AI Act: qué tiene que hacer tu empresa y cuándo

Actualizada el 20.10.2026

El Reglamento europeo de inteligencia artificial, el AI Act (Reglamento (UE) 2024/1689), se aplica por fases. En 2026 la UE aprobó el llamado Ómnibus digital (Reglamento (UE) 2026/1744, publicado en el DOUE el 24.07.2026 y en vigor desde el 27.07.2026), que aplaza las obligaciones de los sistemas de alto riesgo pero no toca la transparencia. Esta guía resume qué se aplica ya y qué viene, pensando en una empresa que usa IA, no en quien la fabrica.

Calendario

02.02.2025. Prohibiciones del artículo 5 (por ejemplo, la manipulación que causa daño o la puntuación social) y obligación de alfabetización en IA del artículo 4: quien usa IA en la empresa tiene que tener una formación suficiente.
02.08.2025. Obligaciones de los proveedores de modelos de uso general (los grandes modelos de lenguaje) y puesta en marcha de las autoridades de supervisión.
02.08.2026. Aplicación general del Reglamento y obligaciones de transparencia del artículo 50: avisar de que se habla con una IA, marcar el contenido generado y etiquetar los deepfakes. Los sistemas que ya estaban en el mercado tienen hasta el 02.12.2026 para marcar su contenido.
02.12.2026. Nueva prohibición: los sistemas que generan imágenes íntimas no consentidas o material de abuso sexual infantil.
02.12.2027. Sistemas de alto riesgo del Anexo III: empleo y recursos humanos, educación, crédito y seguros, servicios esenciales, biometría, infraestructuras críticas. Antes del Ómnibus era el 02.08.2026.
02.08.2028. Alto riesgo integrado en productos regulados (Anexo I): dispositivos médicos, maquinaria, juguetes, vehículos.

Qué le toca a una empresa que usa IA

Formación (ya obligatoria). Que la plantilla que usa herramientas de IA sepa qué hacen, sus límites y sus riesgos. Conviene dejarlo documentado.
Transparencia (desde el 02.08.2026).
- Si tu web o tu servicio de atención tiene un chatbot, tiene que decir que es una IA, salvo que sea evidente.
- Si publicas imágenes, vídeos o audios generados o manipulados que parecen reales, hay que indicarlo.
- Quien fabrica la herramienta de generación es quien tiene que marcar técnicamente el contenido; tú, como usuario, etiquetas los deepfakes que publiques.
- Los textos generados con IA que se publican para informar sobre asuntos de interés público también se indican, salvo que una persona los haya revisado y responda de ellos como editor.
Alto riesgo (desde el 02.12.2027). Si usas IA para decidir sobre personas (selección de personal, evaluación de empleados, concesión de crédito, acceso a la educación), tendrás obligaciones de supervisión humana, registro y evaluación. El plazo se ha alargado, pero esos proyectos se diseñan ahora.
Inventario. Saber qué sistemas de IA usa la empresa, para qué y quién los supervisa es la base de todo lo demás.

Multas

Prácticas prohibidas: hasta 35 millones de euros o el 7 % de la facturación mundial anual.
Otros incumplimientos, incluida la transparencia del artículo 50: hasta 15 millones o el 3 %.
Información incorrecta a las autoridades: hasta 7,5 millones o el 1 %.

Para las pymes se aplica la cifra más baja de cada par.

En España

La autoridad de supervisión es la AESIA (Agencia Española de Supervisión de la Inteligencia Artificial), con sede en A Coruña, creada por el Real Decreto 729/2023. En su sede electrónica ofrece un autodiagnóstico.
La ley española que fija el régimen sancionador sigue en tramitación.

Qué hacer esta semana

Haz una lista de las herramientas de IA que se usan en la empresa (también las que la gente usa por su cuenta).
Marca las que deciden o influyen en decisiones sobre personas: son las que serán de alto riesgo.
Revisa el chatbot y el contenido generado que publicas: desde agosto de 2026 tiene que ir identificado.
Organiza una formación básica y guarda constancia.

Resumen informativo, no es asesoramiento jurídico. Las fechas pueden cambiar si la UE aprueba nuevas modificaciones.