Si alguien de tu empresa usa inteligencia artificial para trabajar —y hoy casi siempre hay alguien—, el AI Act te toca. Pero probablemente no como te lo han contado: son dos obligaciones concretas, no un proyecto de seis cifras.
Lo difícil se aplazó. Los sistemas de alto riesgo, donde viven las obligaciones pesadas, se han movido a diciembre de 2027 y agosto de 2028. Casi ninguna pyme está ahí.
Desde el 2 de agosto de 2026 se aplican dos cosas: etiquetar cierto contenido generado por IA y formar a tu equipo. Y ya se puede sancionar.
La multa que te han contado no es la tuya. Los 35 millones y el 7 % son para prácticas prohibidas. Para transparencia y formación el techo es 15 millones o el 3 %.
Si buscas "AI Act" estos días te vas a encontrar sobre todo dos cosas: titulares con multas de 35 millones de euros y ofertas para "certificarte" en un reglamento que no se certifica. Ninguna de las dos te ayuda a decidir qué hacer el lunes por la mañana.
Este artículo va de lo contrario. Qué obliga el AI Act a una empresa española de verdad, qué se aplica ya y qué no, dónde está exactamente la raya entre lo que hay que declarar y lo que no, y cuál es la multa que de verdad te corresponde. Con las fechas puestas y sin adornos.
Y empezamos por la parte que casi nadie cuenta: la mayor parte del AI Act no va contigo. Las obligaciones que dan miedo son las de los sistemas de alto riesgo, y esas se acaban de aplazar. Lo que te toca son dos cosas concretas.
El AI Act es el reglamento europeo que pone reglas al uso de la inteligencia artificial. Es el Reglamento (UE) 2024/1689, y como es un reglamento europeo y no una directiva, se aplica directamente en España sin necesidad de una ley que lo traspase.
Lo primero que conviene entender es lo que no hace: no prohíbe usar inteligencia artificial. No hay una lista de herramientas vetadas ni un permiso que haya que pedir para usar ChatGPT, Copilot o Gemini en la oficina.
Lo que hace es ordenar los usos de la IA por niveles de riesgo y pedir cosas distintas según para qué la uses. Simplificando mucho, hay tres alturas:
Esa estructura por niveles es la clave de todo, porque explica por qué el mismo reglamento puede significar un proyecto de dos años para un fabricante de dispositivos médicos y una tarde de trabajo para una asesoría de veinte personas.
Antes de mirar ninguna obligación, hay una pregunta que decide en qué liga juegas, y muchísima gente se la salta.
El reglamento distingue, entre otras figuras, entre quien desarrolla y pone en el mercado un sistema de IA y quien simplemente lo usa en su actividad. En el lenguaje del AI Act, el primero es el proveedor y el segundo el responsable del despliegue.
La diferencia práctica es enorme:
La inmensa mayoría de las pymes españolas están en el segundo grupo. Usan herramientas que fabrica Microsoft, Google, OpenAI o Anthropic. No fabrican IA: la consumen.
Esto importa porque buena parte del contenido alarmista que circula describe obligaciones de proveedor y las presenta como si aplicaran a cualquiera que use IA. No es lo mismo montar un modelo y venderlo que pedirle a Copilot que te resuma un correo.
Un matiz honesto, porque la frontera puede moverse: si coges un sistema de terceros y lo modificas sustancialmente, o lo comercializas bajo tu nombre, puedes acabar asumiendo obligaciones de proveedor sin haberlo pretendido. Si estás desarrollando producto con IA dentro y lo vendes, esa pregunta merece mirarse en serio y con alguien que sepa. Si solo usas herramientas, respira.
Aquí está la noticia que todavía no ha llegado a la mayoría de artículos que vas a encontrar buscando, y que cambia bastante el panorama.
El Ómnibus Digital se publicó el 24 de julio de 2026 y entró en vigor el 27. Es el Reglamento (UE) 2026/1744.
Traducción: la parte pesada del AI Act se ha movido. Los sistemas de alto riesgo del Anexo III pasan a diciembre de 2027 y los del Anexo I a agosto de 2028.
Esto importa mucho, y por dos razones opuestas.
La primera es tranquilizadora: si te habían vendido que en agosto de 2026 tenías que tener un sistema de gestión de riesgos de IA documentado, eso ya no es así para el alto riesgo. Hay margen, y es amplio.
