AI Act 2026: qué obligaciones tiene ya tu empresa (y cuáles se han aplazado)

Las obligaciones del AI Act para empresas en 2026 ya no son un asunto de futuro: si tu empresa usa IA en España, tienes tres bloques aplicables hoy —la prohibición de ciertas prácticas y la alfabetización en IA desde el 2 de febrero de 2025, las reglas para modelos de uso general (GPAI) desde el 2 de agosto de 2025, y la transparencia del artículo 50 desde el 2 de agosto de 2026—. Lo que se ha aplazado, con el Digital Omnibus de IA publicado en el DOUE el 24 de julio de 2026, es el bloque de sistemas de alto riesgo, no el resto.

Esa confusión es hoy el mayor riesgo práctico: desde julio circula la idea de que "Europa ha retrasado el AI Act" y hemos visto archivar el expediente por eso. Nosotros operamos nuestros propios negocios con agentes en producción y hemos tenido que hacer este trabajo para nosotros mismos. Este es el mapa que usamos, con las fechas verificadas a 11 de agosto de 2026 y lo no confirmado marcado como tal.

¿Qué obligaciones del AI Act están ya en vigor en agosto de 2026?

Están en vigor las prácticas prohibidas, la alfabetización en IA, las obligaciones de los modelos de uso general y —desde el 2 de agosto de 2026— la transparencia del artículo 50. Lo que aún no aplica es el régimen de sistemas de alto riesgo, desplazado a diciembre de 2027 y agosto de 2028 según el tipo. El calendario, tras el Reglamento (UE) 2026/1744 (el Digital Omnibus de IA), queda así:

Si tu empresa no fabrica modelos ni vende sistemas de IA, tu foco está en la fila del 2 de agosto de 2026 y en la del 2 de febrero de 2025: son las dos que te obligan como usuaria y las dos que se cumplen con procedimiento interno.

¿Qué cambió realmente el Digital Omnibus de julio de 2026?

El Digital Omnibus de IA aplazó las obligaciones de los sistemas de alto riesgo y amplió las competencias de la Oficina de IA; no derogó nada de lo que ya era exigible. Se publicó en el Diario Oficial de la UE el 24 de julio de 2026 y entró en vigor tres días después, el 27 de julio de 2026.

Los tres movimientos con consecuencias prácticas:

• Alto riesgo autónomo (anexo III) al 2 de diciembre de 2027. Aquí entran los usos que más afectan a una pyme: cribado de currículums y decisiones de contratación, evaluación de solicitudes de crédito, evaluación de estudiantes. Si tenías un proyecto de IA en selección parado por miedo al 2 de agosto de 2026, tienes 16 meses más para prepararlo, no para ignorarlo.
• Alto riesgo embebido en productos regulados (anexo I) al 2 de agosto de 2028. Afecta a fabricantes con marcado CE: maquinaria, producto sanitario, ascensores, juguetes.
• Transparencia intacta. El artículo 50 se aplica desde el 2 de agosto de 2026. La única concesión es un transitorio hasta el 2 de diciembre de 2026 para el marcado legible por máquina del contenido generado, y solo en sistemas que ya estaban en el mercado antes del 2 de agosto.

Sin adornos: el aplazamiento del alto riesgo no cambia nada para la inmensa mayoría de las pymes españolas, porque no operan sistemas de alto riesgo. Lo que sí les aplica —transparencia y alfabetización— sigue igual.

¿Qué es GPAI y por qué te afecta si solo usas ChatGPT o Claude?

GPAI son los modelos de uso general: los modelos base que sirven para muchas tareas, como los de OpenAI, Anthropic, Google, Meta o Mistral. Sus obligaciones —documentación técnica, política de derechos de autor, resumen del contenido de entrenamiento y, en modelos con riesgo sistémico, evaluación y notificación de incidentes— recaen sobre el proveedor del modelo, no sobre ti.

Esto genera dos errores simétricos. El primero, creer que usar un modelo GPAI te convierte en sujeto obligado de ese capítulo: no lo eres si te limitas a consumirlo por API o suscripción. El segundo, más peligroso, deducir de ahí que no tienes ninguna obligación: la tienes por la vía del artículo 50, del artículo 4 y de tus contratos, porque la documentación de tu proveedor es la que sostiene tu propio cumplimiento.

