La inteligencia artificial ha dejado de ser únicamente una cuestión tecnológica. Desde el 2 de agosto de 2026, una nueva fase del Reglamento Europeo de Inteligencia Artificial —Reglamento (UE) 2024/1689, conocido como AI Act— es plenamente relevante para empresas, administraciones, profesionales y organizaciones que desarrollan, comercializan, integran o utilizan sistemas de IA.

Uno de los cambios más visibles es la aplicación de las obligaciones de transparencia del artículo 50: informar en determinados casos cuando una persona interactúa con inteligencia artificial, facilitar la identificación de contenido sintético y advertir sobre deepfakes o determinados contenidos generados o manipulados mediante IA. Paralelamente, la Comisión Europea comienza a ejercer plenamente sus competencias de supervisión respecto a los proveedores de modelos de IA de propósito general.

Pero existe un mensaje que considero todavía más importante para las empresas, especialmente para las pymes: cumplir el AI Act no consiste en dejar de utilizar inteligencia artificial. Consiste en saber qué IA utilizamos, para qué la utilizamos, qué riesgos genera, quién responde por ella y qué controles debemos establecer.

Y esto convierte la regulación en algo mucho más cercano a la gestión empresarial, la formación, los recursos humanos, la innovación y la cultura organizativa de lo que a primera vista podría parecer.

El AI Act no ha empezado en agosto de 2026

Conviene aclarar algunos aspectos porque alrededor del calendario del Reglamento se están difundiendo mensajes demasiado simplificados.

El AI Act entró en vigor el 1 de agosto de 2024. Lo que sucede es que sus obligaciones se aplican progresivamente. Desde el 2 de febrero de 2025 ya eran aplicables, entre otras disposiciones, las prácticas prohibidas inicialmente previstas y las obligaciones relacionadas con la alfabetización en inteligencia artificial. Desde el 2 de agosto de 2025 comenzaron a aplicarse las reglas relativas a los modelos de IA de propósito general y otras disposiciones de gobernanza.

Además, el calendario original ha sufrido una modificación importante. El Reglamento (UE) 2026/1744, denominado Ómnibus Digital sobre IA, publicado en julio de 2026, ha modificado diversos aspectos del AI Act y ha aplazado determinadas obligaciones relativas a los sistemas de alto riesgo.

Por tanto, no estamos ante una normativa que “empiece” ahora, sino ante un proceso de aplicación progresiva que entra en una fase especialmente práctica para miles de organizaciones.

Calendario actualizado que conviene tener presente

Fecha Principal hito
1 agosto 2024 Entrada en vigor del Reglamento Europeo de IA.
2 febrero 2025 Aplicación de las primeras prohibiciones y de la alfabetización en IA, entre otras disposiciones.
2 agosto 2025 Aplicación de las obligaciones para proveedores de modelos de IA de propósito general.
27 julio 2026 Entrada en vigor del Reglamento (UE) 2026/1744, Ómnibus Digital sobre IA.
2 agosto 2026 Aplicación general de buena parte del Reglamento y obligaciones de transparencia del artículo 50. Comienza también la plena capacidad de ejecución de la Comisión respecto a proveedores de modelos GPAI.
2 diciembre 2026 Finaliza el periodo transitorio para determinado marcado técnico de sistemas generativos ya comercializados antes del 2 de agosto de 2026 y comienzan a aplicarse las nuevas prácticas prohibidas introducidas en 2026.
2 agosto 2027 Fecha límite para que determinados modelos GPAI comercializados antes del 2 de agosto de 2025 cumplan las obligaciones correspondientes.
2 diciembre 2027 Aplicación de buena parte de las obligaciones para sistemas de alto riesgo del anexo III.
2 agosto 2028 Aplicación de las obligaciones correspondientes a determinados sistemas de alto riesgo vinculados a productos regulados del anexo I.

El aplazamiento de los sistemas de alto riesgo fue incorporado formalmente por el Ómnibus de 2026: los sistemas clasificados conforme al artículo 6.2 y el anexo III pasan al 2 de diciembre de 2027, mientras que los relacionados con el artículo 6.1 y el anexo I pasan al 2 de agosto de 2028.

Transparencia desde el 2 de agosto de 2026: qué cambia realmente

Uno de los bloques más importantes para empresas y personas usuarias es el artículo 50 del AI Act.

La Comisión Europea publicó el 20 de julio de 2026 sus directrices específicas para facilitar la aplicación de estas obligaciones, que son exigibles desde el 2 de agosto.

Sin embargo, es importante evitar otra simplificación: no significa que cualquier texto, fotografía o documento en cuya elaboración haya participado una IA tenga que llevar necesariamente una etiqueta visible diciendo “creado con IA”.

