Si tu empresa usa IA en su operativa, antes de clasificar nada conviene responder a una pregunta anterior, y es la que casi nadie se hace explícitamente: ¿me aplica el Reglamento?
Está en el Art. 2, que tras el Reglamento (UE) 2026/1744 tiene trece apartados. El primero dice a quién alcanza; los doce restantes excluyen, acotan o dejan a salvo otras normas. Y entre ellos hay tres exclusiones que se citan como salvoconducto y no lo son.
La respuesta corta, para una empresa española
El Art. 2(1) enumera siete sujetos. El que te afecta es este:
«b) los responsables del despliegue de sistemas de IA que estén establecidos o ubicados en la Unión».
Nada más. No hay umbral de tamaño, ni de facturación, ni de sector, ni de cuántos sistemas uses. Si tu organización está en la UE y usa IA bajo su autoridad, estás dentro.
Merece señalarse otro sujeto, porque sorprende: la letra c) alcanza a proveedores y responsables del despliegue de terceros países «cuando los resultados de salida generados por el sistema de IA se utilicen en la Unión». El Reglamento no se limita a quien está aquí — se extiende a lo que se usa aquí.
Las tres exclusiones que se citan mal
«Es de código abierto»
El Art. 2(12) excluye los sistemas divulgados con licencias libres y de código abierto. Pero léase entero:
«…a menos que se introduzcan en el mercado o se pongan en servicio como sistemas de IA de alto riesgo o como sistemas de IA que entren en el ámbito de aplicación del artículo 5 o del artículo 50.»
Tres excepciones a la exclusión. Es decir: la licencia libre no protege en alto riesgo, no protege frente a las prácticas prohibidas y no protege frente a la transparencia. Justamente los tres sitios donde alguien querría ampararse en ella.
Y hay un matiz que se pierde: la exclusión mira cómo se divulga el modelo, no cómo lo usas tú. Si despliegas un modelo abierto en un caso de uso de alto riesgo, tus obligaciones como responsable del despliegue son las mismas que con uno cerrado.
«Es investigación»
Hay dos apartados sobre esto y conviene no mezclarlos.
El 2(6) excluye los sistemas o modelos de IA, incluidos sus resultados de salida, desarrollados y puestos en servicio «específicamente con la investigación y el desarrollo científicos como única finalidad». La palabra que decide es «única».
El 2(8) excluye la actividad de investigación, prueba o desarrollo anterior a la introducción en el mercado o puesta en servicio, que ha de llevarse a cabo de conformidad con el Derecho de la Unión aplicable. Y termina con una frase que rara vez se cita:
«Las pruebas en condiciones reales no estarán cubiertas por esa exclusión.»
De modo que un piloto interno con datos y usuarios reales no está excluido por ese apartado: si el sistema ya se ha introducido en el mercado o puesto en servicio, la exclusión no opera, y si todavía no, las pruebas en condiciones reales quedan fuera de ella de forma expresa. La exclusión cubre el desarrollo, no el ensayo sobre la realidad.
«Lo usa cada uno por su cuenta»
El 2(10) excluye las obligaciones de los responsables del despliegue «que sean personas físicas que utilicen sistemas de IA en el ejercicio de una actividad puramente personal de carácter no profesional».
Dos condiciones acumuladas, y en el caso que se pretende amparar no se da ninguna de las dos: alguien de tu equipo usando una herramienta de IA para su trabajo no está en una actividad personal no profesional, y la organización sigue siendo la responsable del despliegue. La exclusión es para el uso doméstico, no para el uso individual dentro de una empresa.
Las exclusiones que sí son limpias
Dos, y a una empresa privada normalmente no le sirven.
Seguridad nacional, defensa y fines militares — Art. 2(3), con una redacción muy amplia: «con o sin modificaciones, exclusivamente con fines militares, de defensa o de seguridad nacional, independientemente del tipo de entidad». Alcanza también a los sistemas que no se introduzcan en el mercado ni se pongan en servicio en la Unión cuando sus resultados de salida se utilicen en la Unión exclusivamente con esos fines.
Autoridades públicas de terceros países y organizaciones internacionales que utilicen sistemas de IA en el marco de acuerdos o de la cooperación internacionales con fines de garantía del cumplimiento del Derecho y cooperación judicial con la Unión o con uno o varios Estados miembros — Art. 2(4), siempre que ese tercer país u organización ofrezca garantías suficientes con respecto a la protección de los derechos y libertades fundamentales de las personas.
Y una acotación que no es exclusión, pero se le parece: a los sistemas de alto riesgo por el Art. 6(1) relativos a productos regulados por los actos del anexo I, sección B —entre ellos, la seguridad de la aviación civil, los vehículos de motor, los equipos marinos o la interoperabilidad ferroviaria—, solo se les aplican el artículo 6, apartado 1, el artículo 60 bis y los artículos 102 a 112; y los artículos 57, 58 y 59, solo en la medida en que los requisitos del Reglamento para el alto riesgo se hayan integrado en esos actos (Art. 2(2), en la redacción del Reglamento (UE) 2026/1744).
Lo que el artículo deja claro y suele olvidarse
Tres apartados que no excluyen nada pero ordenan el mapa.
El RGPD sigue aplicándose. El Art. 2(7), en la redacción del Reglamento (UE) 2026/1744, lo dice expresamente: sin perjuicio de sus artículos 4 bis y 59, el Reglamento «no afectará» al Reglamento (UE) 2016/679. No hay sustitución ni solapamiento que resuelva nada — son dos cuerpos normativos que conviven.
Las normas de consumo y seguridad de producto tampoco decaen — Art. 2(9).
Y las protecciones laborales más favorables se mantienen — Art. 2(11), que preserva expresamente la posibilidad de disposiciones y convenios colectivos más favorables a los trabajadores respecto del uso de IA por parte de los empleadores. Relevante en España, donde el comité de empresa ya tiene derecho a ser informado de los parámetros, reglas e instrucciones en que se basan los algoritmos o sistemas de IA que afectan a decisiones que pueden incidir en las condiciones de trabajo y en el acceso y mantenimiento del empleo (art. 64.4.d) del Estatuto de los Trabajadores), sin esperar al AI Act.
Lo que significa en la práctica
Que la pregunta «¿me aplica?» tiene una respuesta aburrida —sí— y que la pregunta útil es otra: qué te aplica.
Y ahí el reparto es muy desigual: el Art. 4 y el Art. 5 alcanzan a todos desde el 2 de febrero de 2025 —salvo las letras b bis) y b ter) del Art. 5(1), aplicables desde el 2 de diciembre de 2026—; el régimen del alto riesgo solo alcanza a quien use sistemas de alto riesgo, y no antes del 2 de diciembre de 2027. Entre esas dos cosas está casi todo lo que una empresa necesita decidir.
De modo que buscar una exclusión suele ser trabajo perdido, y hacer la pregunta correcta cuesta menos: qué sistemas tienes y qué hace cada uno.
Contenido con arreglo a los artículos 2, 4 y 5 y al Anexo III del Reglamento (UE) 2024/1689, en la redacción dada por el Reglamento (UE) 2026/1744 (DOUE de 24/07/2026).
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.