Reglamento europeo de IA (AI Act) para empresas: qué te obliga y cuándo

Ya se aplica, pero no todo a la vez

El Reglamento europeo de IA, conocido como AI Act, está en vigor desde agosto de 2024 y se aplica por fases. En julio de 2026 la UE aplazó una parte: las obligaciones de alto riesgo. Si usas chatbots o agentes de IA, parte ya te toca y parte llegará más tarde.

Aquí repasamos las obligaciones de la ley de IA para empresas, desde cuándo se aplican y cómo saber qué papel tienes. Es una guía práctica, no asesoramiento legal: para un caso concreto, consulta con un abogado especializado.

Qué es el AI Act y a quién se aplica

Es el Reglamento (UE) 2024/1689. Como todo reglamento europeo, se aplica directamente, sin esperar a una ley nacional. Afecta a quien desarrolla sistemas de IA y a quien los usa profesionalmente, también desde fuera de la UE. Queda fuera el uso personal.

La definición de «sistema de IA» es amplia: un sistema que infiere, a partir de lo que recibe, cómo generar predicciones, contenidos, recomendaciones o decisiones. Un chatbot con un modelo de lenguaje o un agente que clasifica correos encajan. Un programa que solo ejecuta reglas fijas escritas por personas, no.

Un enfoque por niveles de riesgo

Cuanto más riesgo para la salud, la seguridad o los derechos de las personas, más obligaciones:

• Prácticas prohibidas. Técnicas manipuladoras que causan perjuicios, puntuación social o inferir emociones en el trabajo o en centros educativos, entre otras.
• Alto riesgo. IA que interviene en decisiones importantes sobre personas, como seleccionar candidatos o evaluar la solvencia (anexo III). También la IA de productos regulados que necesitan evaluación de un tercero, como los productos sanitarios (anexo I).
• Transparencia. Chatbots, IA generativa y ultrasuplantaciones (deepfakes). La obligación principal es avisar.
• Riesgo mínimo. El resto. Sin obligaciones específicas, salvo la alfabetización en IA.

Calendario: qué se aplica y cuándo

El artículo 113 fija el calendario, modificado por el Reglamento (UE) 2026/1744, el Ómnibus digital sobre IA. Así queda hoy:

Los textos oficiales están en EUR-Lex: el Reglamento de IA y el Reglamento (UE) 2026/1744.

Qué cambió con el Ómnibus digital sobre IA

Propuesto por la Comisión en noviembre de 2025, se publicó en el Diario Oficial de la UE el 24 de julio de 2026 y está en vigor desde el 27 de julio. Lo que más afecta a una empresa:

• Alto riesgo, aplazado, no eliminado. Del 2 de agosto de 2026 al 2 de diciembre de 2027 (anexo III) y del 2 de agosto de 2027 al 2 de agosto de 2028 (anexo I).
• Alfabetización, rebajada pero vigente. Antes había que procurar, en la mayor medida posible, un nivel suficiente de alfabetización del personal. Ahora hay que adoptar medidas para apoyar su desarrollo, sin garantizar un nivel concreto en cada persona.
• Transparencia, igual. Se aplica desde el 2 de agosto de 2026.
• Nuevas prohibiciones. Sistemas que generan imágenes íntimas realistas de personas identificables sin su consentimiento o material de abuso sexual infantil.

La otra propuesta del paquete, que toca el RGPD, sigue en tramitación: el RGPD se aplica tal como está.

Proveedor o responsable del despliegue: qué papel tienes

Las obligaciones dependen de tu papel:

• Proveedor. Desarrolla un sistema de IA, o lo encarga, y lo introduce en el mercado o lo pone en servicio con su propio nombre o marca.
• Responsable del despliegue (deployer). Usa un sistema de IA bajo su propia autoridad en una actividad profesional.

Si contratas una herramienta de IA y la usas tal cual, eres responsable del despliegue. Es lo más común en una pyme: un asistente de redacción o el chatbot de tu software de atención al cliente.

Pero puedes ser proveedor sin darte cuenta. «Poner en servicio» incluye el uso propio: si encargas un chatbot a medida y lo lanzas en tu web con tu marca, es probable que el proveedor seas tú, aunque el modelo de lenguaje sea de otra empresa. Déjalo claro en el contrato. En alto riesgo, además, pasas a ser proveedor si pones tu marca en el sistema de otro o lo modificas de forma sustancial (art. 25).

Qué tiene que hacer una pyme que usa chatbots o agentes de IA

Si estás valorando un asistente de IA con tus documentos o agentes de IA a medida, lo eficaz es diseñar estas obligaciones desde el principio.

Alfabetización en IA (art. 4)

Aplica desde febrero de 2025 a cualquier empresa que use IA. Se trata de ayudar a quien usa o gestiona estos sistemas a entender qué hacen, en qué fallan, qué datos no se introducen y cuándo revisar el resultado. Conviene poder demostrarlo: formación adaptada a cada perfil, normas internas de uso y registro de quién la ha recibido.

Transparencia (art. 50)

Desde el 2 de agosto de 2026:

• Chatbots y agentes que conversan. La persona debe saber que habla con una IA, salvo que sea evidente por el contexto, como tarde en la primera interacción. La obligación es del proveedor: si el chatbot es de un tercero, comprueba que avisa y que no lo has desactivado.
• Ultrasuplantaciones. Si publicas imágenes, audio o vídeo que parecen reales y no lo son, hay que decirlo.
• Textos de interés público. Si publicas textos generados por IA para informar al público, hay que avisar, salvo que pasen por revisión humana con responsabilidad editorial.
• Marcado. Quien ofrece sistemas que generan contenido sintético debe marcarlo en un formato legible por máquina.