La segunda es incómoda: el aplazamiento del alto riesgo se ha convertido en la excusa perfecta para no hacer nada. Y no es lo mismo. Lo que sí entró en agosto de 2026 sigue entrado, se aplica hoy, y es precisamente lo que afecta al uso cotidiano que hace tu empresa de la IA.
Este es el resumen que conviene tener a mano, porque es donde más gente se equivoca:
| Cuándo | Qué |
|---|---|
| Febrero de 2025 | Obligación de formar al equipo (ya vigente desde entonces) |
| 2 de agosto de 2026 | Transparencia (etiquetado) + régimen sancionador |
| 2 de diciembre de 2026 | Marcado técnico de sistemas ya en el mercado + dos prohibiciones nuevas |
| Diciembre de 2027 | Sistemas de alto riesgo del Anexo III |
| Agosto de 2028 | Sistemas de alto riesgo del Anexo I |
Fíjate en el orden, porque es contraintuitivo: la obligación más antigua es la de formación, no la de etiquetar. Lleva vigente desde febrero de 2025. Lo que cambió en agosto de 2026 es que ahora se puede multar por ella.
Es decir: la obligación que lleva más tiempo en vigor es también la que casi nadie ha tocado. Volveremos a esto, porque es el punto de riesgo real para la mayoría de empresas.
Y una fecha que conviene apuntar en el calendario: el 2 de diciembre de 2026 entra el marcado técnico para los sistemas que ya estaban en el mercado, y dos prohibiciones nuevas. El Ómnibus recortó ese margen de seis meses a tres, así que llega antes de lo que preveía el calendario original.
Etiquetar, en el lenguaje del reglamento, es avisar dentro del propio contenido de que ahí ha intervenido una inteligencia artificial.
Antes de entrar en los casos, quitemos de la mesa tres cosas que la gente da por hechas y que no existen: no hay formulario que rellenar, ni registro donde apuntarse, ni sello que sacarse. No hay ninguna administración esperando un documento tuyo. La obligación se cumple poniendo un aviso donde toca.
Son cuatro casos.
En tu día a día: el chat de tu web, un bot que responde por WhatsApp, un asistente en el área de clientes.
Qué haces: que la persona sepa que está hablando con una IA antes de empezar a contarle cosas. Una línea al abrir la conversación basta.
Cuándo no aplica: si al otro lado contesta alguien de tu equipo. Un chat atendido por personas no es un chatbot.
Este es, con diferencia, el caso más común en una pyme española. Si tienes un chat en la web y lo atiende una IA, aquí tienes trabajo — y es trabajo de cinco minutos.
En tu día a día: la imagen que ilustra un post, una locución para un vídeo, una animación hecha con IA.
Qué haces: que quede indicado que ese contenido está generado.
Cuándo no aplica: una foto real de tu equipo o de tu producto, aunque le hayas ajustado el color o el encuadre, sigue siendo una foto real. Editar no es generar.
Qué es: usar la cara o la voz de una persona real, generadas o imitadas por IA.
En una pyme: casi nunca pasa. Si hacéis vídeo con voces clonadas o con la imagen de alguien, mirad esto con calma.
Qué haces: dejar claro que ese material está generado.
Qué es: publicar información de interés público redactada por IA sin que la lea una persona.
El malentendido: es el caso que más gente cree que le aplica y que casi nunca le aplica. Un artículo de tu blog sobre tu producto no es información de interés público.
Qué haces: o lo revisa una persona —y entonces no hay nada que declarar— o se indica que está generado.
Esta es la parte que ahorra más trabajo y más nervios. No hay que declarar:
Y aquí está la regla que resuelve el noventa por ciento de las dudas:
Lo que decide no es si ha intervenido una IA. Es si una persona lo ha revisado antes de salir.
Si alguien lo lee, lo corrige y pone su nombre debajo, eso es trabajo tuyo — con IA de por medio o sin ella. La firma humana es lo que convierte un texto generado en un texto tuyo.
Sería deshonesto vender esto como una frontera perfectamente nítida, porque no lo es.
Un texto que la IA escribe y tú apenas tocas no es lo mismo que uno que reescribes de arriba abajo. La raya depende de cuánto revisas de verdad y de dónde se publica. Y en el medio hay casos que admiten discusión.
Lo que sí se puede hacer es decidir tu criterio una vez, escribirlo, y aplicarlo siempre igual. Eso vale mucho más que una interpretación perfecta: si alguna vez hay que explicar por qué hiciste lo que hiciste, un criterio escrito y consistente es una defensa; decidir a ojo cada vez, no.
