AI Act para empresas en España: automatizar con IA cumpliendo (2026)

Si tu empresa automatiza procesos con agentes de IA, el AI Act para empresas en España ya te afecta en 2026: es el reglamento europeo que clasifica cada sistema de IA por nivel de riesgo y asigna obligaciones según esa categoría, con plazos de aplicación corriendo desde 2025. La buena noticia: la mayoría de las automatizaciones típicas de una pyme —facturas, pedidos, informes, atención al cliente— cae en las categorías más ligeras, y cumplir es perfectamente factible si se diseña desde el inicio.

Esta guía es práctica, no un tratado jurídico: qué exige el AI Act según lo que automatices, qué pide el RGPD cuando un agente de IA autónomo ve datos personales, dónde encaja VeriFactu si tocas facturación, y por qué la trazabilidad resuelve de golpe la mayor parte del problema. Al final tienes un checklist de 10 preguntas para tu proveedor. Para tu caso concreto, valida siempre con asesoría legal: lo que sigue te da el mapa para que esa conversación sea corta y barata.

¿Qué es el AI Act y desde cuándo se aplica?

El AI Act es el reglamento europeo de inteligencia artificial: la primera ley integral de IA del mundo, en vigor desde agosto de 2024 y de aplicación directa en España, sin necesidad de ley nacional que lo traduzca. No regula la tecnología en abstracto sino los usos: el mismo modelo puede ser de riesgo mínimo en un proceso y de alto riesgo en otro.

Los plazos son escalonados, y en 2026 la mayor parte ya está en vigor:

1. Febrero de 2025: prohibición de las prácticas de riesgo inaceptable y obligación de alfabetización en IA del personal que opera estos sistemas.
2. Agosto de 2025: obligaciones para los proveedores de modelos de propósito general (los grandes modelos de lenguaje) y régimen de gobernanza y sanciones.
3. Agosto de 2026: el grueso del reglamento, incluidas las obligaciones para sistemas de alto riesgo y las de transparencia.
4. Agosto de 2027: sistemas de alto riesgo integrados en productos ya regulados por otras normas (maquinaria, dispositivos médicos).

Las multas escalan hasta 35 millones de euros o el 7% de la facturación global para las prácticas prohibidas, con tramos menores para el resto de incumplimientos. En España supervisa la AESIA (Agencia Española de Supervisión de la Inteligencia Artificial), junto a la AEPD en lo que toca a datos personales. Y un matiz que tranquiliza: casi ninguna empresa española es "proveedor" de IA a ojos del reglamento; la mayoría es usuaria (responsable del despliegue), y sus obligaciones son bastante más ligeras que las del fabricante del sistema.

¿Es de alto riesgo tu agente de IA? Las cuatro categorías con ejemplos

Depende del uso, no de la tecnología: un agente que procesa facturas es riesgo mínimo; ese mismo modelo cribando currículums entra en alto riesgo. El AI Act define cuatro niveles, y clasificar tus casos de uso es el primer ejercicio de cumplimiento — media hora de trabajo que evita sustos.

Riesgo inaceptable (prohibido). Manipulación subliminal, puntuación social de personas, reconocimiento de emociones en el puesto de trabajo. Prácticas que una empresa normal no va a rozar, pero conviene saber que existen: están prohibidas desde febrero de 2025, con las multas más altas del reglamento.

Alto riesgo. Usos que afectan a derechos de las personas: selección de personal (cribado de CV, decisiones de promoción o despido), acceso a servicios esenciales, evaluación de solvencia para conceder crédito. Aquí hay obligaciones reales: supervisión humana efectiva, gestión de riesgos, documentación técnica y registros de funcionamiento; como empresa usuaria, te toca operar el sistema según las instrucciones del proveedor, garantizar esa supervisión humana y conservar los registros. Un agente que preselecciona candidatos es el ejemplo típico en una pyme: se puede usar, pero con estas garantías montadas.

