Guía práctica del Reglamento de IA: obligaciones empresariales en 2026

El problema jurídico que plantea la entrada escalonada del Reglamento de IA

El Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial, configura un marco jurídico uniforme para la introducción en el mercado, la puesta en servicio y la utilización de sistemas de inteligencia artificial en la Unión. Su finalidad, conforme a su artículo 1, es doble: mejorar el funcionamiento del mercado interior y garantizar un elevado nivel de protección de la salud, la seguridad y los derechos fundamentales frente a los efectos perjudiciales de los sistemas de IA, prestando especial atención a las pequeñas empresas de mediana capitalización y a las pymes, incluidas las empresas emergentes.

A TENER EN CUENTA. El pasado 8 de julio de 2026 se aprobó el Reglamento (UE) 2026/1744, el llamado «Ómnibus digital sobre IA», publicado en el DOUE el 24 de julio de 2026 y en vigor el 27 de julio de 2026 por razones de urgencia. Esta norma modifica de forma sustancial el Reglamento de IA y las claves de cumplimiento que se exponen a continuación ya incorporan dichos cambios.

La cuestión práctica para las empresas no reside ya en la mera existencia del Reglamento de IA, sino en cómo ordenar el cumplimiento de obligaciones que se activan de forma progresiva y que varían en función del tipo de sistema, del rol del operador y del nivel de riesgo del caso de uso.

Desde la perspectiva empresarial, el punto de partida no es tecnológico, sino jurídico-organizativo: identificar si el sistema queda dentro o fuera del ámbito de aplicación del Reglamento, determinar si se trata de un sistema prohibido, de alto riesgo, sujeto a obligaciones de transparencia o de un sistema con obligaciones básicas, y atribuir correctamente las responsabilidades entre proveedor, responsable del despliegue, importador, distribuidor o representante autorizado.

Marco normativo aplicable: ámbito, finalidad y estructura de obligaciones

Objeto y ámbito de aplicación del Reglamento de IA

El artículo 1 del Reglamento (UE) 2024/1689 establece las normas armonizadas aplicables a los sistemas de IA y a los modelos de IA de uso general. El artículo 2 delimita el ámbito de aplicación subjetivo y objetivo, alcanzando a proveedores que introduzcan en el mercado o pongan en servicio sistemas de IA o modelos de IA de uso general en la Unión, responsables del despliegue establecidos o ubicados en la Unión, así como a proveedores y responsables del despliegue establecidos en terceros países cuando los resultados de salida del sistema se utilicen en la Unión.

El mismo artículo 2 excluye determinados supuestos que tienen relevancia práctica inmediata en la fase de calificación jurídica del proyecto empresarial. Entre las exclusiones destacadas podemos mencionar:

• Investigación y desarrollo científico, así como actividades de investigación, prueba o desarrollo antes de la introducción en el mercado o puesta en servicio, sin incluir las pruebas en condiciones reales.
• Usos exclusivamente militares, de defensa o de seguridad nacional.
• Sistemas de IA divulgados con arreglo a licencias libres y de código abierto, salvo que se introduzcan en el mercado o se pongan en servicio como sistemas de IA de alto riesgo o como sistemas comprendidos en el artículo 5 o en el artículo 50.
• Uso de sistemas de IA por personas físicas en el ejercicio de una actividad puramente personal de carácter no profesional.

A TENER EN CUENTA. Para los sistemas de IA de alto riesgo del apartado 1 del artículo 6 relativos a productos regulados por la legislación de armonización del anexo I, sección B, únicamente resulta aplicables el apartado 1 del artículo 6, el nuevo artículo 60 bis; y los artículos 102 a 112 y los artículos 57 a 59 solo en la medida en que sus requisitos se hayan integrado en dicha legislación sectorial.

Conceptos operativos relevantes para la empresa

La correcta aplicación del Reglamento exige partir de las definiciones del artículo 3. Son especialmente relevantes para la empresa las de proveedor, responsable del despliegue, introducción en el mercado, comercialización, puesta en servicio, finalidad prevista y modificación sustancial.

Tras el Ómnibus digital, el artículo 3 incorpora además dos definiciones nuevas: la de «pyme» (microempresa, pequeña o mediana empresa, conforme a la Recomendación 2003/361 /CE) y la de «pequeña empresa de mediana capitalización» (conforme a la Recomendación (UE) 2025/1099). Esta última categoría, situada entre las pymes y las grandes empresas, pasa a beneficiarse de varias de las medidas de proporcionalidad que antes solo alcanzaban a las pymes. 