El Reglamento diferencia obligaciones y responsables.

Cuatro situaciones especialmente relevantes

Situación Obligación principal
Una persona interactúa directamente con un sistema de IA El sistema debe estar diseñado para que la persona sepa que está interactuando con IA, salvo que resulte evidente por el contexto.
Una IA genera o manipula texto, imagen, vídeo o audio sintético El proveedor debe permitir que ese contenido pueda identificarse mediante mecanismos técnicos legibles por máquina y detectables.
Se utiliza reconocimiento de emociones o categorización biométrica El responsable del despliegue debe informar a las personas expuestas, en los supuestos regulados.
Se publican deepfakes o determinados textos sobre asuntos de interés público El responsable del despliegue debe revelar su carácter generado o manipulado artificialmente en los casos previstos.

La propia Comisión explica que los proveedores de sistemas generativos deben aplicar un marcado legible por máquina a los contenidos sintéticos y permitir su detección. Por su parte, quienes utilizan esos sistemas deben informar especialmente cuando publican deepfakes o determinados textos sobre cuestiones de interés público sin revisión humana o control editorial.

Esta distinción es fundamental.

Una empresa que utiliza una herramienta generativa para preparar un borrador, después comprueba los datos, modifica el texto y asume plenamente la responsabilidad editorial no se encuentra en la misma situación que quien automatiza la producción y publicación de contenidos sin revisión humana.

¿Hay que avisar siempre de que estamos hablando con una IA?

Cuando un sistema está diseñado para interactuar directamente con personas, el artículo 50 establece que estas deben ser informadas de que están interactuando con inteligencia artificial, salvo que resulte evidente para una persona razonablemente informada y atenta dadas las circunstancias de uso.

Esto afecta especialmente a:

  • chatbots de atención al cliente;
  • asistentes conversacionales;
  • sistemas automatizados de soporte;
  • asistentes virtuales integrados en webs o aplicaciones;
  • algunas soluciones de recursos humanos o atención ciudadana.

Desde un punto de vista práctico, un aviso sencillo puede evitar muchas dudas:

“Estás interactuando con un asistente basado en inteligencia artificial. Si necesitas atención humana, puedes solicitarla a través de [CANAL].”

Pero la transparencia debería ir más allá de colocar una frase. Una buena organización también debería prever cómo acceder a una persona, cómo reclamar frente a una respuesta incorrecta y quién supervisa el funcionamiento del sistema.

Contenido generado con IA: cuidado con generalizar

Existe un importante matiz entre el marcado técnico del contenido y el etiquetado visible para las personas.

Los proveedores de sistemas que generan contenido sintético de texto, imagen, audio o vídeo deben garantizar, en los términos del Reglamento, que las salidas puedan marcarse en un formato legible por máquina y que pueda detectarse su origen artificial. Hay determinadas excepciones, como sistemas con funciones meramente auxiliares de edición que no alteren sustancialmente el contenido.

Por otro lado, quien utiliza un sistema debe informar de manera visible en situaciones concretas, entre ellas los deepfakes.

El Reglamento define estos últimos en relación con imágenes, audios o vídeos generados o manipulados que se asemejan apreciablemente a personas, lugares, objetos, entidades o acontecimientos reales y que podrían hacer creer falsamente que son auténticos. Para obras claramente artísticas, satíricas, creativas o ficticias existen particularidades en la forma de cumplir esta transparencia.

Por eso recomendaría a cualquier empresa diferenciar internamente al menos tres situaciones:

  1. IA utilizada únicamente para apoyo interno.
  2. IA utilizada para crear contenidos que posteriormente revisa y asume una persona.
  3. Contenidos sintéticos que pueden confundirse con hechos, personas, imágenes, voces o acontecimientos reales.

El nivel de control no debería ser el mismo.

Los modelos de IA de propósito general: una obligación principalmente para sus proveedores

Otra de las cuestiones que puede generar confusión es la relacionada con los denominados modelos de IA de propósito general o GPAI.

Son modelos capaces de servir como base para numerosas aplicaciones diferentes. En esta categoría pueden entrar las tecnologías que sustentan grandes asistentes y plataformas generativas.

Las obligaciones principales para sus proveedores comenzaron a aplicarse el 2 de agosto de 2025, no en 2026. Lo que ocurre desde el 2 de agosto de 2026 es que la Comisión Europea puede ejercer plenamente sus competencias de supervisión y exigir el cumplimiento, incluida la imposición de multas cuando corresponda.

