El Reglamento europeo de IA (el «AI Act») ya afecta a tu empresa si usas herramientas de IA. Desde febrero de 2025, no puedes usar la IA para prácticas prohibidas. También tienes que tomar medidas para que tu equipo tenga alfabetización en IA. Desde agosto de 2026, tienes que señalar el contenido realista generado con IA. Para los casos de alto riesgo, como la IA que filtra candidatos, el Ómnibus digital aplazó las obligaciones más exigentes al 2 de diciembre de 2027. El proyecto de ley español que debía fijar las sanciones caducó en octubre de 2026, pero el Reglamento europeo se sigue aplicando.
Resumen del AI Act en un párrafo
El AI Act (Reglamento (UE) 2024/1689) regula la IA según su riesgo. Algunos casos de uso están totalmente prohibidos. Para los casos de alto riesgo (casi todos sobre personas) hay normas estrictas. Hay obligaciones de transparencia para los sistemas que interactúan con personas o generan contenido. Todo lo demás apenas está regulado. La ley define papeles y sus obligaciones: el proveedor (quien desarrolla o vende el sistema de IA, por ejemplo OpenAI, Google, Anthropic o una empresa de software) y el responsable del despliegue (quien usa el sistema de IA bajo su propia autoridad). La mayoría de las empresas son responsables del despliegue, con obligaciones más ligeras, pero que ya se aplican.
El calendario después del Ómnibus digital
El Ómnibus digital sobre IA (Reglamento (UE) 2026/1744) está en vigor desde el 27 de julio de 2026. Cambió los plazos del alto riesgo y añadió dos prohibiciones. Este es el calendario actual:
| Fecha | Qué se aplica | ¿Afecta a una empresa que usa IA? |
|---|---|---|
| 1 de agosto de 2024 | Entra en vigor el AI Act | Todavía sin obligaciones |
| 2 de febrero de 2025 | Prácticas prohibidas; alfabetización en IA (artículo 4) | Sí |
| 2 de agosto de 2025 | Obligaciones de los proveedores de modelos de IA de uso general; gobernanza; sanciones | No directamente |
| 27 de julio de 2026 | Entra en vigor el Ómnibus digital; nueva redacción del artículo 4 | Sí (cambia la obligación de alfabetización) |
| 2 de agosto de 2026 | Transparencia (artículo 50) | Sí (si publicas contenido generado con IA o usas reconocimiento de emociones) |
| 2 de diciembre de 2026 | Dos nuevas prohibiciones; marcado legible por máquina de los sistemas generativos en el mercado | Sí (las prohibiciones; el marcado es tarea del proveedor) |
| 2 de agosto de 2027 | Cada Estado miembro debe tener en marcha un espacio controlado de pruebas de IA | Opcional (probar con el regulador) |
| 2 de diciembre de 2027 | Sistemas de alto riesgo del anexo III (antes, agosto de 2026) | Solo si usas la IA en esos casos de uso |
| 2 de agosto de 2028 | IA de alto riesgo en productos del anexo I (máquinas, productos sanitarios…) | Solo si fabricas esos productos |
¿Qué ha cambiado con el Ómnibus digital y qué no?
El Ómnibus digital se presentó como una simplificación. Para las empresas que solo usan IA, no cambió tanto como parecía por los titulares:
- Aplazamiento de las obligaciones de alto riesgo: el 2 de diciembre de 2027 para los casos de uso del anexo III, y el 2 de agosto de 2028 para la IA en productos regulados.
- La obligación de alfabetización en IA es más flexible, pero sigue ahí. Antes, el artículo 4 decía que las empresas debían garantizar un nivel suficiente de alfabetización en IA. Ahora dice que deben adoptar medidas que la apoyen. Y no hay que garantizar un nivel concreto de cada persona.
- Dos nuevas prohibiciones (desde el 2 de diciembre de 2026): la IA que genera o manipula imágenes sexuales explícitas de personas identificables sin su consentimiento. Y la IA que genera material de abuso sexual infantil.
- Más alivio para las empresas en crecimiento. Las multas reducidas y la documentación simplificada de las pymes se aplican ahora también a las pequeñas empresas de mediana capitalización.
- Base jurídica para corregir sesgos. Los proveedores pueden, con condiciones estrictas, tratar datos personales sensibles para detectar y corregir sesgos en sus sistemas.
