El Reglamento de IA y el ecosistema TravelTech (I): qué está en vigor hoy, a quién aplica y por qué casi nadie lo sabe
Esta es la primera de tres entradas sobre cómo afecta el Reglamento (UE) 2024/1689, el Reglamento de Inteligencia Artificial, a las empresas del ecosistema TravelTech. Esta primera entrada explica qué está en vigor a septiembre de 2026, qué papel ocupa cada empresa frente a cada sistema y cómo se clasifica el riesgo. La segunda baja a ocho casos de uso concretos del sector. La tercera cubre lo que el Reglamento no regula pero sí os afecta (RGPD, consumo, contratos) y un plan de trabajo de 90 días.
El pasado 7 de septiembre tuve la oportunidad de abrir el bloque legal del TechTur Legal Series, organizado por el Tech Tourism Cluster, con una sesión sobre el Reglamento de IA de la UE y su aplicación a las empresas turísticas. Codurance se encargó del bloque técnico. La sala estaba llena de gente de producto, de tecnología y de dirección de empresas TravelTech, y la pregunta que más se repitió al terminar fue la misma que llevo escuchando desde 2024: «¿pero esto nos aplica a nosotros?».
La respuesta corta es que sí, casi seguro, aunque no de la forma que muchos temen. Lo que sigue es una versión ampliada y por escrito de lo que conté ese día, pensada para que alguien de una OTA, un bedbank, una cadena hotelera, un channel manager o una startup de actividades pueda leerla y saber en qué punto está.
Lo esencial en cinco líneas
- El Reglamento de IA está en vigor desde el 1 de agosto de 2024 y se aplica por fases. A fecha de hoy ya son exigibles las prácticas prohibidas, la alfabetización en IA, las obligaciones para modelos de propósito general, el régimen sancionador y, desde el 2 de agosto de 2026, las obligaciones de transparencia del artículo 50.
- El Reglamento (UE) 2026/1744, el llamado «Digital Omnibus» de IA, en vigor desde el 27 de julio de 2026, ha aplazado el régimen de alto riesgo a diciembre de 2027 (Anexo III) y agosto de 2028 (Anexo I). No ha tocado la transparencia.
- Las obligaciones dependen del papel que ocupáis frente a cada sistema de IA (proveedor, deployer, importador, distribuidor), no de vuestro sector ni de vuestro tamaño.
- El régimen depende del riesgo del uso concreto, no del hecho de usar IA. En turismo, la mayoría de los casos caen en riesgo de transparencia o riesgo mínimo.
- En España la autoridad de supervisión es la AESIA, y hay un Proyecto de Ley Orgánica de buen uso y gobernanza de la IA en tramitación en el Congreso desde junio de 2026.
Por qué esto importa a TravelTech aunque no vendáis «IA»
La IA ya está en el producto de casi cualquier empresa del sector, aunque no la llaméis así. Un chatbot de atención en WhatsApp, un motor de revenue management que ajusta tarifas por demanda, un recomendador de destinos en la home, un cribado automático de currículums, una verificación de identidad en el check-in online, un copiloto interno para el equipo de operaciones, un generador de fotos y descripciones de habitaciones, o una herramienta de análisis y respuesta a reseñas. Muchos de estos usos pueden entrar en el ámbito del Reglamento si cumplen la definición de sistema de IA.
Lo que veo en el sector, y lo digo con conocimiento de causa, son tres riesgos que ya están encima de la mesa. El primero es regulatorio: la transparencia es exigible desde el 2 de agosto de 2026 y ya hay una autoridad, la AESIA, con competencia para supervisar. El segundo es reputacional: imágenes generadas que no se corresponden con el hotel real, o bots que se hacen pasar por personas ante un viajero que cree estar hablando con recepción. El tercero es contractual, y es el que menos gente mira: vuestro proveedor de IA os traslada la responsabilidad por contrato, o directamente no os garantiza nada.
Desde mi humilde opinión, el problema del Reglamento de IA en TravelTech no es que la norma sea dura. Es que la mayoría de las empresas no saben todavía qué papel ocupan frente a cada sistema ni en qué nivel de riesgo cae cada uso. Y sin eso, no se puede cumplir ni se puede negociar con criterio con quien os vende la tecnología.
Base normativa que hay que tener localizada
Reglamento (UE) 2024/1689. Es el Reglamento de Inteligencia Artificial, conocido como AI Act. En vigor desde el 1 de agosto de 2024, con aplicación escalonada por fases entre 2025 y 2028.
Reglamento (UE) 2026/1744. Es el «Digital Omnibus» de IA. En vigor desde el 27 de julio de 2026. Aplaza la aplicación del régimen de alto riesgo y ajusta el alcance de la obligación de alfabetización en IA del artículo 4. No modifica las obligaciones de transparencia del artículo 50.
España. La Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) es la autoridad de supervisión. Además, el Proyecto de Ley Orgánica de buen uso y gobernanza de la IA está en tramitación en el Congreso desde junio de 2026. Salvo que se me haya escapado algo, no hay todavía fecha cerrada de aprobación, y España históricamente va tarde en este tipo de adaptaciones, así que conviene seguirlo pero no esperar a que llegue.