Entre las obligaciones de estos proveedores se encuentran:

  • mantener documentación técnica;
  • proporcionar información suficiente a quienes integren posteriormente el modelo;
  • establecer políticas para respetar la legislación europea sobre derechos de autor;
  • publicar un resumen suficientemente detallado del contenido utilizado para entrenar el modelo;
  • cooperar con las autoridades competentes.

Los modelos considerados de riesgo sistémico deben asumir obligaciones adicionales relacionadas con evaluación y mitigación de riesgos, pruebas, incidentes y ciberseguridad.

Para una pyme que simplemente utiliza ChatGPT, Gemini, Claude u otra herramienta comercial, lo prioritario no suele ser asumir las obligaciones propias del creador del modelo. Su primera pregunta debería ser otra:

¿Qué papel estoy desempeñando realmente respecto a cada sistema que utilizo?

Proveedor, responsable del despliegue, importador… identificar el papel es esencial

El Reglamento distingue distintos actores.

La mayoría de las pequeñas empresas que utilizan soluciones desarrolladas por terceros actuarán habitualmente como responsables del despliegue —deployers—, es decir, organizaciones que utilizan un sistema de IA bajo su propia autoridad en una actividad profesional.

Pero la situación puede cambiar si una empresa:

  • desarrolla su propia solución;
  • comercializa un sistema bajo su marca;
  • modifica sustancialmente un sistema;
  • integra IA en un producto que ofrece a terceros;
  • importa o distribuye determinadas soluciones.

El plan interno de cumplimiento que acompaña a este análisis parte precisamente de esta lógica: inventariar herramientas, identificar el papel de la organización, evaluar el riesgo, revisar proveedores, formar a las personas y documentar controles.

Y me parece el enfoque correcto: antes de preguntar qué obligaciones tenemos, debemos saber qué estamos haciendo con la IA.

La alfabetización en IA ya era obligatoria antes de agosto

La formación merece una mención especial porque afecta potencialmente a muchísimas organizaciones.

El artículo 4 se aplica desde el 2 de febrero de 2025. El Ómnibus Digital de 2026 ha modificado su redacción, pero no ha eliminado la obligación.

La regulación exige ahora que proveedores y responsables del despliegue adopten medidas para apoyar el desarrollo de la alfabetización en IA de su personal y de otras personas que utilicen estos sistemas en su nombre, teniendo en cuenta conocimientos, experiencia, formación, contexto de uso y personas sobre las que puede utilizarse el sistema.

La modificación de 2026 aclara, además, que no se exige garantizar un nivel concreto o idéntico de competencia para todas las personas.

Esto tiene mucho sentido.

No necesita la misma formación quien utiliza ocasionalmente una herramienta para mejorar un correo electrónico que quien:

  • selecciona personal mediante algoritmos;
  • analiza información confidencial;
  • automatiza decisiones;
  • genera contenido público;
  • configura un chatbot;
  • administra una solución de IA;
  • trabaja con datos personales.

Por eso alfabetización en IA no debería confundirse con “hacer un curso de ChatGPT”.

Implica conocer las posibilidades, pero también las alucinaciones, los sesgos, la privacidad, la protección de datos, la propiedad intelectual, la ciberseguridad, la transparencia y los límites de la automatización.

La Comisión mantiene además un repositorio con decenas de prácticas organizativas para promover esta alfabetización.

Recursos humanos y empleo: aplazamiento no significa desentenderse

Este punto me parece especialmente relevante desde la perspectiva del empleo y la orientación laboral.

El anexo III considera de alto riesgo determinados usos de IA en empleo, gestión de trabajadores y acceso al trabajo por cuenta propia. Entre los ejemplos señalados por la Comisión se encuentran sistemas destinados a publicar determinados anuncios de empleo dirigidos, analizar o filtrar candidaturas y evaluar candidatos.

Tras la modificación de 2026, buena parte de las obligaciones específicas del capítulo III para estos sistemas se aplicarán desde el 2 de diciembre de 2027.

Eso proporciona más tiempo para adaptarse, pero sería un grave error interpretar el aplazamiento como autorización para no hacer nada.

Si utilizamos inteligencia artificial para seleccionar, evaluar, promocionar, controlar o tomar decisiones sobre personas, estamos trabajando sobre uno de los ámbitos más sensibles de cualquier organización.

Y, además del AI Act, siguen existiendo obligaciones derivadas de otras normas sobre protección de datos, igualdad, relaciones laborales, derechos fundamentales o no discriminación.

Nuevas prácticas prohibidas desde diciembre de 2026

El Reglamento (UE) 2026/1744 también ha ampliado las prácticas prohibidas.

