EU AI Act 2027: la nueva fase que cambia las obligaciones sobre inteligencia artificial en Europa

Cuando el calendario del Reglamento (UE) 2024/1689 marque el 2 de diciembre de 2027, Europa entrará en la fase más exigente de su legislación sobre inteligencia artificial. Es la fecha en la que, salvo nueva modificación, comenzarán a aplicarse las obligaciones para los sistemas de inteligencia artificial de alto riesgo recogidos en el Anexo III del Reglamento.

El EU AI Act 2027 no es una norma nueva, sino la continuación de un proceso de aplicación escalonada que arrancó en 2024 y que, tras el llamado «Ómnibus Digital sobre IA», ha reordenado sus plazos. Para empresas, administraciones públicas y también para el sector de la seguridad privada, entender qué cambia con el EU AI Act 2027 ya no es una cuestión de curiosidad jurídica, sino de planificación empresarial.

Este reportaje es la segunda parte del especial de Proseguridad.info sobre el Reglamento Europeo de Inteligencia Artificial, y profundiza en lo que realmente implica esta nueva fase: quién está obligado, qué se considera alto riesgo, qué deben documentar las empresas y qué sanciones existen si no se cumple.

Del AI Act de 2026 al EU AI Act 2027: qué ha cambiado

En nuestro primer artículo sobre el EU AI Act explicamos que el 2 de agosto de 2026 entraron en aplicación las obligaciones de transparencia del artículo 50 del Reglamento: aviso de interacción con sistemas conversacionales, etiquetado de contenido sintético y activación plena del régimen sancionador para los modelos de IA de uso general (GPAI). Esa fecha, sin embargo, no trajo consigo la aplicación de las obligaciones sobre sistemas de alto riesgo, que originalmente estaban previstas también para agosto de 2026.

La razón es el Reglamento (UE) 2026/1744, conocido como «Ómnibus Digital sobre IA», publicado en el Diario Oficial de la Unión Europea el 24 de julio de 2026 tras el acuerdo político alcanzado por el Parlamento Europeo y el Consejo el 7 de mayo de 2026.

Esta norma modificó el artículo 113 del Reglamento de IA y aplazó el calendario de los sistemas de alto riesgo: las obligaciones del Anexo III pasan al 2 de diciembre de 2027, y las del Anexo I —sistemas integrados en productos ya regulados por normativa sectorial, como maquinaria o dispositivos médicos— se trasladan al 2 de agosto de 2028. Así lo confirma la propia Comisión Europea en su página oficial sobre el AI Act, y también el Consejo de la UE, que dio su luz verde definitiva al paquete el 29 de junio de 2026.

Es importante subrayar que este aplazamiento no es una moratoria general del Reglamento. Las prohibiciones de prácticas de IA inaceptables, las obligaciones de alfabetización en IA, las reglas para modelos GPAI y las obligaciones de transparencia del artículo 50 siguen plenamente vigentes. El EU AI Act 2027 afecta específicamente al bloque de obligaciones más exigente: el de los sistemas de alto riesgo.

Calendario completo del Reglamento Europeo de Inteligencia Artificial

Qué ocurre en diciembre de 2027

El 2 de diciembre de 2027 entran en aplicación las obligaciones de las secciones 1 a 3 del capítulo III del Reglamento de IA para los sistemas clasificados como de alto riesgo conforme al artículo 6.2 y al Anexo III. Se trata de los llamados sistemas «independientes» o stand-alone: aquellos que no están integrados como componente de seguridad en un producto ya regulado, sino que constituyen por sí mismos la aplicación de IA (por ejemplo, un software de cribado de currículums o una herramienta de scoring crediticio).

A partir de esa fecha, los proveedores de estos sistemas deberán haber completado, entre otros elementos: un sistema de gestión de riesgos, documentación técnica conforme al Anexo IV, un sistema de gestión de calidad, el registro en la base de datos europea de sistemas de alto riesgo, el marcado CE cuando corresponda y, según el tipo de sistema, la superación de una evaluación de conformidad.

Los responsables del despliegue, por su parte, deberán garantizar una supervisión humana efectiva, conservar los registros generados automáticamente y, en determinados supuestos —administraciones públicas, entidades que prestan servicios públicos, o despliegues de scoring crediticio y seguros—, realizar una evaluación de impacto sobre los derechos fundamentales (FRIA) antes del primer uso.

El Ómnibus también aclaró el llamado «periodo de gracia» del artículo 111.2: basta con que una unidad del sistema se haya introducido legalmente en el mercado antes de la fecha de aplicación para que otras unidades idénticas puedan seguir comercializándose sin las nuevas obligaciones, siempre que su diseño no cambie de forma sustancial.

