Artículo 2 del Reglamento (UE) 2024/1689 — Ámbito de aplicación. Texto oficial, interpretación práctica, obligaciones clave e implicaciones para el cumplimiento.
Resumen del texto oficial
El Artículo 2 del Reglamento (UE) 2024/1689 define el ámbito de aplicación material y territorial del Reglamento IA de la UE. Establece qué actores, sistemas y circunstancias quedan dentro del ámbito de la regulación.
Ratione personae, el Reglamento se aplica a: (1) proveedores que comercializan sistemas de IA en el mercado de la Unión o los ponen en servicio en la UE, independientemente de su lugar de establecimiento; (2) responsables del despliegue de sistemas de IA establecidos o ubicados en la UE; (3) proveedores y responsables del despliegue establecidos en terceros países cuando los resultados producidos por el sistema de IA se utilizan en la Unión; (4) importadores y distribuidores de sistemas de IA; y (5) fabricantes de productos que comercialicen sistemas de IA como componentes de seguridad de productos regulados en el mercado de la Unión.
El Artículo 2 aclara además que el Reglamento no se aplica a los sistemas de IA desarrollados o utilizados exclusivamente con fines militares, de seguridad nacional o de defensa, ni a los sistemas de IA utilizados por autoridades públicas de terceros países u organizaciones internacionales en el contexto de acuerdos internacionales sobre cooperación policial y judicial. Los sistemas de IA que aún no han sido comercializados y se encuentran en fase de investigación y desarrollo, antes de ponerse a disposición de los usuarios, también quedan fuera del ámbito de aplicación.
Cuando un responsable del despliegue o un proveedor está establecido fuera de la UE pero los resultados del sistema de IA se utilizan dentro de la UE, el Reglamento sigue siendo aplicable, estableciendo un alcance extraterritorial significativo comparable al modelo del RGPD.
Qué significa esto en la práctica
El Artículo 2 determina si su organización debe cumplir el Reglamento IA de la UE en absoluto; es la cuestión umbral que todo equipo jurídico y de cumplimiento debe responder antes de poder evaluar obligación alguna.
Para las empresas establecidas en la UE, el análisis es sencillo: si desarrolla, despliega, importa, distribuye o integra sistemas de IA en productos o servicios disponibles en la UE, está dentro del ámbito de aplicación. Esto incluye a los proveedores de SaaS que ofrecen funcionalidades basadas en IA, a las empresas que despliegan herramientas de IA en recursos humanos, crédito o sanidad, y a los fabricantes que incorporan IA en productos físicos sujetos a la legislación europea de seguridad de productos.
Para las empresas no establecidas en la UE, la prueba decisiva es si los resultados del sistema de IA llegan o afectan a personas o entidades en la UE. Una empresa estadounidense que proporciona una herramienta de selección de personal mediante IA utilizada por filiales europeas de empresas multinacionales, por ejemplo, está dentro del ámbito de aplicación aunque la empresa en sí no tenga presencia en la UE. Dichos proveedores deben designar un representante autorizado en la Unión.
En la práctica, los equipos de cumplimiento deben primero mapear todos los sistemas de IA en uso o en desarrollo y, a continuación, aplicar los criterios del Artículo 2 a cada uno. Los sistemas utilizados exclusivamente para I+D interno —no desplegados para usuarios finales— pueden documentarse como fuera del ámbito de aplicación, pero este estatus debe mantenerse activamente y revisarse en el momento del despliegue. Las excepciones militares y de seguridad nacional son estrechas y no debe asumirse que se aplican a sistemas de doble uso o herramientas de aplicación de la ley sin un análisis jurídico minucioso.
Los proveedores de modelos de código abierto se benefician de algunas obligaciones relajadas, pero permanecen dentro del ámbito de aplicación en lo que respecta a las prácticas prohibidas y las clasificaciones de alto riesgo.
Obligaciones clave
- Determinación del ámbito de aplicación: Las organizaciones deben determinar afirmativamente si se encuentran dentro de una de las categorías de actores definidas (proveedor, responsable del despliegue, importador, distribuidor o fabricante de productos) antes de evaluar qué nivel de obligaciones les corresponde.
- Cumplimiento extraterritorial: Los proveedores no establecidos en la UE cuyos resultados de sistemas de IA se utilizan en la Unión deben cumplir el Reglamento y designar un representante autorizado establecido en la UE.
- Claridad de roles: Cuando la misma organización actúa simultáneamente como proveedor y responsable del despliegue, ambos conjuntos de obligaciones se aplican acumulativamente; las organizaciones deben documentar y gestionar cada rol por separado.
- Documentación de los límites de I+D: Las organizaciones que se acogen a la exención de investigación y desarrollo deben mantener registros claros que demuestren que el sistema no ha sido comercializado ni puesto en servicio, y deben reevaluar el ámbito de aplicación en cada etapa del desarrollo.
- Interpretación restrictiva de las exclusiones: Las exclusiones militares, de seguridad nacional y de defensa deben aplicarse estrictamente; los sistemas de IA de doble uso o los utilizados en contextos generales de aplicación de la ley no se benefician automáticamente de la exclusión.
