El Reglamento de IA para los organismos públicos: qué preparar para diciembre de 2027

01Dónde estamos en el otoño de 2026

El Reglamento de IA (se abre en un sitio externo), Reglamento (UE) 2024/1689, entró en vigor el 1 de agosto de 2024 y se aplica de forma escalonada. En julio de 2026, la UE adoptó el Ómnibus Digital sobre IA, el Reglamento (UE) 2026/1744 (se abre en un sitio externo), que aplazó las normas de alto riesgo y modificó otras disposiciones. Entró en vigor el 27 de julio de 2026, pocos días antes de la fecha inicialmente prevista para el alto riesgo.

El resultado es un calendario en el que algunas obligaciones ya se aplican, otras llegan a finales de este año y las más exigentes para los organismos públicos que despliegan IA llegan en diciembre de 2027.

El Ómnibus también reescribió el artículo 4, sobre alfabetización en IA. Los proveedores y los responsables del despliegue deben ahora adoptar medidas para apoyar la alfabetización en IA de su personal, en lugar de garantizar un nivel suficiente de ella. La obligación se mantiene; lo que hay que acreditar ha cambiado. Una formación adaptada a cada función, y un registro de ella, sigue siendo la respuesta sensata.

02¿Es usted proveedor o responsable del despliegue?

La mayoría de los organismos públicos son responsables del despliegue: utilizan un sistema de IA bajo su propia autoridad. Usted es proveedor cuando desarrolla un sistema de IA, o encarga su desarrollo, y lo pone en servicio con su propio nombre. Eso incluye los sistemas construidos internamente o por un contratista conforme a sus especificaciones.

Los papeles también pueden cambiar. Con arreglo al artículo 25, un responsable del despliegue que modifique sustancialmente un sistema de alto riesgo, o que cambie su finalidad prevista de modo que pase a ser de alto riesgo, asume las obligaciones del proveedor. Deje por escrito los papeles previstos en los pliegos y en los contratos, para que nadie los descubra durante una auditoría.

03¿Cuáles de sus casos de uso son de alto riesgo?

El anexo III enumera los ámbitos en los que los sistemas de IA se consideran de alto riesgo. Para los organismos públicos, los más relevantes son:

• Acceso a servicios y prestaciones públicos esenciales: evaluar el derecho a recibirlos y conceder, reducir, retirar o reclamar prestaciones y servicios.
• Migración, asilo y control fronterizo, garantía del cumplimiento del Derecho y administración de justicia.
• Educación y formación profesional: admisión, evaluación de los resultados del aprendizaje, vigilancia durante los exámenes.
• Empleo: contratación, promoción, asignación de tareas y supervisión del personal. Los organismos públicos también son empleadores.
• Infraestructuras críticas: componentes de seguridad en la gestión de infraestructuras digitales, del tráfico rodado y de los suministros.

Estar en un ámbito del anexo III no pone fin al análisis. Según el artículo 6, apartado 3, un sistema de uno de esos ámbitos no es de alto riesgo cuando no plantea un riesgo importante de causar un perjuicio, por ejemplo porque realiza una tarea de procedimiento limitada, mejora el resultado de una actividad humana ya finalizada, detecta patrones sin sustituir la valoración humana o realiza una tarea preparatoria. Un sistema que elabora perfiles de personas siempre es de alto riesgo. Si se acoge a esta excepción, documente el razonamiento.

Muchas herramientas útiles no son de alto riesgo en absoluto: apoyo a la redacción, búsqueda interna de conocimiento, traducción, resúmenes. Las obligaciones de transparencia y el RGPD les siguen siendo aplicables, pero el régimen de alto riesgo no.

04Qué deben hacer los responsables del despliegue de sistemas de alto riesgo

A partir del 2 de diciembre de 2027, un organismo público que despliegue un sistema de alto riesgo del anexo III tendrá las obligaciones que establece el artículo 26 (se abre en un sitio externo). Las principales:

• Utilizar el sistema conforme a las instrucciones de uso del proveedor, con las medidas técnicas y organizativas adecuadas.
• Encomendar la supervisión humana a personas con la competencia, la formación y la autoridad necesarias, y prestarles apoyo.
• Asegurarse de que los datos de entrada que estén bajo su control sean pertinentes y suficientemente representativos para la finalidad prevista.
• Vigilar el funcionamiento e informar sin demora indebida al proveedor y a las autoridades de los riesgos y de los incidentes graves.
• Conservar los registros generados automáticamente durante al menos seis meses, salvo que otra norma de la Unión o nacional disponga otra cosa.
• Informar a los representantes de los trabajadores y al personal afectado antes de utilizar un sistema de alto riesgo en el lugar de trabajo.
• Como autoridad pública, registrar el uso del sistema en la base de datos de la UE antes de ponerlo en funcionamiento (artículo 26, apartado 8, y artículo 49). Un sistema no registrado no puede utilizarse.
• Informar a las personas cuando se utilice un sistema de alto riesgo para tomar decisiones sobre ellas o ayudar a tomarlas (artículo 26, apartado 11). Las personas tienen además derecho a una explicación de las decisiones individuales (artículo 86).

