El Reglamento Europeo de Inteligencia Artificial — el AI Act — ha dejado de ser una norma sobre el papel. A lo largo de este 2026 se han activado progresivamente las obligaciones para los distintos tipos de sistemas de IA, y las primeras sanciones administrativas ya se están materializando en varios países miembros. España, con la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) como organismo competente, está siguiendo el mismo camino. Para las empresas que todavía no se han puesto a trabajar en ello, el margen de tiempo se está cerrando.
Lo más relevante no es solo la existencia de multas —que pueden llegar hasta los 35 millones de euros o el 7% de la facturación global para infracciones graves— sino el hecho de que las autoridades no están esperando a que las empresas cometan un error grave. Las inspecciones proactivas han comenzado en sectores de alto riesgo, y lo que los equipos de supervisión están encontrando en muchas organizaciones es una combinación preocupante: el uso real de IA está por delante de cualquier tipo de gobernanza interna.
Qué fases del AI Act están ya en vigor
El AI Act estableció un calendario progresivo de aplicación. Los puntos más relevantes para la mayoría de empresas en este momento son:
- Sistemas de IA prohibidos: en vigor desde febrero de 2025. Incluyen sistemas de puntuación social, manipulación subliminal o reconocimiento de emociones en contextos no permitidos.
- Requisitos para sistemas de alto riesgo: en vigor desde agosto de 2026. Afectan a sistemas usados en selección de personal, crédito, acceso a servicios públicos esenciales, infraestructuras críticas y sistemas educativos.
- Obligaciones para modelos de IA de propósito general (GPAI): activas desde agosto de 2025 para proveedores y desde 2026 para usuarios corporativos.
- Sistemas de IA en el ámbito laboral: monitorización de rendimiento, sistemas de toma de decisiones automatizadas sobre empleados — categoría de alto riesgo con requisitos de transparencia y supervisión humana.
El elemento que más sorprende a las empresas cuando profundizan en la norma es el concepto de «sistema de alto riesgo». Muchas organizaciones utilizan herramientas que encajan en esa categoría — software de selección de CV, plataformas de scoring crediticio, sistemas de gestión de rendimiento — sin haber identificado que están dentro del ámbito de la regulación.
Qué están revisando los organismos supervisores
Las primeras actuaciones de supervisión en Europa están poniendo el foco en varios elementos concretos:
- Registro de sistemas de IA utilizados: las empresas deben poder identificar qué sistemas de IA usan, con qué finalidad y bajo qué categoría de riesgo del AI Act.
- Evaluaciones de conformidad: para sistemas de alto riesgo, debe existir documentación técnica, registro de eventos, medidas de supervisión humana y plan de gestión de riesgos.
- Política de IA interna: las entidades reguladas bajo sectores específicos (banca, seguros, energía) necesitan una política formal que regule el uso de IA a nivel corporativo.
- Formación de empleados: el AI Act exige que las personas que trabajan con sistemas de IA tengan un nivel suficiente de alfabetización digital en IA — y esto se puede acreditar.
- Transparencia hacia los usuarios: cuando una decisión que afecta a una persona se toma o asiste mediante IA, existe la obligación de comunicarlo de forma comprensible.
Los errores más frecuentes que están encontrando las inspecciones
«La mayoría de empresas están utilizando IA en algún proceso, pero muy pocas tienen un inventario real de esos sistemas ni una evaluación de riesgos documentada.» — Observaciones de asesores especializados en regulación IA, septiembre 2026.
En las revisiones que se están realizando en empresas de distintos tamaños y sectores, los problemas más recurrentes son:
- Ausencia de inventario de IA: no existe un registro interno de qué herramientas de IA se usan, dónde, para qué y quién las ha validado.
- Confusión entre uso y responsabilidad: usar un sistema de IA de un proveedor externo no exime de responsabilidad al usuario corporativo. Las empresas que delegan en el proveedor sin más análisis están en posición de incumplimiento.
- Falta de formación documentada: la exigencia de alfabetización en IA para personas que trabajan con estos sistemas no está siendo cubierta con una formación puntual o genérica — necesita ser sistemática y verificable.
- Procesos de RRHH no revisados: la selección de personal asistida por IA es una de las categorías de mayor riesgo y también la de menor supervisión en la mayoría de organizaciones.
Qué pasos concretos dar ahora
La buena noticia es que la preparación para el cumplimiento del AI Act no tiene que ser un proyecto de meses o de grandes presupuestos si se hace de forma ordenada. Un plan razonable para una empresa de tamaño medio incluye:
- Hacer un inventario de sistemas de IA actuales: tanto los propios como los de proveedores externos con los que la empresa trabaja.
- Clasificar cada sistema según la categoría de riesgo del AI Act: prohibido, alto riesgo, riesgo limitado o riesgo mínimo.
- Para los de alto riesgo: abrir expediente de conformidad con la documentación técnica mínima exigida y revisar si hay contratos actualizados con los proveedores.
- Establecer una política interna de uso de IA que sea conocida por todos los departamentos que la utilizan.
- Formación: garantizar que las personas que toman o supervisan decisiones asistidas por IA tienen el nivel de comprensión exigido por la norma.
Ninguno de estos pasos requiere convertir la empresa en un departamento jurídico especializado. Lo que sí requieren es criterio y conocimiento de la norma. Y eso, en muchos casos, es donde el gap más grande se está produciendo.
La formación como evidencia de cumplimiento
Uno de los aspectos menos intuitivos del AI Act pero más relevantes desde el punto de vista práctico es que la formación interna en IA puede ser una evidencia directa de cumplimiento. Si tu empresa puede acreditar que las personas que trabajan con sistemas de IA han recibido formación específica y verificable, estás cubriendo uno de los requisitos más inmediatos de la norma y, al mismo tiempo, reduciendo el riesgo real de tomar decisiones inadecuadas con esas herramientas.
El módulo de legalidad IA de ENARTI está diseñado precisamente para esto: dar a equipos y directivos la comprensión práctica del AI Act — qué aplica, qué no aplica, qué documentar y cómo cumplir sin hacer de la regulación un obstáculo.
¿Tu empresa ya tiene claro dónde está en relación al AI Act? El primer paso es entender qué aplica en tu caso concreto. En ENARTI ofrecemos formación específica en legalidad IA orientada a equipos y directivos:
