Reglamento de IA: obligaciones, plazos y qué cambia para las pólizas

Ficha normativa · actualizada al 1 de noviembre de 2026 · por cybercoverinsurance

El Reglamento (UE) 2024/1689, el Reglamento de IA, es la primera ley general sobre inteligencia artificial. Está en vigor desde el 1 de agosto de 2024 y se aplica por etapas hasta 2028 (Gibson Dunn). Clasifica los sistemas de inteligencia artificial según el riesgo y fija obligaciones distintas para quien los desarrolla y para quien los usa.

Para quien asume el riesgo, el Reglamento de IA importa por tres motivos. En Italia, su incumplimiento hace presumir el nexo causal en una reclamación de daños. Afecta directamente a las aseguradoras, porque los sistemas para tarificar pólizas de vida y salud son de alto riesgo. Y crea obligaciones verificables que llevar al cuestionario de suscripción.

En el texto, «artículo» indica una regla vinculante; «considerando» indica los párrafos introductorios que explican cómo leerla.

A quién se aplica

El Reglamento de IA distingue sobre todo dos figuras:

• proveedor: quien desarrolla un sistema de inteligencia artificial y lo introduce en el mercado con su propio nombre;
• responsable del despliegue: quien usa un sistema de inteligencia artificial en su actividad profesional, por ejemplo una empresa que usa un software de selección de personal o una aseguradora que usa un modelo para tarificar.

Se aplica también a proveedores de fuera de la Unión cuando sus sistemas se usan en Europa. Los proveedores de modelos de inteligencia artificial de uso general, los grandes modelos sobre los que se construyen otros sistemas, tienen obligaciones propias.

Las cuatro clases de riesgo

Prácticas prohibidas

Desde el 2 de febrero de 2025 están prohibidos ciertos usos considerados inaceptables (artículo 5), entre ellos la puntuación social de las personas, la manipulación que explota vulnerabilidades y el reconocimiento de emociones en el trabajo y en la escuela. Desde el 2 de diciembre de 2026 se añade la prohibición de sistemas que generan imágenes íntimas no consentidas o material de abuso sexual infantil (FPF).

Sistemas de alto riesgo

Son de dos tipos. Los del anexo III se enumeran por ámbito de uso: selección y gestión de personal, evaluación de la solvencia, acceso a servicios esenciales, educación, justicia, migración. Entre ellos están los sistemas usados para la evaluación de riesgos y la fijación de precios en los seguros de vida y salud (EIOPA). Los del anexo I son componentes de seguridad de productos ya regulados, como productos sanitarios, máquinas y vehículos.

El proveedor debe gestionar los riesgos, garantizar la calidad de los datos, elaborar la documentación técnica, registrar el funcionamiento y superar una evaluación de la conformidad. El responsable del despliegue debe usar el sistema según las instrucciones, encomendar su supervisión a personas competentes, vigilarlo y conservar los registros (artículo 26).

Transparencia

Desde el 2 de agosto de 2026, quien usa sistemas que interactúan con personas, como un asistente virtual, debe indicar que se trata de inteligencia artificial; los contenidos generados o manipulados, incluidos los deepfakes, deben señalarse (artículo 50) (Gibson Dunn).

Riesgo mínimo

Los demás sistemas no tienen obligaciones específicas. Proveedores y responsables del despliegue deben, no obstante, apoyar la alfabetización en inteligencia artificial de su personal (artículo 4), una obligación atenuada por las modificaciones de 2026 (FPF).

Los plazos

El Reglamento (UE) 2026/1744, publicado en el Diario Oficial de la UE el 24 de julio de 2026, ha movido algunas fechas (FPF, Orrick):

• 2 de febrero de 2025: prácticas prohibidas y alfabetización;
• 2 de agosto de 2025: modelos de uso general y régimen sancionador;
• 2 de agosto de 2026: obligaciones de transparencia del artículo 50;
• 2 de diciembre de 2027: sistemas de alto riesgo del anexo III, incluida la tarificación de vida y salud (antes, 2 de agosto de 2026);
• 2 de agosto de 2028: sistemas de alto riesgo del anexo I (antes, 2 de agosto de 2027).

