El AI Act europeo ya está en vigor y las empresas españolas tienen obligaciones concretas que cumplir en 2026. No es una advertencia futura ni una normativa en debate: el Reglamento UE 2024/1689 entró en vigor en agosto de 2024 y sus plazos están corriendo. Ignorarlo no es una opción; las sanciones pueden llegar al 3% de la facturación global anual. Y lo que muchas pymes todavía no saben es que la normativa no solo afecta a quienes desarrollan IA, sino también a quienes la usan en sus procesos.
Qué es el AI Act y cuándo empezó a aplicarse
El AI Act establece una clasificación de sistemas de IA por nivel de riesgo y define obligaciones específicas para cada categoría. Los plazos han ido activándose de forma escalonada: las prohibiciones absolutas (sistemas de manipulación o puntuación social) aplicaron desde febrero de 2025; las obligaciones para sistemas de alto riesgo entraron en vigor en agosto de 2025; y desde principios de 2026, los modelos de IA de propósito general —los que usan la mayoría de empresas con ChatGPT, Gemini o Copilot— también están sometidos a requisitos adicionales de transparencia y cumplimiento.
El resultado es que hoy, en agosto de 2026, la mayor parte de los usos empresariales de la IA ya están dentro del alcance regulatorio del AI Act.
Qué empresas están realmente obligadas
Una creencia extendida es que el AI Act solo afecta a las grandes tecnológicas que desarrollan IA. Es un error con consecuencias. El reglamento también obliga a cualquier empresa que use sistemas de IA si esa IA interviene en alguno de estos procesos:
- Toma de decisiones sobre empleados (contratación, evaluación de rendimiento, gestión de presencia)
- Evaluación de solvencia o gestión de crédito de clientes
- Procesos educativos o de formación profesional
- Análisis de documentos o contratos con impacto legal o económico
- Acceso a servicios esenciales (seguros, servicios públicos, prestaciones sociales)
Si tu empresa usa una herramienta de IA en cualquiera de estos contextos, eres un «usuario» en el sentido del AI Act y tienes obligaciones documentales y de supervisión que cumplir.
Los certificados de IA que ya se exigen en 2026
Aquí es donde la mayoría de las pymes están todavía en blanco. El AI Act establece que los sistemas de IA de alto riesgo deben pasar por un proceso de evaluación de conformidad. Para las empresas usuarias (no solo para los desarrolladores), esto implica gestionar tres tipos de certificados de IA o documentación equivalente:
- Declaración de conformidad del proveedor. El proveedor de la herramienta (OpenAI, Google, Microsoft, etc.) debe facilitar un documento que acredite que su sistema cumple el AI Act. Si tu proveedor no puede responder a esta pregunta, es una señal de riesgo real para tu empresa.
- Registro de uso en la base de datos de la UE. Los usuarios de sistemas de IA de alto riesgo deben registrar su uso en la base de datos oficial europea habilitada para ello. Este trámite es obligatorio antes de poner en marcha el sistema en procesos regulados.
- Acreditación interna de supervisión humana. Debes documentar que existe un proceso de revisión humana de las decisiones que genera el sistema de IA, especialmente si esas decisiones afectan a personas (empleados, clientes, beneficiarios de servicios).
No tener esta documentación no solo implica riesgo de sanción económica. En sectores como el legal, el financiero o los recursos humanos, puede comprometer la validez jurídica de los procesos o contratos generados con apoyo de herramientas de IA.
Tres pasos concretos para que tu pyme empiece a cumplir
Si todavía no has tomado ninguna medida, aquí tienes una hoja de ruta mínima pero efectiva:
- Inventariar las herramientas de IA activas en tu empresa. Haz una lista de todos los sistemas que usas (ChatGPT, Gemini, Copilot, herramientas de selección de personal, scoring de crédito, etc.) e identifica para qué procesos los aplicas. Ese inventario es el punto de partida de cualquier plan de cumplimiento y es lo primero que solicitará una auditoría.
- Solicitar documentación de conformidad a tus proveedores. Todos los proveedores de herramientas de IA que operan en la UE deben estar generando sus certificados de IA o declaraciones de conformidad. Pídela por escrito y guárdala. Es tu respaldo ante una inspección.
- Nombrar un responsable de IA en tu empresa. No se necesita un departamento entero. Puede ser una persona con la tarea asignada de supervisar el uso de la IA, mantener el registro actualizado y garantizar que los usuarios están formados en el uso responsable. El AI Act exige que este rol exista y esté documentado.
La buena noticia es que cumplir no requiere grandes inversiones si se aborda con método desde el principio. La mala es que esperar incrementa el riesgo: las autoridades de control nacionales ya están comenzando a actuar y las primeras inspecciones se centran precisamente en empresas que usan IA en sus procesos sin documentación de respaldo.
Conocer la normativa, saber qué certificados de IA aplican a tu sector y entender qué herramientas estás usando con riesgo regulatorio es hoy una competencia profesional tan necesaria como saber usar las propias herramientas. Y es una ventaja competitiva real frente a competidores que todavía no se han puesto al día.