Desde el 2 de agosto de 2026, además, la Oficina de IA puede sancionar directamente a los proveedores de GPAI con hasta el 3 % del volumen de negocio mundial o 15 millones de euros, la cifra que sea mayor. En la práctica te beneficia: esa documentación que necesitas pedirle a tu proveedor tiene ahora un incentivo real para existir.

Hay una frontera que conviene tener clara: pasas de usuaria a proveedor cuando pones tu marca en un sistema de IA que distribuyes a terceros, cuando modificas sustancialmente un sistema de alto riesgo o cuando cambias su finalidad prevista. Usar un asistente interno sobre un modelo ajeno te deja como usuaria; empaquetarlo y venderlo con tu nombre te convierte en proveedor del sistema. Regla que aplicamos: si sale de tu organización con tu nombre encima, documenta desde el primer día.

¿Qué tienes que hacer desde el 2 de agosto de 2026 con la transparencia?

El artículo 50 obliga a que las personas sepan cuándo tratan con una IA o con contenido generado por IA. Reparte las obligaciones entre el proveedor del sistema y el responsable del despliegue —tú, si lo usas en tu empresa—; estas son las cuatro que te tocan:

1. Interacción con IA. Si tienes un chatbot, un agente de voz o un asistente que habla con clientes, la persona debe saber que no habla con un humano, salvo que sea evidente. No hace falta un aviso legal: basta con que se identifique como asistente al inicio.
2. Deepfakes y contenido manipulado. Si publicas imagen, audio o vídeo generado o manipulado con IA que parezca real, tienes que revelarlo de forma clara y distinguible. Hay excepción para obra artística, satírica o de ficción.
3. Texto de interés público. El texto generado por IA que publicas para informar sobre asuntos de interés general —salud, política, medio ambiente, seguridad del consumidor— debe ir etiquetado. Excepción relevante: decae si hay revisión humana con control editorial y alguien asume la responsabilidad.
4. Reconocimiento de emociones y categorización biométrica. Debes informar a las personas expuestas. Y ojo: en el entorno laboral y educativo el reconocimiento de emociones está directamente prohibido desde febrero de 2025.

Nuestra recomendación va más allá de la letra: en los agentes que construimos la identificación como IA es siempre explícita, incluso donde la ley admitiría que es "evidente". La transparencia no rompe la conversión —lo que la rompe es un asistente inútil— y te ahorra la discusión regulatoria entera.

La obligación que casi nadie ha cumplido: alfabetización en IA

El artículo 4 obliga desde el 2 de febrero de 2025 a que el personal que usa sistemas de IA tenga un nivel suficiente de competencia, atendiendo a su formación, al contexto de uso y a las personas afectadas. Es la obligación con menor coste de cumplimiento y mayor tasa de incumplimiento en el tejido empresarial español.

No hay multa directa asociada al artículo 4, y eso ha llevado a ignorarlo. Es un error de cálculo: cuando una autoridad investiga cualquier otro incumplimiento, la ausencia de formación pesa en la sanción y es la primera evidencia que se pide, por ser la más fácil de comprobar. Además es lo único de este reglamento que produce retorno por sí mismo, algo que desarrollamos en nuestra guía sobre formación en IA para empleados.

Cumplirlo en una pyme es asequible: formación inicial por perfiles (dirección, comercial, operaciones, administración), política de uso escrita, registro de asistencia y revisión anual. Presupuesto realista para una empresa de 20-50 personas: entre 1.500 y 6.000 € el primer año, según sea formación genérica o adaptada a tus procesos.

¿Cuánto cuesta incumplir?

El régimen sancionador tiene tres escalones: hasta 35 millones de euros o el 7 % del volumen de negocio mundial por prácticas prohibidas; hasta 15 millones o el 3 % por la mayoría del resto de obligaciones, incluida la transparencia; y hasta 7,5 millones o el 1,5 % por facilitar información incorrecta a las autoridades. Para pymes y startups se aplica la cifra menor de las dos, no la mayor.

Son techos teóricos y conviene leerlos como tales: ninguna pyme española va a recibir 15 millones de multa por no avisar de que su chatbot es un chatbot. El riesgo real y cercano es otro —requerimientos de información que consumen semanas, contratos B2B con cláusulas de cumplimiento del AI Act, licitaciones que lo exigen—. En España supervisa la AESIA, y el desarrollo del régimen sancionador nacional seguía en tramitación al escribir esto: trata los plazos nacionales como provisionales.

