AI Act: guía completa do Regulamento Europeo de Intelixencia Artificial

O AI Act —oficialmente Regulamento (UE) 2024/1689 do Parlamento Europeo e do Consello, do 13 de xuño de 2024, polo que se establecen normas harmonizadas en materia de intelixencia artificial— é a primeira regulación horizontal do mundo sobre intelixencia artificial. Publicado no Diario Oficial da Unión Europea o 12 de xullo de 2024 e en vigor desde o 1 de agosto de 2024, define un marco común para o desenvolvemento, comercialización e uso de sistemas de IA nos 27 Estados membros.

Como regulamento, é de aplicación directa: non necesita transposición nacional. A súa aplicación, porén, realízase de forma escalonada ata agosto de 2027, con tres fases anticipadas que xa están en curso ou moi próximas.

Esta guía sintetiza os seus 13 capítulos, 113 artigos, 180 considerandos e 13 anexos nun formato práctico para que calquera responsable empresarial entenda que lle esixe o AI Act, como se relaciona co RGPD e que pasos pode dar hoxe para preparar a súa organización.

AI Act e RGPD: como se relacionan

O AI Act non substitúe o RGPD. Dío o propio art. 2.7 do Regulamento: o AI Act aplícase sen prexuízo dos Regulamentos (UE) 2016/679 e (UE) 2018/1725 e das Directivas 2002/58/CE e (UE) 2016/680. Cando un sistema de IA trata datos persoais —que é a inmensa maioría dos casos prácticos—, conviven dous marcos normativos superpostos: o AI Act regula o sistema; o RGPD regula o tratamento de datos.

Articulación práctica: o art. 26.11 do AI Act prevé expresamente que o responsable do despregamento dun sistema de alto risco utilice a información facilitada polo provedor (art. 13) para cumprir a súa obriga de avaliación de impacto en protección de datos (art. 35 RGPD). Non son avaliacións intercambiables, pero deben coordinarse.

Estrutura do AI Act: 13 capítulos, 113 artigos, 180 considerandos e 13 anexos

O AI Act é unha das normas europeas máis extensas da última década. A súa parte expositiva consta de 180 considerandos (recitals) que orientan a interpretación. A parte dispositiva contén 113 artigos distribuídos en 13 capítulos. E compleméntase con 13 anexos técnicos.

Ámbito de aplicación: a quen obriga o AI Act?

O art. 2 do Regulamento delimita un ámbito subxectivo amplo. Quedan incluídos:

• Provedores que introduzan no mercado ou poñan en servizo sistemas de IA ou modelos de IA de uso xeral na Unión, con independencia de se están establecidos na UE ou nun terceiro país.
• Responsables do despregamento (deployers) establecidos ou situados na Unión.
• Provedores e responsables do despregamento de terceiros países, cando os resultados de saída do sistema se utilicen na Unión.
• Importadores e distribuidores de sistemas de IA.
• Fabricantes de produtos que integren un sistema de IA coa súa marca.
• Representantes autorizados de provedores non establecidos na UE.
• Persoas afectadas situadas na Unión.

Quedan excluídos (en virtude dos apartados correspondentes do art. 2): os ámbitos fóra do Dereito da Unión, as competencias en seguridade nacional, os sistemas usados exclusivamente con fins militares ou de defensa, a investigación e o desenvolvemento científicos, as actividades de proba previas á introdución no mercado e, con matices importantes, os sistemas divulgados con licenzas libres e de código aberto (agás que sexan de alto risco, entren no art. 5 ou estean sometidos ao art. 50). O propio art. 2.7 contén unha cláusula de salvagarda: o AI Act aplícase sen prexuízo do RGPD, a Directiva ePrivacy e demais normativa europea aplicable.

Definicións clave (art. 3)

O art. 3 contén 68 definicións. Estas son as que calquera responsable empresarial debería coñecer:

Calendario de aplicación (art. 113)

O art. 113 establece un calendario escalonado. A data que figura en cada artigo é vinculante: as prohibicións aplícanse moito antes que as obrigas de alto risco.

O enfoque baseado no risco: catro niveis

A filosofía regulatoria do AI Act é proporcional ao risco. Non regula a IA polo que é, senón polo que fai e polo dano potencial que pode causar. O Regulamento establece catro niveis de esixencia:

Prácticas de IA prohibidas (art. 5)

O art. 5.1 enumera as prácticas que están totalmente prohibidas na Unión Europea, independentemente do consentimento do afectado. Esta é a lista íntegra, coa redacción próxima ao texto oficial:

Estas prohibicións son aplicables desde o 2 de febreiro de 2025 (art. 113.a).

