EU AI Act en universidades: qué cambia el 2 de agosto de 2026

El 2 de agosto de 2026 es la fecha que marca la aplicación plena del Reglamento (UE) 2024/1689, conocido como EU AI Act o Reglamento Europeo de Inteligencia Artificial. A partir de ese día, universidades, docentes, investigadores y cualquier persona que use o desarrolle sistemas de IA en el ámbito de la educación superior en España y la UE tendrá nuevas obligaciones legales. No es alarmismo: es la ley vigente. Y hay multas de hasta 35 millones de euros o el 7% de la facturación global para quien use prácticas prohibidas.

Si eres doctorando y usas herramientas de IA para tu tesis, si eres docente que evalúa trabajos con herramientas de detección, o si eres responsable de TI en una universidad, esta guía responde exactamente qué pasa cuando el EU AI Act se aplica a la universidad: qué está prohibido desde ya, qué se convierte en alto riesgo, qué se pospone a diciembre de 2027 y qué debes hacer antes del 2 de agosto para estar en regla.

La relación directa con la declaración de uso de IA en la tesis que exigen muchas universidades españolas bajo las directrices CRUE es más estrecha de lo que parece.

Hitos temporales del EU AI Act 2025-2027

El Reglamento (UE) 2024/1689 se publicó en el DOUE el 12 de julio de 2024 y entró en vigor el 1 de agosto de 2024. Sin embargo, su aplicación es progresiva:

El retraso hasta diciembre de 2027 para los sistemas de alto riesgo en educación fue confirmado en 2026 y responde a la necesidad de que las instituciones educativas dispongan de tiempo para adaptar sus infraestructuras y procesos. Pero no todo se pospone: las obligaciones de transparencia, formación en IA y prohibiciones absolutas siguen firmes el 2 de agosto de 2026.

Qué se considera IA de alto riesgo en educación

El Anexo III del Reglamento UE 2024/1689, categoría 3, enumera los sistemas de IA de alto riesgo en educación y formación profesional. Concretamente:

• Sistemas que determinan el acceso o la admisión a instituciones educativas o programas formativos
• Sistemas que evalúan a los estudiantes, incluida la evaluación del rendimiento en exámenes y asignaciones
• Sistemas que monitorizan y detectan comportamientos prohibidos durante evaluaciones (proctoring automatizado)
• Sistemas que orientan el proceso de aprendizaje tomando decisiones sobre rutas formativas individuales de forma automatizada

Los sistemas de proctoring remoto (como Proctorio, ExamSoft, Respondus Monitor) son el caso más claro de IA de alto riesgo en la educación superior española. Decenas de universidades los adoptaron masivamente durante la pandemia y muchas los siguen usando para evaluaciones no presenciales.

Los detectores de IA (Turnitin AI Detection, Copyleaks, GPTZero) que se usan para evaluar si un trabajo fue generado con IA también pueden quedar dentro de esta categoría si su output se usa directamente para decisiones académicas sobre los estudiantes. Actualmente hay debate jurídico sobre si son “sistemas de evaluación automatizada” en el sentido del Anexo III o si son simplemente herramientas de apoyo al criterio docente.

Esto se conecta directamente con los debates sobre detectores de IA en el contexto académico español y la importancia de que los docentes no deleguen la decisión sancionadora en el algoritmo.

Qué aplica el 2 de agosto de 2026 (sin excepción)

1. Formación en alfabetización en IA (art. 4)

Todas las organizaciones que desplieguen sistemas de IA —incluyendo universidades— deben garantizar que su personal tiene la formación necesaria en IA para entender los riesgos y beneficios de los sistemas que usa. Esta obligación NO está retrasada. A partir del 2 de agosto de 2026, una universidad que no haya impartido formación básica en IA a sus docentes y personal técnico está incumpliendo el Reglamento.

Esto implica acciones concretas: planes de formación institucional, cursos de alfabetización en IA (mínimamente: qué es un sistema de IA, qué riesgos plantea, cómo identificar salidas problemáticas), y documentación del plan formativo.

2. Transparencia para sistemas de interacción con usuarios (art. 50)

Los sistemas de IA diseñados para interactuar con personas —chatbots, asistentes virtuales, tutores IA, sistemas de atención al estudiante— deben informar al usuario de que está interactuando con un sistema de IA y no con una persona. Esta obligación no tiene excepción. El incumplimiento puede ser sancionado directamente.

3. Marcado obligatorio de contenido generado por IA (art. 50)

Los proveedores de sistemas que generen contenido sintético (imágenes, audio, vídeo, texto) deben asegurarse de que el contenido está marcado de forma técnicamente detectable (watermarking o metadatos MPEG-7). Esto afecta a los proveedores de herramientas, no directamente al doctorando que usa el sistema, aunque el contexto regulatorio crea presión sobre los proveedores para que cumplan.

