Reglamento Europeo de IA para empresas: qué obliga hoy, qué llega en 2027 y qué hacer si usas Claude

El Reglamento Europeo de IA (Reglamento 2024/1689) se aplica por fases desde 2024, y en julio de 2026 el Ómnibus digital sobre IA (Reglamento 2026/1744) movió varias fechas. El resultado es que circulan calendarios contradictorios y muchas empresas no saben si les toca algo. Para la mayoría, la respuesta es corta: si usan Claude, ChatGPT o Copilot en el trabajo, tienen pocas obligaciones, pero las que tienen ya se aplican.

Esta guía resume qué pide el Reglamento a una empresa que usa IA, con las fechas vigentes a 1 de noviembre de 2026. No es asesoramiento legal: para un caso concreto, confírmalo con tu asesor y en el texto de EUR-Lex.

Primero: qué rol tiene tu empresa

El Reglamento reparte las obligaciones por rol, y casi todo depende de esto.

• Responsable del despliegue. Usa un sistema de IA de otro bajo su autoridad. Es el caso de una empresa que da Claude a su equipo o que pone un asistente hecho con Claude en su web. Anthropic es la proveedora del modelo.
• Proveedor. Desarrolla un sistema de IA y lo pone en el mercado o en servicio con su nombre. Una empresa que construye un producto con la API de Claude y lo vende a sus clientes pasa a ser proveedora de ese sistema, con más obligaciones.

El Reglamento también alcanza a empresas de fuera de la Unión si sus sistemas se venden en ella o si sus resultados se usan en ella. Una empresa colombiana que atiende con un asistente de IA a clientes en España tiene que cumplirlo con esos clientes.

El calendario, después del Ómnibus

Lo que ya te obliga si usas IA

Alfabetización en IA (artículo 4)

La empresa debe tomar medidas para que quien usa IA en su nombre tenga conocimientos suficientes. El Ómnibus suavizó la redacción: ya no exige un nivel concreto, pero la obligación sigue. En la práctica: un inventario de quién usa qué, una formación ajustada a cada perfil y un registro de que se hizo. Así se arma un plan de alfabetización en IA.

Transparencia (artículo 50)

• Asistentes que hablan con personas. Un chatbot en la web, en WhatsApp o al teléfono debe informar de que es una IA, salvo que sea evidente por el contexto. La lista de comprobación aplicada a un caso real está en el aviso de IA en el chatbot del hotel, y sirve para cualquier sector.
• Ultrafalsificaciones. Quien publica imágenes, audio o vídeo realistas generados o manipulados con IA debe decirlo.
• Textos sobre asuntos de interés público generados con IA y publicados para informar deben indicarlo, salvo que hayan pasado por revisión humana y alguien asuma la responsabilidad editorial.
• Reconocimiento de emociones o categorización biométrica: hay que informar a las personas expuestas.

Prácticas prohibidas (artículo 5)

Ninguna empresa debería estar cerca de ellas, pero conviene revisarlas al inventariar usos: manipular a las personas con técnicas subliminales o aprovechando su vulnerabilidad, la puntuación social, el reconocimiento de emociones en el trabajo o en centros educativos (salvo por motivos médicos o de seguridad), la categorización biométrica para deducir datos sensibles y la recopilación masiva de imágenes faciales. El Ómnibus añadió generar o manipular imágenes, audio o vídeo íntimos de una persona identificable sin su consentimiento. La que más aparece en empresas es la de emociones: herramientas que "miden el ánimo" de empleados en videollamadas o centros de atención.

Lo que llega en diciembre de 2027: alto riesgo

Los sistemas de alto riesgo del Anexo III son los que deciden o influyen en decisiones importantes sobre personas. Los que más aparecen en una empresa:

• Empleo: filtrar currículums, evaluar candidatos, asignar tareas o turnos según el comportamiento, evaluar el desempeño, decidir ascensos o despidos.
• Acceso a servicios: evaluar la solvencia para dar crédito o fijar precios de seguros de vida y salud.
• Educación: admisiones, evaluación del aprendizaje, vigilancia de exámenes.

Para el responsable del despliegue, las obligaciones incluyen usar el sistema según las instrucciones del proveedor, asignar supervisión humana con competencia y autoridad, conservar los registros que genera el sistema, informar a los trabajadores y a sus representantes antes de usarlo en el trabajo, e informar a las personas afectadas por sus decisiones. El aplazamiento da tiempo, pero un proyecto de IA en recursos humanos que empiece hoy tiene que diseñarse ya con esas reglas. Hasta entonces, el plan de IA debe dejar esos usos para más adelante.

Usar Claude para redactar una oferta de empleo o resumir un currículum para que una persona decida no es lo mismo que un sistema que puntúa candidatos y descarta a los que quedan por debajo. Lo que convierte un uso en alto riesgo es que el sistema decida o pese de forma determinante sobre la persona.

Las sanciones

El Reglamento fija multas de hasta 35 millones de euros o el 7 % de la facturación mundial por las prácticas prohibidas, y de hasta 15 millones o el 3 % por incumplir otras obligaciones, como las de transparencia o alto riesgo. Para pymes se aplica la cantidad menor, y el Ómnibus extendió ese trato a las empresas pequeñas de mediana capitalización. En España, la autoridad de supervisión es la AESIA, que ha publicado guías prácticas para cumplir el Reglamento.

Lista de comprobación para una empresa que usa IA

1. Inventario de usos de IA, incluidas las cuentas personales: quién, qué herramienta, para qué, con qué datos.
2. Clasificar cada uso: prohibido, alto riesgo (Anexo III), transparencia o sin obligaciones específicas. Casi todo caerá en la última.
3. Revisar el rol: si la empresa vende o integra un sistema con IA con su nombre, es proveedora de ese sistema.
4. Formación por perfil y registro de que se hizo (artículo 4).
5. Aviso de IA en todos los puntos donde un cliente pueda hablar con un asistente (artículo 50).
6. Política de uso de IA que recoja qué usos están permitidos y cuáles no: hay una plantilla en política de uso de IA en la empresa.
7. Usos en recursos humanos o con decisiones sobre personas: identificarlos y preparar supervisión humana, registros e información a la plantilla antes de diciembre de 2027.
8. Protección de datos, que va aparte y ya se aplica: el RGPD sigue vigente para todo uso con datos personales. La revisión está en Claude y los datos de tu empresa.
9. Fecha de revisión. El calendario ya cambió una vez; anota cuándo revisaste y repite cada seis meses.

Con agentes que actúan sobre los sistemas de la empresa, las preguntas son las mismas y algunas más: qué puede hacer sin aprobación y qué queda registrado. Están en agentes de IA en la empresa.