¿Le aplica el AI Act a tu empresa? Ámbito y exclusiones

Antes de hablar de riesgos y plazos, tres preguntas: si lo que hay es un sistema de IA, si el papel de la empresa la sitúa dentro del reglamento y si le afecta alguna exclusión. Aquí, el criterio general; la respuesta concreta, en el diagnóstico.

¿Es un sistema de IA?

El reglamento lo define como un sistema basado en una máquina, diseñado para funcionar con distintos niveles de autonomía, que puede mostrar capacidad de adaptación tras el despliegue y que infiere de la información que recibe cómo generar resultados, como predicciones, contenidos, recomendaciones o decisiones, que pueden influir en entornos físicos o virtuales (art. 3.1).

La clave es la inferencia. Por eso no todo software es IA: según el propio reglamento, la definición excluye los sistemas basados en reglas definidas únicamente por personas para ejecutar operaciones de forma automática (considerando 12). La Comisión publicó el 6 de febrero de 2025 unas directrices, no vinculantes, para ayudar a distinguirlo.

Entre los dos extremos hay casos discutibles, y conviene mirarlos sistema a sistema.

Qué suele quedar fuera de la definición

Las directrices ponen ejemplos de sistemas que, aunque infieran de forma limitada, pueden quedar fuera de la definición por su escasa capacidad de analizar patrones y ajustar sus resultados de forma autónoma (puntos 40 a 51):

la optimización matemática, como los sistemas que mejoran o aceleran métodos de optimización consolidados desde hace años;
el tratamiento básico de datos, como una base de datos que filtra a los clientes que compraron un producto el último mes o una hoja de cálculo sin funciones de IA;
las heurísticas clásicas, técnicas de resolución de problemas basadas en reglas y en la experiencia;
las predicciones simples, como estimar la temperatura de mañana con la media de la semana pasada.

Son ejemplos, no una lista cerrada: lo que cuenta es cómo funciona cada sistema.

¿Qué papel tiene la empresa?

El reglamento se aplica a los «operadores»: proveedor, fabricante del producto, responsable del despliegue, representante autorizado, importador o distribuidor (arts. 2.1 y 3.8). Las obligaciones cambian con el papel, y una misma empresa puede tener varios con sistemas distintos: por ejemplo, usar en un proceso la IA de otra empresa y ofrecer otro sistema con su propio nombre.

Cómo se determina el rol: ¿Proveedor o responsable del despliegue?

Si la IA viene dentro de un producto

Si un sistema de IA de alto riesgo es componente de seguridad de un producto regulado por las normas de la sección A del anexo I, el fabricante del producto se consideraría su proveedor cuando el sistema se comercialice con el producto, o se pone en servicio después, bajo su nombre o su marca (art. 25.3). En ese caso, asume las obligaciones de proveedor del art. 16.

Cuándo la IA de un producto es de alto riesgo: Alto riesgo: cómo saber si un sistema lo es

Desde fuera de la UE

El reglamento alcanza también a quien está fuera de la Unión (art. 2.1):

a los proveedores que comercialicen o ponen en servicio sistemas de IA, o comercialicen modelos de uso general, en la Unión, estén donde estén establecidos;
a los proveedores y responsables del despliegue de fuera de la Unión cuando los resultados del sistema se usen en ella.

Los proveedores de fuera deben nombrar por escrito un representante autorizado establecido en la Unión antes de comercializar un sistema de alto riesgo (art. 22) o un modelo de uso general (art. 54). Y, con los sistemas de alto riesgo, los importadores y distribuidores de la Unión tienen sus propias obligaciones (arts. 23 y 24).

Las personas afectadas

El ámbito incluye también a las personas afectadas que estén en la Unión (art. 2.1.g). El reglamento les reconoce, entre otros, dos derechos:

reclamar ante la autoridad de vigilancia del mercado si creen que se ha infringido el reglamento (art. 85);
pedir una explicación clara y significativa del papel que ha tenido la IA en una decisión que les afecte. Rige cuando la toma un responsable del despliegue a partir de un sistema de alto riesgo del anexo III (salvo los de infraestructuras críticas) y la decisión tenga efectos jurídicos o les afecte considerablemente del mismo modo (art. 86).

Para una empresa que usa IA de alto riesgo, ese derecho a la explicación es algo que debe estar en condiciones de atender.

Lo que queda fuera

Las exclusiones principales del art. 2, cada una con sus límites:

Fines militares, de defensa o de seguridad nacional: quedan fuera los sistemas que se usen exclusivamente para esos fines, y en la medida en que lo hagan (art. 2.3).
Investigación y desarrollo científicos: los sistemas y modelos desarrollados y puestos en servicio con ese fin como única finalidad (art. 2.6).
Antes de llegar al mercado: la investigación, las pruebas y el desarrollo previos a la introducción en el mercado o la puesta en servicio, salvo las pruebas en condiciones reales (art. 2.8).
Uso personal: las personas físicas que usan la IA en una actividad puramente personal, no profesional (art. 2.10).
Código abierto: los sistemas publicados con licencias libres y de código abierto, salvo que se introduzcan en el mercado o se pongan en servicio como sistemas de alto riesgo, o que entren en las prácticas prohibidas (art. 5) o en las obligaciones de transparencia (art. 50) (art. 2.12).

No son salidas fáciles: una exclusión se aplica a un uso concreto y solo en la medida en que se cumplen sus condiciones.

El RGPD sigue aplicándose

Que un sistema quede fuera del AI Act, o dentro con pocas obligaciones, no cambia nada respecto al RGPD: si trata datos personales, el RGPD se aplica igual. El AI Act no lo modifica, salvo en lo que prevén sus artículos 4 bis y 59 (art. 2.7, en la redacción del Ómnibus).

Dentro del ámbito, pero con pocas obligaciones

Estar dentro del ámbito no significa tener obligaciones pesadas. Lo que pide el reglamento depende de cuatro cosas:

la práctica: unas pocas están prohibidas (art. 5);
el riesgo: los sistemas de alto riesgo concentran la mayor parte de las obligaciones (arts. 6 y siguientes);
la transparencia: algunos sistemas tienen que avisar de que son IA o marcar su contenido (art. 50);
el rol: no se pide lo mismo al proveedor que al responsable del despliegue.

Muchos sistemas no están prohibidos ni son de alto riesgo, y a ellos el reglamento les pide bastante menos.

Fuentes, comprobadas en octubre de 2026: Reglamento (UE) 2024/1689, arts. 2, 3, 4 bis, 5, 6, 16, 22 a 25, 50, 54, 59, 85 y 86, anexos I y III y considerando 12; Reglamento (UE) 2026/1744 (Ómnibus), art. 1, puntos 2, 3, 6 y 8, y considerandos 5, 7, 9 y 42; RGPD; Comisión Europea, directrices sobre la definición de sistema de IA, puntos 40 a 51 (no vinculantes). Orientación general, no una determinación jurídica.