Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial (Ley de Inteligencia Artificial)

En vigor desde 02/08/2026

Resumen: Marco jurídico pionero que regula el uso de IA en la Unión Europea. Para el ecommerce, impone obligaciones críticas de transparencia en chatbots, sistemas de recomendación personalizados y contenido generado por IA (deepfakes). Aplica a toda tienda online (productos, software e infoproductos) que utilice sistemas automatizados para interactuar con clientes o perfilar ofertas. El incumplimiento conlleva sanciones de hasta el 7% de la facturación global.

Acciones concretas

1. Identificar sistemas de IA en la tienda (chatbots, motores de recomendación, precios dinámicos)
2. Implementar avisos de transparencia obligatorios en interfaces de usuario (chatbots)
3. Etiquetar claramente todo contenido visual o sonoro generado por IA (deepfakes/marketing)
4. Auditar algoritmos de recomendación para evitar sesgos discriminatorios según la DSA/AI Act
5. Actualizar los Términos y Condiciones y la Política de Privacidad detallando el uso de IA

1. Contexto y marco normativo previo

El Reglamento (UE) 2024/1689, conocido mundialmente como el AI Act o Ley de IA, surge para llenar un vacío legal en un entorno tecnológico que avanzaba a velocidades que el marco jurídico tradicional no podía alcanzar. Hasta su aprobación, la inteligencia artificial en el ecommerce se movía en una zona gris, regulada tangencialmente por el Reglamento General de Protección de Datos (RGPD) - Reglamento (UE) 2016/679 (en lo referente a decisiones automatizadas y perfilado, Art. 22) y la Directiva sobre Derechos de los Consumidores 2011/83/UE.

El problema fundamental era la opacidad de los algoritmos de recomendación, el uso de sistemas de precios dinámicos que podían resultar discriminatorios y la proliferación de chatbots que engañaban al usuario simulando ser humanos. Este reglamento complementa y, en ciertos aspectos, refuerza la Directiva de Prácticas Comerciales Desleales 2005/29/CE y la reciente Ley de Servicios Digitales (DSA) - Reglamento (UE) 2022/2065. El régimen anterior se basaba en la autorregulación ética, lo cual demostró ser insuficiente para prevenir sesgos y proteger la seguridad de los consumidores europeos. El CELEX de referencia es 32024R1689.

2. Origen y proceso legislativo

La propuesta inicial fue presentada por la Comisión Europea en abril de 2021. Tras un intenso debate en el Parlamento Europeo y el Consejo, especialmente acelerado por la irrupción de la IA generativa (como ChatGPT) en 2022, el texto final se aprobó el 13 de junio de 2024. Fue publicado en el Diario Oficial de la Unión Europea (DOUE) el 12 de julio de 2024.

Entró en vigor el 1 de agosto de 2024 (20 días después de su publicación). Al ser un Reglamento, es de aplicación directa en todos los Estados miembros sin necesidad de transposición, aunque España ya está adaptando sus estructuras mediante la creación de la AESIA (Agencia Española de Supervisión de la Inteligencia Artificial). Los considerandos 1, 5 y 13 son clave: el 1 subraya la necesidad de un enfoque basado en el riesgo; el 5 destaca la protección de los derechos fundamentales; y el 13 vincula la IA con la seguridad de los productos de consumo.

3. Ambito subjetivo - A QUIEN aplica

El AI Act tiene un alcance extraordinariamente amplio, afectando a:

1. Proveedores (Providers): Quienes desarrollan el sistema de IA (ej: una empresa de software que vende un motor de recomendaciones para Shopify).
2. Responsables del despliegue (Deployers): Aquí entran la inmensa mayoría de las tiendas online. Si usas un chatbot de un tercero en tu web, eres un "deployer".
3. Importadores y Distribuidores: Quienes introducen sistemas de IA en la UE o los comercializan.
4. Fabricantes de productos: Que incorporan IA en sus bienes (ej: juguetes inteligentes).

