AI Act: ¿qué se aplica realmente a su empresa desde el 2 de agosto de 2026?
·
Actualizado el ·
Por 
Aymeric Guyard · 11 min de lectura
En resumen
- Desde el 2 de agosto de 2026, el Reglamento (UE) 2024/1689 sobre inteligencia artificial se aplica en su mayor parte: obligaciones de transparencia para los chatbots, los deepfakes y los contenidos generados (artículo 50), gobernanza nacional y régimen de sanciones, además de las prácticas prohibidas y de la obligación de alfabetización en IA en vigor desde febrero de 2025 y de las normas sobre modelos de uso general desde agosto de 2025. Las obligaciones de «alto riesgo» han sido aplazadas por el Ómnibus digital: al 2 de diciembre de 2027 para los sistemas del anexo III y al 2 de agosto de 2028 para los integrados en productos regulados (anexo I).
El calendario del AI Act tras el Ómnibus digital
| Fecha | Lo que se aplica | Estado |
|---|---|---|
| 2 de febrero de 2025 | Prácticas prohibidas (artículo 5) y alfabetización en IA (artículo 4) | En vigor |
| 2 de agosto de 2025 | Obligaciones de los proveedores de modelos de IA de uso general (GPAI), designación de autoridades, sanciones | En vigor |
| 2 de agosto de 2026 | Transparencia (artículo 50), obligaciones generales, régimen de sanciones completo, entornos de pruebas regulatorios | En vigor |
| 2 de diciembre de 2026 | Fin del período de gracia para el marcado de contenidos generados por IA; prohibición explícita de los sistemas diseñados para producir contenidos íntimos no consentidos | Próximamente |
| 2 de diciembre de 2027 | Sistemas de alto riesgo del anexo III (RRHH, educación, crédito, seguros, servicios públicos, biometría, etc.) | Aplazado por el Omnibus |
| 2 de agosto de 2028 | Sistemas de alto riesgo integrados en productos sujetos a legislación de armonización (anexo I) | Aplazado por el Omnibus |
El aplazamiento de las obligaciones de alto riesgo ha creado una confusión frecuente: muchas empresas han concluido que «el AI Act estaba aplazado». Esto es falso para la mayor parte de las obligaciones que conciernen a una empresa usuaria. Consulte nuestra ficha normativa AI Act para el detalle artículo por artículo.
¿Es usted proveedor o responsable del despliegue?
El AI Act distingue dos funciones principales, y sus obligaciones dependen de ellas:
- Proveedor: usted desarrolla un sistema de IA o lo manda desarrollar para introducirlo en el mercado bajo su nombre. Una empresa que entrena un modelo, o que personaliza sustancialmente un sistema existente y lo comercializa, es proveedor.
- Responsable del despliegue: usted utiliza un sistema de IA bajo su autoridad, en un marco profesional. La gran mayoría de las pymes y empresas medianas son responsables del despliegue: utilizan ChatGPT, Copilot, una herramienta de selección de CV o un chatbot de atención al cliente proporcionado por un editor de software.
Un responsable del despliegue puede convertirse en proveedor si modifica sustancialmente un sistema de alto riesgo o pone su marca en él. Esta recalificación es el primer punto que verifica una auditoría.
Las cinco obligaciones en vigor para una empresa responsable del despliegue
- No recurrir a prácticas prohibidas (artículo 5): puntuación social, manipulación subliminal, explotación de vulnerabilidades, reconocimiento de emociones en el trabajo y en la enseñanza (salvo razones médicas o de seguridad), categorización biométrica a partir de datos sensibles, extracción no focalizada de imágenes faciales. Multa de hasta 35 millones de euros o el 7 % del volumen de negocios mundial.
- Garantizar la alfabetización en IA del personal (artículo 4): formar a los empleados que utilizan o explotan sistemas de IA a un nivel suficiente, en función de su rol y del contexto de uso. No hay formato impuesto, pero se espera la prueba de la formación.
