Qué puedes y qué no puedes hacer con IA según la normativa europea y española. Lo esencial para crear con cabeza, sin tecnicismos.
Aviso: esta página es informativa y divulgativa, no constituye asesoramiento legal. Para decisiones concretas, consulta las fuentes oficiales (abajo) o a un profesional.
Cuatro niveles de riesgo
La UE regula la IA según el daño que puede causar: a más riesgo, más obligaciones.
Riesgo inaceptable
ProhibidoPrácticas prohibidas en la UE: manipulación subliminal, explotación de vulnerabilidades, puntuación social, scraping masivo de datos biométricos, reconocimiento de emociones en el trabajo y deepfakes sexuales no consentidos.
En vigor desde febrero de 2025.
Alto riesgo
Muy reguladoSistemas que afectan a derechos o seguridad: infraestructuras críticas, educación, empleo, servicios esenciales, biometría, justicia y migración. Exigen evaluación de riesgos, documentación, supervisión humana y precisión.
Obligaciones plenas escalonadas hasta 2027-2028.
Riesgo limitado
TransparenciaHay que avisar al usuario de que interactúa con una IA y etiquetar el contenido generado por IA, en especial los deepfakes.
Obligaciones de transparencia desde agosto de 2026.
Riesgo mínimo
LibreLa mayoría de aplicaciones (filtros de spam, videojuegos, asistentes creativos). Sin obligaciones regulatorias específicas.
Buenas prácticas recomendadas, pero sin requisitos legales.
Calendario de aplicación (UE)
- Entra en vigor el Reglamento europeo de IA (AI Act).
- Aplican las prohibiciones y la obligación de alfabetización en IA.
- Reglas de gobernanza y modelos de propósito general (GPAI).
- Obligaciones de transparencia (etiquetado de contenido y deepfakes).
- Obligaciones plenas para sistemas de alto riesgo y aplicación completa.
Qué cambia en España
España aprobó el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA, que adapta el Reglamento europeo al ordenamiento español.
Garantías
- Supervisión humana en sistemas que afecten a derechos fundamentales.
- Transparencia algorítmica obligatoria.
- Protección específica de menores.
- Responsabilidad para quien use sistemas prohibidos por la UE.
Prohibido
- Deepfakes sexuales.
- Manipulación mediante técnicas subliminales.
- Explotación de vulnerabilidades (edad, discapacidad, situación económica).
- Clasificación de personas por raza, orientación política, religiosa o sexual.
- Puntuación de individuos para denegar subvenciones o préstamos.
Supervisión: La AESIA (Agencia Española de Supervisión de la IA) es la autoridad central, coordinada con la AEPD y el CGPJ según el caso.
Sanciones: Infracciones muy graves: hasta 35 millones € o el 7% del volumen de negocio. Graves y leves en escalas proporcionales.