Lo que no ha cambiado: las prohibiciones originales, las normas de transparencia del artículo 50 y las obligaciones de los proveedores de modelos de uso general. Todas se aplican en sus fechas originales.
Qué tienes que hacer como empresa que usa IA
1. Evitar las prácticas prohibidas
Desde el 2 de febrero de 2025, el AI Act prohíbe (entre otras): las técnicas manipuladoras o engañosas que alteran el comportamiento de las personas y les causan un perjuicio importante. Aprovechar las vulnerabilidades de las personas (edad, discapacidad, situación económica). La puntuación social. Inferir las emociones de empleados o estudiantes (salvo por motivos médicos o de seguridad). Clasificar a las personas por sus datos biométricos para deducir rasgos sensibles como el origen étnico, las opiniones políticas o la orientación sexual. Extraer imágenes de internet para crear bases de datos de reconocimiento facial. La que más probablemente afecte a una empresa normal es el reconocimiento de emociones en el trabajo (puntuar el «estado de ánimo» del personal de un centro de llamadas o de los candidatos en una entrevista por vídeo).
2. Formar a tu equipo (artículo 4)
Toda empresa que usa IA debe tomar medidas para que su personal (y quien use la IA en su nombre) sepa qué pueden hacer las herramientas y qué no, cuáles son los riesgos y cuáles son las reglas de la empresa. No hace falta un certificado oficial. No hay un mínimo de horas. Pero deberías poder demostrar qué formación has dado y a quién. Así que, en la práctica: una sesión breve para todos. Una política de uso de IA por escrito. Y un registro de quién ha hecho las dos cosas. Más en nuestra guía del artículo 4.
3. Ser transparente (artículo 50)
Desde el 2 de agosto de 2026:
- Ultrafalsificaciones («deepfakes»): si publicas una imagen, un audio o un vídeo generado o manipulado con IA que parece real, debes decir que es artificial. En una obra claramente creativa o satírica, basta con avisar sin estropearla.
- Textos sobre asuntos de interés público: si publicas textos generados con IA para informar al público, debes decirlo. Salvo que una persona los haya revisado y haya responsabilidad editorial. Por ejemplo, la descripción de un producto o un correo de marketing no suelen ser información de «interés público». Pero un artículo de tipo periodístico puede serlo.
- Reconocimiento de emociones, categorización biométrica: si los usas (y no están prohibidos), debes informar a las personas expuestas.
- Chatbots: si usas un sistema que interactúa con personas, debe quedar claro que es una IA. Esta obligación es del proveedor. Pero si tienes un chatbot en tu web, comprueba que lo hace.
4. Si usas la IA en un ámbito de alto riesgo (desde el 2 de diciembre de 2027)
Los responsables del despliegue de sistemas de alto riesgo deben:
- Usar el sistema según las instrucciones del proveedor (artículos 26 y 27)
- Encargar la supervisión humana a personas con la competencia y la autoridad para corregir el sistema
- Asegurarse de que los datos de entrada que controlan son pertinentes
- Vigilar el sistema y comunicar los incidentes graves
- Conservar los registros que genera el sistema durante al menos seis meses
- Informar a los trabajadores y a sus representantes antes de usar un sistema de alto riesgo en el trabajo
- Informar a las personas cuando un sistema de alto riesgo se usa para tomar decisiones sobre ellas. Explicarles la decisión si lo piden (artículo 86)
- Hacer una evaluación de impacto en los derechos fundamentales si son un organismo público, prestan un servicio público o usan la IA para evaluar la solvencia o fijar el precio de seguros de vida y de salud.
¿Usas la IA en un caso de alto riesgo?
El anexo III enumera los ámbitos en los que la IA es de alto riesgo. Para una empresa normal, importan dos:
- Empleo: la IA que se usa para contratar o seleccionar personal (ofertas de empleo dirigidas, filtrado y evaluación de candidatos). Para decidir ascensos o despidos. Para repartir tareas según el comportamiento o los rasgos personales. Para vigilar y evaluar el rendimiento.
- Acceso a servicios esenciales: la IA que evalúa la solvencia de particulares. O que fija el precio de seguros de vida y de salud.
