El AI Act ya es una obligación en vigor
El Reglamento Europeo de Inteligencia Artificial, conocido como AI Act, dejó de ser una referencia normativa lejana el pasado 2 de agosto de 2026. Desde esa fecha, el Reglamento (UE) 2024/1689 es plenamente aplicable para los sistemas de inteligencia artificial clasificados de alto riesgo, y son exigibles las obligaciones de transparencia del artículo 50: etiquetado de contenido generado con IA, divulgación de deepfakes y aviso explícito de que un chatbot es una inteligencia artificial.
El Reglamento fue aprobado por el Parlamento Europeo en junio de 2024 y entró en vigor el 1 de agosto de ese mismo año, pero su aplicación se ha ido desplegando por fases. La de agosto de 2026 ha sido, hasta ahora, la más determinante para el tejido empresarial español.
Alex Rius Laorden, responsable de EnovaPro, academia de formación corporativa especializada en IA y digitalización, observa un patrón muy repetido entre las empresas con las que trabaja. Según explica, buena parte del desconocimiento no está en las grandes tecnológicas, sino en pymes que usan IA en selección de personal, atención al cliente o generación de contenidos, sin ser conscientes de que eso ya las convierte en sujetos obligados por el Reglamento. En su experiencia, las empresas que empiezan formando a sus equipos son las que después adaptan el resto de sus procesos con mucha más agilidad.
Qué establece la fecha del 2 de agosto de 2026
Conviene aclarar un punto que genera bastante confusión. El paquete conocido como Digital Omnibus, sobre el que se alcanzó un acuerdo político el 7 de mayo de 2026, aplazaría las obligaciones sobre sistemas de alto riesgo hasta diciembre de 2027 en ámbitos como biometría, infraestructuras críticas, educación y empleo, y hasta agosto de 2028 para los sistemas integrados en productos.
Mientras ese texto no se publique en el Diario Oficial de la Unión Europea, los plazos originales mantienen su validez formal. Y en cualquier caso, las prohibiciones, el régimen sancionador y la obligación de transparencia conservan sus fechas originales, con independencia de lo que termine ocurriendo con el Digital Omnibus.
En España, el Gobierno aprobó el 26 de mayo de 2026 el proyecto de Ley Orgánica para la gobernanza de la IA, que reparte las competencias de supervisión entre distintos organismos. El más relevante para las empresas es la Agencia Española de Supervisión de Inteligencia Artificial (AESIA), con sede en A Coruña, que desde el 2 de agosto de 2025 tiene ya capacidad legal para investigar, requerir documentación y sancionar.
Un régimen sancionador que supera al RGPD
Las sanciones previstas en el AI Act no son simbólicas. Se estructuran en tres tramos según la gravedad de la infracción:
- El uso de sistemas prohibidos puede sancionarse con hasta 35 millones de euros o el 7% de la facturación global anual.
- El incumplimiento de las obligaciones de alto riesgo o de transparencia, con hasta 15 millones de euros o el 3% de la facturación.
- El suministro de información falsa o engañosa a las autoridades, con hasta 7,5 millones de euros o el 1% del volumen de negocio.
En todos los casos se aplica la cifra que resulte mayor entre el importe fijo y el porcentaje.
Existe un régimen atenuado para las empresas más pequeñas. Las pymes de menos de 250 empleados y facturación inferior a 50 millones de euros, junto con las startups, se enfrentan a la sanción menor entre el importe fijo y el porcentaje sobre facturación, lo que reduce la exposición económica sin eximir del cumplimiento sustantivo.
A pesar de este margen de protección, los datos disponibles muestran que la adaptación va lenta. Según el Observatorio Nacional de IA, en enero de 2026 el 68% de las empresas españolas que usan herramientas de IA todavía no había iniciado ningún proceso formal de adaptación. Para marzo de 2026, la AESIA ya había abierto 23 investigaciones preliminares.
A quién afecta realmente el AI Act
El error más extendido es pensar que el Reglamento solo alcanza a quienes desarrollan tecnología de inteligencia artificial. En realidad, cualquier organización que utilice IA dentro de su actividad profesional queda sujeta a sus obligaciones. Usar una herramienta comprada a un proveedor externo (ChatGPT, Claude, Copilot, Gemini) no exime de responsabilidad: la empresa que la despliega asume obligaciones propias como «implantador» del sistema.
Prácticamente todos los sectores están expuestos, dada la rapidez con la que estas herramientas se han incorporado a la actividad profesional. A partir del 9 de diciembre de 2026 se suma otra capa de responsabilidad: la Directiva (UE) 2024/2853 sobre
responsabilidad por productos defectuosos convierte al software, incluidos los sistemas de IA, en un «producto» a efectos legales.
Qué cambia para los trabajadores
El impacto del Reglamento no se limita a los departamentos legales o de compliance. La obligación de alfabetización en IA, recogida en el artículo 4, es exigible desde febrero de 2025 y obliga a las empresas a garantizar que su personal comprende de forma suficiente las herramientas de IA que utiliza en su trabajo.
Cuando una empresa despliega sistemas que interactúan directamente con personas (chatbots de atención al cliente, asistentes internos, herramientas de evaluación del desempeño) debe divulgar los contenidos generados o manipulados por IA y avisar de forma explícita cuando un chatbot es en realidad una inteligencia artificial. Para los trabajadores cuya actividad depende de sistemas de IA, el Reglamento introduce garantías de transparencia y supervisión humana que hasta ahora no existían de forma armonizada en toda la Unión Europea.
Cómo evitar sanciones: los pasos que marcan la diferencia
El punto de partida es siempre el mismo: elaborar un inventario completo de los sistemas de IA que utiliza la empresa, clasificarlos según su nivel de riesgo y documentar las medidas de supervisión aplicadas. A partir de ahí, las prioridades son:
- Formar a los equipos. La alfabetización en IA ya es obligatoria y suele ser lo primero que revisan las autoridades.
- Auditar los sistemas de alto riesgo (selección de personal, scoring, atención automatizada) y documentar los protocolos de supervisión humana.
- Revisar los contratos con proveedores tecnológicos para dejar claras las responsabilidades entre desarrollador e implantador.
- Etiquetar correctamente los contenidos generados con IA, conforme exige el artículo 50 desde el pasado 2 de agosto.
Las empresas que ya han empezado a adaptarse llegan a esta fase con margen de maniobra. Las que sigan esperando se enfrentan a revisar todo su uso de IA bajo presión, con la AESIA ya operativa y abriendo investigaciones.
Formación especializada para cumplir con el AI Act
Contar con formación específica se ha convertido en un factor diferencial para las empresas que necesitan adaptarse. EnovaPro ha desarrollado dos programas formativos centrados íntegramente en el AI Act, orientados a que directivos, responsables de RR.HH. y equipos técnicos comprendan sus obligaciones concretas y sepan aplicarlas desde el primer día.
¿Quieres saber qué obligaciones del AI Act afectan a tu empresa?