Plan de 90 días para una pyme

1. Inventario de IA en uso. Suscripciones oficiales, asistentes integrados en tu CRM o tu ERP, y lo que el equipo usa por su cuenta. Sin inventario no hay cumplimiento posible, y casi siempre aparece más de lo esperado.
2. Clasifica cada uso. ¿Toca a clientes? ¿Genera contenido publicado? ¿Interviene en decisiones sobre personas (contratación, crédito, evaluación)? Esta tercera categoría es la que te sitúa en el calendario de diciembre de 2027.
3. Cierra la transparencia. Revisa chatbots, agentes de voz y contenido publicado y añade las revelaciones del artículo 50 donde falten. Es trabajo de días, no de meses.
4. Formación y política de uso. Sesión por perfiles, documento de una página con lo que sí y lo que no, y registro de asistencia.
5. Trazabilidad y permisos. Que cada acción automatizada quede registrada y que los agentes tengan permisos mínimos, como detallamos en nuestra guía de gobernanza de agentes de IA y permisos.
6. Revisa dónde viven tus datos. El AI Act no sustituye al RGPD: si tratas datos personales o confidenciales, la arquitectura sigue importando, como explicamos al comparar IA en local frente a nube.

Lo que el AI Act no te obliga a hacer

No te obliga a certificar tus herramientas, ni a nombrar un DPO específico de IA, ni a auditorías externas si no operas sistemas de alto riesgo, ni a dejar de usar modelos estadounidenses. Tampoco a etiquetar el borrador que un empleado genera con IA y luego revisa y firma.

Lo decimos porque el mercado del "cumplimiento del AI Act" se ha llenado de propuestas que venden más de lo necesario. Para una pyme que usa IA en marketing, atención al cliente y administración, el cumplimiento cabe en un inventario, cuatro avisos de transparencia, una formación y una política escrita. Si alguien te presupuesta 30.000 € por eso, pídele que señale el artículo concreto que lo exige. Y si prefieres plantearlo con quien construye y opera estos sistemas cada semana, así trabajamos desde nuestra consultoría de inteligencia artificial.

Preguntas frecuentes

¿El Digital Omnibus ha retrasado el AI Act entero?

No. El Reglamento (UE) 2026/1744 aplazó las obligaciones de sistemas de alto riesgo —al 2 de diciembre de 2027 los del anexo III y al 2 de agosto de 2028 los embebidos en productos regulados— y ajustó algunos aspectos de gobernanza. Las prohibiciones, la alfabetización, las reglas de GPAI y la transparencia del artículo 50 siguen su calendario original.

Si uso ChatGPT o Claude en mi empresa, ¿tengo obligaciones de GPAI?

No como proveedor de modelo: esas son de OpenAI, Anthropic y equivalentes. Como empresa usuaria te aplican la alfabetización del artículo 4, la transparencia del artículo 50 cuando el resultado llega a terceros y el RGPD sobre los datos que introduces. Conserva la documentación que publica tu proveedor: es la base de tu propio expediente.

¿Tengo que avisar de que un email o un post lo ha escrito una IA?

En comunicación comercial ordinaria, no. El etiquetado del artículo 50 cubre el texto publicado para informar al público sobre asuntos de interés general, y decae si hay revisión humana con control editorial y alguien que responde por el contenido.

¿Usar IA en selección de personal es alto riesgo?

Sí: el cribado de candidaturas y las decisiones de contratación están en el anexo III. La diferencia es que su régimen arranca el 2 de diciembre de 2027, no el 2 de agosto de 2026. Puedes seguir usándolo, pero documenta ya la supervisión humana y los controles de sesgo: llegar a esa fecha sin trazabilidad histórica obliga a rehacer el trabajo.

¿Quién vigila el cumplimiento en España?

La AESIA como autoridad nacional, junto a las sectoriales que ya existen —AEPD, Banco de España o CNMV— y la Oficina de IA de la Comisión para los modelos de uso general. El régimen sancionador nacional seguía en tramitación en agosto de 2026: trata sus plazos y cuantías como no definitivos.