El proveedor es la persona física o jurídica, autoridad pública, órgano u organismo que desarrolle o haga desarrollar un sistema de IA o un modelo de IA de uso general y lo introduzca en el mercado o lo ponga en servicio con su propio nombre o marca. El responsable del despliegue es quien utiliza el sistema bajo su propia autoridad, salvo uso personal no profesional.

La finalidad prevista adquiere un valor central, porque de ella dependen tanto la calificación del sistema como el perímetro de la evaluación de conformidad y de las obligaciones de uso. Del mismo modo, la modificación sustancial puede desplazar responsabilidades: distribuidores, importadores, responsables del despliegue o terceros pueden pasar a ser considerados proveedores si ponen su marca, modifican sustancialmente un sistema de alto riesgo o alteran la finalidad prevista de un sistema hasta convertirlo en alto riesgo.

La reforma también aclara el concepto de «componente de seguridad» (artículo 3.14): solo se considera tal cuando el componente cumple una función de seguridad, es decir, cuando su finalidad prevista es prevenir o mitigar riesgos para la salud y la seguridad de personas o bienes. El nuevo artículo 6.1 bis excluye expresamente de esta noción a los sistemas de IA destinados únicamente a asistencia al usuario, optimización del rendimiento, eficiencia del servicio, automatización, comodidad o aspectos no relacionados con la seguridad del control de calidad, salvo que su fallo pueda poner en peligro la salud y la seguridad (artículo 6.1 ter). 

Clasificación por niveles de riesgo y su impacto en el cumplimiento empresarial

Sistemas prohibidos

El Reglamento prohíbe determinadas prácticas de IA en su artículo 5. Entre ellas destacan la manipulación subliminal del comportamiento, la explotación de vulnerabilidades de grupos sociales, la puntuación social y determinados usos de identificación biométrica remota en tiempo real en espacios de acceso público para fines policiales, salvo supuestos tasados.

El Ómnibus digital amplía significativamente este catálogo de prohibiciones, con efectos desde el 2 de diciembre de 2026. Se prohíbe la introducción en el mercado, puesta en servicio o utilización de sistemas de IA que generen o manipulen imágenes, vídeos, audios o material similar de carácter íntimo de una persona física identificable (o que participe en actividades sexualmente explícitas) sin su consentimiento libre, específico, informado e inequívoco (las conocidas como aplicaciones de «nudificación»), así como de sistemas que generen o manipulen material de abusos sexuales de menores, salvo que resulte aplicable una defensa de actuación «de forma ilícita» conforme al Derecho nacional (por ejemplo, actividades policiales legítimas o de «equipos rojos»).

Para los proveedores, esta prohibición solo opera cuando la generación de dicho material sea la finalidad prevista del sistema o un resultado razonablemente previsible por ausencia de medidas técnicas de seguridad adecuadas; para los responsables del despliegue, únicamente cuando utilicen el sistema con esa finalidad específica. Quedan fuera, entre otros supuestos, las aplicaciones médicas o de prueba virtual con consentimiento, y la mera mejora técnica de material preexistente que no aumente la exposición de partes íntimas.

Para la empresa, este primer filtro tiene una consecuencia directa: si el caso de uso encaja en una práctica prohibida, no existe margen de adaptación técnica o documental que permita su despliegue legítimo. La decisión jurídica es de exclusión del proyecto en ese concreto uso.

Sistemas de alto riesgo

El núcleo del cumplimiento empresarial se concentra en los sistemas de IA de alto riesgo, regulados por los artículos 6 y siguientes. La clasificación responde a dos grandes grupos.

• En primer lugar, los sistemas que sean componentes de seguridad de productos o que sean productos sometidos a legislación de armonización de la Unión recogida en el anexo I. Estos son, entre otros, máquinas, juguetes, ascensores, equipos radioeléctricos, equipos a presión, productos sanitarios y productos sanitarios para diagnóstico in vitro, automoción y aviación. Tras la reforma, el Reglamento de Máquinas (UE) 2023/1230 pasa de la sección A a la sección B del anexo I, adoptándose así un enfoque sectorial específico para la maquinaria basada en IA; la Comisión deberá adoptar, a más tardar el 2 de agosto de 2028, actos delegados que incorporen al Reglamento de Máquinas los requisitos equivalentes de la sección 2 del capítulo III del Reglamento de IA. 

