Si pensabas que el AI Act se había retrasado y que tu empresa podía olvidarse de él hasta 2027, hay un matiz importante. Solo se han aplazado algunas obligaciones. Otras, como la transparencia con los usuarios o la alfabetización en IA, siguen siendo exigibles este verano. Antes de asumir que todavía tienes tiempo, conviene saber qué cambia realmente y qué debes hacer ya.
¿El AI Act se ha retrasado o tu empresa tiene obligaciones desde agosto de 2026?
Sí, ambas cosas son ciertas. El Consejo de la Unión Europea dio su aprobación definitiva el 29 de junio de 2026 al Digital Omnibus sobre inteligencia artificial, que aplaza hasta el 2 de diciembre de 2027 las obligaciones de los sistemas de IA de alto riesgo del Anexo III, y hasta el 2 de agosto de 2028 las del Anexo I. Otras obligaciones, como la transparencia con los usuarios, la alfabetización en IA y las prácticas prohibidas, siguen siendo exigibles según el calendario previsto. Antes de pensar que todavía tienes tiempo, conviene distinguir qué cambia y qué no.
Línea temporal del AI Act:
| Fecha | Qué ocurre |
|---|---|
| Ago. 2024 | El AI Act entra en vigor |
| Feb. 2025 | Prohibiciones y disposiciones generales |
| Ago. 2025 | Gobernanza y modelos de propósito general (GPAI) |
| Ago. 2026 | Aplicación general del Reglamento y de las obligaciones de transparencia del artículo 50, salvo las disposiciones expresamente aplazadas. |
| Dic. 2027 | Sistemas de alto riesgo autónomos (Anexo III) |
| Ago. 2028 | Sistemas de alto riesgo en productos regulados (Anexo I) |
¿Por qué se ha retrasado parte del AI Act?
La razón es el Digital Omnibus, aprobado por el Parlamento Europeo y el Consejo en junio de 2026. Esta reforma no modifica todo el calendario del Reglamento, sino únicamente determinadas obligaciones, principalmente las relativas a los sistemas de IA de alto riesgo del Anexo III. Solo queda su publicación oficial en el Diario Oficial de la UE, prevista antes del 2 de agosto. En resumen: se retrasa el alto riesgo, no se retrasa todo lo demás.
¿Qué debe hacer tu empresa para cumplir el AI Act antes del 2 de agosto?
Haz un inventario de los sistemas y casos de uso de IA
Incluye chatbots, generadores de contenido, herramientas de RRHH con IA integrada y cualquier automatización con IA, aunque las hayas contratado a un tercero. Es el primer paso para todo lo demás.
Clasifica cada herramienta según su nivel de riesgo
Analiza cada sistema y caso de uso para determinar, en primer lugar, si entra en la definición de sistema de IA del Reglamento. A continuación, identifica el rol de tu empresa (proveedor o responsable del despliegue), comprueba que no se trate de una práctica prohibida y analiza su posible inclusión en los anexos I o III, así como las obligaciones de transparencia del artículo 50.
Documentar el análisis facilita acreditar la diligencia de la empresa, pero no constituye una exención de responsabilidad. El deber expreso de documentar la conclusión de que un sistema incluido en el Anexo III no es de alto riesgo corresponde al proveedor, en los supuestos del artículo 6.4.
Activa las medidas de transparencia que corresponda al rol de la empresa
Las obligaciones del artículo 50 dependen del tipo de sistema y del rol que asuma la empresa. No son idénticas para los proveedores y para los responsables del despliegue. La Comisión Europea ha publicado directrices para interpretar las obligaciones de transparencia del artículo 50, que aclaran cómo deben aplicarse en cada supuesto. Debe comprobarse, en cada caso, si la empresa proporciona un sistema que interactúa con personas, genera contenido sintético o, como responsable del despliegue, utiliza reconocimiento de emociones, categorización biométrica, deepfakes o textos generados por IA destinados a informar al público sobre asuntos de interés público.
