La Ley de IA de la UE no crea una categoría jurídica propia para los agentes: la Comisión Europea señala que, por lo general, son sistemas de IA, aunque cada obligación depende de la finalidad del sistema, su clasificación de riesgo y el papel de las organizaciones que lo ofrecen o utilizan. Por eso, un agente no queda sujeto automáticamente a todas las reglas por ser autónomo o usar herramientas.
Qué significa que un agente sea un sistema de IA
La Comisión Europea explica que «agente de IA» no tiene una definición legal y se usa para describir sistemas distintos. Un agente suele encajar en la categoría de sistema de IA y puede incorporar un modelo de IA de propósito general, conocido como GPAI por sus siglas en inglés. La guía específica de la Comisión sobre agentes es preliminar.
En la práctica, conviene separar tres preguntas: qué hace el sistema y con qué finalidad; si ese uso entra en una categoría de alto riesgo prevista por la ley; y qué papel desempeña cada organización. La respuesta no depende simplemente de que el agente actúe con autonomía.
Transparencia y calendario de aplicación
Las obligaciones de transparencia del artículo 50 se aplican desde el 2 de agosto de 2026 a los sistemas comprendidos en sus reglas. Entre otras obligaciones, el proveedor debe informar a las personas cuando el sistema esté destinado a interactuar directamente con ellas, salvo que resulte obvio por las circunstancias. Para determinados contenidos generados por IA, el artículo establece deberes de marcado legible por máquina; también contempla obligaciones propias de quienes despliegan sistemas en casos específicos, como ciertos contenidos ultrafalsos.
Las fechas de la Ley de IA corresponden a obligaciones distintas. La Comisión Europea sitúa el calendario así:
| Fecha | Hito de aplicación |
| 2 de febrero de 2025 | Comenzaron a aplicarse las prohibiciones de determinadas prácticas de IA y las disposiciones sobre alfabetización en IA. |
| 2 de agosto de 2025 | Comenzaron a aplicarse las obligaciones para los modelos de IA de propósito general (GPAI). |
| 27 de julio de 2026 | Entró en vigor el Reglamento Ómnibus Digital, que modificó el calendario de las obligaciones para sistemas de alto riesgo. |
| 2 de agosto de 2026 | Comenzaron a aplicarse las obligaciones de transparencia del artículo 50 para los sistemas comprendidos en ellas. |
| 2 de diciembre de 2027 | Está previsto que se apliquen las reglas para sistemas de alto riesgo del anexo III. |
| 2 de agosto de 2028 | Está previsto que se apliquen las reglas para sistemas de alto riesgo integrados en productos regulados del anexo I. |
Los sistemas que ya estaban en el mercado cuentan hasta el 2 de diciembre de 2026 para cumplir la obligación de marcado y detección del artículo 50, apartado 2. Ese plazo transitorio se refiere a esa obligación concreta, no al conjunto de deberes de transparencia.
Riesgo y obligaciones según el papel de cada organización
La clasificación de alto riesgo depende de la finalidad prevista y de los criterios legales, incluidos los usos especificados en el anexo III. La normativa contempla, por ejemplo, ciertos usos en selección de personal y evaluación de la solvencia. Un agente no se convierte en sistema de alto riesgo solo por ser autónomo o utilizar herramientas.
La Ley distingue entre proveedor, que desarrolla o comercializa el sistema bajo las condiciones definidas en el Reglamento, y responsable del despliegue, que lo utiliza bajo su autoridad. Para los sistemas de alto riesgo, el proveedor debe cumplir obligaciones que incluyen gestión de riesgos, gobernanza de datos, documentación técnica, registros automáticos, evaluación de conformidad y seguimiento posterior a la comercialización. También debe atender requisitos de transparencia, supervisión humana, precisión, solidez y ciberseguridad.
El responsable del despliegue debe utilizar el sistema conforme a sus instrucciones, asignar supervisión humana competente y autorizada, vigilar su funcionamiento y conservar los registros que estén bajo su control, entre otros deberes. La supervisión debe permitir intervenir cuando corresponda; la Ley no exige que una persona apruebe previamente cada acción de cualquier agente. Para el contexto general sobre las obligaciones empresariales, NeoTeo explica qué cambia la Ley de IA para empresas y pymes.
Cuándo una entidad puede pasar a ser proveedor
El artículo 25 prevé circunstancias concretas en las que un distribuidor, importador, responsable del despliegue u otro tercero puede asumir el papel de proveedor de un sistema de alto riesgo. Puede ocurrir si comercializa el sistema con su propio nombre o marca, lo modifica sustancialmente o cambia su finalidad prevista de manera que pase a ser de alto riesgo. No toda adaptación o personalización produce ese cambio.
| Ámbito | Qué se evalúa | A quién afecta o qué implica |
| Transparencia del artículo 50 | Si el sistema está destinado a interactuar directamente con personas o si genera contenidos sujetos a las reglas de marcado. | Deberes distintos para proveedores y responsables del despliegue, según la función del sistema y el tipo de contenido. |
| Sistemas de alto riesgo | La finalidad prevista y los criterios establecidos en la Ley, incluidos los usos del anexo III y los productos del anexo I. | Obligaciones específicas para proveedores y responsables del despliegue. |
| Cambio de proveedor, artículo 25 | Uso de marca propia, modificación sustancial o cambio de finalidad que convierta el sistema en uno de alto riesgo. | Un actor posterior de la cadena puede pasar a ser proveedor. |
| Riesgo sistémico de un modelo GPAI | Características del modelo, entre ellas su autonomía y el acceso a herramientas. | Evaluación del modelo subyacente; esos factores no asignan automáticamente riesgo sistémico a cada agente. |
El modelo GPAI se evalúa por separado
Un agente y el modelo de propósito general que utiliza no son necesariamente el mismo objeto de evaluación. La autonomía del modelo y su acceso a herramientas son factores pertinentes para valorar si ese modelo GPAI presenta riesgo sistémico. No convierten automáticamente en sistémicos a todos los agentes ni a todos los modelos que los respaldan. Los proveedores de modelos designados con riesgo sistémico tienen obligaciones adicionales de evaluación, mitigación de riesgos, notificación de incidentes y ciberseguridad.
Cumplir la Ley de IA no resuelve por sí solo una indemnización
El Reglamento (UE) 2024/1689 preserva los derechos y recursos previstos en otras normas de la Unión Europea y de los Estados miembros, incluidos los relacionados con daños. Las obligaciones de proveedores y responsables del despliegue bajo la Ley de IA, por sí solas, no determinan quién debe indemnizar por un perjuicio concreto.