La segunda obligación no va de etiquetar nada. Va de que quien usa IA en tu empresa entienda qué hace la herramienta y qué información puede meter dentro y qué no.
Y ojo con la fecha, que es donde casi todos se equivocan. La obligación de formar al equipo lleva vigente desde febrero de 2025. Lo que cambia con el régimen sancionador es que ahora se puede multar por ella.
Léelo otra vez: lleva año y medio en vigor. Y es la que casi nadie ha tocado.
Por eso, si de todo este artículo solo vas a actuar sobre una cosa, que sea esta. No porque sea la más aparatosa, sino porque es la única en la que la práctica totalidad del tejido empresarial español está en descubierto desde hace año y medio.
La norma dice que tu equipo tiene que saber lo que usa, pero no dice en qué. Esto es lo que recomendamos nosotros, por orden de importancia:
Qué hace la herramienta — y qué se inventa. Una IA generativa no consulta: predice. Entender eso evita la mayoría de los errores, porque cambia por completo cómo se revisa lo que produce.
Qué información no se pega nunca. Datos de clientes, datos personales, contratos, contraseñas. En una hoja, con ejemplos de tu negocio, no en un manual de cuarenta páginas.
Cómo revisar y firmar lo que sale. Es la parte que te exime de etiquetar. Si tu equipo sabe revisar de verdad, la obligación 1 casi desaparece sola.
Cuándo hay que avisar de que es IA. Los cuatro casos de arriba aplicados a lo vuestro: la web, el chat, los vídeos, lo que publicáis.
Qué herramientas están aprobadas y cuáles no. La lista de lo permitido. Sin ella, cada uno usa lo que encuentra por su cuenta — y eso es el descontrol de siempre.
Con una sesión corta por perfil se cubre: no es lo mismo lo que necesita saber administración que dirección. Y conviene dejar constancia de quién la ha recibido, para que si alguna vez hay que demostrarlo, esté escrito.
Vamos con el dato más repetido y peor contado de todo el AI Act.
Los 35 millones de euros y el 7 % del volumen de negocio existen — pero son el techo para las prácticas prohibidas, que es otro capítulo del reglamento. Ese es el nivel de "esto no se puede hacer en Europa", no el de "se te olvidó poner un aviso en el chat".
Lo tuyo, transparencia y formación, tiene otro techo: 15 millones de euros o el 3 % del volumen de negocio.
Que siguen siendo cifras grandes, no vamos a fingir lo contrario. Pero son un capítulo distinto, con una gravedad distinta, y mezclarlos es lo que convierte una obligación manejable en un motivo de pánico.
Y hay una lectura de fondo que merece la pena: cuando hasta la cifra de la multa te llega mal, el resto conviene mirarlo con la misma lupa. Si el titular que te llevó a preocuparte tenía el dato equivocado, probablemente el resto del artículo tampoco estaba muy fino.
Te lo decimos recto, aunque no nos convenga comercialmente: si tu empresa no marca ninguno de los cuatro casos de etiquetado, probablemente no pase nada. Mucha gente está en esa situación y dormirá igual de bien.
No tiene sentido montar un proyecto de cumplimiento para una obligación que no te aplica. Eso no es prudencia, es gastar.
La que sí deja expuesto a casi todo el mundo es la segunda: lleva año y medio en vigor, no la ha tocado nadie, y desde agosto de 2026 ya se puede sancionar. Si vas a mirar una sola cosa este mes, mira esa.
Tres aclaraciones que ahorran dinero:
No existe la certificación del AI Act. No hay sello, ni registro, ni trámite que te deje en regla. Si alguien te ofrece certificarte el AI Act, desconfía: te está vendiendo algo que no existe.
El AI Act no te obliga a comprar seguridad. Obliga a transparencia y a formación. Ninguna de las dos se resuelve con una licencia. Que un producto te ayude a gobernar el uso de la IA puede ser buena idea por otros motivos, pero no es lo que exige este reglamento.
"Dónde están mis datos" es una pregunta del RGPD, no del AI Act. Es una pregunta excelente y conviene hacérsela a cualquier herramienta de IA que uses. Pero pertenece a otra norma. Confundirlas es la vía rápida a comprar lo que no necesitas.
