La regulación de la inteligencia artificial es, en el fondo, un ejercicio sencillo: en vez de preguntar "¿qué tecnología es esta?", los legisladores preguntan "¿cuánto daño puede hacer si sale mal?". A más daño posible, más reglas. Ese giro, de regular la máquina a regular el riesgo, es la idea que Europa convirtió en ley en 2024 y que hoy marca el paso del resto del mundo. Todo lo demás son detalles de esa misma pregunta.
Durante años la conversación sobre reglas para la IA fue puro humo de conferencia: principios bonitos, declaraciones de buena voluntad, ninguna consecuencia. Eso terminó. En 2024 apareció el primer texto legal amplio y con dientes, y de golpe empresas de todo el mundo tuvieron que preguntarse algo muy concreto: ¿esto que estoy construyendo me obliga a cumplir con alguien? Aquí va el mapa, sin latín jurídico.
01 · la ideaRegular por riesgo, no por tecnología
El enfoque que ganó la partida se llama regulación basada en riesgo. En lugar de escribir una regla para "los chatbots" y otra para "los modelos de imágenes" (tecnologías que cambian cada seis meses y dejarían la ley obsoleta al nacer), se clasifica cada uso de la IA según el daño que podría causar a las personas. Un filtro de spam y un sistema que decide quién recibe un crédito son la misma "tecnología" a grandes rasgos, pero no juegan en la misma liga de consecuencias.
Europa formalizó esta idea en cuatro niveles. Piénsalos como un semáforo con un escalón extra: lo que está prohibido, lo que se vigila de cerca, lo que solo debe ser transparente, y lo que queda libre.
La pregunta ya no es qué hace la máquina, sino a quién puede hacerle daño si falla.
Este diseño tiene una virtud política: casi nadie discute que un sistema que puntúe socialmente a los ciudadanos deba prohibirse, ni que un filtro de spam deba dejarse en paz. La pelea, como veremos, está en el escalón intermedio.
02 · el textoQué dice de verdad la ley europea
La norma se llama Reglamento (UE) 2024/1689, más conocido como AI Act o Ley de IA. Se publicó en el Diario Oficial de la Unión Europea el 12 de julio de 2024 y entró en vigor el 1 de agosto de ese año [1]. No se aplica todo de golpe: llega por tramos a lo largo de varios años, y ese calendario escalonado es justo lo que conviene vigilar.
Lo primero en activarse fueron las prohibiciones. Desde el 2 de febrero de 2025 quedan vetados en la Unión Europea ciertos usos considerados incompatibles con los derechos fundamentales [1]: la puntuación social al estilo de un ranking de ciudadanos, la manipulación subliminal para alterar conductas, o el raspado masivo e indiscriminado de rostros de internet para armar bases de reconocimiento facial. Son los usos del pico rojo de la pirámide.
El corazón de la ley, sin embargo, es el alto riesgo. Ahí caen sistemas que deciden sobre cosas serias: acceso a educación, contratación de personal, evaluación crediticia, dispositivos médicos, gestión de infraestructuras. No están prohibidos, pero para venderlos u operarlos hay que cumplir obligaciones concretas: documentación técnica, datos de entrenamiento revisables, supervisión humana real, registro de eventos y evaluación de conformidad antes de salir al mercado.
| Nivel | Ejemplos de uso | Qué exige la ley |
|---|---|---|
| Inaceptable | Puntuación social, manipulación subliminal, raspado masivo de rostros | Prohibido en la UE |
| Alto | Contratación, crédito, educación, dispositivos médicos | Documentación, datos revisables, supervisión humana, control previo al mercado |
| Limitado | Chatbots, imágenes o vídeos generados | Avisar que se interactúa con una IA o que el contenido es sintético |
| Mínimo | Filtros de spam, recomendadores, videojuegos | Sin obligaciones nuevas |
Para el ciudadano de a pie, el nivel que más se nota es el riesgo limitado: la obligación de transparencia. Si hablas con un chatbot, deben decírtelo. Si una imagen o un vídeo fueron generados por IA, deben marcarlo. La idea es simple y vieja como el periodismo: tienes derecho a saber si lo que ves es real o fabricado.