Sistemas de IA de alto risco (Capítulo III)

Cando un sistema é de alto risco

O art. 6 establece dúas vías para que un sistema sexa de alto risco:

• Vía 1 (art. 6.1): o sistema é compoñente de seguridade dun produto regulado pola lexislación de harmonización da UE do anexo I (máquinas, xoguetes, ascensores, equipos de protección individual, produtos sanitarios, automoción, aviación…) e o devandito produto require avaliación de conformidade por terceiro.
• Vía 2 (art. 6.2): o sistema entra nalgunha das áreas do anexo III.

O art. 6.3 prevé unha excepción: aínda encaixando no anexo III, un sistema non se considerará de alto risco se "non presenta un risco importante" porque (a) realice unha tarefa procedemental limitada, (b) mellore o resultado dunha actividade humana previa, (c) detecte patróns de decisión sen substituír a valoración humana, ou (d) realice unha tarefa preparatoria. Esta excepción debe xustificarse e documentarse.

As 8 áreas do anexo III

Requisitos para sistemas de alto risco (arts. 8–15)

A Sección 2 do Capítulo III establece os sete grandes requisitos que debe cumprir calquera sistema de alto risco:

Obrigas do provedor (arts. 16–21)

• Art. 16: garantir que o sistema cumpre os requisitos da Sección 2, indicar nome e datos de contacto, contar cun sistema de xestión da calidade, conservar a documentación, rexistrar os logs cando estean baixo o seu control e someter o sistema á avaliación de conformidade pertinente.
• Art. 17: implantar un sistema de xestión da calidade documentado.
• Art. 18: conservación da documentación durante 10 anos tras a introdución no mercado ou posta en servizo.
• Art. 19: conservación dos rexistros xerados automaticamente, na medida en que estean baixo o control do provedor.
• Art. 20: medidas correctoras e deber de información se o sistema non é conforme.
• Art. 21: deber de cooperación coas autoridades competentes.

Obrigas do responsable do despregamento / deployer (art. 26)

Calquera empresa que utilice un sistema de IA de alto risco na súa operativa profesional —aínda que non o desenvolvera— asume as obrigas do art. 26:

• Adoptar medidas técnicas e organizativas adecuadas para usar o sistema conforme ás instrucións de uso.
• Encomendar a supervisión humana a persoas con competencia, formación e autoridade necesarias.
• Garantir que os datos de entrada sexan pertinentes e representativos, cando o deployer exerza control sobre eles.
• Vixiar o funcionamento do sistema, informar o provedor e suspender o uso se se detecta un risco grave ou un incidente grave (art. 79 e art. 73).
• Conservar os logs xerados automaticamente durante polo menos 6 meses, salvo prazo distinto noutra norma.
• Antes de poñer en servizo un sistema de alto risco no lugar de traballo, informar os representantes dos traballadores e os traballadores afectados.
• Cando o deployer sexa unha autoridade pública, rexistrar o uso na base de datos da UE (art. 49).
• Utilizar a información do art. 13 para cumprir a AIPD do art. 35 RGPD, cando proceda.

Avaliación de impacto en dereitos fundamentais — FRIA (art. 27)

Antes do primeiro uso, os deployers que sexan organismos de Dereito público, prestadores privados de servizos públicos e deployers de sistemas do anexo III nos ámbitos 5.b (scoring crediticio) e 5.c (seguros de vida e saúde) deben realizar unha avaliación de impacto sobre os dereitos fundamentais: descrición de procesos, período e frecuencia de uso, categorías de persoas afectadas, riscos específicos para os dereitos fundamentais, medidas de supervisión humana e medidas a aplicar en caso de materialización dos riscos.

Modelos de IA de uso xeral (GPAI): Capítulo V

Os modelos de IA de uso xeral (General-Purpose AI Models, GPAI) —os que están detrás de servizos como GPT, Claude, Gemini ou Llama— regúlanse no Capítulo V. O Regulamento distingue dúas categorías:

O art. 56 prevé que a Oficina de IA fomente a elaboración de códigos de boas prácticas que sirvan como vía para demostrar o cumprimento dos arts. 53 e 55. Se os códigos non se finalizan ou se consideran inadecuados, a Comisión pode establecer normas comúns mediante actos de execución.

Os provedores de GPAI establecidos en terceiros países deben designar un representante autorizado na Unión (art. 54).

Obrigas de transparencia (art. 50)

Determinados sistemas de IA, sexan ou non de alto risco, están suxeitos a obrigas específicas de transparencia. A súa lóxica é a mesma: a persoa exposta debe saber que está ante un sistema de IA, non ante un humano.

