La Ley de IA de la UE y la educación superior: lo que tu universidad necesita saber

El Reglamento de IA entra en vigor — y las universidades están afectadas

El Reglamento Europeo de Inteligencia Artificial (AI Act, Reglamento UE 2024/1689) es el primer marco jurídico del mundo que regula los sistemas de IA por nivel de riesgo. Su aplicación comenzó en febrero de 2025 para las prácticas prohibidas, y las obligaciones para sistemas de alto riesgo — algunos utilizados en educación — entran en vigor en agosto de 2026 (Fuente: Diario Oficial de la UE, Reglamento 2024/1689, Art. 113).

Para las universidades, esto no es un tema abstracto. Desde el momento en que una universidad despliega un chatbot de admisiones, una herramienta de puntuación de candidatos, un detector de plagio con IA o un algoritmo de recomendación de programas, está desplegando un sistema de IA en el sentido del reglamento. La pregunta no es si tu universidad está afectada — lo está. La pregunta es en qué categoría de riesgo caen tus herramientas.

Clasificación de riesgos: ¿dónde se sitúa tu universidad?

El AI Act clasifica los sistemas de IA en cuatro niveles de riesgo. Cada nivel implica obligaciones diferentes.

Riesgo inaceptable (prohibido)

Se prohíben los sistemas de puntuación social generalizada, la manipulación subliminal y la explotación de vulnerabilidades. En el contexto educativo, sería prohibido un sistema que puntuara a los estudiantes en función de su comportamiento social global (asistencia a eventos, participación en redes sociales) para decidir su admisión (Fuente: AI Act, Art. 5, párrafo 1).

Este escenario parece extremo, pero algunas prácticas de evaluación "holística" de candidatos se acercan. Si tu herramienta de admisión incorpora datos conductuales no relacionados con la aptitud académica, haz que la auditen.

Alto riesgo (obligaciones estrictas)

Es la categoría más importante para la educación superior. El Anexo III del reglamento clasifica explícitamente como alto riesgo los sistemas de IA utilizados para "determinar el acceso o la admisión a instituciones de educación y formación profesional" (Fuente: AI Act, Anexo III, punto 3a).

En concreto, están afectados:

• Herramientas de preselección automatizada — cualquier sistema que filtra, clasifica o puntúa candidaturas con criterios algorítmicos
• Detectores de plagio con IA que influyen en la calificación o evaluación académica
• Algoritmos de orientación que determinan el acceso a programas específicos
• Sistemas de calificación automatizada que producen o influyen en evaluaciones académicas

Las obligaciones para estos sistemas son sustanciales: gestión de riesgos documentada, datos de entrenamiento documentados, transparencia técnica, supervisión humana, registro de entradas/salidas y registro en la base de datos europea.

Riesgo limitado (obligaciones de transparencia)

Los chatbots de admisiones e información caen en esta categoría. La obligación principal es simple pero innegociable: informar al usuario de que está interactuando con un sistema de IA (Fuente: AI Act, Art. 50, párrafo 1).

En la práctica, tu chatbot debe indicar claramente que es un asistente de IA, no un humano. Un mensaje como "Soy un asistente de IA de [Nombre de la universidad]. Un asesor humano está disponible bajo petición" cumple esta obligación.

También en esta categoría:

• Sistemas de generación de contenido por IA (emails automatizados, descripciones de programas)
• Sistemas de reconocimiento de emociones (análisis de tono en entrevistas en vídeo)
• Herramientas de traducción automática de contenido pedagógico

Riesgo mínimo (sin obligaciones específicas)

Herramientas de IA sin impacto en derechos fundamentales: correctores ortográficos, filtros anti-spam, optimizadores de horarios. Sin obligaciones regulatorias, aunque las buenas prácticas de transparencia siguen recomendándose.

El calendario de cumplimiento

Los plazos están escalonados. Estas son las fechas que afectan directamente a las universidades.

2 de febrero de 2025 — Entrada en vigor de las prohibiciones. Ya efectivo.

2 de agosto de 2025 — Obligaciones para modelos de IA de uso general (GPAI). Afecta a proveedores como OpenAI, Anthropic, Mistral — no directamente a las universidades, pero tus proveedores de herramientas IA deben cumplir. Exige una declaración de conformidad a tus proveedores.

2 de agosto de 2026 — Obligaciones para sistemas de alto riesgo (Anexo III). Fecha crítica para las universidades. Si usas una herramienta de preselección automatizada o calificación automática, debe ser conforme en esta fecha.

2 de agosto de 2027 — Extensión a sistemas de alto riesgo regulados por legislación sectorial.

Quedan 5 meses antes de la entrada en vigor de las obligaciones de alto riesgo. Si tu universidad no ha auditado aún sus herramientas IA, el plazo es ajustado pero abordable.

Obligaciones concretas por caso de uso

Chatbot de admisiones (riesgo limitado)

Las obligaciones son proporcionadas y realistas.

Obligación 1 — Transparencia: el chatbot debe identificarse como IA. Un banner permanente o mensaje de bienvenida claro es suficiente.

Obligación 2 — Información sobre tratamiento de datos: conforme al RGPD, el tratamiento de datos por el chatbot debe documentarse en la política de privacidad. Nuestra guía RGPD para datos de estudiantes detalla estas obligaciones.

Obligación 3 — Contacto humano: el prospecto debe poder solicitar hablar con un humano en cualquier momento.