La evaluación de impacto relativa a los derechos fundamentales

Según el artículo 27 (se abre en un sitio externo), los organismos de Derecho público y las entidades privadas que prestan servicios públicos deben realizar una evaluación de impacto relativa a los derechos fundamentales antes de utilizar por primera vez la mayoría de los sistemas del anexo III. Quedan excluidos los sistemas destinados a infraestructuras críticas. La evaluación describe:

1. 01los procesos en los que se utilizará el sistema, conforme a su finalidad prevista;
2. 02el periodo y la frecuencia de uso;
3. 03las categorías de personas y colectivos que puedan verse afectados;
4. 04los riesgos concretos de perjuicio para esas personas;
5. 05cómo se aplica la supervisión humana;
6. 06qué ocurre si los riesgos se materializan, incluidos la gobernanza interna y los mecanismos de reclamación.

Los resultados se notifican a la autoridad de vigilancia del mercado. La evaluación complementa, y puede apoyarse en, la evaluación de impacto relativa a la protección de datos (EIPD) del artículo 35 del RGPD, así que conviene realizar ambas a la vez. El artículo 27, apartado 5, encarga a la Oficina de IA un modelo de cuestionario; compruebe en qué estado se encuentra antes de diseñar el suyo. Algunos países ya disponen de métodos propios, como el Impact Assessment Mensenrechten en Algoritmes (IAMA) del Gobierno neerlandés.

05Obligaciones de transparencia que ya se aplican

Desde el 2 de agosto de 2026 se aplica el artículo 50. Los proveedores deben diseñar los sistemas que interactúan con personas de modo que estas sepan que están tratando con un sistema de IA, salvo que resulte evidente, y deben marcar el contenido sintético en un formato legible por máquina. Los responsables del despliegue deben hacer público cuándo un contenido es una ultrafalsificación (deepfake), así como el texto generado o manipulado por IA que se publique para informar al público sobre asuntos de interés público, salvo que una persona lo haya revisado y alguien asuma la responsabilidad editorial.

Para un organismo público, el caso más habitual es un asistente conversacional en un sitio web o en un canal de atención. Indique con claridad que se trata de un sistema de IA, explique en qué puede ayudar y en qué no, y ofrezca una vía para hablar con una persona.

06Un plan de preparación para 2026 y 2027

1. 01Inventario, ya. Enumere todos los sistemas de IA en uso o en proceso de contratación, incluidas las funciones de IA de las plataformas cuyas licencias ya tiene. Anote el responsable, la finalidad, el proveedor, los datos utilizados y las personas afectadas.
2. 02Clasificación, a principios de 2027. Prohibido, alto riesgo (con el razonamiento del artículo 6, apartado 3, documentado), solo transparencia o riesgo mínimo. Anote para cada sistema si actúa como proveedor o como responsable del despliegue.
3. 03Contratos, a lo largo de 2027. Pida a los proveedores las instrucciones de uso, la documentación de conformidad y el acceso a los registros. Incluya como cláusula contractual el apoyo a su evaluación de impacto y a la notificación de incidentes.
4. 04Diseño de la supervisión. Designe los roles, fórmelos y deles autoridad para imponerse al sistema y una vía de escalado. Diseñe contra el sesgo de automatización; nuestro artículo sobre dónde necesitan los agentes de IA una aprobación humana explica cómo.
5. 05Registros y seguimiento. Conserve los registros durante al menos seis meses y defina qué se considera un incidente grave y quién lo notifica.
6. 06Antes del primer uso. Realice la evaluación de impacto relativa a los derechos fundamentales junto con la EIPD, registre el sistema en la base de datos de la UE e informe al personal y a las personas afectadas.
7. 07Alfabetización continua. Formación por funciones para usuarios, revisores y responsables de decisiones, actualizada cuando cambian los sistemas y con un registro de quién se ha formado.

07Sanciones y control del cumplimiento

Los Estados miembros establecen el régimen de sanciones. El artículo 99, apartado 8, permite a cada Estado miembro decidir si pueden imponerse multas administrativas a las autoridades y organismos públicos establecidos en él, y en qué medida. No es un motivo para esperar. Las autoridades de vigilancia del mercado pueden exigir igualmente medidas correctoras, y la legitimidad de una decisión pública depende de que pueda explicarse e impugnarse.

08Qué seguir en los próximos meses

• Las directrices de la Comisión sobre la clasificación de los sistemas de alto riesgo (artículo 6, apartado 5), y sus directrices sobre prácticas prohibidas (se abre en un sitio externo) ya publicadas.
• Las normas armonizadas sobre los requisitos de alto riesgo, que los proveedores utilizarán para demostrar la conformidad.
• La designación de las autoridades de vigilancia del mercado en su Estado miembro y sus primeras orientaciones para los organismos públicos que despliegan IA.
• El modelo de la Oficina de IA para la evaluación de impacto relativa a los derechos fundamentales.

La Plataforma única de información sobre la Ley de IA (se abre en un sitio externo) (AI Act Service Desk) de la Comisión Europea mantiene al día el calendario oficial y las explicaciones artículo por artículo. Guárdela en favoritos y feche cada nota interna que redacte sobre el Reglamento: es un texto que sigue en movimiento.