• Sistemas que interactúan con persoas (chatbots, axentes conversacionais — art. 50.1): o provedor debe deseñalos de forma que as persoas saiban que están interactuando cun sistema de IA, salvo que sexa evidente para unha persoa razoablemente informada.
• Xeración de contido sintético (texto, audio, imaxe, vídeo — art. 50.2): os provedores —incluídos os de sistemas de IA de uso xeral— deben marcar os resultados en formato lexible por máquina e facer detectable que foron xerados ou manipulados artificialmente.
• Recoñecemento de emocións e categorización biométrica (art. 50.3): o deployer debe informar ás persoas expostas do funcionamento do sistema e tratar os seus datos persoais conforme ao RGPD.
• Ultrasuplantacións (deepfakes — art. 50.4): o deployer debe facer público que a imaxe, audio ou vídeo foi xerado ou manipulado artificialmente. Se se trata de obra creativa, satírica ou de ficción manifestas, a obriga limítase a facer pública a existencia do contido sintético sen dificultar o gozo da obra. Para textos publicados sobre asuntos de interese público, tamén debe divulgarse, salvo que pasase por revisión humana ou control editorial con responsable identificado.

A información debe facilitarse de maneira clara e distinguible o máis tarde na primeira interacción (art. 50.5).

Sandboxes regulatorios para a IA (arts. 57–61)

Cada Estado membro debe garantir a existencia de polo menos un espazo controlado de probas para a IA a escala nacional, operativo o máis tarde o 2 de agosto de 2026 (art. 57.1). É un contorno supervisado pola autoridade competente no que provedores e provedores potenciais poden desenvolver, adestrar, probar e validar sistemas innovadores de IA antes da súa introdución no mercado, con orientación regulatoria e posibilidade de probas en condicións reais.

Os sandboxes están pensados especialmente para PEMES e empresas emerxentes, que poden acceder con prioridade e de forma gratuíta (art. 62).

Gobernanza: AI Office, Consello de IA e autoridades nacionais

O Capítulo VII articula a gobernanza en tres niveis:

• Oficina Europea de IA — AI Office (art. 64): función dentro da Comisión Europea, creada pola Decisión da Comisión do 24 de xaneiro de 2024. Concentra coñecementos especializados e supervisa, entre outras cousas, os modelos de IA de uso xeral con risco sistémico.
• Consello Europeo de Intelixencia Artificial — AI Board (art. 65): composto por un representante por Estado membro, co SEPD como observador. Coordina a aplicación coherente do Regulamento, emite recomendacións, establece subgrupos permanentes (incluído o de cooperación administrativa, ADCO).
• Foro consultivo (art. 67) e grupo de expertos científicos independentes (art. 68): asesoramento técnico independente.
• Autoridades nacionais competentes (art. 70): cada Estado membro debe designar unha ou varias autoridades notificantes e autoridades de vixilancia do mercado.

En España, a autoridade nacional de supervisión designada con carácter xeral é a Axencia Española de Supervisión da Intelixencia Artificial (AESIA), creada polo Real Decreto 729/2023, do 22 de agosto, con sede na Coruña. España foi o primeiro Estado membro en constituír unha autoridade específica para a supervisión da IA.

Convén precisar que a AEPD retén competencias propias baixo o AI Act. O art. 74.8 designa as autoridades nacionais de protección de datos como autoridades de vixilancia do mercado competentes respecto dos sistemas de IA de alto risco cando se utilizan para forzas e corpos de seguridade, xestión de fronteiras, administración de xustiza e procesos democráticos. Neses ámbitos, a AEPD non só aplica o RGPD: tamén supervisa e, no seu caso, sanciona o cumprimento do AI Act. A AEPD conserva, ademais, todas as súas competencias en materia de protección de datos persoais sobre calquera tratamento vinculado a sistemas de IA.

Notificación de incidentes graves (art. 73)

Os provedores de sistemas de IA de alto risco deben notificar ás autoridades de vixilancia do mercado calquera incidente grave (definido no art. 3.49):

• Regra xeral: notificación inmediata tras establecer un vínculo causal e, o máis tarde, 15 días.
• Infracción xeneralizada ou incidente grave do art. 3.49.b: o máis tarde 2 días.
• Falecemento dunha persoa: o máis tarde 10 días.

Réxime sancionador (arts. 99–101)

O art. 99 articula un réxime de multas administrativas en tres tramos, ademais das medidas non pecuniarias (advertencias) que cada Estado membro poida engadir. A contía determínase polo importe ou a porcentaxe, o que sexa superior (salvo pemes e startups, ver máis abaixo).