Los demás ámbitos del anexo III (identificación biométrica, infraestructuras críticas, educación, aplicación de la ley, migración, justicia y procesos electorales) afectan sobre todo a organismos públicos y a proveedores especializados.
Pero hay una excepción importante (artículo 6, apartado 3): un sistema de uno de esos ámbitos no es de alto riesgo si solo hace una tarea de procedimiento limitada. O mejora el resultado de un trabajo que ya hizo una persona. O detecta patrones sin sustituir el criterio humano. O hace un trabajo preparatorio. Siempre es de alto riesgo si elabora perfiles de personas. Así que pedirle a la IA que redacte una oferta de empleo no es de alto riesgo. Pero dejar que ordene a los candidatos, sí.
Sanciones
El AI Act fija multas máximas en tres niveles (artículo 99):
| Infracción | Multa máxima |
|---|---|
| Prácticas prohibidas | 35 millones de euros o el 7 % de la facturación mundial anual (lo que sea mayor) |
| La mayoría de las demás obligaciones (también las de los responsables del despliegue) | 15 millones de euros o el 3 % |
| Dar información incorrecta o engañosa a las autoridades | 7,5 millones de euros o el 1 % |
Para las pymes (y, desde el Ómnibus, las pequeñas empresas de mediana capitalización), el límite es la menor de las dos cifras. Cada Estado miembro fija su propio régimen sancionador dentro de esos límites. Y quién lo aplica.
España: quién lo vigila, y la ley española de IA que caducó
España fue el primer país de la UE en crear una agencia de supervisión de la IA: la AESIA (Agencia Española de Supervisión de la Inteligencia Artificial), con sede en A Coruña. La autoridad española de protección de datos (AEPD) sigue siendo la autoridad en todo lo que toca a datos personales.
Pero España no tiene una ley propia de IA. El proyecto de ley del Gobierno para el «buen uso y la gobernanza de la inteligencia artificial» (que designaba las autoridades y fijaba el régimen sancionador español) llegó al Congreso en junio de 2026. Pero caducó el 6 de octubre de 2026, porque el Real Decreto 806/2026 disolvió las Cortes ante las elecciones generales del 29 de noviembre. Así que el próximo Gobierno tendrá que empezar de nuevo con otro proyecto.
Pero esto no suspende nada. El AI Act es un reglamento europeo y se aplica directamente en España. En las fechas de arriba. Si las autoridades españolas pueden imponer multas antes de que una ley nacional fije el régimen sancionador es una cuestión que discuten los juristas. Pero lo prudente es dar por hecho que las obligaciones están en vigor. Y que lo que hayas hecho para cumplirlas se valorará cuando las reglas estén completas.
Qué hacer este trimestre
- Haz una lista de las herramientas de IA que usa tu empresa (también las que se usan con cuentas personales). ¿Para qué se usan?
- Comprueba si la lista incluye prácticas prohibidas o casos de alto riesgo. Para la mayoría de las empresas, la respuesta será «no» en los dos casos. Pero conviene estar seguro.
- Escribe o actualiza tu política de uso de IA. Y da a todo el equipo una sesión de formación breve. Apunta quién la ha hecho.
- ¿Cómo señalas el contenido generado con IA que publicas? Sobre todo las imágenes y los vídeos realistas.
- Si tienes algún caso de alto riesgo, empieza ya a preparar diciembre de 2027: supervisión humana, registros, informar al personal, pedir la documentación al proveedor.
- Revísalo cada año. Y cada vez que cambies de herramientas.
Para el resto de lo que necesita una empresa española para usar la IA (RGPD, cómo elegir proveedor, un plan de 90 días), lee nuestra guía de la IA en la empresa en España.
Fuentes
- Reglamento (UE) 2024/1689 de Inteligencia Artificial: artículos 3, 4, 5, 6, 26, 27, 50, 86, 99 y 113. Anexo III.
- Reglamento (UE) 2026/1744 (Ómnibus digital sobre IA). Versión consolidada en el AI Act Explorer (en inglés).
- AESIA (Agencia Española de Supervisión de la Inteligencia Artificial).
- Congreso de los Diputados: Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial (121/000096). Caducado el 6 de octubre de 2026. Real Decreto 806/2026 (disolución de las Cortes).
- Comisión Europea: preguntas y respuestas sobre la alfabetización en IA.