4. Prohibición de prácticas manipuladoras

Ya en vigor desde febrero de 2025, pero con plena efectividad el 2 de agosto de 2026: queda prohibido cualquier sistema de IA que manipule a personas aprovechando sus vulnerabilidades (edad, discapacidad, situación socioeconómica), que use técnicas subliminales, o que sirva para valoración social (social scoring) sin base legal clara. Esto afecta potencialmente a algunos sistemas de análisis de comportamiento del estudiante en plataformas LMS.

Qué se pospone a diciembre de 2027

La gran noticia de 2026 fue el retraso de 16 meses para los sistemas de alto riesgo del Anexo III, categoría 3 (educación). Concretamente, hasta el 2 de diciembre de 2027 se posponen:

• Obligación de que los proveedores de proctoring y sistemas de evaluación automatizada registren sus sistemas en la base de datos EU AI Office
• Cumplimiento de los 10 requisitos técnicos de los sistemas de alto riesgo (art. 9-17): gestión de riesgos, calidad de los datos, documentación técnica, transparencia, supervisión humana, exactitud, robustez, ciberseguridad
• Obligación de que los centros educativos que usen estos sistemas realicen evaluaciones de conformidad

Este retraso no exime a las universidades de empezar ya a mapear qué sistemas de IA usan y evaluar su nivel de riesgo. La Comisión Europea espera que las instituciones aprovechen este período para adaptar sus procesos, no para ignorar el Reglamento hasta última hora.

Sanciones: las cifras reales

El EU AI Act establece un régimen sancionador escalonado según la gravedad de la infracción:

Para las universidades públicas españolas, que no tienen facturación global en el sentido empresarial, la AEPD (Agencia Española de Protección de Datos), que es la autoridad supervisora más probable para el régimen educativo, aplicará las sanciones proporcionales al presupuesto de la institución y la gravedad de la infracción. Hay incertidumbre jurídica sobre cómo se calculan las sanciones para entidades del sector público, pero el riesgo reputacional es ya un incentivo suficiente para el cumplimiento.

Obligaciones de transparencia para chatbots y IA generativa

El artículo 50 del Reglamento es el más relevante para doctorandos y docentes en el día a día. Establece que:

1. Los proveedores de sistemas que interactúen con personas deben diseñarlos para que informen al usuario de que está interactuando con IA. Esto implica que plataformas como los chatbots de atención al estudiante o los tutores IA de universidades deben identificarse como IA en cada sesión.
2. Los proveedores de sistemas que generen texto sintético con propósito informativo deben marcar técnicamente que el texto es generado por IA. Las excepciones: cuando es obvio para cualquier persona razonablemente informada, o cuando el sistema sirve a propósitos legítimos (artes, ficción, entretenimiento) con salvaguardas para evitar confusión.

Para los doctorandos que usan herramientas como Tesify, ChatGPT o Grammarly en su tesis, las obligaciones de transparencia recaen sobre los proveedores de esas herramientas, no sobre el usuario final. Lo que sí recae sobre el doctorando es la declaración académica de uso de IA que exigen las directrices CRUE y los reglamentos de cada universidad, que es un mecanismo de integridad académica diferente al EU AI Act pero complementario. Consulta nuestra guía sobre asistente IA conforme con CRUE.

Auditoría algorítmica antes de implementar IA en docencia

El EU AI Act no usa explícitamente el término “auditoría algorítmica”, pero el conjunto de obligaciones para sistemas de alto riesgo equivale a una auditoría sistemática antes de la puesta en producción:

• Evaluación de conformidad (art. 43): antes de poner en servicio un sistema de IA de alto riesgo, el proveedor debe realizar (o encargar) una evaluación de conformidad con los requisitos del Reglamento
• Registro en la base de datos EU AI Office: los sistemas de alto riesgo deben estar registrados antes de su despliegue
• Plan de gestión de riesgos (art. 9): documentado, iterativo, que identifica los riesgos residuales del sistema
• Supervisión humana obligatoria (art. 14): los sistemas de evaluación automatizada deben tener mecanismos para que un humano pueda revisar, corregir o anular las decisiones del sistema

Para las universidades que quieren implementar sistemas de IA para la evaluación antes de diciembre de 2027, lo más sensato es empezar ahora con la documentación del sistema, el plan de gestión de riesgos y la evaluación del proveedor para no llegar al deadline sin haber hecho nada.

La obligación de supervisión humana es especialmente relevante para el uso de detectores de IA en trabajos académicos: si una herramienta detecta “70% de contenido generado por IA” en un TFM, esa cifra no puede ser la única base para una sanción académica. Debe haber revisión del caso por una persona competente, lo que está alineado con las directrices de la CRUE sobre uso de IA en la universidad.

