El 2 de agosto de 2026 marcó un antes y un después en la regulación de la inteligencia artificial en Europa. Esa fecha no fue una fecha más en el calendario del AI Act: fue el momento en que la mayor parte de las obligaciones del Reglamento Europeo de Inteligencia Artificial —el más ambicioso del mundo hasta la fecha— entraron plenamente en vigor para las empresas que operan en la Unión Europea. Y sin embargo, a pocas semanas de esa fecha, la mayoría de las organizaciones españolas no tienen todavía claro qué les afecta exactamente, qué deben hacer y cuándo.
Esta semana, con la nueva fase del AI Act ya activa, es el momento de dejar de posponer la conversación sobre cumplimiento. Las sanciones previstas en el reglamento son de las más elevadas de toda la legislación europea en materia tecnológica, y las autoridades de supervisión nacionales —en España, la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA)— han señalado que los primeros procedimientos de inspección comenzarán en el segundo semestre de 2026.
Qué cambió exactamente el 2 de agosto de 2026
El AI Act (Reglamento UE 2024/1689) siguió una estructura de entrada en vigor escalonada para dar tiempo a las empresas a adaptarse. El calendario fue el siguiente:
- Febrero de 2025: prohibición de las prácticas de IA inaceptables (manipulación subliminal, sistemas de puntuación social, reconocimiento facial en tiempo real con ciertas excepciones).
- Agosto de 2025: obligaciones para los modelos de IA de propósito general (los grandes modelos de lenguaje como los que están detrás de ChatGPT, Claude o Gemini) y sus proveedores.
- Agosto de 2026 (ahora): entrada en vigor plena de las obligaciones para los sistemas de IA de alto riesgo y para todos los despliegues empresariales de IA que caigan dentro del ámbito del reglamento.
Este tercer bloque —el que acaba de entrar en vigor— es el que más directamente afecta a las empresas usuarias de IA: no solo a quienes desarrollan sistemas de IA, sino a cualquier organización que utilice herramientas de IA en procesos que puedan tener impacto sobre personas.
Qué se considera un «sistema de IA de alto riesgo»
Aquí es donde la confusión es mayor. Muchas empresas asumen que el AI Act solo les afecta si desarrollan tecnología de IA. No es así. El reglamento se aplica también a las organizaciones que despliegan o utilizan sistemas de IA en determinados contextos, aunque ese sistema haya sido desarrollado por un tercero.
Los sistemas de IA de alto riesgo son los que se usan en ámbitos donde sus decisiones pueden tener consecuencias significativas para las personas. El AI Act incluye una lista taxativa en su Anexo III, que cubre entre otros:
- Selección y evaluación de personal: cualquier sistema de IA que se use para filtrar currículums, puntuar candidatos, tomar decisiones de contratación o evaluar el rendimiento de empleados.
- Acceso a servicios esenciales: sistemas que determinen el acceso a crédito, seguros, prestaciones sociales o servicios públicos.
- Educación y formación profesional: herramientas de IA que evalúen el progreso de estudiantes, determinen el acceso a programas educativos o certifiquen competencias.
- Infraestructuras críticas: IA utilizada en gestión de redes de energía, agua, transporte o sistemas financieros.
- Seguridad y control fronterizo: sistemas de verificación de identidad, detección de riesgos o evaluación de solicitudes de visado.
Para la mayoría de empresas medianas y grandes, el foco de atención inmediato deben ser los procesos de RRHH. El uso de cualquier herramienta de IA —incluso una integración de ChatGPT en un ATS (sistema de seguimiento de candidatos)— que automatice o asista decisiones de selección ya entra dentro del ámbito del reglamento a partir de agosto de 2026.
Las cinco obligaciones principales para las empresas
Para las organizaciones que desplieguen sistemas de IA de alto riesgo, el AI Act establece un conjunto de obligaciones que deben estar implementadas ahora:
- Registro en la base de datos europea de sistemas de alto riesgo: antes de poner en marcha un sistema de IA de alto riesgo, la empresa debe registrarlo en la base de datos de la UE. Este requisito aplica tanto a los proveedores como a los desplegadores (las empresas que lo usan).