Escalabilidad por tipo de empresa:

• Micro/Pymes y Autónomos: No están exentos, aunque el Reglamento prevé mecanismos para aliviar su carga administrativa (sandboxes regulatorios). Si un autónomo usa IA generativa para sus fichas de producto, tiene obligaciones de transparencia.
• Marketplaces (Amazon, eBay): Tienen obligaciones dobles, como proveedores de su propia IA y como responsables de supervisar que las IAs de terceros en su plataforma cumplan la norma.
• Empresas no UE: Si el sistema de IA se utiliza en la UE o sus resultados afectan a personas en la UE (ej: una tienda de USA que usa un algoritmo de scoring para denegar compras a usuarios de Madrid), deben cumplir íntegramente.

4. Ambito objetivo - QUE actividades y productos cubre

La normativa se aplica a sistemas que varían según su nivel de riesgo:

TIPOS DE TIENDA AFECTADOS:

• Modo 1 (Físico): Tiendas de moda que usan probadores virtuales con IA, tiendas de electrónica con chatbots de soporte, supermercados online con listas de la compra predictivas.
• Modo 2 (Software/SaaS): Herramientas de diseño que usan IA generativa, software de facturación con categorización automática, plataformas de hosting con defensa de ciberseguridad basada en IA.
• Modo 3 (Contenido/Infoproductos): Academias que usan avatares para dar lecciones, creadores de ebooks generados por IA, podcasts con voces clonadas.

TIPOS DE PRODUCTO DETALLADOS:

• Juguetes: Aquellos con IA incorporada (ej: muñecos que hablan y aprenden del niño) se consideran de Alto Riesgo (Anexo III) por afectar a menores.
• Electrónica y Electrodomésticos: Si incluyen funciones de optimización energética mediante IA.
• Contenido Digital: Cualquier imagen, audio o video generado sintéticamente.

Excepciones: Sistemas de IA utilizados exclusivamente con fines militares, de defensa o de seguridad nacional, y sistemas utilizados para investigación y desarrollo científico puro antes de su puesta en mercado.

5. Obligaciones concretas - exegesis del articulado

1. Art. 50 - Obligaciones de Transparencia para sistemas específicos:

• (a) Exigencia: Los responsables del despliegue deben garantizar que el usuario sepa que está interactuando con una IA.
• (b) Interpretación: Si tienes un chatbot en tu ecommerce, debe decir claramente: "Hola, soy un asistente virtual basado en IA".
• (c) Ejemplo: Ventana emergente de chat con el texto legal visible antes de la primera interacción.

1. Art. 50.2 - Etiquetado de Deepfakes y Contenido Generado:

• (a) Exigencia: Los usuarios deben ser informados de que el contenido es generado por IA.
• (b) Interpretación: Si usas una foto de una modelo que no existe (generada por Midjourney) para vender ropa, debes poner una marca de agua o aviso: "Imagen generada por IA".
• (c) Caso: Un banner promocional con un avatar clonado de un influencer.

1. Art. 13 - Transparencia para Sistemas de Alto Riesgo:

• (a) Exigencia: Instrucciones de uso claras y precisas.
• (b) Interpretación: Si tu tienda usa IA para evaluar la solvencia de un cliente (scoring), el cliente debe saber cómo funciona el criterio.

1. Art. 9 - Sistemas de Gestión de Riesgos:

• Obligación de evaluar riesgos durante todo el ciclo de vida del sistema, especialmente si se integran en productos con marcado CE.

1. Art. 4 - Alfabetización en IA:

• Las empresas deben asegurar que su personal tenga conocimientos suficientes para manejar y supervisar los sistemas de IA que emplean.

1. Prohibición de Manipulación (Art. 5):

• Prohibido usar IA para influir en el comportamiento del consumidor de forma que le cause perjuicio físico o psicológico (ej: dark patterns algorítmicos extremos).

