Más allá del AI Act: las otras normas que se suman a la IA
Por Eva Blázquez, abogada · Revisión legal del 4 de noviembre de 2026 · Publicado el 5 de noviembre de 2026 · 9 min de lectura
Quien solo mira el AI Act deja huecos: la misma IA puede estar sujeta a normas de datos, de ciberseguridad, de producto o sectoriales. Esto es un mapa general; la respuesta concreta llega en el diagnóstico.
Los datos
Si la IA trata datos personales, se aplica el RGPD. El AI Act no lo sustituye.
El Reglamento de Datos se aplica desde el 12 de septiembre de 2025. Reconoce a los usuarios de productos conectados derechos de acceso a los datos de esos productos y de sus servicios relacionados. Los introducidos en el mercado después del 12 de septiembre de 2026 deben diseñarse para facilitar ese acceso.
También facilita cambiar de proveedor de servicios de tratamiento de datos, incluidos los servicios en la nube: desde el 12 de enero de 2027, el proveedor no puede cobrar gastos por el cambio. Esto no elimina todos los posibles costes de una migración.
En salud, el Espacio Europeo de Datos de Salud regula los datos de salud electrónicos y su uso secundario, por ejemplo para entrenar, probar y evaluar sistemas de IA. Su fecha general de aplicación es el 26 de marzo de 2027, pero el régimen de uso secundario se aplica, en general, desde el 26 de marzo de 2029.
La ciberseguridad
La Directiva NIS2 exige que las entidades esenciales e importantes incluidas en su ámbito gestionen sus riesgos de ciberseguridad y notifiquen los incidentes significativos. No basta con pertenecer a un sector: también cuentan el tamaño y las demás condiciones de la directiva.
Los Estados debían incorporarla a su Derecho nacional a más tardar el 17 de octubre de 2024; en España, su transposición sigue pendiente.
El Reglamento de Ciberresiliencia exige ciberseguridad a los productos con elementos digitales incluidos en su ámbito, también a los que incorporan IA. Se aplica en general desde el 11 de diciembre de 2027, pero las obligaciones de notificar vulnerabilidades explotadas activamente e incidentes graves que afecten a la seguridad del producto se aplican desde el 11 de septiembre de 2026.
En el sector público, y en los sistemas de empresas proveedoras a los que resulte aplicable, se suma el Esquema Nacional de Seguridad.
El Reglamento de Ciberresiliencia conecta, además, con el AI Act: un producto que también sea una IA de alto riesgo puede acreditar por esa vía los requisitos de ciberseguridad que ambas normas comparten. No supone cumplir automáticamente todo el AI Act: la precisión, la solidez y los demás requisitos se evalúan aparte.
Los productos
Cuando la IA va dentro de un producto, hay que mirar también sus normas: el Reglamento de máquinas, aplicable con carácter general desde el 20 de enero de 2027; los reglamentos de productos sanitarios; o, cuando corresponda, el Reglamento general de seguridad de los productos, aplicable desde el 13 de diciembre de 2024. Este último ya tiene en cuenta las funciones de evolución, aprendizaje y predicción del producto.
Por esta vía, la IA puede ser de alto riesgo si es un componente de seguridad de un producto regulado por la legislación del anexo I del AI Act, o es ella misma ese producto, y debe someterse a una evaluación de conformidad de terceros.
El Ómnibus trasladó las máquinas a la sección B de ese anexo. Los requisitos pertinentes de IA se incorporarán al propio Reglamento de máquinas mediante actos delegados que deben aplicarse como muy tarde el 2 de agosto de 2028.
Si un producto defectuoso causa daños, la nueva Directiva de responsabilidad por productos defectuosos incluye expresamente los programas informáticos. Los Estados tienen hasta el 9 de diciembre de 2026 para incorporarla, y el nuevo régimen se aplica a los productos introducidos en el mercado o puestos en servicio después de esa fecha.
La propuesta de directiva sobre responsabilidad civil por IA era una iniciativa distinta. Su retirada figuraba en el programa de trabajo de la Comisión para 2025, ante la falta de un acuerdo previsible.
