Este verano muchas empresas oyeron una sola cosa sobre la Ley de IA: «se ha aplazado». Es verdad a medias. El Digital Omnibus, adoptado en junio y en vigor desde finales de julio de 2026, aplazó las normas para los sistemas de IA de alto riesgo. No aplazó las normas que con más probabilidad afectan a una web de empresa normal.
Si su web tiene un chatbot, publica imágenes generadas con IA o usa IA para crear contenido, las obligaciones correspondientes ya se aplican.
La transparencia es la parte de la Ley de IA que alcanza a casi todos — y nunca se aplazó.
El calendario, tal como está
- 1 de agosto de 2024 — entra en vigor la Ley de IA.
- 2 de febrero de 2025 — se aplican las prácticas prohibidas (como la IA manipuladora o que explota vulnerabilidades) y la obligación de alfabetización en IA.
- 2 de agosto de 2025 — se aplican las normas para modelos de IA de uso general.
- 2 de agosto de 2026 — se aplican las obligaciones de transparencia (artículo 50) y la mayoría de las demás normas.
- 2 de diciembre de 2026 — nueva prohibición de sistemas de IA que generan imágenes íntimas no consentidas; fin del periodo transitorio del marcado legible por máquina para sistemas ya comercializados.
- 2 de diciembre de 2027 — normas de alto riesgo para sistemas independientes (anexo III), como la IA en selección de personal o decisiones de crédito — aplazadas por el Omnibus.
- 2 de agosto de 2028 — normas de alto riesgo para la IA integrada en productos regulados (anexo I).
Lo que se aplica hoy a una web de empresa
1. Los chatbots deben ser reconocibles como IA
Los sistemas de IA que interactúan directamente con personas deben diseñarse de modo que estas sepan que tratan con una máquina, salvo que resulte evidente por el contexto (artículo 50.1). Formalmente, esta obligación recae en el proveedor del sistema. En la práctica, son sus visitantes quienes deben saberlo — así que el aviso pertenece a su diseño: una etiqueta clara al inicio de la conversación, no una frase escondida en la política de privacidad.
2. Las ultrafalsificaciones deben revelarse
Si publica imágenes, audio o vídeo generados o manipulados con IA que parecen reales — una «foto» realista de una persona, un lugar o un acontecimiento —, debe indicar que son artificiales (artículo 50.4). Las obras claramente artísticas, satíricas o de ficción reciben un trato más ligero y adaptado. Una ilustración estilizada no es el problema; una «foto de cliente» falsa y realista sí lo es.
3. Textos de interés público escritos con IA
Los textos generados con IA que se publican para informar al público sobre asuntos de interés público deben identificarse — salvo que hayan pasado por una revisión humana y alguien asuma la responsabilidad editorial. Para un blog de empresa, la lección es sencilla: mantenga a una persona editora en el proceso y responda de lo que publica.
4. Alfabetización en IA en su equipo
Desde febrero de 2025, las organizaciones que usan sistemas de IA deben adoptar medidas para que las personas que los utilizan en su nombre tengan un nivel suficiente de alfabetización en IA (artículo 4). El Omnibus lo suavizó — ya no hay que garantizar un nivel concreto para cada persona —, pero la obligación de adoptar medidas se mantiene. Una breve guía interna y una formación básica cuentan.
Cuándo la IA pasa a ser de alto riesgo
Algunos usos se consideran de alto riesgo porque pueden decidir las oportunidades de las personas: filtrar candidaturas, evaluar a empleados, valorar la solvencia, el acceso a la educación o a servicios esenciales. Si su web o su proceso de RR. HH. usa IA para clasificar candidatos, está cerca de esta categoría. Las obligaciones detalladas — gestión de riesgos, documentación, supervisión humana — se aplican ahora a partir de diciembre de 2027. No es motivo para esperar; es tiempo de preparación.
Aquí la ley también tiene lagunas. Como he defendido en otro lugar, los empleadores privados que usan IA en la selección de personal no están obligados a realizar una evaluación de impacto sobre los derechos fundamentales antes de implantarla — una comprobación que la Ley sí exige para el crédito y los seguros. Aquí, el conocimiento jurídico significa saber no solo lo que es obligatorio, sino también lo que es sensato.
La Ley de IA no sustituye al RGPD
Una conversación con un chatbot está llena de datos personales. El RGPD se aplica en paralelo: necesita una base jurídica, un contrato de encargo con el proveedor del chatbot, una mención en su política de privacidad y un plan sobre cuánto tiempo se conservan las conversaciones. Las decisiones con efectos jurídicos o igualmente significativos no pueden dejarse exclusivamente en manos del tratamiento automatizado (artículo 22 RGPD). La mayoría de los problemas de cumplimiento de IA en las webs son, al final, problemas de protección de datos.
Cómo son las multas
Infringir las prácticas prohibidas puede costar hasta 35 millones de euros o el 7 % de la facturación mundial; la mayoría de las demás infracciones, incluida la transparencia, hasta 15 millones o el 3 %. Para pymes y empresas emergentes se aplica la menor de las dos cantidades. Como con el RGPD, el riesgo realista para una pequeña empresa no es tanto una multa máxima como una reclamación, una orden de corrección — o la pérdida de confianza.
Una lista breve
- Enumere todas las herramientas de IA de su web y de sus procesos.
- Identifique claramente su chatbot como IA al inicio de cada conversación.
- Revele las imágenes, el audio y el vídeo realistas generados con IA.
- Mantenga a una persona editora responsable del contenido publicado.
- Actualice su política de privacidad y sus contratos de encargo para las herramientas de IA.
- Redacte una guía interna de IA de una página para su equipo.
Lo esencial
La IA permite añadir funciones impresionantes a una web en una tarde. La ley hace una pregunta más lenta: ¿sabrán las personas al otro lado con qué están tratando? Integrar esa honestidad en el diseño desde el principio no es una carga. Es lo que hace que la función sea lo bastante fiable para usarla.
¿Quiere añadir un chatbot o funciones de IA a su web? Las diseñamos con los avisos adecuados y la privacidad bien resuelta desde el principio — escríbanos.
Jurista de formación, creador de webs de profesión. Goran escribe sobre el derecho digital de la UE — el RGPD, la DSA y la Ley de IA — y lo que significa para quienes crean y gestionan sitios web.
Fuentes
Este artículo es información general, no asesoramiento jurídico. Refleja la normativa vigente en la fecha de publicación.