 🔴 Crítico |
| Supervisión | Procedimientos de anulación humana documentados y probados | 🟡 Alto |
| Respuesta a incidentes | Definición de incidente de IA y flujo de notificación en 15 días | 🟡 Alto |
| Específico de Microsoft | Registro de auditoría de Purview activado para interacciones de Copilot | 🟢 Importante |
| Específico de Microsoft | Notas de Transparencia presentadas para todos los servicios de Azure AI en uso | 🟢 Importante |
Recursos clave de Microsoft para el cumplimiento de la Ley de IA de la UE:
→ Notas de Transparencia de Azure AI — base de documentación a nivel de proveedor
→ Microsoft Purview — registro de auditoría y gobernanza de datos
→ Azure Policy — aplicación automatizada de la gobernanza
→ Panel de IA responsable de Azure ML — evaluación del riesgo del modelo
→ IA responsable de Copilot Studio — marco de gobernanza de agentes
Preguntas frecuentes
¿Qué cambia realmente el 2 de agosto de 2026?
Es la fecha en que las obligaciones para la IA de propósito general y el régimen de gobernanza más amplio se vuelven exigibles, con autoridades supervisoras designadas capaces de actuar. No es un interruptor que vuelva ilegal todo sistema de la noche a la mañana: es el punto en que "estamos en ello" deja de ser una posición defendible.
¿La mayoría de los despliegues de Microsoft 365 Copilot se clasificarán como de alto riesgo?
Normalmente no. El uso estándar de productividad suele quedar fuera de las categorías de alto riesgo. La trampa es que necesitas la documentación para demostrar la clasificación de bajo riesgo: la determinación, el razonamiento, la evidencia. "Obviamente no es de alto riesgo" es un argumento; una clasificación por escrito es cumplimiento.
¿Cuáles son las obligaciones principales que se activan en torno a esta fecha?
Giran en torno a la rendición de cuentas: un inventario actualizado de sistemas de IA, clasificación de riesgo por caso de uso, documentación técnica, procedimientos de supervisión humana y gestión de incidentes. Ninguna de ellas es una función técnica que se enciende: son prácticas de gobernanza que hay que levantar y poder evidenciar.
Apenas hemos empezado. ¿Cuál es el primer paso de mayor valor?
El inventario. Todas las demás obligaciones dependen de saber qué IA ejecutas realmente y dónde. Empieza a listar sistemas y casos de uso ahora; la clasificación y la documentación fluyen a partir de ahí. Una organización con un inventario real y progreso visible está en una posición mucho más fuerte que una con una política pulida y ningún mapa.
Empieza por el inventario
El 2 de agosto es una fecha límite firme. Las autoridades nacionales de aplicación de toda la UE están preparando su capacidad de ejecución: la Oficina Europea de IA está operativa y los estados miembros han designado autoridades supervisoras.
Las organizaciones en mejor posición el 2 de agosto son las que han tratado el cumplimiento como un programa de gobernanza, no como una checklist del proveedor. El trabajo de clasificación determina tu carga: la mayoría de los despliegues estándar de Microsoft 365 Copilot encontrarán que su uso de IA queda fuera de la categoría de alto riesgo, pero necesitas la documentación para demostrarlo.
He recopilado el marco de clasificación de riesgos, las plantillas de documentación del Anexo IV y una guía de sprint de cumplimiento de 30 días en un pack práctico para equipos de TI empresariales que usan entornos Microsoft.