- Designación de representante autorizado: Los proveedores de terceros países incluidos en el ámbito de aplicación deben designar y documentar formalmente un representante autorizado en la UE como parte de su infraestructura de cumplimiento.
Relación con otros artículos
El Artículo 2 es el punto de entrada a todo el marco regulatorio y debe leerse conjuntamente con varias disposiciones fundamentales. El Artículo 3 (Definiciones) es esencial para interpretar los términos clave utilizados en el Artículo 2, en particular las definiciones de «sistema de IA», «proveedor» y «responsable del despliegue», que determinan el ámbito de aplicación. El Artículo 5 (Prácticas de IA prohibidas) se aplica a todos los actores dentro del ámbito de aplicación independientemente del nivel de riesgo, lo que hace que la correcta determinación del ámbito según el Artículo 2 sea un requisito previo para evaluar las obligaciones más graves. El Artículo 6 (Clasificación de sistemas de IA de alto riesgo) y el Artículo 51 (Clasificación de modelos de IA de uso general) solo resultan pertinentes una vez confirmado el ámbito del Artículo 2. Para las organizaciones que utilizan la vía del proveedor de terceros países, el Artículo 2 se conecta directamente con el Artículo 25 (Obligaciones de los importadores) y el Artículo 26 (Obligaciones de los distribuidores). El alcance extraterritorial establecido en el Artículo 2 refleja la lógica del Artículo 3 del RGPD, y las autoridades regulatorias han confirmado que estas disposiciones deben interpretarse de forma coherente.
Calendario de cumplimiento
El Artículo 2 entró en vigor el 1 de agosto de 2024, veinte días después de la publicación del Reglamento en el Diario Oficial de la UE. Sin embargo, sus obligaciones prácticas se activan conforme al calendario de aplicación por fases del Reglamento:
- 2 de febrero de 2025: El ámbito de aplicación del Artículo 2 se aplica plenamente en lo que respecta a las prácticas de IA prohibidas en virtud del Artículo 5; las organizaciones deben haber completado su determinación del ámbito de aplicación en esta fecha para evaluar si alguno de sus sistemas cae en categorías prohibidas.
- 2 de agosto de 2025: El ámbito de aplicación se extiende a los proveedores de modelos de IA de uso general (GPAI) en virtud del Título VIII (Artículos 51–56), incluidas las evaluaciones de riesgo sistémico y las obligaciones de transparencia.
- 2 de agosto de 2026: Se hacen aplicables las obligaciones para las instituciones y organismos de la UE que utilizan sistemas de IA en virtud del Artículo 2(1)(h).
- 2 de diciembre de 2026: El ámbito del Artículo 2 se aplica a los sistemas de IA de alto riesgo enumerados en el Annex I (componentes de seguridad de productos regulados).
- 2 de agosto de 2027: Aplicación plena a los sistemas de IA de alto riesgo enumerados en el Annex III (aplicaciones autónomas de alto riesgo en ámbitos como el empleo, la educación, las infraestructuras críticas y la aplicación de la ley).
Las organizaciones deben tomar agosto de 2024 como la fecha a partir de la cual debería haberse iniciado el ejercicio de mapeo del ámbito de aplicación, siendo cada plazo posterior el desencadenante de un flujo de trabajo de cumplimiento correspondiente.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
El Reglamento IA de la UE se aplica a los proveedores que comercializan sistemas de IA en el mercado de la UE o los ponen en servicio en la UE, independientemente del lugar de establecimiento del proveedor. También abarca a los responsables del despliegue que operan sistemas de IA dentro de la UE, a los importadores y distribuidores de sistemas de IA, y a los fabricantes de productos que incorporen sistemas de IA. Los proveedores no establecidos en la UE están incluidos si los resultados de su sistema de IA se utilizan dentro de la UE.
En general, no; sin embargo, existe una excepción importante. Si un sistema de IA se desarrolla fuera de la UE pero sus resultados se utilizan dentro de la UE, el Reglamento puede seguir siendo aplicable. Los proveedores establecidos en terceros países deben designar un representante autorizado en la UE si sus sistemas se comercializan en el mercado de la UE.
Sí. El Artículo 2 excluye expresamente los sistemas de IA utilizados exclusivamente con fines militares, de seguridad nacional o de defensa, así como los sistemas de IA empleados únicamente para investigación y desarrollo que aún no hayan sido comercializados. Las autoridades públicas de terceros países y las organizaciones internacionales también están excluidas cuando actúan en el marco de acuerdos internacionales de cooperación en materia de aplicación de la ley.
Los sistemas de IA de código abierto están parcialmente incluidos en el ámbito de aplicación. Si bien los proveedores de sistemas de IA gratuitos y de código abierto se benefician de obligaciones más ligeras en algunos ámbitos, no están totalmente exentos, en particular cuando el sistema entra en categorías prohibidas o de alto riesgo, o cuando implica modelos de IA de uso general con riesgo sistémico significativo.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.