• En segundo lugar, los sistemas comprendidos en el anexo III por su finalidad de alto riesgo. El anexo III incluye biometría, infraestructuras críticas, educación y formación profesional, empleo y gestión de trabajadores, acceso a servicios públicos y privados esenciales, garantía del cumplimiento del Derecho, migración, asilo y gestión del control fronterizo, así como administración de justicia y procesos democráticos.

A TENER EN CUENTA. Un aspecto especialmente relevante para la planificación empresarial es el aplazamiento del calendario de aplicación. El nuevo artículo 113, párrafo tercero, letra c), pospone la aplicación del capítulo III, secciones 1, 2 y 3 (el núcleo de obligaciones de alto riesgo) al 2 de diciembre de 2027 para los sistemas del artículo 6.2 y el anexo III, y al 2 de agosto de 2028 para los sistemas del artículo 6.1 y el anexo I. Los artículos 102 a 110 (régimen sancionador) sí serán aplicables antes, desde el 27 de julio de 2026.

Sistemas sujetos a obligaciones de transparencia y resto de sistemas

El artículo 50 establece obligaciones de transparencia para determinados sistemas, en particular cuando interactúan directamente con personas físicas, generan contenido sintético o producen deepfakes o textos manipulados artificialmente destinados a informar al público sobre asuntos de interés público.

Los proveedores de sistemas de IA generativa que ya hubieran introducido sus sistemas en el mercado antes del 2 de agosto de 2026 disponen, conforme al nuevo artículo 111.4, de un plazo transitorio hasta el 2 de diciembre de 2026 para adaptar sus prácticas de marcado a las obligaciones del artículo 50.2.

Fuera de esos supuestos, el resto de sistemas de IA no quedan exentos de toda exigencia. Destacan, al menos, las obligaciones de alfabetización del artículo 4 para proveedores y responsables del despliegue.

Las cinco claves de cumplimiento empresarial en 2026

Primera clave: identificar el rol del operador en la cadena de valor

El Reglamento distribuye obligaciones según la posición de cada sujeto en la cadena de valor. La empresa debe verificar si actúa como proveedor, responsable del despliegue, importador, distribuidor o representante autorizado, porque las cargas documentales, organizativas y de supervisión cambian de forma relevante.

La guía de la Agencia Española de Supervisión de la Inteligencia Artificial, insiste en un aspecto especialmente sensible: un responsable del despliegue, distribuidor o importador puede pasar a asumir obligaciones de proveedor si introduce modificaciones sustanciales o altera la finalidad prevista del sistema. Esta cuestión resulta crítica en procesos de personalización, integración o reentrenamiento del sistema por parte del cliente empresarial.

Además, cuando existan varios operadores en la cadena de suministro —proveedor inicial, integradores, terceros que aportan modelos, herramientas o componentes—, el reformado artículo 25 exige documentar mediante acuerdo escrito la información, capacidades, acceso técnico y demás asistencia necesarios para que el proveedor del sistema de alto riesgo pueda cumplir sus obligaciones, salvo cuando se trate de herramientas, servicios o componentes puestos a disposición del público bajo licencia libre y de código abierto.

Segunda clave: implantar alfabetización en IA y medidas de transparencia

El artículo 4, en su redacción dada por el Ómnibus digital, matiza el alcance de esta obligación: proveedores y responsables del despliegue deben «adoptar medidas para apoyar» la promoción de la alfabetización en materia de IA de su personal, atendiendo a sus conocimientos, experiencia, formación y al contexto de uso del sistema, pero la norma aclara expresamente que esta obligación no exige garantizar un nivel específico de alfabetización de ninguna persona en particular. La Comisión y los Estados miembros deben apoyar estos esfuerzos, especialmente los de las pymes, mediante ejemplos prácticos y recomendaciones del Consejo de IA. 

Junto a ello, el artículo 50 exige transparencia en los supuestos tasados. Para la empresa, ello implica revisar interfaces, avisos al usuario, mecanismos de etiquetado de contenidos sintéticos y protocolos internos de publicación cuando se utilicen sistemas capaces de generar o manipular texto, audio, imagen o vídeo.

Tercera clave: preparar el paquete de cumplimiento de los sistemas de alto riesgo

Las principales obligaciones de los sistemas de alto riesgo se anclan en los artículos 9 a 17, 43, 72 y 73 del Reglamento.

