Si tienes 22 años y usas ChatGPT para hacer apuntes, Spotify para descubrir música o TikTok para pasar el rato, la inteligencia artificial ya toma decisiones sobre tu vida. Lo hace de forma silenciosa, procesando tus datos para predecir, recomendar y perfilar. Ahora, por primera vez en la historia, existe una ley que intenta poner límites a eso. Se llama AI Act o Reglamento de Inteligencia Artificial de la Unión Europea y su despliegue, escalonado desde 2025, está redefiniendo el tablero global de la tecnología.
El AI Act: qué prohíbe y qué regula
El Reglamento (UE) 2024/1689, aprobado por el Parlamento Europeo en marzo de 2024 con 523 votos a favor, entró en vigor en agosto de ese año, pero sus obligaciones más concretas han llegado este 2025. Desde el 2 de febrero, están prohibidas las prácticas de IA consideradas de riesgo inaceptable. Desde el 2 de agosto, se aplican las normas de gobernanza para los llamados modelos de propósito general (GPAI), es decir, los grandes modelos de lenguaje como GPT, Gemini, Claude o Llama, los motores invisibles detrás de casi todas las herramientas que usamos a diario. La plena aplicación del reglamento, incluyendo los sistemas de alto riesgo, se completará en agosto de 2026.
La ley clasifica los sistemas de IA según su nivel de riesgo y asigna obligaciones en consecuencia. En la cúspide están las prácticas directamente prohibidas: la manipulación cognitiva y conductual dañina, el llamado "social scoring" —el sistema de puntuación ciudadana que China popularizó— o el uso indiscriminado de reconocimiento biométrico en espacios públicos. Estas prohibiciones ya son exigibles. Para los modelos de uso general con potencial de riesgo sistémico, la ley exige transparencia, documentación técnica y evaluación de riesgos. Las multas por incumplimiento pueden alcanzar los 35 millones de euros o el 7 % de la facturación global anual, según el tipo de infracción.
En España, la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) ya está operativa y será la autoridad encargada de velar por el cumplimiento normativo a nivel nacional. Su enfoque inicial, según fuentes del sector, será gradual: más orientación que sanciones en los primeros compases, especialmente para pymes y startups.
La privacidad de los jóvenes, en el centro del debate
Detrás de la regulación hay una pregunta concreta que afecta especialmente a los menores de 35 años: ¿qué hace la IA con tus datos? La respuesta no es tranquilizadora. Los grandes modelos se entrenan con volúmenes masivos de datos que frecuentemente incluyen información personal: patrones de comportamiento, localización, historial de búsqueda, conversaciones. Como señaló la Agencia Española de Protección de Datos (AEPD) en su decálogo 'Cuidado con lo que le confIAs', compartir información personal o sensible con herramientas de IA conlleva riesgos reales: desde el uso de esos datos para el entrenamiento de modelos hasta la posibilidad de exposición en caso de brecha de seguridad.
El riesgo no es solo teórico. En 2023 se detectó la venta de más de 100.000 cuentas de ChatGPT comprometidas en la dark web, con acceso a historiales de conversación que incluían datos personales y profesionales de los usuarios. Los ciberdelincuentes podían usar esa información para ingeniería social, suplantación de identidad o extorsión. Esto ilustra algo que los reguladores llevan tiempo advirtiendo: que la IA no solo plantea riesgos éticos abstractos, sino amenazas muy concretas para la seguridad digital de cualquier persona.
El AI Act aborda esta cuestión de forma complementaria al RGPD, la normativa de protección de datos ya vigente. Ambos marcos coexisten: mientras el RGPD regula el tratamiento de datos personales en general, el AI Act añade una capa específica para los sistemas de IA, exigiendo que cualquier sistema que procese datos personales respete de forma estricta los principios de privacidad por diseño y transparencia activa hacia el usuario.
El dilema de fondo: innovación frente a control
El verdadero debate no es si regular o no regular. Es dónde trazar la línea. La Comisión Europea quiere repetir el éxito del RGPD, que funcionó como referencia global para docenas de países. Sin embargo, analistas y expertos jurídicos advierten de que ese llamado "efecto Bruselas" puede no producirse esta vez con la misma intensidad, en parte porque el contexto geopolítico ha cambiado. La administración Trump en Estados Unidos ha apostado explícitamente por la desregulación en IA, y empresas como Meta han rechazado firmar el código de buenas prácticas impulsado por la Comisión.
Desde la industria tecnológica, la crítica más recurrente al AI Act es que puede frenar la innovación europea frente a competidores americanos y chinos que operan con menos restricciones. Las pymes y startups temen, en particular, la carga burocrática que supone clasificar y documentar sus sistemas de IA. La propia Comisión ha reconocido esta tensión y ha propuesto un paquete de simplificación para hacer la implementación más ágil, especialmente para empresas pequeñas.
Pero los defensores de la regulación argumentan que la alternativa —dejar que la IA avance sin control— tiene costes igual de reales: sesgos algorítmicos en procesos de selección de empleo, sistemas de reconocimiento facial erróneos que criminalizan inocentes, o plataformas que manipulan el comportamiento de usuarios vulnerables. Para una generación que ha crecido siendo el producto de algoritmos de redes sociales, el argumento de que más regulación equivale a menos libertad resulta, cuanto menos, discutible.
El AI Act no es el final del debate, sino su punto de partida. La ley prevé revisiones formales en un plazo de cinco años desde su entrada en vigor, y los expertos anticipan que la velocidad de la tecnología obligará a ajustes antes de esa fecha. Lo que sí es seguro es que el modelo europeo —con sus prohibiciones, sus categorías de riesgo y su apuesta por la supervisión humana— va a ser uno de los grandes referentes mundiales en los próximos años. Para los jóvenes europeos, entender esta regulación no es un ejercicio académico: es aprender a conocer las reglas del juego que moldea su vida digital.