Riesgo limitado (transparencia). Los chatbots deben identificarse como IA ante el usuario, y el contenido generado o manipulado por IA debe poder reconocerse como tal. Si tienes un asistente de cara al cliente, esta es tu obligación principal: que nadie crea que habla con una persona.

Riesgo mínimo. El resto — que en la práctica es la mayoría de la automatización interna: un agente de cuentas por pagar, conciliación bancaria, gestión de pedidos, clasificación de correo, generación de informes. Sin obligaciones específicas del AI Act más allá de las generales. Ojo: que el AI Act no exija nada no significa que el RGPD tampoco; aplica siempre que haya datos personales por medio.

¿Qué exige el RGPD a un agente de IA?

El RGPD no cambia por usar IA: exige lo mismo que exigía —base de legitimación, minimización, garantías con proveedores—, pero un agente lo pone a prueba porque procesa datos a más velocidad y con menos ojos humanos por medio. En la práctica, cinco puntos concentran casi todo el trabajo:

1. Base de legitimación. Cada tratamiento que haga el agente necesita la suya: ejecución de contrato para gestionar pedidos de clientes, interés legítimo para buena parte de la automatización interna, consentimiento donde toque. Si el proceso manual ya era legítimo, la versión automatizada suele heredar la base; lo que no puedes es aprovechar el cambio para usar los datos con fines nuevos sin revisarla.
2. Minimización: qué ve el agente. El agente debe acceder solo a los campos que necesita para su tarea. Uno que concilia facturas no necesita ver nóminas; uno de soporte no necesita datos de salud de nadie. Esto se resuelve con permisos técnicos, no con promesas en un documento.
3. Dónde se procesan los datos. Pregunta en qué región se ejecuta el modelo y dónde se almacena cada cosa. Los grandes proveedores ofrecen procesamiento en la UE o garantías de transferencia internacional (cláusulas contractuales tipo, marco de privacidad UE-EE. UU.); lo determinante es que esté firmado, no supuesto.
4. Contratos de encargado de tratamiento (DPA). Cada proveedor de la cadena que vea datos personales —el del modelo, el de la plataforma, tu integrador— debe firmar uno, y debe incluir que tus datos no se usan para entrenar sus modelos.
5. Decisiones automatizadas. Si el agente toma decisiones con efectos jurídicos o significativos sobre personas (conceder o denegar algo, filtrar candidatos), hace falta intervención humana significativa: alguien con capacidad real de cambiar el resultado, no un botón de "aceptar todo".

VeriFactu: si tu agente emite facturas

VeriFactu es la normativa española de software de facturación: desde el 1 de enero de 2026 las sociedades —y desde el 1 de julio de 2026 los autónomos— deben facturar con programas que generen registros inalterables y encadenados, con opción de remisión directa a la AEAT. Quedan fuera, en general, quienes ya reportan por el SII.

Para la automatización, la lectura es simple: un agente que emite facturas debe hacerlo a través de un software de facturación que cumpla estos requisitos, no generando PDFs por su cuenta. El agente opera el programa —prepara la factura, la registra, la envía— y el programa garantiza la integridad. Bien montado, VeriFactu y la automatización se llevan bien: los registros encadenados que exige la norma son exactamente el tipo de trazabilidad que un agente serio ya produce de fábrica.

La trazabilidad: una respuesta transversal a las tres normas

La trazabilidad —que cada acción del agente quede registrada con fecha, datos usados, decisión tomada y resultado— es la respuesta que sirve a las tres normas a la vez. El AI Act pide registros de funcionamiento y supervisión humana; el RGPD pide poder demostrar el cumplimiento, no solo cumplirlo; VeriFactu pide integridad en los registros de facturación.