6. Casos practicos por TIPO DE TIENDA Y PRODUCTO

Caso 1: Tienda de Moda (Shopify) con Probador Virtual Una tienda de calzado implementa una IA que escanea el pie del usuario para recomendar talla. Al ser un dato biométrico pero para un fin comercial específico, debe informar al usuario según el Art. 50. Riesgo: Recopilación excesiva de datos. Acción: Consentimiento explícito y aviso de IA.

Caso 2: Marketplace de segunda mano (tipo Wallapop) Utiliza IA para detectar fraudes y moderar anuncios. Obligación: Si el sistema suspende una cuenta automáticamente, debe haber una supervisión humana y el usuario debe poder reclamar (vinculado con DSA).

Caso 3: SaaS de Marketing Automation Un software que genera automáticamente textos de anuncios y correos. Obligación: Debe incluir metadatos que identifiquen que el contenido es artificial para que los canales de difusión (Facebook, Google) lo reconozcan.

Caso 4: Vendedor en Amazon de Juguetes Inteligentes Si el juguete utiliza IA para interactuar con niños, el vendedor debe verificar que el fabricante ha realizado la Evaluación de Impacto de Derechos Fundamentales y que tiene el marcado CE correspondiente bajo la nueva Ley de IA.

Caso 5: Dropshipper de China vendiendo en España Utiliza un asistente de IA para traducir y personalizar precios en tiempo real según la IP del usuario. Obligación: Debe informar que el precio está personalizado mediante procesos automatizados (Directiva Omnibus + AI Act).

7. Plazos clave

| Fecha | Hito | Quien | Consecuencia si no se cumple | | :--- | :--- | :--- | :--- | | 2024-08-01 | Entrada en vigor | General | Inicio de plazos de adaptación | | 2025-02-02 | Prohibiciones vigentes | Todas las tiendas | Multas por usar prácticas prohibidas | | 2025-08-02 | Normas IA Generativa | Proveedores de Modelos | Cese de actividad de la herramienta | | 2026-08-02 | Aplicación General | Tiendas Online (Deployers) | Sanciones plenas por falta de transparencia | | 2027-08-02 | IA en Productos Regulados | Fabricantes Hardware | Retirada de producto del mercado | | 2030-01-01 | Sistemas ya existentes | Sector Público/Sistemas críticos | Auditoría obligatoria retroactiva |

8. Sanciones y regimen sancionador

El régimen sancionador es el más severo de la historia de la UE, superando al RGPD:

• Prácticas prohibidas: Hasta 35.000.000 EUR o el 7% de la facturación anual global del ejercicio anterior (la cifra que sea mayor).
• Incumplimiento de obligaciones generales: Hasta 15.000.000 EUR o el 3% de la facturación.
• Suministro de información incorrecta: Hasta 7.500.000 EUR o el 1,5% de la facturación.

Para Pymes y Startups, las sanciones se calcularán de forma proporcional, primando el porcentaje menor, siempre que no haya dolo manifiesto. El organismo competente en España es la AESIA, en coordinación con la AEPD para temas de datos. La responsabilidad es del titular de la tienda online (responsable del despliegue), aunque este podrá repetir contra el proveedor del software si el fallo es de origen técnico y está contemplado en el contrato de servicio.

9. Comparativa antes y despues

| Aspecto | Regimen anterior | Nuevo regimen (AI Act) | Impacto practico | | :--- | :--- | :--- | :--- | | Chatbots | Sin aviso obligatorio | Aviso de IA obligatorio (Art. 50) | Cambiar interfaz de chat | | Modelos de ropa IA | No regulado | Etiquetado obligatorio | Texto "Imagen artificial" | | Precios Dinámicos | Regulado por consumo | Transparencia algorítmica extra | Informar sobre el criterio | | Recomendadores | Basado en cookies | Auditoría de sesgos (Riesgo Alto) | Revisar lógica de sugerencias | | Responsabilidad | Difusa (proveedor) | Clara para el que usa la IA | El tendero responde legalmente | | Sanciones | Máx 4% (RGPD) | Máx 7% (AI Act) | Riesgo de quiebra por multa | | Juguetes inteligentes | Seguridad general | Evaluación de impacto específica | Más certificaciones necesarias | | Deepfakes | Prohibidos por honor | Permitidos con etiqueta clara | Oportunidad de marketing legal |