Desde una perspectiva operativa, el paquete mínimo de cumplimiento incluye:

• Sistema de gestión de riesgos (artículo 9), concebido como un proceso continuo de identificación, análisis, evaluación y mitigación de riesgos para la salud, la seguridad y los derechos fundamentales durante todo el ciclo de vida del sistema.
• Datos y gobernanza de datos (artículo 10), con exigencias de adecuación, pertinencia, representatividad, calidad y completitud de los datos empleados en entrenamiento, validación y prueba.

A TENER EN CUENTA. La reforma introduce el nuevo artículo 4 bis, que habilita (con garantías estrictas de minimización, seguridad y confidencialidad) el tratamiento excepcional de categorías especiales de datos personales para la detección y corrección de sesgos, extendiendo esta base jurídica no solo a los proveedores de sistemas de alto riesgo, sino también a los responsables de su despliegue y a proveedores y responsables del despliegue de otros sistemas y modelos de IA. 

• Documentación técnica (artículo 11) y, en su caso, registro (artículo 49), esenciales para la trazabilidad, la evaluación de conformidad y la vigilancia poscomercialización.

A TENER EN CUENTA. Las pymes (incluidas las empresas emergentes) y las pequeñas empresas de mediana capitalización podrán presentar esta documentación mediante un formulario simplificado que la Comisión debe elaborar, de aceptación obligatoria por los organismos notificados. Asimismo, el contenido del registro en la base de datos de la UE (anexo VIII) se simplifica, suprimiéndose determinados campos exigidos hasta ahora. 

• Conservación de registros (artículo 12), tanto para el seguimiento del comportamiento del sistema como para facilitar la rendición de cuentas.
• Transparencia e instrucciones de uso (artículo 13), orientadas a que el responsable del despliegue comprenda y utilice correctamente el sistema.
• Supervisión humana (artículo 14), que exige herramientas e interfaces que permitan vigilar efectivamente el funcionamiento del sistema.
• Precisión, solidez y ciberseguridad (artículo 15), con especial atención a la degradación del rendimiento, la resiliencia del sistema y la protección frente a ataques.

A TENER EN CUENTA. Se aclara ahora (nuevo artículo 42.3) que, cuando un sistema de alto riesgo cumpla los requisitos esenciales de ciberseguridad del Reglamento de Ciberresiliencia (UE) 2024/2847 y ello conste en la declaración UE de conformidad correspondiente, se presumirá cumplido el requisito de ciberseguridad del artículo 15. 

• Sistema de gestión de la calidad (artículo 17), documentado y proporcional al tamaño del proveedor. 

A TENER EN CUENTA. La posibilidad de cumplimiento simplificado de este sistema, antes reservada a microempresas, se extiende ahora a todas las pymes sin empresas asociadas o vinculadas. 

• Evaluación de la conformidad (artículo 43), bien mediante control interno o con intervención de organismo notificado, según el tipo de sistema y la aplicación de normas armonizadas o especificaciones comunes.

A TENER EN CUENTA. Cuando el producto en el que se integra el sistema de alto riesgo esté regulado por legislación de armonización del anexo I, sección A, el proveedor seguirá el procedimiento de evaluación de conformidad exigido por dicha legislación sectorial, sin que la clasificación como alto riesgo le obligue automáticamente a optar por una evaluación con intervención de un tercero si esta no es exigida por esa normativa sectorial. 

• Vigilancia poscomercialización (artículo 72) y notificación de incidentes graves (artículo 73).

A TENER EN CUENTA. La Comisión deberá publicar, a más tardar el 2 de septiembre de 2027, orientaciones y un modelo voluntario de plan de vigilancia poscomercialización, tras la supresión de la habilitación para aprobar un modelo armonizado mediante acto de ejecución. 

Cuarta clave: atender a las obligaciones específicas del sector público y de los usos sensibles

La guía de la Agencia Española de Supervisión de la Inteligencia Artificial identifica una obligación adicional especialmente relevante para responsables del despliegue del sector público en sistemas de alto riesgo: la evaluación de impacto relativa a los derechos fundamentales. Conforme al artículo 27 del Reglamento, los responsables del despliegue que sean organismos de Derecho público o entidades privadas que presten servicios públicos, así como determinados responsables del despliegue de sistemas del anexo III, deben realizar esta evaluación antes del despliegue.

Su contenido mínimo se resume en: descripción de los procesos de uso, período y frecuencia de utilización, categorías de personas y colectivos afectados, riesgos específicos de perjuicio, medidas de supervisión humana y mecanismos de actuación cuando el riesgo se materialice. El reformado artículo 27.4 permite ahora expresamente incorporar por referencia cruzada las secciones pertinentes de la evaluación de impacto de protección de datos ya realizada conforme al RGPD, evitando duplicidades documentales. También señala su complementariedad con la evaluación de impacto de protección de datos y la notificación a AESIA.