Impacto en herramientas IA para tesis (Tesify, Trinka, ChatGPT)

La pregunta más práctica que recibimos es: ¿puedo seguir usando mi herramienta de IA para la tesis después del 2 de agosto de 2026? La respuesta es sí, pero con matices según la herramienta:

• Herramientas de corrección y revisión estilística (Tesify, Trinka, Grammarly): no son sistemas de IA de alto riesgo ni están prohibidas. Son herramientas de asistencia que el usuario controla en todo momento. Las obligaciones del EU AI Act recaen sobre los proveedores (deben marcar el output como generado por IA si es texto completo) y sobre las universidades (deben informar a los estudiantes de las políticas de uso). El doctorando debe declarar su uso en los términos exigidos por su universidad. Para estudiantes italianos que utilizan estas herramientas, la guía sobre cómo afecta el EU AI Act a las universidades italianas a partir del 2 de agosto de 2026 ofrece el contexto regulatorio paralelo.
• Generadores de texto (ChatGPT, Claude, Gemini): son GPAI (modelos de propósito general) cuyas obligaciones estuvieron activas desde agosto de 2025. Los proveedores deben cumplir con las obligaciones de documentación y transparencia. El uso académico está permitido siempre que sea conforme con la política de integridad de la institución.
• Detectores de IA (Turnitin AI Detection, Copyleaks, GPTZero): situación más compleja. Si se usan como herramienta de apoyo al criterio humano, están en una zona gris. Si se usan para tomar decisiones automáticas sobre el estudiante, podrían ser alto riesgo post-2027. Las universidades deben formular políticas claras sobre cómo se usa el output de los detectores.
• Proctoring (Proctorio, ExamSoft): claramente alto riesgo, categoría 3 Anexo III. Aplican las obligaciones plenas desde diciembre de 2027, pero las universidades ya deben iniciar el proceso de evaluación de conformidad.

Para evaluar si tu herramienta preferida cumple los criterios del EU AI Act, puedes usar la lista de verificación que publicó la guía de elección de asistente IA conforme con el EU AI Act.

Matriz: universidades vs herramientas vs nivel de riesgo EU AI Act

La trazabilidad del uso de IA en la tesis que exigen cada vez más directores también encaja en el espíritu del EU AI Act: documentar, supervisar y ser transparente.

Preguntas frecuentes sobre el EU AI Act y las universidades

{
“@context”: “https://schema.org”,
“@type”: “FAQPage”,
“mainEntity”: [
{
“@type”: “Question”,
“name”: “¿Las universidades españolas son ‘proveedoras’ o ‘desplegadoras’ bajo el EU AI Act?”,
“acceptedAnswer”: {
“@type”: “Answer”,
“text”: “Depende del rol. Una universidad que desarrolla su propio sistema de IA es proveedora. Una universidad que contrata sistemas como Proctorio o Turnitin es desplegadora de un sistema de alto riesgo de terceros, con obligaciones de verificar cumplimiento del proveedor, implementar supervisión humana y formar al personal.”
}
},
{
“@type”: “Question”,
“name”: “¿El EU AI Act afecta a la investigación científica básica?”,
“acceptedAnswer”: {
“@type”: “Answer”,
“text”: “El Reglamento contiene una exención para la investigación y el desarrollo científico precompetitivos (art. 2.6). Los sistemas de IA desarrollados exclusivamente para investigación, no desplegados en el mercado, están exentos de la mayoría de obligaciones.”
}
},
{
“@type”: “Question”,
“name”: “¿Puede mi universidad sancionarme si uso ChatGPT en mi tesis sin declararlo?”,
“acceptedAnswer”: {
“@type”: “Answer”,
“text”: “La sanción académica por no declarar el uso de IA no viene del EU AI Act, sino de los reglamentos internos de la universidad y las directrices CRUE. El EU AI Act regula a proveedores e instituciones, no directamente a los estudiantes como usuarios finales.”
}
},
{
“@type”: “Question”,
“name”: “¿Qué es la ‘supervisión humana’ que exige el EU AI Act para sistemas educativos de alto riesgo?”,
“acceptedAnswer”: {
“@type”: “Answer”,
“text”: “El artículo 14 exige que los sistemas de alto riesgo permitan que personas físicas supervisen el sistema, puedan intervenir para pausarlo y no estén obligadas a aceptar el output sin revisión. En educación, un docente nunca puede confiar únicamente en el score de un detector de IA para tomar una decisión académica.”
}
},
{
“@type”: “Question”,
“name”: “¿A qué autoridad española debo acudir si creo que mi universidad incumple el EU AI Act?”,
“acceptedAnswer”: {
“@type”: “Answer”,
“text”: “España está designando su autoridad nacional de supervisión del EU AI Act. Lo más probable es que sea la AEPD o un organismo de nueva creación. Mientras se completa la designación, la AEPD es el organismo más adecuado para denuncias relacionadas con IA que involucren datos personales.”
}
}
]
}