Si un agente actúa en tus sistemas, registra cada acción y prevé aprobación humana en los pasos con impacto, como explicamos en agentes de IA para empresas.

Inventario de usos

Lista los sistemas de IA de la empresa, incluidos los que el equipo usa por su cuenta: para qué, quién, con qué datos, qué proveedor y qué papel tienes en cada uno.

Revisa si algún uso es de alto riesgo

Compara el inventario con el anexo III. En una pyme, lo típico es la IA para filtrar currículos, para decidir sobre trabajadores, para evaluar la solvencia de particulares o para fijar precios de seguros de vida y de salud. Hay excepciones, como una tarea de procedimiento limitada que no influye de forma sustancial en la decisión, pero hay que documentarlas y no valen si el sistema elabora perfiles de personas.

Si algo encaja, tienes hasta el 2 de diciembre de 2027 para preparar supervisión humana, conservación de registros e información previa a los trabajadores y sus representantes.

Contratos con proveedores

Pregunta qué modelo usa cada proveedor, dónde se tratan los datos, si el sistema avisa de que es una IA y cuáles son sus limitaciones. Deja por escrito quién es proveedor de qué.

El RGPD sigue aplicando

El AI Act no sustituye al RGPD (art. 2.7). Si tu chatbot trata datos personales, necesitas base jurídica, informar a los usuarios, contratos de encargo y control de las transferencias fuera de la UE. Si aún estás decidiendo por dónde empezar, lee cómo implementar IA en tu empresa.

AESIA y la situación en España

La Agencia Española de Supervisión de Inteligencia Artificial (AESIA), con sede en A Coruña, es el organismo creado para supervisar la IA en España. Su estatuto (Real Decreto 729/2023) le atribuye funciones de inspección, comprobación y sanción en el marco de la normativa europea, y ha publicado guías prácticas para cumplir el reglamento.

No es la única autoridad: según el ámbito intervienen otras, como la Agencia Española de Protección de Datos o las que ya vigilan productos regulados. En salud lo detallamos en IA en salud: RGPD, MDR y reglamento de IA.

Cada país debe concretar sus autoridades y sus sanciones. El Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, enviado al Congreso en mayo de 2026, caducó sin aprobarse con la disolución de las Cortes en octubre. Hoy no hay ley española aprobada, y la Comisión Europea muestra la designación de AESIA como pendiente de decisión definitiva.

Las cuantías máximas sí están en el art. 99: hasta 35 000 000 EUR o el 7 % del volumen de negocios mundial del ejercicio anterior por prácticas prohibidas, y hasta 15 000 000 EUR o el 3 % por incumplir, entre otras, las obligaciones de transparencia o las de los responsables del despliegue de alto riesgo. El tope es la mayor de las dos cifras, salvo en las pymes, donde es la menor.

Errores comunes

• «Se ha aplazado todo». Solo el alto riesgo. Lo demás ya se aplica.
• «El proveedor se encarga». El contrato reparte tareas, pero tus obligaciones como responsable del despliegue siguen siendo tuyas. Y si el sistema es a medida y lleva tu nombre, el proveedor puedes ser tú.
• Olvidar el uso informal. Las herramientas que el equipo usa por su cuenta suelen ser las que reciben datos que no deberían.

Checklist práctico

1. Haz el inventario de sistemas de IA, incluido el uso informal.
2. Anota en cada uno tu papel: proveedor o responsable del despliegue.
3. Descarta cualquier práctica prohibida.
4. Revisa cada uso contra el anexo III y documenta la conclusión.
5. Forma al equipo según su perfil y guarda registro.
6. Escribe una política de uso: herramientas permitidas, datos vetados, cuándo revisar.
7. Comprueba que tus chatbots avisan de que son una IA desde el primer mensaje.
8. Etiqueta el contenido sintético realista que publiques.
9. Revisa contratos con proveedores y el RGPD de cada uso.
10. Si algún uso es de alto riesgo, planifica ya el trabajo para el 2 de diciembre de 2027.

Preguntas frecuentes

¿El AI Act afecta a mi empresa si solo usa herramientas como ChatGPT o Copilot?

Sí, como responsable del despliegue: como mínimo, la alfabetización en IA de quien las usa. Si montas con ellas un chatbot para el público, también la transparencia. Y si las usas para filtrar candidatos u otro uso del anexo III, entras en alto riesgo.

¿Tengo que avisar de que mi chatbot es una IA?

Sí, desde el 2 de agosto de 2026, salvo que sea evidente por el contexto. Un aviso claro al empezar la conversación resuelve la duda.

¿Se ha retrasado el AI Act?

Solo el alto riesgo: al 2 de diciembre de 2027 (anexo III) y al 2 de agosto de 2028 (anexo I). El resto mantiene sus fechas.

¿Quién vigila el cumplimiento en España?

AESIA, junto con otras autoridades según el sector. La ley que debía concretar ese reparto caducó en octubre de 2026; habrá que ver si se retoma en la nueva legislatura.

¿Hay multas por no formar al equipo en IA?

El art. 99 no fija una multa máxima específica para la alfabetización. Cada Estado puede establecer sus propias sanciones y medidas, y en España aún no hay ley aprobada.

Siguiente paso: ordena tus usos de IA antes de construir

El mejor momento para cumplir es el diseño, no la auditoría. En nuestro diagnóstico de IA gratuito revisamos contigo qué usos de IA tienes o quieres tener, qué papel tendrías en cada uno y qué prever desde el principio. El resto de lo que hacemos está en nuestros servicios de inteligencia artificial.