Las sanciones

El artículo 99 prevé tres niveles: hasta 35 millones de euros o el 7 % del volumen de negocios mundial por prácticas prohibidas; hasta 15 millones o el 3 % por incumplir las demás obligaciones; hasta 7,5 millones o el 1 % por información inexacta a las autoridades. Para las pymes se aplica el menor de los dos importes.

En Italia

La Ley n.º 132 de 23 de septiembre de 2025, en vigor desde el 10 de octubre de 2025, acompaña al Reglamento de IA (Cleary Gottlieb):

• la Agencia Nacional de Ciberseguridad (ACN) es la autoridad de vigilancia del mercado, con poderes de inspección y sanción; la Agencia para la Italia Digital (AgID) supervisa a los organismos de evaluación de la conformidad; Banca d'Italia, Consob e IVASS siguen siendo competentes en sus sectores;
• los profesionales solo pueden usar la inteligencia artificial como apoyo y deben informar al cliente (artículo 13);
• difundir deepfakes que causen un daño injusto es delito (artículo 612-quater del Código Penal), castigado con prisión de uno a cinco años.

El Decreto Legislativo n.º 160 de 9 de septiembre de 2026, en vigor desde el 30 de septiembre de 2026, completa el cuadro (PG Legal, Lavorosì):

• si se incumplen las obligaciones del Reglamento de IA, se presume el nexo causal con el daño, salvo prueba en contrario (artículo 18);
• la conformidad con el Reglamento de IA, incluso certificada, no excluye por sí sola la responsabilidad (artículo 19);
• el perjudicado puede preguntar al responsable si tiene una póliza de responsabilidad civil y demandar directamente a la aseguradora (artículo 20);
• omitir las medidas de seguridad o la supervisión humana en los sistemas de alto riesgo pasa a ser delito (artículo 437-bis del Código Penal) y genera responsabilidad de la persona jurídica según el Decreto Legislativo 231/2001.

Qué cambia para las pólizas

Responsabilidad civil y profesional. En Italia el incumplimiento del Reglamento de IA hace presumir el nexo causal y el perjudicado puede demandar directamente a la aseguradora. Las obligaciones del responsable del despliegue, como la supervisión humana y la conservación de registros, se convierten en la línea de defensa del asegurado y, por tanto, de la aseguradora. El tema se trata en el análisis sobre la responsabilidad civil por inteligencia artificial.

Sanciones. Los máximos del Reglamento de IA superan los de NIS2. Como con otras normas, la cobertura de sanciones administrativas «cuando sean asegurables por ley» no debe darse por sentada.

D&O y responsabilidad de la persona jurídica. El nuevo delito del artículo 437-bis y la responsabilidad de la persona jurídica según el Decreto Legislativo 231/2001 llevan el gobierno de la inteligencia artificial al ámbito de la D&O y de los programas de cumplimiento.

Cyber. El Reglamento de IA exige a los sistemas de alto riesgo un nivel adecuado de ciberseguridad. Un ataque que altera un modelo, como el envenenamiento de los datos de entrenamiento, es a la vez un incidente cyber y un posible incumplimiento del Reglamento de IA.

Las aseguradoras como responsables del despliegue. Desde el 2 de diciembre de 2027 los modelos de tarificación y evaluación del riesgo en los seguros de vida y salud son sistemas de alto riesgo. Para los ramos no vida, incluido el cyber, el Reglamento de IA no los clasifica como de alto riesgo, pero IVASS y EIOPA esperan igualmente gobierno, equidad y explicabilidad de los modelos usados.

Impacto para las aseguradorasAlto

El Reglamento de IA fija obligaciones verificables para quien desarrolla y quien usa inteligencia artificial, y en Italia su incumplimiento hace presumir el nexo causal en una reclamación de daños.

Fuentes

• Gibson Dunn, acuerdo sobre el Ómnibus de IA
• FPF, el calendario del Reglamento de IA tras el Ómnibus
• Orrick, Ómnibus digital y Reglamento de IA
• EIOPA, dictamen sobre gobierno y gestión del riesgo de la IA
• Cleary Gottlieb, la ley italiana sobre inteligencia artificial
• PG Legal, el Decreto Legislativo 160/2026 y el mercado asegurador
• Lavorosì, Decreto Legislativo n.º 160 de 9 de septiembre de 2026