Como esta confusión es la que más dinero cuesta, vale la pena ponerla en una tabla:
| AI Act | RGPD | |
|---|---|---|
| Qué regula | El uso de sistemas de inteligencia artificial | El tratamiento de datos personales |
| La pregunta que responde | ¿Es transparente y supervisado el uso que haces de la IA? | ¿Con qué derecho tratas esos datos y dónde acaban? |
| Te obliga a | Avisar en ciertos casos y formar a tu equipo | Base legal, información, contratos de encargado, seguridad |
| Autoridad en España | AESIA | AEPD |
| Desde cuándo | Por fases: febrero 2025, agosto 2026, 2027, 2028 | 2018 |
Las dos pueden aplicarte a la vez, y de hecho lo habitual es que lo hagan. Si tu equipo pega datos de clientes en una IA pública, tienes un problema de RGPD y un problema de formación del AI Act al mismo tiempo. Pero son problemas distintos, con soluciones distintas, y quien te los venda como un paquete único probablemente te esté vendiendo de más.
En España la supervisión de la inteligencia artificial recae en la AESIA, la Agencia Española de Supervisión de la Inteligencia Artificial, con sede en A Coruña. Es la primera agencia de este tipo creada en Europa.
Lo que conviene tener claro sin dramatizar: existe un organismo con competencias en la materia, y desde agosto de 2026 hay un régimen sancionador aplicable. Cómo se traducirá eso en inspecciones concretas al tejido de pymes es algo que todavía está por ver, y cualquiera que te diga hoy exactamente cómo va a inspeccionarse está especulando. Lo sensato no es prepararse para una inspección imaginaria: es tener hecho lo que la norma pide, que además es poco.
La teoría se entiende mejor aplicada. Estos son cuatro perfiles habituales del tejido empresarial español y lo que les toca de verdad.
Lo que usan: IA para redactar borradores, resumir documentación, preparar escritos.
Qué les aplica del etiquetado: normalmente nada. Todo lo que sale del despacho lo revisa y lo firma un profesional, y eso es exactamente lo que exime.
Dónde está su riesgo real: en la formación, y no por el AI Act sino por el secreto profesional. Si alguien pega el expediente de un cliente en una IA pública, el problema es de otra dimensión. Ahí la hoja de "qué no se pega nunca" no es un trámite: es lo más importante que van a hacer este año.
Lo que usan: un chatbot que atiende consultas, imágenes generadas para fichas y redes.
Qué les aplica: dos de los cuatro casos, de lleno. El chatbot necesita avisar de que es una IA antes de que el visitante empiece a contarle cosas, y las imágenes generadas necesitan quedar indicadas.
Lo bueno: es el caso más fácil de resolver. Una línea en el saludo del chat y un criterio para las imágenes. Un rato de trabajo, no un proyecto.
Lo que usan: IA para informes internos, resúmenes de reunión, correos, presupuestos.
Qué les aplica del etiquetado: con casi total probabilidad, nada. Todo eso está en la lista de lo que no hay que declarar.
Dónde está su riesgo real: exclusivamente en la formación. Y en el hecho de que, al no tener obligaciones de etiquetado, es muy fácil concluir que el AI Act no va con ellos y no hacer tampoco lo de formación. Ese es el error.
Lo que usan: generación de imagen, locuciones, vídeo, textos para publicar.
Qué les aplica: el caso de contenido sintético con seguridad, y conviene mirar el de deepfakes si trabajan con voces clonadas o con la imagen de personas.
Dónde conviene detenerse: en el criterio para textos. Es donde está la zona gris de verdad, y donde tener una regla escrita —qué se considera revisado, quién firma— vale más que cualquier interpretación individual.
Después de explicar esto unas cuantas veces, los tropiezos se repiten:
Si quieres bajar todo esto a acciones concretas, este es el orden que tiene sentido:
Ninguno de estos seis pasos requiere un consultor. Requieren que alguien se siente una tarde con la lista.
Empezando por lo que no hacemos: no te vamos a "certificar" el AI Act, porque esto no se certifica.
Lo que sí hacemos:
Auditamos qué IA se usa de verdad. Te entregamos el listado: qué herramientas, para qué se usan y quién es responsable de cada una. Incluido lo que nadie dio de alta y se está usando por su cuenta.
Te decimos si te aplica alguno de los cuatro casos. Uno por uno, sobre lo que hacéis de verdad, no sobre un supuesto. Y si no te aplica ninguno, también te lo decimos.
Redactamos el aviso y te decimos dónde va. La frase exacta para el chat de tu web, para el pie de un vídeo o para donde haga falta. Escrita y lista para pegar, no un "habría que poner algo".
Formamos a tu equipo por perfiles. Los cinco puntos de arriba, en sesiones cortas y con ejemplos de tu negocio. Con constancia de quién la ha recibido.
