01Alfabetización en IA para su personal
Artículo 4. Debe adoptar medidas para que toda persona que maneje un sistema de IA en su nombre o dependa de él tenga un nivel suficiente de alfabetización en IA: qué hace el sistema, dónde falla y cuándo intervenir. Desde el Digital Omnibus, se trata de una obligación de esfuerzo, valorada según las medidas que usted adopte: formación por funciones, instrucciones escritas y una persona de contacto designada. Conserve registros de la formación; son su prueba.
Se aplica ahora
02Prácticas prohibidas
Artículo 5. Diez prácticas están totalmente prohibidas, entre ellas las técnicas manipuladoras o engañosas que causan daños, la explotación de grupos vulnerables, la puntuación social, el reconocimiento de emociones en el trabajo y en centros educativos, y la extracción indiscriminada de imágenes faciales. El Digital Omnibus añadió dos prohibiciones sobre la generación de contenido íntimo sin consentimiento y material de abuso infantil, que se aplican desde el 2 de diciembre de 2026.
Se aplica ahoraDos nuevas prohibiciones desde el 2 de diciembre de 2026
03Informe a las personas de que hablan con una IA
Artículo 50(1). Los chatbots, agentes de voz y avatares deben dejar claro en la primera interacción que son IA, salvo que resulte evidente para una persona razonablemente atenta. La obligación de diseño recae en el proveedor; como responsable del despliegue, usted debe manejar el sistema de forma que el aviso llegue realmente a sus clientes, y si cambia la marca de la herramienta o la modifica sustancialmente, la obligación del proveedor pasa a ser suya. Una línea discreta en el pie de página no basta: el aviso debe ser claro, distinguible y accesible.
Se aplica ahora
04Marque y etiquete el contenido generado
Artículos 50(2) y 50(4). Los proveedores deben dotar al texto, las imágenes, el audio y el vídeo generados de una marca legible por máquina, y los responsables del despliegue deben etiquetar de forma visible los deepfakes y los textos escritos por IA que se publiquen sobre asuntos de interés público sin revisión humana; las obras artísticas y los textos sujetos a responsabilidad editorial tienen sus propias excepciones. Los sistemas que ya estaban en el mercado tienen hasta el 2 de diciembre de 2026 para incorporar el marcado legible por máquina.
Se aplica ahora
05Reconocimiento de emociones y biometría
Artículo 50(3) y Artículo 5. Si un sistema interpreta emociones o clasifica a las personas por rasgos biométricos, debe informarse a las personas afectadas y tratar sus datos personales conforme al RGPD. En el entorno laboral y educativo, el reconocimiento de emociones está totalmente prohibido, salvo por motivos médicos o de seguridad.
Se aplica ahora
06Supervisión humana de los sistemas de alto riesgo
Artículos 14 y 26. Para usos de alto riesgo, como la contratación y las decisiones de recursos humanos, la calificación crediticia, la tarificación de seguros, la educación y el acceso a servicios esenciales, una persona competente y formada debe poder entender el resultado, supervisarlo y anularlo o detener el sistema. Los responsables del despliegue conservan los registros durante al menos seis meses, siguen las instrucciones del proveedor e informan a los trabajadores antes del uso. El Digital Omnibus fijó estas obligaciones para el 2 de diciembre de 2027 en los sistemas independientes y para el 2 de agosto de 2028 en la IA integrada en productos regulados. La preparación requiere la mayor parte de ese tiempo.
Desde el 2 de diciembre de 2027
07Dónde se alojan sus datos
El Reglamento de IA no prescribe un lugar de alojamiento. El RGPD restringe el traslado de datos personales fuera de la UE, y las instrucciones, transcripciones y registros del CRM en ventas, atención al cliente y recursos humanos casi siempre contienen datos personales. Los modelos y el almacenamiento alojados en la UE, un contrato de tratamiento que excluya el entrenamiento con sus datos y una evaluación de impacto relativa a la protección de datos cuando el riesgo lo justifique son los controles que recomendamos: evitan las evaluaciones de transferencias para esos datos y responden a las primeras preguntas que plantean los clientes empresariales y las licitaciones.
Se aplica ahora
08Registros que lo demuestran
Un inventario de todos los sistemas de IA, incluidos los integrados en sus herramientas SaaS, con su función y clase de riesgo, instrucciones de uso, registros de formación, registros del sistema, notas de incidentes y evaluaciones realizadas. Cuando un cliente, un auditor o la autoridad de vigilancia del mercado pregunta, la respuesta es un documento, no una reunión.
Se aplica ahora