Coste estimado de cumplimiento: casi nulo si tu chatbot ya es transparente. Cuenta con 2 a 5 días para auditar, documentar y ajustar la interfaz si es necesario.

Preselección automatizada de candidatos (alto riesgo)

Las obligaciones son significativamente más pesadas.

Las seis obligaciones: (1) gestión de riesgos documentada (sesgo, discriminación, errores de clasificación), (2) calidad de datos de entrenamiento (representatividad, ausencia de sesgos históricos), (3) documentación técnica completa, (4) supervisión humana — ninguna decisión de admisión puede ser completamente automatizada, (5) registro de entradas/salidas (mínimo 6 meses), (6) registro en la base de datos europea.

Coste estimado de cumplimiento: 15.000 a 50.000 EUR para una auditoría completa, documentación técnica y procesos de supervisión humana. Este coste recae principalmente en el proveedor, pero la universidad como "implementadora" también tiene obligaciones.

Detección de plagio con IA (alto riesgo si afecta a calificaciones)

Si la herramienta influye directamente en la calificación, entra en la categoría de alto riesgo. Los detectores de IA muestran actualmente una tasa de falsos positivos del 5 al 15 % (Fuente: Stanford HAI, 2025). La supervisión humana no es opcional — es una obligación legal.

La articulación con el RGPD

El AI Act no sustituye al RGPD — lo complementa. Todo tratamiento de datos personales por un sistema de IA sigue sujeto al RGPD (base legal, minimización, derechos de acceso). El artículo 22 del RGPD ya prohíbe las decisiones automatizadas con efectos jurídicos; el AI Act refuerza esta protección con requisitos de transparencia y supervisión humana más detallados. Ambos reglamentos se complementan.

Para profundizar en la conformidad RGPD específica a datos de estudiantes, consulta nuestra guía dedicada.

Checklist de cumplimiento en 10 puntos

1. Inventario: listar todas las herramientas IA (chatbot, CRM, scoring, plagio, recomendación)
2. Clasificación: riesgo mínimo, limitado, alto o inaceptable por herramienta
3. Auditoría de proveedores: exigir declaración de conformidad y calendario
4. Transparencia chatbots: identificación IA + opción de contacto humano
5. Supervisión humana: ninguna decisión de admisión completamente automatizada
6. Documentación técnica: dossier completo para sistemas de alto riesgo
7. Análisis de sesgos: tests sobre género, origen geográfico, tipo de centro
8. Política de privacidad: integrar los tratamientos IA
9. Formación: equipos de admisiones y académicos sobre sus obligaciones
10. Revisión anual: auditoría AI Act alineada con la revisión RGPD

Sanciones por incumplimiento

El AI Act prevé multas graduadas: hasta 35 millones EUR (7 % de la facturación) por prácticas prohibidas, 15 millones EUR (3 %) por incumplimiento de alto riesgo y 7,5 millones EUR (1 %) por información inexacta. El riesgo reputacional es al menos igual de preocupante: una universidad sancionada por incumplimiento de la IA pierde credibilidad para formar profesionales digitales.

Lo que las universidades deben exigir a sus proveedores de IA

Como "implementadoras" según el reglamento, las universidades comparten responsabilidad. Exige a cada proveedor: declaración de conformidad fechada, clasificación de riesgo con justificación, documentación técnica accesible, compromiso contractual de supervisión humana y transparencia, auditoría de sesgos documentada y plan de actualización regulatoria.

Para entender cómo la IA influye en la visibilidad de las universidades más allá del cumplimiento, nuestro artículo sobre criterios de recomendación IA para universidades explora el tema en profundidad.

La Ley de IA forma parte de un marco regulador digital más amplio: nuestra guía sobre accesibilidad digital del sitio web universitario trata los requisitos WCAG y la Ley 11/2023 que aplican a las universidades privadas desde junio de 2025.

FAQ

¿Mi chatbot de admisiones es de alto riesgo?

No, a menos que tome decisiones de admisión autónomas. Un chatbot que informa, responde preguntas y cualifica prospectos se clasifica como "riesgo limitado". Debe identificarse como IA y ofrecer acceso humano, pero no está sujeto a las obligaciones pesadas del alto riesgo. Sin embargo, si el chatbot decide automáticamente aceptar o rechazar una candidatura, pasa a alto riesgo.

¿El AI Act se aplica a universidades de fuera de la UE que captan en Europa?

Sí. El reglamento se aplica a todo sistema de IA cuyos resultados se utilicen en la UE, independientemente de dónde esté establecido el proveedor o implementador. Una universidad británica o suiza que use una herramienta de scoring para seleccionar candidatos residentes en la UE está sujeta al AI Act.

¿Qué relación hay entre el AI Act y el RGPD para datos de candidatos?

Ambos reglamentos se aplican simultáneamente. El RGPD rige la recogida, almacenamiento y tratamiento de datos personales. El AI Act añade obligaciones sobre cómo esos datos son utilizados por los sistemas de IA (transparencia, supervisión humana, auditoría de sesgos). La conformidad RGPD no exime de la conformidad AI Act, y viceversa.

¿Cuánto tiempo y presupuesto hay que prever para el cumplimiento?

Para una universidad con chatbot (riesgo limitado) y CRM con scoring básico: 2 a 4 semanas y 3.000 a 8.000 EUR en auditoría y ajustes. Para una universidad con sistema de preselección automatizada (alto riesgo): 2 a 4 meses y 15.000 a 50.000 EUR, con una parte significativa facturada por el proveedor.