A partir del 2 de diciembre de 2026 comenzarán a aplicarse nuevas prohibiciones relacionadas, en términos y condiciones definidos por la norma, con sistemas utilizados para generar o manipular material íntimo realista de personas identificables sin su consentimiento y determinados materiales de abuso sexual de menores.

Se incorporan así nuevas respuestas regulatorias frente a algunos de los usos más dañinos que ha facilitado la expansión de la IA generativa, especialmente las denominadas aplicaciones de “desnudado” o creación de imágenes sexuales falsas.

Este es un buen ejemplo de algo que probablemente veremos muchas veces en los próximos años: la regulación de la inteligencia artificial seguirá evolucionando al mismo tiempo que evolucionan sus usos y riesgos.

¿Y las sanciones? No todo incumplimiento supone 35 millones de euros

Otro mensaje que conviene precisar.

Es cierto que el AI Act contempla sanciones de enorme importancia. Pero 35 millones de euros o el 7 % de la facturación mundial no es la sanción general de cualquier incumplimiento del Reglamento.

Ese nivel máximo está previsto especialmente para el incumplimiento de las prácticas prohibidas del artículo 5.

Para incumplimientos relacionados con otras obligaciones, entre ellas determinadas obligaciones de transparencia, la Comisión resume el máximo en 15 millones de euros o el 3 % de la facturación mundial anual, aplicándose además criterios de proporcionalidad y reglas específicas para empresas de menor tamaño.

Los proveedores de modelos de IA de propósito general también pueden afrontar multas de hasta el 3 % de su volumen de negocios mundial anual o 15 millones de euros en los supuestos regulados por el artículo 101.

Por tanto, utilizar las cifras de 35 millones y 7 % como si fueran aplicables automáticamente a cualquier error de transparencia puede generar una alarma innecesaria.

El objetivo debe ser otro: conocer el riesgo real y gestionarlo correctamente.

Siete pasos para empezar a ordenar la IA en una empresa

Para una pyme, un profesional autónomo o una pequeña organización, creo que existe una forma mucho más útil de abordar la normativa que comenzar leyendo centenares de artículos legales.

1. Hacer inventario

Anotar todas las herramientas de IA que se utilizan, incluso aquellas contratadas individualmente por departamentos o trabajadores.

Asistentes generativos, chatbots, herramientas de marketing, traducción, creación de imágenes, selección de personal, CRM, programas de análisis, automatizaciones o aplicaciones empresariales que incorporan funciones de IA.

2. Identificar para qué se utilizan

No basta con conocer la herramienta.

Hay que saber:

    • qué tarea realiza;
    • quién la utiliza;
    • qué información recibe;
    • qué resultados produce;
    • si interactúa con clientes;
    • si genera contenido externo;
    • si afecta a decisiones sobre personas.

3. Determinar el papel de la organización

¿Somos simplemente usuarios profesionales?

¿Estamos integrando un modelo en nuestro servicio?

¿Estamos vendiendo una solución?

¿La modificamos y comercializamos bajo nuestra marca?

La respuesta condiciona las obligaciones.

4. Clasificar el nivel de riesgo

Hay que descartar primero usos prohibidos y detectar después posibles sistemas de alto riesgo o sujetos a obligaciones específicas de transparencia.

5. Revisar proveedores y contratos

Privacidad, seguridad, conservación de información, utilización de los datos para entrenamiento, propiedad intelectual, condiciones de uso, subcontratistas, mecanismos de marcado, registros e incidentes deberían formar parte de la revisión.

6. Aprobar una política interna y formar al equipo

La organización debe explicar qué usos están permitidos, cuáles requieren autorización y qué información nunca debe introducirse en una herramienta no autorizada.

Y la formación debe adaptarse al riesgo real de cada puesto.

7. Documentar

Inventarios, evaluaciones, formación, incidencias, proveedores, decisiones internas y revisiones constituyen evidencias de que existe una verdadera gobernanza de la IA.

Este planteamiento coincide con la estructura del plan interno aportado: inventario, identificación de roles, clasificación de riesgos, transparencia, protección de datos, supervisión humana, formación, proveedores, incidentes y evidencias.

Oportunidades profesionales: el cumplimiento también crea nuevas necesidades

Toda transformación regulatoria genera nuevas competencias y necesidades profesionales.

En este caso pueden ganar relevancia perfiles relacionados con:

  • gobernanza de IA y Responsible AI;
  • protección de datos;
  • compliance tecnológico;
  • ciberseguridad;
  • gestión y calidad del dato;
  • auditoría de algoritmos;
  • contratación tecnológica;
  • gestión de proveedores;
  • formación y alfabetización en IA;
  • recursos humanos y relaciones laborales;
  • gestión del cambio;
  • evaluación de riesgos;
  • diseño de procesos con supervisión humana.

