Antes de clasificar nada conviene responder a una pregunta anterior, y es la que casi nadie se hace explícitamente: ¿me aplica el Reglamento?
Está en el Art. 2, y tiene doce apartados. El primero dice a quién alcanza; los once restantes, a quién no. Y en esos once hay tres exclusiones que se citan como salvoconducto y no lo son.
La respuesta corta, para una empresa española
El Art. 2(1) enumera siete sujetos. El que te afecta es este:
«b) los responsables del despliegue de sistemas de IA que estén establecidos o ubicados en la Unión.»
Nada más. No hay umbral de tamaño, ni de facturación, ni de sector, ni de cuántos sistemas uses. Si tu organización está en la UE y usa IA bajo su autoridad, estás dentro.
Merece señalarse otro sujeto, porque sorprende: la letra c) alcanza a proveedores y responsables del despliegue de terceros países «cuando los resultados de salida generados por el sistema de IA se utilicen en la Unión». El Reglamento no se limita a quien está aquí — se extiende a lo que se usa aquí.
Las tres exclusiones que se citan mal
«Es de código abierto»
El Art. 2(12) excluye los sistemas divulgados con licencias libres y de código abierto. Pero léase entero:
«…a menos que se introduzcan en el mercado o se pongan en servicio como sistemas de IA de alto riesgo o como sistemas de IA que entren en el ámbito de aplicación del artículo 5 o del artículo 50.»
Tres excepciones a la exclusión. Es decir: la licencia libre no protege en alto riesgo, no protege frente a las prácticas prohibidas y no protege frente a la transparencia. Justamente los tres sitios donde alguien querría ampararse en ella.
Y hay un matiz que se pierde: la exclusión mira cómo se divulga el modelo, no cómo lo usas tú. Si despliegas un modelo abierto en un caso de uso de alto riesgo, tus obligaciones como responsable del despliegue son las mismas que con uno cerrado.
«Es investigación»
Hay dos apartados sobre esto y conviene no mezclarlos.
El 2(6) excluye los sistemas desarrollados y puestos en servicio «específicamente con la investigación y el desarrollo científicos como única finalidad». La palabra que decide es «única».
El 2(8) excluye la actividad de investigación, prueba o desarrollo anterior a la introducción en el mercado. Y termina con una frase que rara vez se cita:
«Las pruebas en condiciones reales no estarán cubiertas por esa exclusión.»
De modo que un piloto interno con datos y usuarios reales —que es lo que casi todo el mundo llama «estamos en pruebas»— no está excluido. La exclusión cubre el desarrollo, no el ensayo sobre la realidad.
«Lo usa cada uno por su cuenta»
El 2(10) excluye las obligaciones de los responsables del despliegue «que sean personas físicas que utilicen sistemas de IA en el ejercicio de una actividad puramente personal de carácter no profesional».
Dos condiciones acumuladas, y las dos se incumplen en el caso que se pretende amparar: alguien de tu equipo usando una herramienta de IA para su trabajo no está en una actividad personal no profesional, y la organización sigue siendo la responsable del despliegue. La exclusión es para el uso doméstico, no para el uso individual dentro de una empresa.
Las exclusiones que sí son limpias
Dos, y a una empresa privada normalmente no le sirven.
Seguridad nacional, defensa y fines militares — Art. 2(3), con una redacción muy amplia: «con o sin modificaciones, exclusivamente con fines militares, de defensa o de seguridad nacional, independientemente del tipo de entidad». Alcanza también a los sistemas cuyos resultados se usen en la Unión con esos fines exclusivos.
Autoridades públicas de terceros países y organizaciones internacionales en el marco de cooperación policial y judicial — Art. 2(4), con condiciones.
Lo que el artículo deja claro y suele olvidarse
Tres apartados que no excluyen nada pero ordenan el mapa.
El RGPD sigue aplicándose igual. El Art. 2(7) lo dice expresamente: el Reglamento «no afectará» al Reglamento (UE) 2016/679. No hay sustitución ni solapamiento que resuelva nada — son dos cuerpos normativos que conviven.
Las normas de consumo y seguridad de producto tampoco decaen — Art. 2(9).
Y las protecciones laborales más favorables se mantienen — Art. 2(11), que preserva expresamente la posibilidad de disposiciones y convenios colectivos más favorables a los trabajadores respecto del uso de IA por parte de los empleadores. Relevante en España, donde ya existe un derecho de información sobre algoritmos que no espera al AI Act.
Lo que significa en la práctica
Que la pregunta «¿me aplica?» tiene una respuesta aburrida —sí— y que la pregunta útil es otra: qué te aplica.
Y ahí el reparto es muy desigual: el Art. 4 y el Art. 5 alcanzan a todos desde el 2 de febrero de 2025; el régimen del alto riesgo alcanza a pocos y no antes del 2 de diciembre de 2027. Entre esas dos cosas está casi todo lo que una empresa necesita decidir.
De modo que buscar una exclusión suele ser trabajo perdido, y hacer la pregunta correcta cuesta menos: qué sistemas tienes y qué hace cada uno.
Contenido con arreglo a los artículos 2, 4 y 5 y al Anexo III del Reglamento (UE) 2024/1689, en la redacción dada por el Reglamento (UE) 2026/1744 (DOUE de 24/07/2026).
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.