Qué sistemas de inteligencia artificial pueden considerarse de alto riesgo

El Anexo III del Reglamento no clasifica como alto riesgo cualquier sistema que use inteligencia artificial. La calificación depende de la finalidad del sistema y del contexto de uso, no de la tecnología subyacente. El Reglamento agrupa los supuestos en ocho grandes áreas:

• Biometría: identificación biométrica remota, categorización según atributos sensibles o reconocimiento de emociones fuera de las excepciones permitidas.
• Infraestructuras críticas: componentes de seguridad para la gestión del tráfico o del suministro de agua, gas, electricidad o calefacción.
• Educación: sistemas para decidir el acceso o la admisión a centros educativos, o para evaluar resultados de aprendizaje.
• Empleo y gestión de trabajadores: cribado de candidaturas, evaluación de rendimiento, decisiones sobre promoción, despido o asignación de tareas.
• Servicios esenciales: evaluación de solvencia crediticia, acceso a prestaciones públicas o determinados usos en seguros de vida y de salud.
• Aplicación de la ley: evaluación de riesgo de reincidencia, fiabilidad de pruebas o perfilado de personas en investigaciones penales.
• Migración, asilo y control de fronteras: evaluación de riesgo migratorio o asistencia en la tramitación de solicitudes de visado o asilo.
• Justicia y procesos democráticos: asistencia a autoridades judiciales en la interpretación de hechos y la aplicación del derecho.

Aclaración necesaria: el propio Reglamento prevé, en su artículo 6.3, que un proveedor puede documentar que su sistema, pese a encajar formalmente en una de estas categorías, no influye de forma material en el resultado de la decisión —por ejemplo, si realiza una tarea puramente auxiliar o preparatoria—. Esa excepción es estrecha y debe justificarse caso por caso; no constituye una vía automática para eludir la clasificación.

Qué empresas estarán afectadas por el EU AI Act 2027

El Reglamento distingue varios roles jurídicos, y las obligaciones concretas dependen del papel que desempeñe cada organización, no solo del sector en el que opere.

Una pyme que utilice una herramienta de selección de personal basada en IA, por ejemplo, no será proveedora del sistema, pero sí responsable de su despliegue, con obligaciones propias que no pueden delegarse íntegramente en el fabricante del software.

Las principales obligaciones que deberán conocer las empresas

Cuando un sistema queda clasificado como de alto riesgo, el EU AI Act 2027 exige un conjunto de garantías que se despliegan a lo largo de todo el ciclo de vida del sistema:

• Gestión de riesgos (art. 9): un proceso continuo —no una evaluación puntual— de identificación, análisis y mitigación de riesgos.
• Gobernanza y calidad de los datos (art. 10): conjuntos de entrenamiento, validación y prueba pertinentes, representativos y con control de sesgos.
• Documentación técnica (art. 11 y Anexo IV): descripción del sistema, su finalidad, sus limitaciones y las medidas de control implementadas.
• Registro de actividad o logs (art. 12): trazas automáticas que permitan reconstruir las decisiones relevantes del sistema.
• Transparencia hacia el responsable del despliegue (art. 13): información suficiente para que quien use el sistema pueda interpretarlo correctamente.
• Supervisión humana (art. 14): mecanismos reales, no meramente formales, para que una persona pueda revisar, corregir o revertir decisiones.
• Precisión, robustez y ciberseguridad (art. 15): niveles adecuados de fiabilidad técnica frente a errores y ataques.
• Evaluación de conformidad (art. 43): mediante control interno en la mayoría de los casos del Anexo III, o con intervención de un organismo notificado para identificación biométrica remota.
• Seguimiento posterior a la comercialización (art. 72) y comunicación de incidentes graves (art. 73), cuando resulten exigibles.

Estas obligaciones son las que, salvo nueva modificación normativa, resultarán aplicables desde el 2 de diciembre de 2027 para los sistemas del Anexo III.

EU AI Act 2027 y los trabajadores: recursos humanos bajo especial vigilancia

El empleo es una de las ocho áreas del Anexo III, y es también una de las que más preguntas genera en los departamentos de recursos humanos. Herramientas como el cribado automático de candidaturas, la clasificación de currículums, la evaluación del rendimiento, la asignación de tareas o la monitorización de la actividad laboral pueden quedar dentro del ámbito de alto riesgo cuando influyen de forma decisiva en decisiones sobre el acceso al empleo, la promoción o el despido.

Esto no significa que cualquier software de gestión de personal esté automáticamente sujeto al EU AI Act 2027: una herramienta puramente administrativa —por ejemplo, un asistente que gestiona altas, bajas o nóminas sin intervenir en decisiones sobre a quién contratar o despedir— no encaja en el Anexo III. La frontera está en si el sistema decide o influye materialmente sobre la relación laboral.