En el plano de la supervisión institucional, el Ómnibus digital refuerza sustancialmente las competencias de la Oficina Europea de IA (artículos 75 a 75 quinquies), que pasa a tener competencia exclusiva de supervisión sobre los sistemas de IA basados en modelos de IA de uso general desarrollados por el mismo proveedor o por empresas del mismo grupo, así como sobre los sistemas integrados en plataformas o motores de búsqueda de muy gran tamaño conforme al Reglamento de Servicios Digitales. Para ello se le atribuyen poderes de inspección, requerimiento de información, aceptación de compromisos vinculantes e imposición de multas y multas coercitivas equivalentes a los de una autoridad de vigilancia del mercado, con las debidas garantías procedimentales y de acceso al expediente para los operadores afectados.

Quinta clave: planificar plazos y calendario de activación de obligaciones

La guía introductoria de la Agencia Española de Supervisión de la Inteligencia Artificial ofrece una tabla de activación de obligaciones particularmente útil para la planificación empresarial. En coherencia con el artículo 113 del Reglamento, en su redacción tras el Ómnibus digital, deben destacarse varios hitos temporales:

• Las disposiciones generales y las prohibiciones del capítulo II son aplicables desde el 2 de febrero de 2025, salvo las nuevas prohibiciones relativas a material íntimo no consentido y material de abusos sexuales de menores (artículo 5.1, letras b bis y b ter), que serán aplicables desde el 2 de diciembre de 2026. 
• Las obligaciones relativas a modelos de IA de uso general resultan aplicables desde el 2 de agosto de 2025.
• El régimen general del capítulo III, secciones 1, 2 y 3 (obligaciones de los sistemas de alto riesgo), ya no se aplica desde el 2 de agosto de 2026, sino que queda aplazado al 2 de diciembre de 2027 para los sistemas del artículo 6.2 y el anexo III, y al 2 de agosto de 2028 para los sistemas del artículo 6.1 y el anexo I.
• Los artículos 102 a 110 (régimen sancionador y disposiciones finales conexas) sí serán aplicables desde el 27 de julio de 2026.

A TENER EN CUENTA. Estas referencias, antes provisionales a la espera de la aprobación del Ómnibus digital, quedan ahora consolidadas: el Reglamento (UE) 2026/1744 ha fijado de forma definitiva las fechas de agosto de 2028 y diciembre de 2027 antes mencionadas, por lo que la tabla de planificación empresarial puede darse por cerrada en este punto, sin perjuicio de los actos delegados y directrices pendientes de desarrollo que la propia Comisión debe publicar antes del 1 de agosto de 2027. 

Particularidades para pymes, start-ups y uso del sandbox regulatorio

Régimen proporcional y particularidades sancionadoras

El Reglamento presta una atención singular a las pymes, incluidas empresas emergentes y start-ups. La guía de la Agencia Española de Supervisión de la Inteligencia Artificial destaca medidas específicas: acceso prioritario a sandboxes, canales de asesoramiento y consulta, modelos normalizados para el cumplimiento, reducción de carga documental técnica y de tasas en evaluación de conformidad, así como sistemas de gestión de calidad adaptados proporcionalmente al tamaño de la empresa.

El Ómnibus digital extiende buena parte de este régimen proporcional a las pequeñas empresas de mediana capitalización, categoría de nueva creación normativa situada entre las pymes y las grandes empresas.

En el plano sancionador, la guía subraya una especialidad relevante: para pymes, la multa impuesta podrá ser la menor de las cuantías entre el importe fijo y el porcentaje correspondiente del volumen de negocios, frente a la regla general que aplica la mayor de ambas cuantías. El nuevo artículo 99.6 bis extiende esta misma regla favorable (aplicación del menor de los dos importes) a las pequeñas empresas de mediana capitalización. 

Valor del sandbox regulatorio

El artículo 57 del Reglamento regula los espacios controlados de pruebas para la IA. La documentación del piloto español los presenta como entornos controlados para apoyar la innovación, facilitar el desarrollo, entrenamiento, prueba y validación de sistemas innovadores de IA antes de su introducción en el mercado o puesta en servicio.

