El último trimestre de 2026 ha llegado con una realidad que muchas empresas siguen ignorando: el AI Act europeo ya no es una norma futura. Las obligaciones para sistemas de IA de alto riesgo están en vigor, los plazos de adaptación para la mayoría de categorías han vencido, y las primeras inspecciones de cumplimiento en el mercado español ya están en marcha. Este checklist del AI Act está pensado para que cualquier empresa pueda saber exactamente en qué punto está y qué le falta para cerrar 2026 en regla.
Qué exige el AI Act: lo esencial que toda empresa debe saber
El Reglamento Europeo de Inteligencia Artificial clasifica los sistemas de IA en cuatro niveles de riesgo: inaceptable (prohibido), alto, limitado y mínimo. La mayoría de las empresas que usan herramientas de IA generativa (chatbots, asistentes, sistemas de selección de personal, análisis predictivo de clientes) operan en la categoría de riesgo limitado o alto, lo que implica obligaciones concretas de transparencia, documentación y supervisión humana.
El error más común que estamos viendo en pymes y medianas empresas es creer que el AI Act «solo aplica a las empresas que desarrollan IA». No es así: aplica a cualquier empresa que use sistemas de IA en procesos que afecten a personas, independientemente de si el sistema lo ha desarrollado ella o lo ha comprado a un proveedor externo.
Checklist AI Act para empresas: 10 puntos que debes verificar ahora
Usa esta lista para hacer una primera auditoría rápida de tu situación. Marca los que ya tienes cubiertos e identifica las brechas pendientes:
- Inventario de sistemas de IA: ¿tienes documentados todos los sistemas de IA que usa tu empresa, incluyendo los contratados como SaaS? Muchas empresas no saben exactamente qué herramientas de IA están activas en sus procesos.
- Clasificación de riesgo: ¿has determinado el nivel de riesgo de cada sistema según la taxonomía del AI Act? Un sistema de scoring de candidatos o un chatbot de atención al cliente tiene implicaciones distintas a un asistente de redacción.
- Política de uso de IA documentada: ¿existe un documento interno que regule cómo y para qué se usa la IA en tu empresa? El AI Act lo exige como parte de la gobernanza mínima para sistemas de riesgo limitado.
- Supervisión humana: ¿hay protocolos establecidos para que las decisiones tomadas o apoyadas por IA puedan ser revisadas y corregidas por personas? La supervisión humana no es opcional en ningún nivel de riesgo.
- Transparencia hacia usuarios: si usas chatbots o asistentes de IA en contacto con clientes, ¿les informas de que están interactuando con un sistema automatizado? Es un requisito explícito del reglamento.
- Gestión de proveedores de IA: ¿has revisado los contratos con tus proveedores de IA para verificar que cumplen con el AI Act en su parte? La responsabilidad es compartida entre el proveedor y el desplegador.
- Registro de decisiones automatizadas: para los procesos donde la IA apoya decisiones que afectan a personas (RRHH, crédito, acceso a servicios), ¿existe un registro de esas decisiones y su justificación?
- Evaluación de impacto en derechos fundamentales: si operas sistemas de IA de alto riesgo, ¿has realizado la evaluación de impacto requerida antes del despliegue?
- Plan de formación del equipo: el AI Act exige que el personal que use o supervise sistemas de IA tenga la competencia necesaria. ¿Tienes un plan de capacitación documentado? El certificado de IA del equipo puede ser parte de esta evidencia.
- Punto de contacto para reclamaciones: ¿tienes un canal definido para que empleados o clientes puedan reportar problemas relacionados con el uso de IA en tu empresa?
Las brechas más frecuentes que encontramos en empresas españolas
Después de trabajar con más de 500 profesionales y sus empresas en la integración de herramientas de IA, las tres brechas que encontramos con más frecuencia en el análisis de cumplimiento IA son:
- Ausencia de política interna de uso de IA: el 78% de las empresas medianas que analizamos no tiene ningún documento que regule cómo se usa la IA internamente. Esto expone a sanciones directas y crea inconsistencias operativas.
- Personal sin formación certificada: el reglamento exige competencia acreditada para los usuarios de sistemas de IA. Muchas empresas tienen equipos que usan herramientas de IA a diario pero sin ninguna formación formal ni certificado de IA que lo avale.
- Confusión sobre la responsabilidad en la cadena de proveedores: contratar un SaaS que usa IA no exime de responsabilidad. Las empresas que usan sistemas de IA de terceros también son «desplegadores» a efectos del AI Act y tienen obligaciones propias.
Ley de IA para empresas: plazos clave que no puedes ignorar en Q4 2026
El calendario de aplicación del AI Act tiene fechas críticas que ya han pasado o están próximas:
- Agosto 2024: entrada en vigor del reglamento. Las prohibiciones de sistemas de IA de riesgo inaceptable ya son aplicables.
- Febrero 2025: aplicación de las normas sobre modelos de IA de uso general (GPT, Gemini, Claude y similares).
- Agosto 2026: aplicación plena para sistemas de IA de alto riesgo en RRHH, crédito, acceso a servicios esenciales y gestión de infraestructuras críticas.
- Q4 2026 — Ahora mismo: las autoridades nacionales de supervisión están activas. Las primeras inspecciones y requerimientos de documentación ya se están produciendo en empresas europeas.
Las sanciones por incumplimiento oscilan entre el 1% y el 7% de la facturación global anual, dependiendo de la gravedad. Para una empresa de 5 millones de euros de facturación, el riesgo máximo supera los 350.000 euros. No es una multa menor.
Cómo cerrar 2026 en regla: el siguiente paso concreto
Hay dos cosas que puedes hacer esta semana para avanzar de forma concreta en el cumplimiento IA de tu empresa:
La primera es completar el inventario de sistemas de IA activos en tu organización. Es el punto de partida de cualquier proceso de cumplimiento y, sorprendentemente, pocas empresas lo tienen hecho.
La segunda es garantizar que tu equipo tiene la competencia acreditada que el AI Act exige. El programa Legalidad en IA de ENARTI te da exactamente eso: los conocimientos prácticos para gestionar el uso de IA dentro del marco regulatorio europeo, con certificación ARP reconocida como evidencia de competencia. En menos de un mes, tu equipo puede tener cubierto el punto del checklist de formación.