El sector financiero
DORA, aplicable desde el 17 de enero de 2025, exige a las entidades financieras incluidas en su ámbito gestionar el riesgo de las TIC, también el derivado de sus proveedores tecnológicos. Entre ellos pueden estar los proveedores de servicios de IA.
Regula la gestión del riesgo, los incidentes, las pruebas de resiliencia y los contratos con proveedores. Para las entidades financieras también comprendidas en la NIS2, actúa como norma sectorial especial en las materias que cubre: no se duplican automáticamente los dos regímenes.
La nueva Directiva de crédito al consumo reconoce derechos cuando la evaluación de solvencia utiliza tratamiento automatizado de datos personales: solicitar intervención humana, obtener una explicación clara, expresar el propio punto de vista y pedir una revisión.
Los Estados debían incorporarla a más tardar el 20 de noviembre de 2025 y deben aplicar esas disposiciones desde el 20 de noviembre de 2026. Por su parte, el AI Act clasifica como de alto riesgo la IA destinada a evaluar la solvencia de personas físicas o establecer su calificación crediticia, salvo la utilizada para detectar fraudes financieros.
También deben tenerse en cuenta las guías y los criterios de los supervisores financieros, según su alcance.
Plataformas y contenido
El Reglamento de Servicios Digitales, aplicable con carácter general desde el 17 de febrero de 2024, exige a las plataformas en línea sujetas a esa obligación explicar los parámetros principales de sus sistemas de recomendación.
Las plataformas y los motores de búsqueda de muy gran tamaño deben, además, evaluar sus riesgos sistémicos, incluidos los derivados de sus sistemas algorítmicos. Cuando utilicen sistemas de recomendación, deben ofrecer al menos una opción que no se base en la elaboración de perfiles.
En propiedad intelectual, la Directiva sobre derechos de autor en el mercado único digital permite, bajo determinadas condiciones, la minería de textos y datos sobre contenidos a los que se accede lícitamente, siempre que sus titulares no se hayan reservado ese uso de forma adecuada.
Los proveedores de modelos de IA de uso general deben identificar y respetar esa reserva en su política de cumplimiento de los derechos de autor.
El empleo y los consumidores
En España, el comité de empresa tiene derecho a recibir información sobre los parámetros, reglas e instrucciones de los algoritmos o sistemas de IA que afectan a las condiciones de trabajo, el acceso y el mantenimiento del empleo, incluida la elaboración de perfiles.
Es una obligación distinta de la que establece el AI Act para los empleadores que utilicen sistemas de alto riesgo: informar previamente a los representantes de los trabajadores y a las personas afectadas, conforme a su calendario de aplicación.
Desde el 5 de octubre de 2026, el Real Decreto 723/2026 incorpora, además, información escrita sobre la existencia de sistemas algorítmicos o automatizados de toma de decisiones y, cuando decidan sobre condiciones de trabajo, sobre sus pautas, criterios y reglas de funcionamiento.
En las relaciones laborales ya vigentes, la persona trabajadora puede solicitar la información que no haya recibido, y la empresa dispone de 30 días hábiles para facilitarla. Estas obligaciones laborales no desplazan al RGPD cuando se tratan datos personales.
Con los consumidores siguen aplicándose la Ley General para la Defensa de los Consumidores y Usuarios y la Ley de Competencia Desleal, también cuando la información, la oferta o la atención las proporciona una IA.
La accesibilidad
Desde el 28 de junio de 2025, la Ley 11/2023 exige accesibilidad a determinados productos y servicios, con las excepciones y los regímenes transitorios previstos en la ley.
Entre los servicios incluidos están el comercio electrónico, los servicios bancarios para consumidores, las comunicaciones electrónicas y determinados elementos del transporte de viajeros, como sus webs y aplicaciones.
Si un asistente de IA forma parte de uno de esos servicios, hay que comprobar también sus requisitos de accesibilidad.
El Convenio del Consejo de Europa
La Unión Europea aprobó en 2026 la celebración del Convenio Marco del Consejo de Europa sobre inteligencia artificial, derechos humanos, democracia y Estado de Derecho, firmado en 2024.
