Reglamento (UE) 2024/1689 · Capítulo II

Artículo 5. Prácticas de IA prohibidas

Por Jorge Octavio Tercero, cofundador de iActiva Labs · 2 de septiembre de 2026

Es, junto al artículo 4, el único punto del Reglamento que no depende del nivel de riesgo del sistema ni de que la empresa encaje en un papel concreto: prohíbe ocho prácticas de IA en sí mismas, para quien sea que las introduzca en el mercado, las ponga en servicio o las utilice. Está en vigor desde el 2 de febrero de 2025 y lleva la multa más alta de todo el Reglamento, muy por encima del régimen general que se aplica a la mayoría de obligaciones. El Ómnibus Digital le añadió en julio de 2026 dos prohibiciones nuevas sobre deepfakes sexuales, con una fecha de entrada en vigor propia que todavía no ha llegado.

Texto vigente

En vigor desde el 2 de febrero de 2025 (apartado 1, letras a a h)

1. Quedan prohibidas las siguientes prácticas de IA:

a) la introducción en el mercado, la puesta en servicio o la utilización de un sistema de IA que se sirva de técnicas subliminales que trasciendan la conciencia de una persona o de técnicas deliberadamente manipuladoras o engañosas con el objetivo o el efecto de alterar de manera sustancial el comportamiento de una persona o un colectivo de personas, mermando de manera apreciable su capacidad para tomar una decisión informada y haciendo que tomen una decisión que de otro modo no habrían tomado, de un modo que provoque, o sea razonablemente probable que provoque, perjuicios considerables a esa persona, a otra persona o a un colectivo de personas;

b) la introducción en el mercado, la puesta en servicio o la utilización de un sistema de IA que explote alguna de las vulnerabilidades de una persona física o un determinado colectivo de personas derivadas de su edad o discapacidad, o de una situación social o económica específica, con la finalidad o el efecto de alterar de manera sustancial el comportamiento de dicha persona o de una persona que pertenezca a dicho colectivo de un modo que provoque, o sea razonablemente probable que provoque, perjuicios considerables a esa persona o a otra;

c) la introducción en el mercado, la puesta en servicio o la utilización de sistemas de IA para evaluar o clasificar a personas físicas o a colectivos de personas durante un período determinado de tiempo atendiendo a su comportamiento social o a características personales o de su personalidad conocidas, inferidas o predichas, de forma que la puntuación ciudadana resultante provoque una o varias de las situaciones siguientes: i) un trato perjudicial o desfavorable hacia determinadas personas físicas o colectivos de personas en contextos sociales que no guarden relación con los contextos donde se generaron o recabaron los datos originalmente, ii) un trato perjudicial o desfavorable hacia determinadas personas físicas o colectivos de personas que sea injustificado o desproporcionado con respecto a su comportamiento social o la gravedad de este;

d) la introducción en el mercado, la puesta en servicio para este fin específico o el uso de un sistema de IA para realizar evaluaciones de riesgos de personas físicas con el fin de valorar o predecir el riesgo de que una persona física cometa un delito basándose únicamente en la elaboración del perfil de una persona física o en la evaluación de los rasgos y características de su personalidad; esta prohibición no se aplicará a los sistemas de IA utilizados para apoyar la valoración humana de la implicación de una persona en una actividad delictiva que ya se base en hechos objetivos y verificables directamente relacionados con una actividad delictiva;

e) la introducción en el mercado, la puesta en servicio para este fin específico o el uso de sistemas de IA que creen o amplíen bases de datos de reconocimiento facial mediante la extracción no selectiva de imágenes faciales de internet o de circuitos cerrados de televisión;

f) la introducción en el mercado, la puesta en servicio para este fin específico o el uso de sistemas de IA para inferir las emociones de una persona física en los lugares de trabajo y en los centros educativos, excepto cuando el sistema de IA esté destinado a ser instalado o introducido en el mercado por motivos médicos o de seguridad;

g) la introducción en el mercado, la puesta en servicio para este fin específico o el uso de sistemas de categorización biométrica que clasifiquen individualmente a las personas físicas sobre la base de sus datos biométricos para deducir o inferir su raza, opiniones políticas, afiliación sindical, convicciones religiosas o filosóficas, vida sexual u orientación sexual; esta prohibición no incluye el etiquetado o filtrado de conjuntos de datos biométricos adquiridos lícitamente, como imágenes, basado en datos biométricos ni la categorización de datos biométricos en el ámbito de la garantía del cumplimiento del Derecho;

