Regulación de la IA en 2026: qué exigen la Unión Europea, Estados Unidos y España

¿Qué norma le aplica a la IA que usa su empresa? Depende de dónde ofrece productos o servicios y sobre quién usa la IA. Esta guía reúne lo que dicen las fuentes oficiales y deja claro qué no pudimos verificar.

Una aclaración: cada dato viene de un texto o una página oficial citada al final, consultada en noviembre de 2026. Las normas cambian con frecuencia (el propio Reglamento europeo fue modificado en julio de 2026), así que confirme la versión vigente antes de decidir. Esto no es asesoría legal; lo que es criterio de Cyrrus lo decimos.

Unión Europea: el Reglamento de IA

Según la Comisión Europea, el Reglamento de IA entró en vigor el 1 de agosto de 2024 y define cuatro niveles de riesgo: riesgo inaceptable (prácticas prohibidas), alto riesgo, riesgo de transparencia (por ejemplo, avisar a la persona de que interactúa con un chatbot) y riesgo mínimo o nulo, para el cual no se introducen reglas.

La aplicación es escalonada. La Comisión indica que el AI Omnibus, una modificación del reglamento, entró en vigor el 27 de julio de 2026 y extendió los plazos de los sistemas de alto riesgo. La tabla resume las fechas que publican la Comisión y el texto consolidado al 27 de julio de 2026.

¿Sabe qué normas de IA le aplican?

Diseñamos el marco de Gobierno de IA de su organización: qué se puede automatizar, qué necesita supervisión humana y quién responde por cada decisión.

• Mapa de riesgo por caso de uso, no una política genérica
• Roles y responsables definidos entre negocio, TI y legal

Conocer Gobierno de IA

Sanciones del Reglamento europeo

El artículo 99, en el texto que publica el AI Act Service Desk de la Comisión Europea, fija estos máximos: para las prácticas prohibidas, hasta 35 millones de euros o el 7 % de la facturación anual mundial del ejercicio anterior, la cifra que sea mayor; para otras obligaciones de los operadores, hasta 15 millones o el 3 %; y para información incorrecta, incompleta o engañosa a las autoridades, hasta 7,5 millones o el 1 %. Para pymes, incluidas las empresas emergentes, se aplica la cifra menor de las dos.

Estados Unidos: dos ejemplos estatales

No revisamos normas federales de Estados Unidos para esta guía. Los dos ejemplos que siguen se leyeron en el texto o la página oficial de cada estado.

Texas: la ley H.B. 149, de título corto Texas Responsible Artificial Intelligence Governance Act, entra en vigor el 1 de enero de 2026. El fiscal general tiene autoridad exclusiva para aplicarla y la ley dice que no da un derecho de acción privada. Antes de demandar, el fiscal general debe dar un aviso y esperar 60 días para que se subsane la infracción. Las multas civiles son de 10.000 a 12.000 dólares por infracción subsanable, de 80.000 a 200.000 por infracción no subsanable y de 2.000 a 40.000 por cada día que continúe la infracción.

Colorado: la página oficial del proyecto SB26-189, «Automated Decision-Making Technology», lo muestra como ley firmada el 14 de mayo de 2026. Según ese resumen, deroga y vuelve a promulgar disposiciones de la SB 24-205 y regula la tecnología de decisión automatizada en decisiones consecuentes sobre educación, empleo, vivienda, servicios financieros o de crédito, seguros, salud y servicios públicos esenciales. Los desarrolladores deben dar documentación técnica a quienes la usan; estos deben avisar a las personas, explicar en lenguaje claro un resultado adverso y reconocer derechos de acceso, corrección y revisión humana. La aplica el fiscal general y no crea un nuevo derecho de acción privada. La página indica que la documentación de los desarrolladores empieza el 1 de enero de 2027 y que el fiscal general debe adoptar sus reglas a más tardar en esa fecha.

Defina quién sigue los cambios normativos de IA

Ayudamos a su comité directivo a decidir qué delegar, qué supervisar y qué nunca automatizar — antes de que la adopción avance sin control.

• Comité de gobierno con negocio, TI, legal y seguridad
• Criterios claros para aprobar nuevos casos de uso de IA

Agendar conversación sobre Gobierno de IA

España: una agencia de supervisión

El Real Decreto 729/2023, de 22 de agosto, publicado en el BOE núm. 210 del 2 de septiembre de 2023, creó la Agencia Española de Supervisión de Inteligencia Artificial (AESIA) como entidad de derecho público con sede en A Coruña. Su artículo 4.1 le atribuye tareas de supervisión, asesoramiento, concienciación y formación. No revisamos qué competencias le asigna el Reglamento europeo ni normas posteriores a 2023; para su estado actual conviene consultar a la propia agencia.

Colombia: una política nacional

El DNP describe el documento CONPES 4144, la Política Nacional de Inteligencia Artificial, aprobado el 14 de febrero de 2025. Según esa página, busca convertir a Colombia en un referente en el uso, desarrollo y apropiación de la IA, con más de 100 acciones hasta 2030 y una inversión de $479.000 millones; MinTIC, DAPRE, MinCiencias y el DNP lideran su implementación. Se trata de un artículo divulgativo del DNP, no del texto del CONPES. No revisamos el documento completo, así que no afirmamos si impone obligaciones a las empresas.

Qué debe revisar la gerencia

Tres preguntas, de criterio de Cyrrus. Primero, en qué países ofrece productos o servicios que usan IA, o usa IA sobre personas, porque de eso depende qué norma le aplica. Segundo, si alguno de sus sistemas toma o apoya decisiones sobre empleo, crédito, salud o seguros, que son ejemplos que aparecen en la ley de Colorado, y si podría caer en una categoría de alto riesgo del reglamento europeo. Tercero, quién en la empresa sigue los cambios normativos y cada cuánto.

Para pasar de las normas a la práctica, lea qué evidencia debe poder mostrar la empresa y cómo evaluar herramientas de gobernanza.