Cuando sí se trata de un sistema de alto riesgo, las obligaciones del Reglamento se combinan con las que ya impone el RGPD sobre decisiones automatizadas (artículo 22) y con la normativa laboral española, que exige informar a la representación de los trabajadores sobre la implantación de sistemas de decisión algorítmica. El propio artículo 26.7 del Reglamento de IA obliga a informar a los trabajadores afectados por un sistema de alto riesgo antes de su puesta en servicio en el entorno laboral.

EU AI Act 2027 y seguridad privada

Para el sector que cubre Proseguridad.info, la aplicación del EU AI Act 2027 tiene una lectura específica. La videovigilancia, el control de accesos, el análisis automatizado de imágenes, la biometría, los sistemas empleados en aeropuertos y centros de control, o las herramientas predictivas de seguridad son ámbitos donde puede haber sistemas de IA de alto riesgo —pero no todos los usos caen automáticamente en esa categoría.

Un sistema de reconocimiento facial destinado a la identificación biométrica remota de personas en espacios públicos, por ejemplo, se enmarca en el punto 1 del Anexo III y está sometido a los requisitos más exigentes, incluida —en este caso concreto— la evaluación de conformidad con intervención de un organismo notificado. En cambio, una cámara con analítica de vídeo que simplemente detecta movimiento o cuenta personas, sin identificarlas ni tomar decisiones sobre ellas, probablemente no encaje en esa clasificación. Los sistemas de seguridad en infraestructuras críticas —energía, transporte, agua— sí figuran expresamente en el Anexo III cuando actúan como componentes de seguridad.

La clasificación exacta dependerá siempre de la finalidad declarada del sistema, del contexto de despliegue y de si existe identificación de personas físicas. Las empresas de seguridad privada que utilicen o comercialicen soluciones de videovigilancia inteligente o biometría deberían revisar, sistema por sistema, si encajan en alguno de los supuestos del Anexo III antes de que llegue diciembre de 2027. Puede ampliarse este contexto en nuestros contenidos sobre ransomware en infraestructuras críticas y sobre el acuerdo de Palantir con Defensa, que ilustran el debate sobre IA y seguridad en España.

Qué sanciones contempla el Reglamento

Para pymes y startups se aplica siempre el importe menor entre el porcentaje y la cifra fija (art. 99.6).

España ante el EU AI Act 2027

En España, la AESIA (Agencia Española de Supervisión de la Inteligencia Artificial) es la autoridad de referencia para la vigilancia del cumplimiento del Reglamento, en coordinación con la AEPD cuando los sistemas de IA impliquen tratamiento de datos personales, biometría o decisiones automatizadas con impacto en derechos protegidos por el RGPD.

La AESIA opera junto a un proyecto de ley orgánica español, aún en tramitación parlamentaria, que debe designar con precisión las autoridades competentes y el régimen sancionador nacional complementario, sin que ello afecte a la aplicación directa del Reglamento europeo, que no requiere transposición.

Qué deberían hacer las empresas durante 2026 y 2027

El siguiente checklist combina obligaciones jurídicas ya exigibles con recomendaciones preventivas de cara al EU AI Act 2027:

1. Inventariar los sistemas de IA utilizados en la organización — recomendación preventiva.
2. Determinar el rol jurídico de la empresa (proveedor, responsable del despliegue, importador, distribuidor) — paso previo necesario para saber qué obligaciones aplican.
3. Clasificar los sistemas según su nivel de riesgo conforme al Reglamento — recomendación con base legal directa en el art. 6.
4. Identificar los sistemas potencialmente de alto riesgo del Anexo III — anticipación recomendada antes de diciembre de 2027.
5. Revisar proveedores y contratos, exigiendo evidencia documental de cumplimiento — recomendación de buenas prácticas contractuales.
6. Evaluar la documentación técnica disponible de cada sistema — obligación futura para proveedores desde diciembre de 2027.
7. Establecer mecanismos de supervisión humana — obligación exigible ya para responsables del despliegue de determinados sistemas de riesgo limitado, y obligatoria para alto riesgo desde 2027.
8. Revisar la protección de datos conforme al RGPD y la LOPDGDD — obligación legal vigente, independiente del calendario del AI Act.
9. Implantar mecanismos de trazabilidad y registro — recomendación preventiva a fecha actual; obligatoria para alto riesgo desde 2027.
10. Formar al personal en el uso de sistemas de IA — obligación legal vigente desde febrero de 2025 (alfabetización en IA, art. 4).
11. Establecer mecanismos internos de control de cumplimiento — recomendación de gobernanza empresarial.
12. Preparar evidencias documentales que puedan presentarse ante la AESIA o las autoridades de vigilancia del mercado — recomendación preventiva.