h) el uso de sistemas de identificación biométrica remota «en tiempo real» en espacios de acceso público con fines de garantía del cumplimiento del Derecho, salvo y en la medida en que dicho uso sea estrictamente necesario para alcanzar uno o varios de los objetivos siguientes: i) la búsqueda selectiva de víctimas concretas de secuestro, trata de seres humanos o explotación sexual de seres humanos, así como la búsqueda de personas desaparecidas, ii) la prevención de una amenaza específica, importante e inminente para la vida o la seguridad física de las personas físicas o de una amenaza real y actual o real y previsible de un atentado terrorista, iii) la localización o identificación de una persona sospechosa de haber cometido un delito a fin de llevar a cabo una investigación o un enjuiciamiento penales o de ejecutar una sanción penal por alguno de los delitos mencionados en el anexo II que en el Estado miembro de que se trate se castigue con una pena o una medida de seguridad privativas de libertad cuya duración máxima sea de al menos cuatro años.

El párrafo primero, letra h), se entiende sin perjuicio de lo dispuesto en el artículo 9 del Reglamento (UE) 2016/679 en lo que respecta al tratamiento de datos biométricos con fines distintos de la garantía del cumplimiento del Derecho.

El artículo tiene ocho apartados más (2 a 8) que no se reproducen aquí porque regulan un único supuesto, ajeno a cualquier empresa privada: el procedimiento que debe seguir una autoridad de garantía del cumplimiento del Derecho para usar la excepción de la letra h). Exigen, entre otras cosas, autorización judicial previa (o, en casos de urgencia, solicitada sin demora y como máximo en 24 horas), notificación a la autoridad de vigilancia del mercado y a la de protección de datos, y un informe anual a la Comisión. Ningún operador privado puede acogerse a esa vía.

Qué cambió con el Ómnibus Digital

El punto 7 del Ómnibus no toca ninguna de las ocho letras existentes: inserta dos letras nuevas justo después de la b) y dos apartados nuevos justo después del 1. Es la única prohibición que el Ómnibus añade a todo el Reglamento; el resto de sus más de cuarenta cambios simplifica procedimientos o aclara conceptos, no crea prohibiciones.

Añadido por el Reglamento (UE) 2026/1744 — aplicable desde el 2 de diciembre de 2026, todavía no vigente

«b bis) la introducción en el mercado, la puesta en servicio o la utilización de un sistema de IA que genere o manipule imágenes, vídeos o audios realistas o material similar de las partes íntimas de una persona física identificable, o de una persona física identificable que participe en actividades sexualmente explícitas, sin el consentimiento libre, específico, informado e inequívoco y explícito de dicha persona para tal generación o manipulación;

b ter) la introducción en el mercado, la puesta en servicio o la utilización de un sistema de IA que genere o manipule material o espectáculos en el sentido del artículo 2, letras c) y e), de la Directiva 2011/93/UE, excepto cuando se aplique una defensa de "forma ilícita" en virtud del Derecho nacional;»

«1 bis. A efectos del apartado 1, párrafo primero, letras b bis) y b ter): a) la introducción en el mercado o la puesta en servicio de un sistema de IA que genere o manipule el material o los espectáculos a que se refiere el apartado 1, párrafo primero, letras b bis) o b ter), solo estará prohibida cuando: i) dicha generación o manipulación sea la finalidad prevista del sistema de IA, o ii) el diseño, el entrenamiento, la arquitectura, las capacidades o las funcionalidades orientadas al usuario del sistema hagan que esa generación o manipulación sea un resultado razonablemente previsible y reproducible, sin requerir modificaciones técnicas sustanciales, y el sistema no disponga de medidas técnicas de seguridad razonables y adecuadas y de otras salvaguardias para evitar de forma fiable dicha generación o manipulación, tomando en consideración un uso indebido razonablemente previsible, ni para corregir el uso indebido observado o notificado; b) la utilización de un sistema de IA que genere o manipule el material o los espectáculos a que se refiere el apartado 1, párrafo primero, letras b bis) y b ter), solo está prohibida cuando el responsable del despliegue utilice el sistema con el fin de generar o manipular dicho material o espectáculos.

1 ter. A efectos del apartado 1, párrafo primero, letra b bis), no constituirán manipulación los sistemas de IA que manipulen el material en un modo que no aumente la exposición de ninguna parte íntima representada ni altere la naturaleza de ninguna actividad sexualmente explícita representada.»