No significa que todas las pymes necesiten crear un departamento de “AI Governance”.

Sí significa que cada organización necesitará identificar quién asume determinadas responsabilidades, aunque se distribuyan entre dirección, informática, recursos humanos, protección de datos, asesoría externa y responsables de las diferentes áreas.

Pymes: la regulación tiene que convertirse en acompañamiento

Aquí entra también una cuestión de desarrollo local.

Si queremos que las pequeñas empresas adopten inteligencia artificial de forma responsable, no podemos dejar el cumplimiento exclusivamente en manos de grandes consultoras o departamentos jurídicos que muchas de ellas nunca tendrán.

Agencias de desarrollo local, cámaras de comercio, asociaciones empresariales, centros tecnológicos, universidades, organizaciones empresariales, entidades de formación y administraciones tienen una oportunidad clara para crear:

  • diagnósticos sencillos;
  • modelos de inventario;
  • políticas internas básicas;
  • formación sectorial;
  • herramientas de autoevaluación;
  • asesoramiento especializado;
  • espacios de experimentación;
  • intercambio de buenas prácticas.

El propio Ómnibus de 2026 insiste en la proporcionalidad y en facilitar la aplicación de las normas a pymes, empresas emergentes y pequeñas empresas de mediana capitalización.

El desarrollo local también consiste en esto: traducir grandes transformaciones tecnológicas y regulatorias en herramientas comprensibles y accesibles para quienes trabajan y emprenden en nuestros territorios.

 

Riesgos que no deberíamos perder de vista

El cumplimiento documental es necesario, pero no suficiente.

Podemos tener un maravilloso manual corporativo sobre IA y, al mismo tiempo, trabajadores introduciendo contratos, currículos, información de clientes o documentos internos en herramientas que nadie ha evaluado.

Podemos disponer de un chatbot perfectamente identificado y ofrecer respuestas incorrectas sin un canal humano adecuado.

Podemos formar a toda la plantilla durante dos horas y pensar que la alfabetización ya está resuelta para siempre.

Por eso considero especialmente importante asumir tres principios:

la gobernanza de la IA es continua, la responsabilidad sigue siendo humana y la tecnología debe estar al servicio de las personas, no al revés.

Valoración profesional: de la prohibición al criterio

Desde mi experiencia en empleo, formación, emprendimiento, innovación y desarrollo local, creo que el mayor valor del AI Act puede no estar en las sanciones.

Está en obligarnos a hacernos preguntas que deberíamos habernos planteado incluso sin Reglamento:

¿Qué herramientas estamos utilizando? ¿Qué información les entregamos? ¿Podemos confiar ciegamente en sus respuestas? ¿Quién toma la decisión final? ¿Cómo puede reclamar una persona? ¿Está preparado nuestro equipo para trabajar con ellas?

La respuesta no puede ser prohibir la IA por miedo.

Pero tampoco puede ser incorporarla a cualquier proceso simplemente porque esté disponible y resulte barata, rápida o atractiva.

Entre ambos extremos existe un espacio enorme para la innovación responsable.

Y ahí encuentro también una oportunidad: las empresas que aprendan antes a utilizar inteligencia artificial con criterio podrán generar más confianza, mejorar sus procesos, reducir errores y construir una cultura organizativa preparada para tecnologías que van a cambiar continuamente.

Conclusión: no necesitamos empresas que utilicen más IA, sino organizaciones que sepan utilizarla mejor

El AI Act entra en una etapa decisiva, pero el cumplimiento no debería convertirse en un ejercicio burocrático basado exclusivamente en colocar etiquetas, guardar documentos y evitar multas.

La verdadera transformación llegará cuando una empresa pueda responder con claridad a cuatro preguntas:

qué IA utiliza, para qué la utiliza, qué riesgos asume y quién responde de sus decisiones.

Inventariar, evaluar, formar, supervisar y documentar no son únicamente obligaciones regulatorias. Son prácticas de buena gestión.

Y quizá esa sea una de las conclusiones más interesantes del Reglamento Europeo de Inteligencia Artificial: en un momento en el que las máquinas pueden generar cada vez más cosas por nosotros, el criterio, la responsabilidad y la capacidad de decidir conscientemente se vuelven todavía más humanos y más valiosos.

Contenido divulgativo. La aplicación concreta del Reglamento depende del sistema, su finalidad, el papel de la organización y las circunstancias específicas, por lo que determinados casos requieren análisis jurídico y técnico individualizado.

 

Fuentes y enlaces principales