Ponemos criterio en las zonas grises. Los casos que no están claros —y hay unos cuantos— con un criterio escrito y consistente, para que tu equipo no tenga que decidir a ojo cada vez.
Y lo hacemos igual si tu casa es Microsoft o Google: somos partner de las dos. No te vamos a recomendar la nube que sabríamos vender, sino la que ya tienes.
Tú no tienes que volverte experto en esto. Para eso estamos nosotros.
El AI Act es mucho más manejable de lo que parece por el ruido que lo rodea. Recapitulando lo esencial:
Si después de leer esto te queda alguna duda sobre tu caso concreto, escríbenos y te ayudamos con él.
Este artículo es un resumen informativo a fecha de publicación y no constituye asesoramiento jurídico. El texto oficial de referencia es el Reglamento (UE) 2024/1689, modificado por el Reglamento (UE) 2026/1744.
Contenido redactado con ayuda de IA y revisado, corregido y firmado por una persona antes de publicarlo. Según el criterio que explicamos más arriba no habría que declararlo — lo declaramos igual, porque en un artículo sobre transparencia de IA callarlo sería un chiste a nuestra costa.
Las dos obligaciones que ya se aplican, los cuatro casos que hay que etiquetar y el calendario real, en PDF. Se descarga directamente, sin formulario y sin dejar tus datos.
Descargar gratisSí, pero mucho menos de lo que se suele decir. Si en tu empresa se usa IA para trabajar, te aplican dos obligaciones: avisar cuando cierto contenido lo ha generado una IA, y que la gente que la usa entienda qué está usando. Las obligaciones pesadas son las de los sistemas de alto riesgo, y ahí casi ninguna pyme está. No hay tamaño mínimo que te exima de las dos primeras, pero tampoco son un proyecto: son una decisión y un rato de formación.
Dos cosas. La obligación de transparencia, que consiste en avisar cuando algo lo ha hecho una IA en cuatro casos concretos. Y el régimen sancionador: desde ese día, esto se puede multar. Hay una tercera obligación que no es nueva, la de formar al equipo, que lleva vigente desde febrero de 2025; lo que cambia es que ahora también se puede sancionar.
Depende del incumplimiento, y aquí está el malentendido más repetido. Los 35 millones de euros o el 7 % del volumen de negocio existen, pero son el techo para las prácticas prohibidas, que es otro capítulo del reglamento. Para las obligaciones de transparencia y de formación, que son las que aplican al uso normal de oficina, el techo es de 15 millones o el 3 %.
No. Lo que decide no es si ha intervenido una IA, es si una persona lo ha revisado antes de salir. Un correo que tú revisas y firmas, un presupuesto, un informe interno, un resumen de reunión o una traducción no se declaran. La obligación de etiquetar aplica a cuatro casos concretos: chatbots que hablan con personas, contenido sintético de imagen, audio o vídeo, deepfakes, y textos informativos de interés público publicados sin revisión humana.
No. El AI Act no se certifica: no hay sello, ni registro donde apuntarse, ni trámite que te deje en regla. Si alguien te ofrece certificarte el AI Act, desconfía. Lo que sí existe es documentar lo que haces: tener un inventario de qué IA se usa, un criterio escrito para las zonas grises y constancia de la formación que ha recibido tu equipo.
Si tu empresa no marca ninguno de los cuatro casos de etiquetado, probablemente no pase nada, y mucha gente está en esa situación. La obligación que sí deja expuesto a casi todo el mundo es la de formación: lleva año y medio en vigor, casi nadie la ha tocado y desde agosto de 2026 ya se puede sancionar. Si vas a mirar una sola cosa, mira esa.
No. El AI Act obliga a transparencia y a formación; no te obliga a comprar ningún producto. La pregunta de dónde están tus datos y quién los procesa es del RGPD, no del AI Act. Son dos normas distintas que a veces se venden juntas, y conviene no confundirlas para no comprar lo que no necesitas.
Entra el marcado técnico para los sistemas que ya estaban en el mercado, y dos prohibiciones nuevas. Es una fecha a tener apuntada porque el Ómnibus Digital recortó ese margen de seis meses a tres, así que llega antes de lo que estaba previsto en el calendario original.
Los cuatro casos que obligan a avisar, los cinco que no, y dónde está exactamente la raya cuando hay revisión humana.
La obligación que lleva vigente desde febrero de 2025, que casi nadie ha tocado y que ahora ya se puede multar.
Los dos techos de sanción, a qué incumplimiento corresponde cada uno y por qué el titular más repetido está mal.