10. Como cumplir paso a paso - Guia operativa

1. Inventario (Auditoría): Listar todos los procesos donde hay IA (Prestashop Addons, Shopify Apps). Coste: Interno.
2. Clasificación: Determinar si es Riesgo Mínimo (filtro spam) o Transparencia (chatbot). Coste: Asesor legal 2h.
3. Configuración Chatbot: En el backoffice de tu herramienta de chat, añade el aviso legal: "Interactúas con un asistente de IA". Coste: 0€.
4. Aviso en Imágenes: Si usas IA para fotos de producto, añade marca de agua o pie de foto. Coste: Plugin ~10€/mes.
5. Revisión de Contratos: Contactar a proveedores (SaaS) y exigirles por escrito que cumplen el AI Act. Coste: Interno.
6. Política de Privacidad: Añadir sección "Uso de IA y Algoritmos". Coste: Abogado ~200€.
7. Registro de Decisiones: Si usas IA para aceptar/rechazar pagos, guarda logs de por qué el algoritmo decidió eso. Coste: Base de datos.
8. Formación: Curso básico para el equipo de atención al cliente sobre límites de la IA. Coste: ~100€.
9. Marcado CE: Si fabricas productos, verificar nuevos anexos técnicos. Coste: Auditoría técnica externa.
10. Supervisión Humana: Configurar que siempre haya un botón para hablar con un humano en el chatbot. Coste: Configuración.
11. Análisis de Sesgos: Si el recomendador solo muestra productos caros a ciertos perfiles, corregir lógica. Coste: Programador 4h.
12. Documentación Técnica: Guardar manuales de uso de todas las IAs empleadas. Coste: Almacenamiento digital.

11. Errores frecuentes

1. Creer que no te afecta por ser pequeño: La transparencia aplica a todos los tamaños.
2. No etiquetar modelos generados por IA: Se considera engaño al consumidor y violación del AI Act.
3. Pensar que el responsable es Shopify/Prestashop: Tú eres el responsable del despliegue en tu dominio.
4. Ignorar la IA en el marketing: Los anuncios en Meta/Google generados por IA también deben ser transparentes.
5. No tener salida a humano: Un chatbot "bucle" sin intervención humana es un riesgo de cumplimiento.
6. Mezclar IA con simples reglas 'if-then': Si no es un sistema con aprendizaje o autonomía, no es IA.
7. Falta de coordinación con RGPD: Olvidar que la IA procesa datos personales.
8. No actualizar los avisos legales: Mantener el mismo footer desde 2018.

12. Jurisprudencia y criterios oficiales

Actualmente, nos encontramos en fase de pre-jurisprudencia respecto al Reglamento 2024/1689. Sin embargo, existen criterios de la AEPD (Guía sobre IA y Protección de Datos) y dictámenes del EDPB (Comité Europeo de Protección de Datos) sobre perfilado que ya sientan las bases. Se espera que el TJUE comience a recibir cuestiones prejudiciales sobre la definición de "sistema de IA" a partir de 2026. Es fundamental seguir las guías de la Oficina Europea de IA, que publicará códigos de buenas prácticas en 2025.

13. FAQ extensa

¿Si vendo solo a España me afecta esta normativa UE?

Sí, al ser un Reglamento europeo, forma parte de la legislación española. Además, cualquier tienda en la UE debe cumplirlo independientemente de si vende a otros países o no.

Soy autónomo y facturo poco, ¿tengo excepciones?

No hay excepciones por facturación en cuanto a obligaciones de transparencia y no uso de prácticas prohibidas. Las pymes solo tienen beneficios en el importe de las multas y acceso preferente a entornos de prueba.