El Convenio fija principios y obligaciones para sus partes, no directamente para las empresas. En la Unión se aplica a través del AI Act y del resto del Derecho de la Unión: las obligaciones concretas para una empresa llegan por esas normas.
Lo que llega en los próximos meses
Fuera del AI Act, estas son algunas de las próximas fechas de este mapa:
- 20 de noviembre de 2026: aplicación de las disposiciones nacionales que incorporan la nueva Directiva de crédito al consumo.
- 9 de diciembre de 2026: termina el plazo para incorporar la Directiva de responsabilidad por productos defectuosos. El nuevo régimen cubre los productos introducidos en el mercado o puestos en servicio después de esa fecha.
- 12 de enero de 2027: los proveedores de servicios de tratamiento de datos dejan de poder cobrar gastos por el cambio de proveedor.
- 20 de enero de 2027: aplicación general del Reglamento de máquinas.
- 26 de marzo de 2027: fecha general de aplicación del Espacio Europeo de Datos de Salud, aunque el régimen de uso secundario llega después.
- 11 de diciembre de 2027: aplicación general del Reglamento de Ciberresiliencia.
- 2 de agosto de 2028: fecha límite de aplicación de los actos delegados que incorporen los requisitos pertinentes de IA al Reglamento de máquinas.
Un solo análisis, no siete
Estas normas se complementan y, en algunos puntos, se solapan. Conviene coordinarlas:
- Un inventario común: qué sistemas hay, para qué se usan, qué datos tratan y qué proveedores intervienen. Es el punto de partida, aunque no sustituye a los registros específicos de cada norma.
- Evaluaciones de impacto coordinadas: la evaluación de derechos fundamentales del AI Act puede aprovechar partes de una evaluación de impacto de protección de datos que ya cubra esas cuestiones.
- Una respuesta conjunta a los incidentes: un mismo suceso puede activar varias notificaciones, pero no siempre se acumulan todos los regímenes.
En protección de datos, las violaciones deben notificarse a la autoridad sin dilación indebida y, de ser posible, en 72 horas desde que se tenga constancia, salvo que sea improbable que supongan un riesgo para las personas. Si es probable que exista un alto riesgo, puede ser necesario informar también a los afectados.
En la NIS2, la regla general es una alerta temprana en 24 horas, una notificación en 72 horas y un informe final a más tardar un mes después de esa notificación. Hay reglas específicas para los servicios de confianza y los incidentes que siguen en curso.
En la IA de alto riesgo, el proveedor debe notificar los incidentes graves con un plazo máximo general de 15 días y plazos más breves en determinados supuestos, conforme al calendario aplicable.
En las entidades financieras sujetas a DORA, los incidentes graves relacionados con las TIC siguen su régimen sectorial, que actúa como norma especial frente a la NIS2 en esas materias.
Por eso conviene analizarlas juntas, con un equipo legal y técnico, y no cada una por su lado.
Las fechas del AI Act, en el calendario.
Fuentes normativas: AI Act · Ómnibus · RGPD · Reglamento de Datos · Espacio Europeo de Datos de Salud · NIS2 · Reglamento de Ciberresiliencia · Esquema Nacional de Seguridad · Reglamento de máquinas, con sus correcciones de errores · Reglamento de productos sanitarios 2017/745 · Reglamento de productos sanitarios 2017/746 · Seguridad general de los productos · Responsabilidad por productos defectuosos · DORA · Directiva de crédito al consumo · Reglamento de Servicios Digitales · Directiva sobre derechos de autor · Estatuto de los Trabajadores · Real Decreto 723/2026 · Ley General para la Defensa de los Consumidores y Usuarios · Ley de Competencia Desleal · Ley 11/2023 · Decisión sobre el Convenio del Consejo de Europa · Programa de trabajo de la Comisión para 2025, anexo IV · Nota de la AEPD sobre sistemas algorítmicos en el ámbito laboral. Orientación general, no una determinación jurídica.