La reforma habilita además a la Oficina de IA para crear un espacio controlado de pruebas a escala de la Unión, específicamente destinado a los sistemas de IA sujetos a su competencia exclusiva de supervisión (artículo 57.3 bis), con acceso prioritario para pymes (incluidas empresas emergentes) y pequeñas empresas de mediana capitalización. Este sandbox europeo se entiende sin perjuicio de la competencia de los Estados miembros para mantener sus propios espacios controlados de pruebas nacionales.

Asimismo, se amplía el ámbito de la prueba en condiciones reales fuera de los sandboxes: además de los sistemas de alto riesgo del anexo III, ahora también pueden probarse en condiciones reales los sistemas regulados por la legislación de armonización del anexo I, sección A (artículo 60), y se introduce un nuevo artículo 60 bis que permite a los Estados miembros habilitar pruebas en condiciones reales para sistemas del anexo I, sección B (como la maquinaria), mediante marcos nacionales notificados previamente a la Comisión.

Desde la óptica empresarial, el valor jurídico-práctico del sandbox radica en que, a petición del proveedor, la autoridad competente puede emitir un informe de salida sobre actividades desarrolladas y resultados obtenidos. Según la guía, esta documentación puede utilizarse para demostrar cumplimiento en procesos de evaluación de conformidad o actividades de vigilancia del mercado, y las autoridades de vigilancia del mercado y los organismos notificados la tendrán en cuenta positivamente para acelerar procedimientos en una medida razonable.

Cuestiones controvertidas y puntos de atención inmediata para empresa

La relevancia de la finalidad prevista y del uso real

Una de las cuestiones más delicadas es la tensión entre el diseño original del sistema y el uso concreto que finalmente realiza la empresa. La finalidad prevista declarada por el proveedor resulta determinante, pero la utilización efectiva puede desplazar la calificación del sistema y alterar las responsabilidades. Esto es especialmente visible en los supuestos de modificación sustancial y en la transformación de sistemas no inicialmente clasificados como de alto riesgo en usos del anexo III.

La convivencia entre Reglamento de IA y otros marcos normativos

Debe atenderse a la necesidad de entender el Reglamento de IA de forma complementaria con otros marcos, singularmente protección de datos, legislación sectorial de armonización, reglas sobre derechos fundamentales y normativa específica del producto o servicio. La empresa no debe abordar el cumplimiento del Reglamento de IA como un compartimento aislado, sino como una capa adicional sobre obligaciones ya existentes.

En esta línea, el nuevo artículo 2.13 permite que, mediante acto delegado que la Comisión debe adoptar a más tardar el 2 de agosto de 2027, se limite la aplicación de determinados requisitos u obligaciones específicos del Reglamento de IA (artículos 9 a 15 y 17 a 25) cuando la legislación de armonización sectorial del anexo I, sección A, ya garantice un nivel de protección equivalente o superior, evitando así duplicidades regulatorias sin reducir el nivel de protección global.

CUESTIÓN

¿Debe una empresa que utiliza un sistema de IA para promociones internas tratarlo como sistema de alto riesgo en 2026?

Sí, siempre que el caso de uso encaje en el anexo III, punto 4, letra b), esto es, cuando el sistema esté destinado a tomar decisiones que afecten a la promoción, a la asignación de tareas o al seguimiento y evaluación del rendimiento y conducta de las personas en el marco de relaciones laborales.

La guía práctica de la Agencia Española de Supervisión de la Inteligencia Artificial ofrece expresamente como ejemplo un sistema de IA para la gestión de personal-promoción que influye como uno de los factores determinantes, y no meramente accesorios, en la decisión de promoción y en las retribuciones del nuevo puesto. En ese supuesto, la empresa debe partir de su calificación como sistema de alto riesgo y activar el correspondiente marco de cumplimiento: determinación del rol de proveedor o responsable del despliegue, instrucciones de uso, supervisión humana, registros, evaluación de conformidad y vigilancia poscomercialización, entre otras obligaciones aplicables.

Ahora bien, tras el Ómnibus digital, la exigibilidad efectiva de este paquete completo de obligaciones de alto riesgo para sistemas del anexo III queda diferida al 2 de diciembre de 2027, sin perjuicio de que las prohibiciones del artículo 5, las obligaciones de transparencia del artículo 50 y el deber de alfabetización del artículo 4 sigan siendo exigibles conforme a sus propios plazos. En consecuencia, la empresa debe iniciar ya la calificación y preparación documental del sistema, aunque el cumplimiento pleno de los artículos 9 a 17 no resulte jurídicamente exigible hasta esa fecha.