La Ley de IA es europea, pero su radio es más amplio de lo que parece. Alcanza a cualquier empresa, esté donde esté, cuyo sistema de IA se use o cuyos resultados afecten a personas dentro de la Unión Europea. Es el mismo mecanismo que popularizó el reglamento de datos GDPR: una startup latinoamericana que venda un sistema de selección de personal a un cliente en España queda dentro del radar. Por eso conviene leerla aunque no vivas en Europa.
03 · el resto del mundoLos que van más lento (y por qué)
Europa legisló con un reglamento vinculante. El resto del mundo, de momento, prefiere un camino distinto: marcos voluntarios y reglas por sectores, no una ley única. No es necesariamente pereza; es una apuesta política diferente sobre cómo no ahogar la innovación mientras se aprende del terreno.
En Estados Unidos, en lugar de una ley federal amplia, el instrumento más citado es el AI Risk Management Framework del NIST, publicado en enero de 2023. Es una guía técnica, voluntaria, para que las organizaciones identifiquen y gestionen riesgos de sus sistemas de IA [2]. No obliga a nadie por sí misma, pero se ha vuelto un estándar de facto que muchos contratos y aseguradoras ya exigen.
Antes que todos ellos, en 2019, la OCDE aprobó los Principios sobre IA, el primer conjunto de estándares intergubernamentales del tema, adoptados por decenas de países y actualizados en 2024 [3]. No son ley, pero son el vocabulario común (transparencia, robustez, rendición de cuentas, supervisión humana) del que beben casi todas las regulaciones nacionales que vinieron después.
El mapa, entonces, no es "Europa regula y los demás no". Es "Europa eligió reglas vinculantes y la mayoría eligió, por ahora, guías voluntarias y leyes sectoriales". Dos velocidades, misma dirección: que la IA de alto impacto rinda cuentas.
04 · a tiQué te toca vigilar, seas usuario o empresa
Bajemos a lo concreto, que es donde esta conversación deja de ser noticia y empieza a importarte.
Si eres usuario, tienes dos derechos que ya puedes ejercer donde la ley europea aplica, y que conviene exigir en todas partes: saber cuándo hablas con una máquina y no con una persona, y saber cuándo un contenido fue generado por IA. Si un sistema toma una decisión importante sobre ti (un rechazo de crédito, un descarte en una selección), tienes base para pedir una explicación y una revisión humana. No siempre te la darán con una sonrisa, pero el marco existe.
Si tienes una empresa, la pregunta operativa es una sola: ¿en qué escalón de la pirámide cae lo que uso o construyo? Un correo comercial redactado por IA es riesgo mínimo y no te obliga a nada nuevo. Un sistema que filtra currículums o que decide precios para clientes concretos puede escalar rápido. Antes de temer multas, haz el inventario: qué sistemas de IA usas, para qué deciden, y a quién afectan si se equivocan.
No necesitas un abogado para dar el primer paso: necesitas una lista honesta de qué decide la IA en tu operación.
Ese inventario (qué sistemas, con qué datos, decidiendo qué sobre quién) es la base tanto del cumplimiento como de la IA responsable en general. Curiosamente, casi todo lo que la ley exige coincide con lo que cualquier organización sensata querría saber de sus propias herramientas aunque no hubiera ninguna ley.
La regulación de la inteligencia artificial seguirá cambiando; los plazos europeos se extienden por años y otros países publicarán sus propias reglas. Pero la brújula ya está fijada y es fácil de recordar: a mayor daño posible, mayor rendición de cuentas. Quien entienda esa frase entiende, sin ser abogado, casi todo lo que viene.
Fuentes
- Parlamento Europeo y Consejo de la Unión Europea (2024). Reglamento (UE) 2024/1689 por el que se establecen normas armonizadas en materia de inteligencia artificial (Ley de Inteligencia Artificial). Diario Oficial de la Unión Europea, 12 de julio de 2024; en vigor desde el 1 de agosto de 2024. EUR-Lex: eur-lex.europa.eu/eli/reg/2024/1689/oj.
- National Institute of Standards and Technology, EE. UU. (2023). Artificial Intelligence Risk Management Framework (AI RMF 1.0). NIST AI 100-1, enero de 2023. doi.org/10.6028/NIST.AI.100-1.
- OCDE (2019, actualizado 2024). Recommendation of the Council on Artificial Intelligence (OECD/LEGAL/0449). Principios de la OCDE sobre IA. oecd.ai/en/ai-principles.