🔄 Última actualización: julio 2026. El paquete ómnibus digital fue aprobado por el Parlamento Europeo el 16 de junio de 2026 y por el Consejo el 29 de junio de 2026. Los sistemas de IA de alto riesgo autónomos tendrán obligaciones plenas desde el 2 de diciembre de 2027; los integrados como componentes de seguridad, desde el 2 de agosto de 2028.
AI Act: qué deben hacer las empresas en España en 2026 (guía práctica)
El Reglamento Europeo de Inteligencia Artificial lleva en aplicación parcial desde 2025 y muchas empresas siguen sin tener claro qué les afecta, cuándo y qué tienen que hacer. Esta guía responde esas tres preguntas con la información más actualizada disponible.
No es una guía jurídica, para eso están los abogados especializados. Es una guía de gestión: qué necesita saber un CEO, un responsable de IT o un responsable de sostenibilidad para tomar decisiones informadas.
El AI Act no es una norma del futuro. Parte de sus obligaciones ya están en vigor y afectan a cualquier empresa que use IA en España.
Qué es el AI Act y a quién aplica
El AI Act (Reglamento UE 2024/1689) es el primer marco regulatorio integral sobre inteligencia artificial del mundo. Es derecho comunitario de aplicación directa en España, sin necesidad de transposición. Aplica a cualquier empresa que use, desarrolle, importe o distribuya sistemas de IA en la Unión Europea, con independencia de dónde tenga su sede.
El alcance es amplio: incluye herramientas de IA generativa como ChatGPT o Copilot, sistemas de análisis predictivo, algoritmos de recomendación, sistemas de selección de personal, herramientas de proctoring, chatbots de atención al cliente y cualquier sistema que tome o asista en decisiones automatizadas.
Clasificación de riesgo: dónde está tu empresa
Riesgo inaceptable – prohibido desde febrero 2025
Sistemas de puntuación social, manipulación subliminal, explotación de vulnerabilidades de grupos específicos y reconocimiento de emociones en entornos laborales o educativos (con excepciones). Prohibición absoluta.
Alto riesgo – obligaciones específicas
Sistemas usados en selección de personal, acceso a educación, evaluación de estudiantes, decisiones de crédito, seguros o servicios públicos esenciales. Obligaciones: documentación técnica, supervisión humana, evaluación de conformidad y registro.
Riesgo limitado – transparencia
Chatbots y generadores de contenido que interactúan con personas. Obligación: informar al usuario de que interactúa con IA.
Riesgo mínimo – sin obligaciones adicionales
La mayoría de aplicaciones de IA de productividad. No generan obligaciones específicas adicionales.
Plazos clave para empresas en 2026
Febrero 2025 (ya en vigor): obligación de garantizar la alfabetización en IA del personal que opera sistemas de IA (Artículo 4). Sin umbral de tamaño.
Agosto 2025 (ya en vigor): obligaciones para sistemas de IA de uso general (GPAI). Aplica a proveedores como OpenAI, Google y Anthropic, pero los usuarios deben verificar el cumplimiento de sus proveedores.
Diciembre 2026: prohibición de sistemas de generación de contenido falso de naturaleza sexual (deepfakes íntimos) con IA. También entra en vigor la obligación de watermarking.
Diciembre 2027: entrada en vigor de las obligaciones plenas para sistemas de IA de alto riesgo autónomos (Anexo III). El paquete ómnibus digital, aprobado por el Parlamento Europeo el 16 de junio de 2026 y por el Consejo el 29 de junio de 2026, amplió este plazo desde agosto de 2026 a diciembre de 2027.
Agosto 2028: entrada en vigor de las obligaciones para sistemas de IA de alto riesgo integrados como componentes de seguridad (Anexo I).
Lo que no cambia: el Artículo 4 (alfabetización en IA) y el Artículo 5 (prohibiciones específicas) no se ven afectados por el Omnibus. Siguen en vigor desde febrero de 2025.
AESIA: la autoridad española que ya puede sancionar
La Agencia Española de Supervisión de Inteligencia Artificial tiene poderes sancionadores desde agosto de 2025. Sanciones hasta 35M€ o 7% de facturación global para las infracciones más graves. Para infracciones en sistemas de alto riesgo: hasta 15M€ o 3% de facturación.
Por dónde empezar
1) Diagnóstico: qué sistemas de IA usa tu empresa y cómo se clasifican. Sin ese mapa cualquier acción puede estar desenfocada.
2) Artículo 4: cubrir la obligación que ya está en vigor. Definir qué alfabetización necesita cada perfil del equipo según los sistemas que usa, y documentarlo.
3) Si tienes sistemas de alto riesgo: preparar documentación técnica y proceso de evaluación de conformidad antes del plazo de agosto 2026.
Preguntas frecuentes
¿El AI Act aplica a todas las empresas en España?
Sí. Aplica a cualquier empresa que use, desarrolle o distribuya sistemas de IA en la UE, independientemente de tamaño o sector. La obligación de alfabetización (art. 4) aplica a todas desde febrero de 2025.
¿Qué pasa si una empresa no cumple con el AI Act?
Las sanciones van desde 7,5M€ o el 1,5% de la facturación hasta 35M€ o el 7% para las infracciones más graves. AESIA tiene poderes sancionadores en España desde agosto de 2025.