Aplica por lo que hacéis con el sistema, no por vuestro sector ni tamaño
Esta es la idea que más cuesta interiorizar y la que más lo cambia todo. El Reglamento no regula «empresas de IA». Asigna obligaciones según el papel que ocupáis frente a cada sistema de IA concreto. Y podéis ocupar varios papeles a la vez, con sistemas distintos.
Proveedor (provider)
Un proveedor es quien desarrolla un sistema de IA o lo pone en el mercado con su marca. En TravelTech sois proveedor si vendéis vuestro propio motor de IA a hoteles o agencias. También lo sois si integráis un modelo de terceros (un LLM de OpenAI, Anthropic o Google, por ejemplo) y lo comercializáis en marca blanca como si fuera vuestro. Este segundo caso es mucho más frecuente de lo que la gente cree: un channel manager que ofrece «nuestro asistente de IA» construido sobre un modelo ajeno es, a efectos del Reglamento, proveedor de ese sistema.
Responsable del despliegue (deployer)
Un deployer es quien usa un sistema de IA bajo su autoridad en el marco de su actividad profesional. Es el papel más habitual en turismo: el hotel con un chatbot contratado, la OTA con un recomendador de terceros, la agencia con un pricing que le proporciona su tecnológico, el tour operador que usa un copiloto para redactar itinerarios. No habéis construido el sistema, pero lo operáis y decidís sobre qué se aplica.
Importador y distribuidor
El importador introduce en la UE un sistema de un proveedor establecido fuera. El distribuidor lo pone a disposición en el mercado sin ser ni proveedor ni importador. Es menos frecuente, pero aparece cuando revendéis a vuestros clientes software de IA de fuera de la UE, algo que en distribución hotelera B2B pasa más de lo que parece.
Alcance fuera de la UE
El Reglamento también aplica a proveedores y deployers establecidos en un tercer país cuando el resultado del sistema se utiliza en la UE (artículo 2). Un bedbank en Dubái o un motor de pricing en Estados Unidos que sirve a hoteles europeos no queda fuera por estar fuera. Y si vosotros sois el cliente europeo de ese proveedor, sois deployer de un sistema cuyo proveedor puede no tener ni idea de que le aplica el Reglamento. Ahí es donde empieza el problema contractual del que hablaré en la tercera entrada.
Calendario en vigor a septiembre de 2026
Tras el Reglamento (UE) 2026/1744, así queda el calendario. Lo separo entre lo que ya aplica, lo que llega y lo que se ha aplazado.
| Fecha | Qué entra en aplicación | Estado |
|---|---|---|
| 1 de agosto de 2024 | Entrada en vigor del AI Act | Ya aplica |
| 2 de febrero de 2025 | Prácticas prohibidas (art. 5) y alfabetización en IA (art. 4) | Ya aplica |
| 2 de agosto de 2025 | Modelos de propósito general (GPAI), gobernanza y régimen sancionador | Ya aplica |
| 27 de julio de 2026 | Digital Omnibus en vigor: aplaza alto riesgo, ajusta el art. 4 | Ya aplica |
| 2 de agosto de 2026 | Transparencia (art. 50): chatbots, contenido generado, deepfakes | Ya aplica |
| 2 de diciembre de 2026 | Fin del periodo transitorio del marcado técnico para sistemas ya en mercado. Nuevas prohibiciones (art. 5) | Próximo hito |
| 2 de agosto de 2027 | Sandboxes regulatorios nacionales operativos | Pendiente |
| 2 de diciembre de 2027 | Alto riesgo Anexo III (RRHH, biometría, solvencia, entre otros) | Aplazado |
| 2 de agosto de 2028 | Alto riesgo Anexo I (IA integrada en productos regulados) | Aplazado |
Dos matices importantes. El primero: el aplazamiento del alto riesgo cambia el calendario, no el contenido. Las obligaciones de gestión de riesgos, documentación técnica, supervisión humana y evaluación de conformidad siguen siendo las mismas, solo que llegan más tarde. El segundo: el próximo hito relevante para TravelTech es el 2 de diciembre de 2026, cuando termina el periodo transitorio del marcado técnico de contenido sintético para sistemas que ya estaban en el mercado. Si vuestra herramienta de generación de imágenes o textos estaba operativa antes de agosto, tenéis hasta diciembre para que el marcado funcione sin excepción.
El régimen depende del riesgo del uso, no del hecho de usar IA
El Reglamento establece cuatro niveles. En turismo, la mayoría de los casos caen en los dos de abajo, y eso es la mejor noticia que se puede dar hoy a una empresa del sector.
Prohibido
No puede usarse en la UE. Incluye la manipulación subliminal o la explotación de vulnerabilidades, el reconocimiento de emociones en el puesto de trabajo y la categorización biométrica para inferir origen étnico u otras categorías sensibles. En TravelTech es raro, pero no imposible: una herramienta de «análisis de bienestar» del equipo de recepción basada en expresión facial, o un sistema de check-in que clasifique viajeros por rasgos, entrarían aquí. La única acción posible es descartar el uso.