Documenta la formación en IA del equipo
La alfabetización en IA es una obligación vigente desde 2025 (artículo 4), no una tarea pendiente para agosto. Si aún no la has documentado, hazlo ya.
Además de estos cuatro pasos, conviene revisar los contratos con tus proveedores de IA para dejar claro qué parte del cumplimiento asume cada uno, y no pausar el plan de adecuación: el aplazamiento del alto riesgo da tiempo, pero construir una gobernanza de IA real no se improvisa en las últimas semanas de 2027.
¿Qué obligaciones del AI Act siguen siendo obligatorias en agosto de 2026?
Transparencia en chatbots
El artículo 50 obliga a que cualquier sistema de IA que interactúe directamente con una persona esté diseñado para que esa persona sepa que está hablando con una IA, salvo que resulte evidente por el contexto.
Identificación del contenido generado con IA
Si publicas imágenes, audio, vídeo o texto sobre asuntos de interés público generados o manipulados con IA, debes identificarlos como tales. La Comisión Europea ha publicado incluso iconos oficiales para etiquetar el contenido generado por IA, con el objetivo de facilitar el cumplimiento de estas obligaciones y ofrecer un criterio visual común en toda la Unión Europea. La única excepción técnica es el marcado legible por máquina (watermarking): para los sistemas ya comercializados antes de agosto de 2026, este requisito se aplaza hasta el 2 de diciembre de 2026.
Alfabetización en IA
Vigente desde el 2 de febrero de 2025 (artículo 4). No es una novedad de este verano.
Inicio de la vigilancia por las autoridades
Las autoridades de vigilancia del mercado (en España, la AESIA) empiezan a operar el 2 de agosto de 2026, con independencia de que el régimen de alto riesgo se haya aplazado. La AESIA, con sede en A Coruña, ya está operativa desde febrero de 2025: ha publicado guías prácticas en castellano y gestiona el sandbox regulatorio nacional donde las empresas pueden probar sistemas de alto riesgo bajo supervisión antes de comercializarlos. En la práctica, sus actuaciones suelen activarse por denuncia, por un incidente notificado o dentro de inspecciones sectoriales, no de forma aleatoria.
Muchas pymes confunden además la transparencia del AI Act con las obligaciones de información del RGPD: son normativas distintas, pero se solapan en varios puntos, sobre todo cuando el sistema de IA trata datos personales. Si ya tienes adaptada tu empresa al RGPD, revisa cómo se solapa con el RGPD antes de duplicar trabajo.
Obligaciones del AI Act aplazadas hasta 2027
| Sistemas | Fecha original | Nueva fecha |
|---|---|---|
| Alto riesgo Anexo III (empleo, crédito, seguros, biometría, educación) | 2 de agosto de 2026 | 2 de diciembre de 2027 |
| Alto riesgo Anexo I (productos regulados: maquinaria, juguetes, dispositivos médicos) | 2 de agosto de 2027 | 2 de agosto de 2028 |
| Sandboxes regulatorios nacionales | 2 de agosto de 2026 | 2 de agosto de 2027 |
Si tu empresa usa IA para cribar candidatos, evaluar riesgo crediticio o cualquier otro uso del Anexo III, ganas margen real: 16 meses más de los que tenías previstos hasta hace unas semanas.
¿Mi empresa utiliza un sistema de IA de alto riesgo?
Probablemente no. La mayoría de pymes que usan IA (un chatbot en la web, ChatGPT o Copilot para tareas internas, un generador de imágenes de marketing) caen en riesgo limitado o mínimo, no en el Anexo III. El alto riesgo es la excepción: aplica sobre todo a selección de personal, scoring crediticio, seguros de vida o salud y biometría avanzada.
Si la respuesta es sí, estos son los ocho ámbitos del Anexo III:
Los 8 ámbitos del Anexo III
- Biometría: identificación remota, categorización biométrica y reconocimiento de emociones.
- Infraestructuras críticas: tráfico rodado, agua, gas, calefacción o electricidad.
- Educación y formación profesional: acceso, admisión o evaluación de resultados de aprendizaje.
- Empleo: selección de personal, condiciones laborales, evaluación del rendimiento.
