Última actualización: julio 2026. El paquete ómnibus digital fue aprobado por el Parlamento Europeo el 16 de junio de 2026 y por el Consejo el 29 de junio de 2026. Los sistemas de IA de alto riesgo autónomos tendrán obligaciones plenas desde el 2 de diciembre de 2027; los integrados como componentes de seguridad, desde el 2 de agosto de 2028.
El Reglamento Europeo de Inteligencia Artificial ya está en vigor y afecta de lleno a las universidades en España, sean públicas o privadas. Muchas instituciones aún no saben qué obligaciones tienen, cuáles ya están activas y cuáles llegan más adelante. Esta guía lo ordena.
Por qué el AI Act afecta a una universidad
El AI Act (Reglamento UE 2024/1689) es derecho comunitario de aplicación directa en España, sin necesidad de transposición. Aplica a cualquier organización que use, desarrolle o integre sistemas de inteligencia artificial, y una universidad es, a efectos del reglamento, una organización que despliega IA en múltiples frentes: en la gestión académica, en la admisión de alumnado, en la evaluación, en la investigación y en la comunicación con estudiantes.
La obligación no depende de si la universidad es pública o privada, depende de qué sistemas de IA utiliza y para qué. Lo que sí cambia entre ambas es el margen de maniobra para responder y a eso volvemos más adelante.
Lo que ya está en vigor y no admite espera
Desde febrero de 2025 está activa la obligación de alfabetización en IA (Artículo 4). Toda universidad debe garantizar que su personal, tanto docente como de administración, que utilice sistemas de IA tenga la formación suficiente para usarlos con criterio. No hay umbral de tamaño ni excepción por tipo de institución. Es la obligación que hoy toca de forma más directa a un campus y la que con más frecuencia se está incumpliendo sin que la institución sea consciente.
Desde agosto de 2025 están activas las obligaciones para los modelos de IA de uso general (GPAI). Si la universidad utiliza herramientas como ChatGPT, Copilot o Gemini en su operativa, debe verificar que sus proveedores cumplen y documentar cómo se usan internamente.
El punto crítico: la evaluación automatizada de estudiantes
Aquí está lo que ninguna universidad puede pasar por alto. El AI Act clasifica como sistemas de alto riesgo aquellos que se usan para evaluar el aprendizaje o para decidir el acceso a la educación. Es decir, si la institución emplea IA para calificar exámenes, para admitir alumnado o para tomar decisiones académicas sobre una persona sin supervisión humana relevante, ese sistema entra en la categoría de alto riesgo.
Esto no significa que esté prohibido. Significa que conlleva obligaciones estrictas: documentación técnica, supervisión humana efectiva, evaluación de conformidad y registro. Las obligaciones plenas para estos sistemas de alto riesgo autónomos entran en vigor el 2 de diciembre de 2027, plazo ampliado desde agosto de 2026 por el paquete ómnibus digital. Puede parecer lejano, pero adaptar procesos de evaluación no se hace en un mes.
Qué cambia según seas universidad pública o privada
Las obligaciones legales son las mismas, pero el margen para cumplirlas no. Una universidad privada tiene autonomía para decidir su propia política de IA: puede moverse rápido, fijar su posición y adelantarse. Esa agilidad es una ventaja, pero también la hace responsable directa de lo que decide, sin nadie por encima a quien remitir la decisión.
Una universidad pública, en cambio, se mueve dentro del marco de la administración de la que depende, y buena parte de sus decisiones sobre IA se coordinan con la Consejería o el Ministerio correspondiente. Su reto no es tanto decidir desde cero como articular una posición institucional coherente dentro de ese marco, sin esperar a que todo llegue dictado desde arriba. En ambos casos, el error es el mismo: dejar que el vacío de posición institucional lo llene la inercia de cada departamento.
Los plazos ordenados
Febrero de 2025: alfabetización en IA para el personal (ya en vigor).
Agosto de 2025: obligaciones para modelos de uso general (ya en vigor).
Diciembre de 2026: prohibición de deepfakes íntimos generados con IA y obligación de marcado de contenido.
Diciembre de 2027: obligaciones plenas para sistemas de alto riesgo autónomos, incluida la evaluación académica automatizada.
Agosto de 2028: obligaciones para sistemas de alto riesgo integrados como componentes de seguridad.
El paquete ómnibus digital, aprobado por el Parlamento Europeo el 16 de junio de 2026 y por el Consejo el 29 de junio de 2026, amplió los plazos de alto riesgo, pero no tocó el Artículo 4 ni las prohibiciones del Artículo 5. Esos siguen en vigor desde febrero de 2025.
Qué debería estar haciendo tu universidad ahora
Lo primero es un inventario: qué sistemas de IA usa realmente la institución, en qué áreas y con qué datos. La mayoría de universidades descubren en este ejercicio que usan mucha más IA de la que creían, repartida por departamentos sin ninguna coordinación.
Lo segundo es clasificar cada sistema por nivel de riesgo, prestando atención especial a todo lo que roce la evaluación o la admisión.
Y lo tercero, que es lo que sostiene todo lo demás, es construir una posición institucional propia: una política de uso de IA que fije qué se puede hacer, qué no y con qué criterio se decide.
Sin esa posición, cada docente y cada departamento improvisa la suya, y la institución queda expuesta a un incumplimiento que no verá venir. Una universidad que se adelanta a esto convierte la gobernanza de la IA en una señal de calidad institucional frente a familias, estudiantes y organismos de acreditación.
El AI Act no es un asunto solo jurídico
Es fácil delegar todo esto en el departamento legal y esperar a que la normativa apriete. Pero el AI Act, en el fondo, obliga a una universidad a preguntarse algo más profundo: cómo quiere que la inteligencia artificial forme parte de su manera de enseñar, evaluar y decidir. Cumplir la norma es el suelo. La pregunta de verdad es con qué criterio se integra la IA en la vida académica. Y esa no la responde un abogado, la responde la institución.
Preguntas frecuentes
¿El AI Act aplica a las universidades públicas o solo a las privadas?
Aplica a ambas por igual. El AI Act obliga a cualquier organización que use sistemas de IA, con independencia de su naturaleza pública o privada. Lo que cambia entre una y otra no son las obligaciones, sino el margen de decisión: una universidad privada fija su propia política con autonomía, mientras que una pública articula su posición dentro del marco de su administración.
¿Qué obligación del AI Act afecta ya a las universidades en 2026?
La obligación de alfabetización en IA (Artículo 4), en vigor desde febrero de 2025. Toda universidad debe garantizar que su personal docente y de administración que use sistemas de IA tenga formación suficiente para usarlos con criterio. No tiene umbral de tamaño ni excepciones.
¿Usar IA para evaluar a los estudiantes es alto riesgo según el AI Act?
Sí. Los sistemas de IA que evalúan el aprendizaje o deciden el acceso a la educación se clasifican como de alto riesgo. No están prohibidos, pero conllevan obligaciones estrictas: documentación técnica, supervisión humana efectiva, evaluación de conformidad y registro. Sus obligaciones plenas entran en vigor el 2 de diciembre de 2027.
¿Cambió el AI Act con el paquete ómnibus digital?
El ómnibus digital, aprobado por el Parlamento Europeo el 16 de junio de 2026 y por el Consejo el 29 de junio de 2026, amplió los plazos de los sistemas de alto riesgo hasta diciembre de 2027 y agosto de 2028. No afectó al Artículo 4 (alfabetización) ni al Artículo 5 (prohibiciones), que siguen en vigor desde febrero de 2025.
