La ley europea de IA ya entra en la hoja de ruta del producto

Un chatbot no parece más regulado cuando responde. La caja de texto sigue siendo la misma, el cursor espera igual y la respuesta llega con esa seguridad fluida que hizo popular y sospechosa a la IA generativa. La regulación se vuelve visible en otro lugar: en calendarios de producto, contratos con proveedores, registros de riesgo, documentación técnica y reuniones internas donde alguien pregunta quién responde si el sistema se equivoca.

Esa es la historia menos vistosa del Reglamento de IA de la Unión Europea. Según la Comisión Europea, la norma entró en vigor el 1 de agosto de 2024, pero no se encendió de golpe. El calendario oficial reparte obligaciones: disposiciones generales y prohibiciones desde el 2 de febrero de 2025, reglas de gobernanza e IA de propósito general desde agosto de 2025, la mayor parte de normas y ejecución a partir del 2 de agosto de 2026, y determinados sistemas de alto riesgo integrados en productos regulados desde 2027.

Para una empresa española que compra, integra o vende software con IA, el cambio práctico es que la pregunta deja de ser solo si una función funciona. Ahora importa para qué se usa, quién la despliega, qué datos la alimentan, si influye en decisiones sobre personas y si el usuario sabe que está tratando con una máquina. Una herramienta interna puede parecer inocente hasta que termina conectada a atención al cliente, contratación, crédito, educación o sanidad.

La ley se organiza por niveles de riesgo. La Comisión habla de usos prohibidos, usos de alto riesgo, obligaciones de transparencia y usos con riesgo mínimo o nulo. Sobre el papel suena ordenado. En una hoja de ruta real es más incómodo, porque el mismo modelo puede alimentar productos muy distintos y porque una etiqueta suficiente en un contexto puede ser insuficiente en otro. La clasificación ya no es un detalle legal al final del proyecto; puede condicionar el diseño desde el primer borrador.

Las prohibiciones son la línea más fácil de entender. La página de estrategia digital de la Comisión enumera prácticas como manipulación dañina, puntuación social, ciertos usos biométricos, reconocimiento de emociones en centros de trabajo y educación, o el raspado indiscriminado de internet o cámaras para ampliar bases de datos faciales. Para los equipos de producto, eso no es una nota a pie de página: algunas ideas no deberían llegar ni a la demo.

El terreno más exigente está en los sistemas de alto riesgo. La Comisión cita ámbitos como educación, empleo, acceso a servicios esenciales, fuerzas de seguridad, migración o procesos democráticos. Ahí el error de un modelo no es solo una mala recomendación: puede afectar a un trabajo, una prestación, una matrícula, un visado o un expediente. Por eso la norma empuja a hablar menos de trucos de productividad y más de trazabilidad, supervisión humana, calidad de datos, seguimiento y responsabilidades.

El usuario corriente quizá no note todo ese trabajo. Verá, si acaso, más avisos de que interactúa con IA, etiquetas en algunos contenidos sintéticos o un despliegue más lento de funciones en Europa. También puede ver más preguntas cuando una empresa o administración pública contrate una herramienta: qué hace exactamente, con qué datos, qué riesgos crea y qué documentación ofrece el proveedor. La fricción no siempre será burocracia inútil; a veces será la única manera de saber qué se está comprando.

La tensión es real. Una regulación compleja puede elevar costes y favorecer a compañías grandes con equipos jurídicos. Una regulación débil puede convertirse en marketing de confianza sin protección efectiva. La cuestión no es si Europa ha escrito un marco ambicioso; lo ha hecho. La cuestión es si las autoridades y las empresas lo convierten en mejores productos, derechos verificables y una cultura de IA menos improvisada.

La conclusión para el lector es sobria. El Reglamento de IA no hará que todas las respuestas sean fiables ni resolverá por sí solo los debates sobre propiedad intelectual, empleo o poder de las plataformas. Pero cambia la pregunta por defecto. Ya no basta con decir que una función puede lanzarse. Hay que explicar qué tipo de sistema se está lanzando, qué riesgo introduce y qué deberes lo acompañan. En Europa, el futuro de la IA también se decidirá en formularios, registros y etiquetas.