- Respetar la transparencia (artículo 50): informar a las personas de que interactúan con un sistema de IA (chatbot, voicebot) cuando no sea evidente; señalar los deepfakes; señalar los textos generados por IA publicados para informar al público sobre cuestiones de interés público, salvo revisión humana y responsabilidad editorial. Los proveedores deben marcar técnicamente los contenidos generados (plazo de gracia hasta el 2 de diciembre de 2026).
- Respetar el RGPD en paralelo: el AI Act no sustituye al RGPD. Todo uso de IA sobre datos personales supone una base legal, información a las personas y, a menudo, un análisis de impacto (EIPD). La autoridad francesa de protección de datos (CNIL) ha hecho de los datos de entrenamiento una prioridad de control en 2026.
- Prepararse para el alto riesgo antes de diciembre de 2027 si utiliza IA en los ámbitos del anexo III: contratación y gestión de empleados, acceso a la educación, evaluación de solvencia, fijación de precios de seguros de vida y salud, acceso a servicios públicos esenciales, biometría, infraestructuras críticas, justicia y procesos democráticos. Para estos usos, el responsable del despliegue deberá utilizar el sistema conforme a las instrucciones, garantizar una supervisión humana, informar a los empleados y a las personas afectadas, conservar los registros y, para ciertos organismos, realizar un análisis de impacto sobre los derechos fundamentales. Véase la definición de sistema de IA de alto riesgo.
El régimen de sanciones ahora completo
| Incumplimiento | Multa máxima |
|---|---|
| Prácticas prohibidas (artículo 5) | 35 millones de euros o el 7 % del volumen de negocios mundial |
| Otras obligaciones (incluidas transparencia y alto riesgo) | 15 millones de euros o el 3 % del volumen de negocios mundial |
| Información inexacta facilitada a las autoridades | 7,5 millones de euros o el 1 % del volumen de negocios mundial |
Para las pymes y las start-ups, se retiene el importe más bajo de los dos. En Francia, la autoridad francesa de protección de datos (CNIL) ha sido designada como una de las autoridades competentes para los sistemas de IA que tratan datos personales, junto con otras autoridades sectoriales; la coordinación se confía a la DGE.
Checklist en 10 puntos para estar en regla en 2026
- Inventario de los sistemas de IA utilizados, incluidos los usos no validados por la empresa (shadow AI).
- Calificación de cada uso: prohibido, alto riesgo, transparencia, riesgo mínimo.
- Función de la empresa para cada sistema: proveedor o responsable del despliegue.
- Política de uso de la IA difundida a los empleados (datos autorizados, herramientas validadas, revisión humana).
- Formación en IA trazada para los usuarios, con un nivel reforzado para las funciones de recursos humanos, jurídicas y de seguridad.
- Mención de información sobre los chatbots y voicebots expuestos a los clientes.
- Procedimiento de notificación de contenidos generados (deepfakes, textos de interés público).
- Verificación RGPD: base jurídica, información, EIPD para los usos de alto riesgo, cláusulas con los proveedores (DPA, localización, entrenamiento con sus datos).
- Hoja de ruta de alto riesgo para diciembre de 2027 si existe un uso del anexo III.
- Punto IA inscrito en el orden del día de la dirección con un responsable designado.
Pase a la acción
Gestione su cumplimiento con Data Comply One: software todo en uno y expertos DPO/CISO externalizados.
Descubrir el software AI Act →Evaluar mi cumplimiento de IA →Fuentes
- Reglamento (UE) 2024/1689 de 13 de junio de 2024 por el que se establecen normas armonizadas en materia de inteligencia artificial, artículos 3, 4, 5, 26, 50, 99, 113 y anexos I y III, EUR-Lex.
- Ómnibus digital, textos adoptados por el Parlamento Europeo (16 de junio de 2026) y el Consejo (29 de junio de 2026).
- Comisión Europea, AI Office, directrices sobre las prácticas prohibidas y sobre la definición de los sistemas de IA (2025).
- La autoridad francesa de protección de datos (CNIL), recomendaciones sobre el desarrollo de los sistemas de IA y prioridades de control 2026.