Dos prohibiciones nuevas, con un filtro distinto según el papel de cada uno. A quien desarrolla o introduce en el mercado el sistema (apartado 1 bis, letra a) se le prohíbe cuando generar ese contenido sea la finalidad prevista del sistema, o cuando sea un resultado razonablemente previsible que el proveedor no haya bloqueado con medidas técnicas razonables. A quien solo lo usa (letra b) se le exige algo más estricto: que lo utilice con esa finalidad concreta, no que el sistema sea simplemente capaz de hacerlo. Y el apartado 1 ter deja fuera del concepto de "manipulación" las herramientas que difuminan o censuran esas imágenes en vez de generarlas o ampliarlas, la salvedad que evita que un editor que pixela una fotografía caiga sin querer en la prohibición.

Desde cuándo se aplica

Las ocho letras originales (a a h) y los apartados 2 a 8 se aplican desde el 2 de febrero de 2025, junto con el resto del capítulo I y el capítulo II completo, tal como fija el artículo 113, párrafo tercero, letra a). Las dos letras nuevas y los dos apartados que añadió el Ómnibus tienen fecha propia y posterior: el mismo artículo 113, en la redacción que le dio el Ómnibus, las retrasa expresamente al 2 de diciembre de 2026. Es la misma fecha que ya se explicó en la ficha del artículo 4: el Ómnibus solo tocó el calendario del artículo 113 para retrasar estas dos prohibiciones nuevas, no para mover ninguna otra fecha del capítulo I o el capítulo II.

A día de hoy, 2 de septiembre de 2026, las letras b bis) y b ter) ya están aprobadas y publicadas, pero todavía no son exigibles bajo este Reglamento: quien genere hoy ese tipo de contenido no incumple (todavía) el artículo 5, aunque esa conducta pueda estar prohibida por otras normas ajenas al Reglamento de IA.

A quién obliga

A cualquiera, no solo a proveedores o responsables del despliegue. El artículo 5 no dice "los proveedores y responsables del despliegue tendrán prohibido...": dice que queda prohibida "la introducción en el mercado, la puesta en servicio o la utilización" de esos sistemas, sin acotar quién realiza esa conducta. Es la misma construcción abierta del artículo 4, y por eso ambos son los dos únicos puntos del Reglamento que no dependen de encajar en alguno de los papeles que define el artículo 3 — proveedor (punto 3), responsable del despliegue (punto 4), importador, distribuidor, representante autorizado u operador (punto 8, la suma de todos los anteriores).

Con una excepción dentro del propio artículo: la letra h), sobre identificación biométrica remota "en tiempo real" en espacios de acceso público, solo se dirige a la garantía del cumplimiento del Derecho, es decir, policía y autoridades equivalentes. Para cualquier operador que no sea una autoridad de ese tipo, usar identificación biométrica remota en tiempo real en un espacio de acceso público cae directamente en la letra h) y está prohibido sin matices ni procedimiento de autorización posible.

Qué sanción tiene

La más alta de todo el Reglamento. El artículo 99, apartado 3, castiga el incumplimiento del artículo 5 con multas de hasta 35.000.000 de euros o el 7 % del volumen de negocio mundial del ejercicio anterior, la cuantía que sea superior. Es más del doble del régimen general del apartado 4 del mismo artículo 99 — hasta 15.000.000 de euros o el 3 % —, el que se aplica a los artículos 16, 22, 23, 24, 26, 31, 33 y 50, entre ellos el de transparencia con la IA generativa.

El apartado 6 invierte la regla para pymes y empresas emergentes: en su caso, la multa se calcula por el importe fijo o el porcentaje de facturación que sea menor, no el mayor. Para el resto de operadores rige lo contrario: se aplica la cuantía más alta entre el importe fijo y el porcentaje de facturación.

Cómo está hecha esta ficha. El texto reproducido procede del Reglamento (UE) 2024/1689 en su redacción vigente tras el Reglamento (UE) 2026/1744, cotejado con la publicación del BOE. Las disposiciones legales no son objeto de propiedad intelectual conforme al artículo 13 de la Ley de Propiedad Intelectual.

Fuentes: artículo 5; artículo 99, apartados 1, 3, 4 y 6; artículo 113, párrafo tercero, letra a); y artículo 3, puntos 3, 4 y 8, del Reglamento (UE) 2024/1689, en la redacción vigente tras el Reglamento (UE) 2026/1744 (Ómnibus Digital).