Un agente bien construido registra cada paso: qué leyó, qué decidió, qué escribió en qué sistema y quién lo aprobó. Cuando llega una inspección o un cliente ejerce sus derechos, la respuesta sale del registro en minutos, no reconstruyendo correos de hace ocho meses. Nosotros venimos de construir sistemas con este nivel de trazabilidad para entornos regulados —hedge funds y family offices— y la lección es transferible a cualquier pyme: el cumplimiento diseñado desde el inicio cuesta poco; el que se improvisa después, carísimo. Hay además un efecto comercial: poder enseñar a un cliente grande o a un auditor cómo queda registrada cada acción es una ventaja frente al competidor que improvisa, no solo un escudo.

Checklist: 10 preguntas para tu proveedor de IA

Antes de firmar con un proveedor de automatización, estas diez preguntas separan a quien tiene el cumplimiento resuelto de quien lo dejará en tu tejado. Complementan los criterios generales de nuestra guía sobre cómo elegir una consultora de IA:

1. ¿En qué categoría de riesgo del AI Act cae cada caso de uso que me propones, y por qué?
2. ¿Dónde se procesan mis datos y, si salen de la UE, con qué garantías firmadas?
3. ¿Firmamos contrato de encargado de tratamiento (DPA) con cada proveedor de la cadena?
4. ¿Mis datos se usan para entrenar modelos de terceros? ¿Dónde lo pone por escrito?
5. ¿Qué campos concretos ve el agente y cómo se aplica la minimización, técnicamente?
6. ¿Queda registrada cada acción del agente? ¿Puedo auditar ese registro sin pedíroslo?
7. ¿Cómo se garantiza la intervención humana en decisiones que afectan a personas?
8. Si el agente toca facturación, ¿cómo encaja con VeriFactu?
9. ¿Los asistentes de cara al cliente se identifican como IA?
10. Si la normativa cambia, ¿quién adapta el sistema y a qué coste?

Si el proveedor responde a las diez sin titubear —y por escrito—, vas bien. Si alguna le sorprende, sigue buscando: en nuestra consultoría de inteligencia artificial estas respuestas forman parte del diseño de cada agente desde el primer día, porque incorporarlas al inicio cuesta una fracción de lo que cuesta añadirlas después.

Preguntas frecuentes

¿El AI Act aplica a las pymes o solo a las grandes empresas?

Aplica a todas las empresas que usen sistemas de IA en la UE, sin umbral de tamaño: lo que gradúa las obligaciones es el riesgo del uso, no la facturación. El reglamento prevé medidas de proporcionalidad para pymes, y en la práctica una pyme que solo automatiza procesos internos tiene obligaciones mínimas.

¿Qué multas hay por incumplir el AI Act?

Hasta 35 millones de euros o el 7% de la facturación global anual para las prácticas prohibidas, y tramos inferiores (hasta 15 millones o el 3%) para el resto de obligaciones; para pymes se aplica el menor de los dos importes. Las sanciones del RGPD (hasta 20 millones o el 4%) siguen vigentes en paralelo.

¿Puedo usar modelos de proveedores americanos y cumplir el RGPD?

Sí. Lo determinante no es la nacionalidad del proveedor sino el contrato y la configuración: procesamiento en región europea cuando esté disponible, garantías de transferencia firmadas, DPA que excluya el entrenamiento con tus datos y minimización de lo que el agente ve.

¿Necesito un delegado de protección de datos por usar agentes de IA?

Usar agentes no lo exige por sí mismo: el DPO es obligatorio por el tipo de tratamiento (observación sistemática a gran escala, datos sensibles a gran escala), no por la herramienta. Si no lo necesitabas antes, automatizar el mismo proceso no suele cambiarlo; si el agente amplía qué datos tratas o a qué escala, revisa la evaluación.

¿Quién vigila el cumplimiento en España?

La AESIA supervisa el AI Act, la AEPD todo lo relativo a datos personales y la AEAT los requisitos de facturación de VeriFactu. En un mismo proyecto de automatización pueden ser relevantes las tres — otra razón para que la trazabilidad sea única y sirva a todas.