Pemes e empresas emerxentes (art. 99.6): para esta categoría, cada multa será pola porcentaxe ou o importe o que sexa menor. É un trato deliberadamente proporcional que a propia exposición de motivos do Regulamento subliña (considerandos sobre apoio á innovación).

O art. 101 prevé un réxime específico para os provedores de modelos de IA de uso xeral, con multas de ata 15 millóns de euros ou o 3 % do seu volume de negocio mundial anual.

Os tramos do art. 99 son aplicables desde o 2 de agosto de 2025 (art. 113.b), coa excepción do art. 101 (que se aplica desde a data xeral).

Interacción con outras normas

O AI Act intégrase nun ecosistema regulatorio europeo amplo. Estas son as relacións máis relevantes:

• RGPD (Regulamento UE 2016/679) e Regulamento UE 2018/1725: o art. 2.7 declara expresamente que o AI Act non afecta a súa aplicación. A AIPD do art. 35 RGPD e a FRIA do art. 27 do AI Act conviven e deben coordinarse.
• Directiva (UE) 2016/680 (Lei Orgánica 7/2021 en España): protección de datos no ámbito penal. Aplicable á maioría de usos do art. 5.1.h.
• Directiva NIS2 (UE 2022/2555): ciberseguridade de entidades esenciais e importantes. Solapamento co requisito de ciberseguridade do art. 15 e do art. 55.1.d do AI Act.
• Regulamento de Datos (Data Act — UE 2023/2854) e Regulamento de Gobernanza de Datos (UE 2022/868): regulan o acceso, intercambio e reutilización de datos que alimentan os sistemas de IA.
• Regulamento de Servizos Dixitais (DSA — UE 2022/2065): regulación de plataformas en liña. O art. 2.5 do AI Act preserva a súa aplicación aos prestadores de servizos intermediarios.
• Directiva (UE) 2019/790 sobre dereitos de autor: os provedores de GPAI deben respectar a reserva de dereitos do art. 4.3 desa Directiva (art. 53.1.c AI Act).
• Regulamentos sectoriais do anexo I: produtos sanitarios (UE 2017/745 e UE 2017/746), automoción, aviación, xoguetes, máquinas, etc. Os sistemas de IA que sexan compoñentes de seguridade destes produtos seguen a "vía 1" do art. 6.

Boas prácticas: que facer hoxe na túa empresa

Aínda que a aplicación xeral do AI Act sexa en agosto de 2026, hai decisións que convén tomar xa. Estas son as prioridades para o período 2025–2026:

O AI Act non é un trámite documental: é unha transformación operativa que afecta a compras, a RR. HH., a produto, a marketing e a seguridade. Canto antes se aborde como un proxecto transversal —e non só como un anexo do plan de cumprimento do RGPD—, máis eficiente resultará o camiño ata agosto de 2026.

En Certix acompañamos a empresas tecnolóxicas e a organizacións de todos os sectores na articulación do AI Act co seu programa existente de protección de datos. Podes ver o noso enfoque para o sector tech en consultoría de protección de datos para empresas tecnolóxicas.

---

Este contido é meramente orientativo e divulgativo; non constitúe en ningún caso asesoramento xurídico especializado. A aplicación do Regulamento (UE) 2024/1689 a cada caso concreto require unha análise individualizada do sistema de IA, do rol da organización (provedor, responsable do despregamento, importador, distribuidor) e da concorrencia con outras normas, en particular o RGPD e a LOPDGDD. As contías das sancións cítanse a título técnico-informativo e non como criterio de decisión. A normativa autonómica sectorial pode ampliar ou modificar estes requisitos.

Cómpre distinguir entre directrices interpretativas administrativas e interpretación xuridicamente vinculante. Os ditames, resolucións, guías e informes elaborados pola Oficina Europea de Intelixencia Artificial, o Consello de IA, a Comisión Europea e a Axencia Española de Supervisión da Intelixencia Artificial (AESIA) —sen prexuízo das competencias da AEPD en materia de protección de datos persoais e dos ámbitos do art. 74.8 do AI Act— constitúen instrumentos de soporte interpretativo moi valiosos e directrices dos órganos de supervisión administrativa, pero non teñen natureza de interpretación legalmente vinculante ante xulgados e tribunais.

Conforme ao ordenamento da Unión, a autoridade exclusiva para fixar de maneira oficial, firme e irrevogable a interpretación vinculante do articulado do Regulamento (UE) 2024/1689 corresponde unicamente ao Tribunal de Xustiza da Unión Europea (TXUE) mediante o expediente de cuestións prexudiciais (art. 267 TFUE).