AI Act 2026-2027: la guía de cumplimiento actualizada tras el Digital Omnibus
·
Actualizado el ·
Por 
Aymeric Guyard · 10 min de lectura
En resumen
- El AI Act (Reglamento UE 2024/1689) regula los sistemas de IA según cuatro niveles de riesgo. Las prácticas prohibidas se aplican desde el 2 de febrero de 2025, las obligaciones de los modelos de propósito general desde el 2 de agosto de 2025, la transparencia (art. 50) desde 2025. El Digital Omnibus (acuerdo provisional del 7 de mayo de 2026) ha aplazado lo esencial de las obligaciones de «alto riesgo» del Anexo III al 2 de diciembre de 2027. Toda empresa que utiliza o proporciona una IA en la UE está afectada, incluso como simple usuaria de una herramienta de terceros.
¿Qué es exactamente el AI Act?
El AI Act es el Reglamento (UE) 2024/1689 de 13 de junio de 2024, que entró en vigor el 1 de agosto de 2024. Es el primer marco jurídico horizontal del mundo dedicado a la inteligencia artificial. No regula una tecnología como tal, sino los usos: un mismo modelo puede ser anodino en un contexto y de alto riesgo en otro. El reglamento razona, por tanto, sistema por sistema, y no empresa por empresa.
Segundo principio fundador: la distinción de funciones. El reglamento se aplica a los proveedores (quienes desarrollan y ponen en el mercado un sistema de IA bajo su nombre), a los desplegadores (quienes utilizan un sistema de IA en un contexto profesional), así como a los importadores y distribuidores. La gran mayoría de las empresas son desplegadores, pero en cuanto una empresa comercializa un software que integra IA bajo su marca, se convierte en proveedor, con obligaciones notablemente más pesadas. Ver Proveedor o desplegador: determinar su función.
Los cuatro niveles de riesgo y sus obligaciones
Es la clasificación la que determina la intensidad de sus obligaciones. El error más frecuente consiste en creer que el AI Act solo concierne a los grandes editores. Es falso: una pyme que utiliza una herramienta de contratación automatizada o de puntuación puede estar sujeta a las obligaciones más estrictas, no por su tamaño, sino por la naturaleza del sistema desplegado.
| Nivel | Ejemplos | Obligación principal |
|---|---|---|
| Inaceptable (prohibido) | Puntuación social, manipulación subliminal, reconocimiento de emociones en el trabajo, categorización biométrica sensible | Prohibición total desde el 2 de febrero de 2025 |
| Alto riesgo (Anexo III) | Contratación/RR.HH., puntuación de crédito, educación, servicios esenciales, biometría | Gestión de riesgos, documentación, supervisión humana, transparencia, registro |
| Limitado | Chatbots, IA generativa, deepfakes | Transparencia (art. 50) |
| Mínimo | Filtros antispam, correctores, recomendación básica | Ninguna obligación específica |
Detalles por profesión: los 4 niveles de riesgo explicados por profesión.
El calendario real después del Digital Omnibus
El Digital Omnibus digital (propuesta de la Comisión del 19 de noviembre de 2025, acuerdo político provisional Consejo/Parlamento del 7 de mayo de 2026) ha modificado el calendario inicial. He aquí las fechas a retener.
| Fecha | Lo que se aplica |
|---|---|
| 1 de agosto de 2024 | Entrada en vigor del reglamento |
| 2 de febrero de 2025 | Prácticas prohibidas + alfabetización en IA (art. 4) |
| 2 de agosto de 2025 | Obligaciones de los modelos de propósito general (GPAI) + gobernanza |
| 2 de agosto de 2026 | Transparencia (art. 50) plenamente aplicable |
| 2 de diciembre de 2027 | Sistemas de alto riesgo del Anexo III (aplazamiento desde agosto de 2026) |
| 2 de agosto de 2028 | Alto riesgo integrado en productos ya regulados (Anexo I / art. 6.1) |
| 31 de diciembre de 2030 | Plazo ampliado para ciertos sistemas desplegados antes de agosto de 2026 |
Atención: el aplazamiento del alto riesgo a diciembre de 2027 no es una invitación a esperar. El inventario, la clasificación y la formación (art. 4, ya exigible) deben iniciarse desde 2026. El cumplimiento de «alto riesgo» se prepara en 12 a 18 meses.
Lo que el Digital Omnibus ha aligerado
Más allá del aplazamiento, el paquete Omnibus (COM(2025) 87) ha introducido una reducción de fondo: los sistemas de IA que son componentes de seguridad integrados en productos ya sometidos a una evaluación de conformidad CE por terceros (máquinas, dispositivos médicos, vehículos) están cuasi-exentos del régimen de alto riesgo. Para estos sistemas, solo subsiste la obligación de registro en la base de datos de la UE. Este alivio beneficia sobre todo a la IA industrial, menos a los usos de RR.HH., crédito o servicios esenciales, que permanecen plenamente dentro del ámbito del alto riesgo.
AI Act y RGPD: dos reglamentaciones complementarias
El RGPD regula los datos personales; el AI Act regula los sistemas de IA. Ambos se aplican simultáneamente en cuanto una IA trata datos personales, lo que es el caso más frecuente. El análisis de impacto sobre los derechos fundamentales (FRIA, art. 27 del AI Act) puede realizarse en coherencia con la EIPD (art. 35 del RGPD). Una empresa ya madura en el RGPD dispone de una base metodológica reutilizable. Ver AI Act o RGPD: ¿qué reglamentación se aplica?.
Las sanciones: lo que arriesga
Las sanciones son graduadas: hasta 35 M€ o el 7 % de la facturación mundial por el uso de una IA prohibida; hasta 15 M€ o el 3 % por un incumplimiento de las obligaciones de «alto riesgo»; hasta 7,5 M€ o el 1 % por un defecto de transparencia. Para las pymes y startups, el importe retenido es el más bajo entre el tope absoluto y el porcentaje. En Francia, la CNIL ha sido designada autoridad nacional competente.
Su plan de acción en 5 etapas
- Inventariar todos los sistemas de IA utilizados o desarrollados, incluidas las funciones de IA integradas en sus SaaS y la IA en la sombra.
- Clasificar cada sistema según los cuatro niveles de riesgo.
- Tomar medidas para desarrollar la alfabetización en IA de sus equipos (art. 4, ya exigible).
- Documentar: registro de sistemas, decisiones de clasificación, intercambios con proveedores, medidas de supervisión humana.
- Tratar prioritariamente los sistemas de alto riesgo y las obligaciones de transparencia, con el apoyo de un DPO o referente de cumplimiento.
Etapas detalladas: la lista de comprobación AI Act en 10 etapas para una pyme.
Pase a la acción
Data Comply One acompaña su cumplimiento del AI Act de principio a fin: cartografía de sus sistemas de IA, clasificación, módulo AI Act, DPO externalizado y formación a través de DCO Academy.
Descubrir el software AI Act →Probar mi cumplimiento gratuitamente