- Evaluación de conformidad: demostrar que el sistema cumple con los requisitos técnicos del AI Act: robustez, precisión, transparencia, supervisión humana y seguridad de datos. Para los sistemas de mayor impacto, esta evaluación debe realizarla un organismo notificado externo.
- Alfabetización en IA del personal: el Artículo 4 del AI Act obliga a todas las organizaciones —no solo a las que usan IA de alto riesgo— a garantizar que el personal que trabaja con herramientas de IA tiene un nivel suficiente de formación para entender qué está usando y cuáles son sus limitaciones. Esta obligación entró en vigor desde febrero de 2025, pero su aplicación práctica se refuerza ahora.
- Documentación técnica y registro de actividad: mantener documentación que acredite cómo funciona el sistema, quién lo usa, en qué decisiones interviene y cómo se supervisa. Esta documentación debe estar disponible para las autoridades de supervisión en caso de inspección.
- Mecanismos de supervisión humana: los sistemas de alto riesgo no pueden operar de forma totalmente autónoma en las decisiones que afectan a personas. Debe existir siempre un proceso de revisión humana que pueda intervenir, corregir o rechazar la decisión del sistema.
Las sanciones: qué pasa si no cumples
El AI Act establece un régimen sancionador que supera al del RGPD en sus tramos más elevados:
- Infracción de las prohibiciones absolutas (como los sistemas de puntuación social o la manipulación subliminal): hasta 35 millones de euros o el 7% de la facturación mundial de la empresa, lo que sea mayor.
- Incumplimiento de obligaciones para sistemas de alto riesgo: hasta 15 millones de euros o el 3% de la facturación.
- Proporcionar información incorrecta a las autoridades: hasta 7,5 millones de euros o el 1,5% de la facturación.
Para las pymes, el reglamento prevé un régimen proporcional: las sanciones se modulan según el tamaño de la organización y su capacidad económica. Pero esto no significa que las pequeñas empresas estén exentas: significa que la multa será menor, no que el incumplimiento sea aceptable.
Cómo ponerse en regla: los primeros pasos que puede dar cualquier empresa ahora
La realidad es que la mayoría de empresas españolas no están en situación de cumplimiento pleno con el AI Act en agosto de 2026. Pero el punto de partida correcto no es el pánico: es la acción ordenada. Estos son los pasos más urgentes:
- Hacer un inventario de las herramientas de IA en uso: muchas organizaciones no tienen una visión completa de qué herramientas de IA están usando sus equipos, en qué procesos y con qué datos. El primer paso es listarlas todas, incluyendo las integraciones que no son visibles como «IA» (filtros automáticos de email, scoring de clientes en el CRM, asistentes de redacción de RRHH).
- Clasificar cuáles caen dentro del ámbito del AI Act: no todas las herramientas de IA son de alto riesgo. Una vez identificadas, hay que evaluar si intervienen en decisiones que afectan a personas en los ámbitos listados en el Anexo III. Esta clasificación es el paso más técnico y donde suele ser útil el apoyo de un especialista legal.
- Cumplir la obligación de alfabetización en IA: esta es la más urgente y también la más accionable. El Artículo 4 no exige un programa de formación específico de semanas: exige que el personal que usa IA entienda qué está usando. Acreditar que los empleados han recibido formación básica en IA es el primer elemento de compliance que cualquier empresa puede demostrar.
- Documentar los procesos donde interviene la IA: aunque la evaluación de conformidad completa lleve tiempo, empezar a documentar cómo y dónde se usa la IA dentro de la organización ya es un paso concreto que reduce el riesgo en caso de inspección.
El AI Act no es otra regulación europea que llega y se olvida en un cajón. Es el marco legal que va a definir cómo pueden usar la IA las empresas europeas durante los próximos años, y las autoridades de supervisión ya tienen fecha para empezar a actuar. Las empresas que empiecen ahora tienen todavía margen de maniobra; las que esperen a recibir una notificación de inspección, no.
Legalidad en Aplicación de IA · Gama 6
Entiende el AI Act y pon tu empresa en regla antes de las primeras inspecciones
Formación práctica en legalidad de la IA para equipos no técnicos: qué obliga el AI Act, cómo clasificar tus sistemas, cómo cumplir la obligación de alfabetización en IA y qué documentar. Con certificación incluida.