- Servicios esenciales: prestaciones públicas, solvencia crediticia, seguros de vida y salud.
- Aplicación de la ley: evaluación de riesgo de víctimas o de reincidencia.
- Migración, asilo y control fronterizo.
- Administración de justicia y procesos democráticos.
Que estas obligaciones se hayan aplazado a diciembre de 2027 no significa que deban ignorarse: la clasificación de tus sistemas no cambia, solo se mueve el plazo para el cumplimiento completo.
Sanciones por incumplir el AI Act
| Tipo de infracción | Multa máxima |
|---|---|
| Prácticas prohibidas (art. 5) | 35.000.000 € o 7% de la facturación global |
| Incumplimiento de alto riesgo o transparencia | 15.000.000 € o 3% de la facturación global |
| Información falsa o incompleta a las autoridades | 7.500.000 € o 1% de la facturación global |
Para pymes y startups, el artículo 99 establece que la multa aplicable es siempre la cifra menor entre el porcentaje y el importe fijo. Las sanciones de alto riesgo se aplazan junto a esas obligaciones hasta diciembre de 2027; las de prácticas prohibidas, transparencia y alfabetización en IA son exigibles ya. Si tu empresa ya está siguiendo el calendario de NIS2, verás que el patrón de fases y aplazamientos es muy similar.
Principales críticas al AI Act
No todo son elogios al marco regulatorio, y conocer las críticas ayuda a entender sus límites reales. Amnistía Internacional ha señalado que la normativa ofrece protecciones limitadas a las personas migrantes, refugiadas y solicitantes de asilo. Una coalición de organizaciones de la sociedad civil coordinada por European Digital Rights (EDRi) concluyó que el texto se queda corto en la protección de derechos como la privacidad y la igualdad. También organizaciones de autores y creadores han criticado que las guías sobre modelos de propósito general no garantizan suficiente transparencia sobre los datos de entrenamiento. Son críticas a tener en cuenta, aunque no cambian las obligaciones ya vigentes para tu empresa.
¿Necesitas ayuda para saber si el AI Act afecta a tu empresa?
Si no tienes claro si las herramientas de IA que utiliza tu empresa entran dentro del AI Act, una revisión inicial suele bastar para identificar qué obligaciones ya son exigibles y cuáles puedes planificar para más adelante. En ESI Soluciones, nuestra Área Legal lleva más de 20 años ayudando a empresas aragonesas a adaptarse a la normativa que afecta a su negocio.
👉 Solicita una consulta con nuestra Área Legal o llámanos al 976 30 01 40.
Preguntas frecuentes sobre el AI Act 2026
¿El AI Act se ha retrasado?
Solo en parte. Las obligaciones de los sistemas de alto riesgo (Anexo III) se aplazan a diciembre de 2027. La transparencia, la alfabetización en IA y las prácticas prohibidas mantienen su calendario original.
¿Tengo que cumplir el AI Act si solo utilizo ChatGPT o Copilot?
Si lo usas para tareas internas, las obligaciones principales recaen en el proveedor del modelo. Si generas contenido para publicar o interactúas con clientes mediante IA, tienes obligaciones de transparencia propias (artículo 50) que no se han aplazado.
¿Cómo cumplir el AI Act paso a paso?
Inventaría tus sistemas de IA, clasifícalos frente al Anexo III, activa la transparencia del artículo 50 en tus chatbots y contenidos, y documenta la formación en alfabetización IA de tu equipo.
¿Qué pasa si no cumplo el AI Act?
Depende de la infracción: hasta 35 millones de euros o el 7% de la facturación global por prácticas prohibidas, hasta 15 millones o el 3% por incumplimientos de alto riesgo o transparencia. Para pymes se aplica siempre la cifra menor entre porcentaje e importe.
¿Necesito adaptar ChatGPT al AI Act?
No es tu empresa quien adapta el modelo (eso es responsabilidad de OpenAI como proveedor), pero sí debes cumplir tus propias obligaciones como usuario: transparencia si lo usas de cara a clientes, y formación de tu equipo.