Preguntas frecuentes sobre el EU AI Act 2027

¿Qué es el EU AI Act 2027?
Es la denominación con la que se conoce la fase de aplicación, fijada para el 2 de diciembre de 2027, en la que entran en vigor las obligaciones para los sistemas de inteligencia artificial de alto riesgo del Anexo III del Reglamento (UE) 2024/1689, tras el aplazamiento introducido por el Reglamento Ómnibus (UE) 2026/1744.

¿Cuándo entran en aplicación las nuevas obligaciones de IA de alto riesgo?
El 2 de diciembre de 2027 para los sistemas «independientes» del Anexo III (empleo, biometría, educación, servicios esenciales, entre otros), y el 2 de agosto de 2028 para los sistemas de alto riesgo integrados en productos regulados por normativa sectorial (Anexo I).

¿Qué empresas estarán afectadas por el EU AI Act 2027?
Cualquier organización que actúe como proveedor, responsable del despliegue, importador, distribuidor o fabricante de un sistema clasificado como de alto riesgo, con independencia de su tamaño, aunque existen simplificaciones documentales para pymes y pequeñas empresas de mediana capitalización.

¿Qué se considera un sistema de inteligencia artificial de alto riesgo?
Son los sistemas listados en el Anexo III del Reglamento, en áreas como biometría, infraestructuras críticas, educación, empleo, servicios esenciales, aplicación de la ley, migración y justicia, siempre que influyan de forma material en las decisiones correspondientes.

¿Una empresa que utiliza ChatGPT está automáticamente afectada como sistema de alto riesgo?
No necesariamente. El uso de un modelo de IA de uso general para tareas como redactar textos o resumir documentos suele clasificarse como riesgo mínimo, salvo que se integre en un sistema destinado a un uso específico previsto en el Anexo III.

¿Cómo afecta el EU AI Act 2027 a los trabajadores y recursos humanos?
Las herramientas de selección de personal, evaluación de desempeño o decisiones sobre promoción y despido basadas en IA pueden quedar sujetas a las obligaciones de alto riesgo, incluyendo supervisión humana e información previa a los trabajadores afectados, en combinación con las garantías del RGPD.

¿Cómo puede afectar a la seguridad privada y la videovigilancia?
Los sistemas de identificación biométrica remota y determinados componentes de seguridad de infraestructuras críticas pueden clasificarse como de alto riesgo; otros usos de videovigilancia sin identificación de personas pueden no encajar en esa categoría. La calificación depende de la finalidad y el contexto de cada sistema.

¿Qué obligaciones tendrán las empresas que utilicen sistemas de IA de alto riesgo?
Gestión de riesgos, calidad de los datos, documentación técnica, registro de actividad, supervisión humana efectiva, altos estándares de robustez y ciberseguridad, y, cuando corresponda, evaluación de conformidad antes de su comercialización o uso.

¿Qué sanciones contempla el Reglamento Europeo de Inteligencia Artificial?
Hasta 35 millones de euros o el 7% de la facturación mundial para prácticas prohibidas, hasta 15 millones de euros o el 3% para incumplimientos de alto riesgo, y hasta 7,5 millones de euros o el 1,5% por información incorrecta a las autoridades.

¿Qué deberían hacer las empresas antes de diciembre de 2027?
Inventariar sus sistemas de IA, determinar su rol jurídico, clasificar el riesgo de cada sistema, revisar contratos con proveedores y preparar la documentación y los mecanismos de supervisión humana que exigirá el EU AI Act 2027 antes de que la fecha límite se convierta en urgencia.

El EU AI Act 2027 no consiste simplemente en «registrar una inteligencia artificial» en una base de datos europea. Consiste en que cada organización sepa con precisión qué sistema utiliza, para qué finalidad concreta, qué nivel de riesgo presenta según el Reglamento, qué papel jurídico desempeña —proveedor, responsable del despliegue, importador o distribuidor— y qué obligaciones específicas le resultan exigibles en cada fecha del calendario.

El aplazamiento hasta diciembre de 2027 y agosto de 2028 da tiempo, pero no exime de la tarea previa de clasificación, documentación y revisión contractual que las empresas ya deberían estar realizando. Cuando llegue esa fecha, las organizaciones que hayan hecho ese trabajo con antelación afrontarán el EU AI Act 2027 como un trámite de verificación; las que no lo hayan hecho, como una urgencia con plazos ya vencidos.