Alto riesgo
Es el Anexo III, aplicable desde el 2 de diciembre de 2027. Incluye la selección de personal y evaluación de empleados, la identificación biométrica remota y la evaluación de solvencia si ofrecéis financiación al viajero. Aquí entran las herramientas de RRHH con cribado automático, ciertos sistemas biométricos de verificación y, ojo con esto, los flujos de BNPL o financiación integrados en un checkout de reservas si incorporan scoring automatizado. Obliga a gestión de riesgos, documentación, supervisión humana, registro y evaluación de conformidad.
Riesgo de transparencia
Es el artículo 50, aplicable desde el 2 de agosto de 2026. Incluye chatbots y voicebots, imágenes, vídeo y audio generados, deepfakes y textos generados sobre asuntos de interés público. Aquí está el grueso del sector: el asistente de reservas, el bot de atención posventa, las fotos generadas para una ficha de hotel, los vídeos promocionales sintéticos. La obligación es informar al usuario de que interactúa con una IA y marcar o etiquetar el contenido.
Riesgo mínimo
Sin obligaciones específicas bajo el Reglamento de IA. Incluye el recomendador de destinos, la ordenación de resultados, el pricing por demanda o la analítica de reseñas. Que no haya obligación bajo el AI Act no significa que no haya obligación: el RGPD, la normativa de consumo y vuestros contratos siguen aplicando, y en muchos de estos casos son más exigentes de lo que sería el propio Reglamento. De esto va la tercera entrada.
Modelos de propósito general (GPAI)
Un apunte separado, porque genera confusión. Las obligaciones sobre modelos de propósito general (documentación, derechos de autor, marcado) recaen en quien los desarrolla. Si construís sobre ellos, que es lo habitual en TravelTech, lo vuestro es leer su documentación y sus condiciones, y clasificar el sistema que montáis encima. El modelo base tiene sus obligaciones, y vuestro sistema tiene las suyas, y no son las mismas.
La pregunta real no es «¿usamos IA?» sino «¿qué papel ocupamos y en qué nivel cae cada uso?»
Llevo suficientes años revisando plataformas del sector como para saber que la conversación sobre IA suele empezar por el sitio equivocado. Se empieza discutiendo si el producto «tiene IA» o si el proveedor «cumple el AI Act», y se acaba sin saber nada útil.
He visto motores de pricing que la dirección consideraba «una regla de negocio» y que en realidad eran modelos entrenados con datos de clientes concretos. He visto chatbots desplegados en más de veinte mercados que técnicamente funcionaban a la perfección y que, en cambio, entregaban condiciones de cancelación de una forma que ningún equipo de producto había contrastado con la normativa de consumo local. He visto contratos con proveedores de IA donde la única cláusula sobre cumplimiento era que el cliente asumía toda la responsabilidad, y así con todo…
En ninguno de esos casos el problema era la norma. El problema era que nadie había hecho el ejercicio de inventariar qué sistemas había, qué papel ocupaba la empresa frente a cada uno y en qué nivel de riesgo caía cada uso. Ese ejercicio no requiere un abogado in-house y es, con diferencia, lo más rentable que una empresa TravelTech puede hacer hoy con respecto al Reglamento de IA.
En la segunda entrada bajo a ocho casos de uso habituales del sector y digo, para cada uno, dónde se sitúa y qué significa para vosotros hoy.
Preguntas frecuentes
¿El Reglamento de IA aplica a una OTA o a un bedbank que solo usa herramientas de terceros? Sí. Usar un sistema de IA de un tercero bajo vuestra autoridad en vuestra actividad profesional os convierte en deployer, con las obligaciones propias de ese papel. No haber desarrollado el sistema no os saca del ámbito de aplicación.
¿Qué está en vigor hoy para una empresa TravelTech? A septiembre de 2026: las prácticas prohibidas, la alfabetización en IA (art. 4), las obligaciones sobre modelos de propósito general, el régimen sancionador y las obligaciones de transparencia del artículo 50 para chatbots, contenido generado y deepfakes.
¿Qué ha cambiado con el Digital Omnibus de IA? El Reglamento (UE) 2026/1744 aplaza el régimen de alto riesgo al 2 de diciembre de 2027 (Anexo III) y al 2 de agosto de 2028 (Anexo I), y ajusta la obligación de alfabetización. No modifica las obligaciones de transparencia.
¿Un proveedor de IA fuera de la UE queda fuera del Reglamento? No, si el resultado de su sistema se utiliza en la UE (artículo 2). Y su cliente europeo sigue siendo deployer en cualquier caso.
¿Quién supervisa el cumplimiento en España? La Agencia Española de Supervisión de la Inteligencia Artificial (AESIA).
Borja Rivas Lozano es socio legal y fundador de Mylegalinbox, despacho especializado en derecho para el sector turístico y TravelTech, con oficinas en Barcelona y Palma. Si tienes dudas sobre cómo aplica el Reglamento de IA a un sistema concreto de tu empresa, por pequeñas que sean, no dudes en contactarnos.