Vendo en Amazon, ¿quién es responsable: yo o Amazon?

Amazon es responsable de sus algoritmos (A9), pero tú eres responsable de la información que subas (imágenes generadas por IA) y de los chatbots externos que puedas integrar en tu comunicación con el cliente.

¿Puedo subcontratar el cumplimiento?

Puedes contratar consultoras, pero la responsabilidad jurídica ante la AESIA sigue siendo del titular de la tienda online.

¿Qué pasa si la sanción me supera la facturación?

Las multas están diseñadas para ser disuasorias. En casos de pymes, se busca la proporcionalidad, pero el riesgo de insolvencia es real ante faltas graves.

¿Un Excel con macros se considera IA?

Generalmente no. La IA implica un nivel de autonomía y aprendizaje o lógica que el software tradicional basado en reglas fijas no tiene.

¿Tengo que borrar mis imágenes hechas con IA antes de 2026?

No, pero a partir de agosto de 2026 deberán estar debidamente etiquetadas si se muestran al público.

¿Cómo demuestro que un chatbot es una IA?

Mediante una declaración clara en la interfaz de usuario antes de que el usuario escriba su primer mensaje.

¿Puedo usar IA para detectar si un cliente me va a devolver un pedido?

Sí, pero si eso implica restringirle opciones de compra, es un sistema de perfilado que requiere máxima transparencia y revisión de sesgos.

¿El AI Act prohíbe el uso de ChatGPT para escribir mis fichas de producto?

No, solo te obliga a supervisar que no haya información falsa y, si el texto es sustancialmente creativo y generado íntegramente por IA, informar al respecto en ciertos contextos.

¿Qué es la supervisión humana exactamente?

Es garantizar que una persona con capacidad de decisión pueda anular o corregir una decisión tomada por la IA en cualquier momento.

¿La ley de IA afecta a los emails automáticos de carrito abandonado?

Solo si el contenido o el tiempo se decide mediante un modelo predictivo avanzado de IA; si es un simple temporizador, no.

14. Normativas relacionadas

• Reglamento (UE) 2016/679 (RGPD): Gestión de datos personales en IA (CELEX 32016R0679).
• Reglamento (UE) 2022/2065 (DSA): Transparencia de algoritmos en plataformas (CELEX 32022R2065).
• Directiva 2011/83/UE: Derechos de los consumidores (CELEX 32011L0083).
• Directiva (UE) 2019/770: Suministro de contenidos y servicios digitales (CELEX 32019L0770).
• Reglamento (UE) 2023/988 (GPSR): Seguridad general de los productos (CELEX 32023R0988).

15. Recursos oficiales y herramientas recomendadas

• EU AI Office: Portal oficial de la Comisión Europea para recursos de IA.
• AESIA: Web de la Agencia Española de Supervisión de la IA (aesia.gob.es).
• AEPD: Guías de adecuación de tratamientos de datos con IA.
• Plugin de Transparencia: Se recomiendan gestores de consentimiento (CMP) que ya incluyen opciones para declarar el uso de IA.

16. Conclusion practica y valoracion

El Reglamento (UE) 2024/1689 no es una norma opcional para el ecommerce; es el nuevo estándar de honestidad digital. El esfuerzo de adaptación para una tienda estándar es medio (principalmente cambios en avisos legales e interfaz), pero el riesgo de no actuar es crítico debido a las cuantiosas multas. El roadmap recomendado es: 2024 para auditoría, 2025 para implementación de etiquetas y 2026 para revisión final antes de la plena aplicación.

Resumen elaborado por IA a partir del texto oficial enlazado y normativa relacionada. Recomendamos revisar la fuente original y que un profesional cualificado lo aplique correctamente a tu caso.

Fuente oficial: https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:32024R1689

Resumen elaborado por IA a partir del texto oficial enlazado y normativa relacionada. Recomendamos revisar la fuente original y que un profesional cualificado lo aplique correctamente a tu caso.