AI Act a l’empresa: què exigeix i què cal fer

Des del 2 d’agost de 2026, el Reglament europeu d’intel·ligència artificial (AI Act) s’aplica i les autoritats ja el poden supervisar. Moltes empreses continuen esperant el 2027 perquè han llegit que «s’ha endarrerit». Només s’ha endarrerit una part. Aquest article explica què està en vigor avui, què ve després i què ha de fer una organització que fa servir o desenvolupa IA.

Què està en vigor i què s’ha endarrerit

L’AI Act (Reglament (UE) 2024/1689) s’aplica per fases. El juliol de 2026 va entrar en vigor l’anomenat Òmnibus digital d’IA (Reglament (UE) 2026/1744), que va endarrerir les obligacions dels sistemes d’alt risc. La resta del calendari no es va moure:

• Des del 2 de febrer de 2025: pràctiques prohibides i obligació d’alfabetització en IA.
• Des del 2 d’agost de 2025: obligacions dels proveïdors de models d’IA d’ús general, com els que hi ha darrere de GPT, Claude o Gemini, i estructura de governança.
• Des del 2 d’agost de 2026: aplicació general, supervisió de les autoritats i obligacions de transparència.
• 2 de desembre de 2026: una nova pràctica prohibida (generar contingut sexual no consentit o material d’abús infantil) i fi del termini per marcar el contingut generat per IA en els sistemes que ja eren al mercat.
• 2 de desembre de 2027: obligacions d’alt risc per als usos de l’annex III, com ocupació, crèdit, assegurances de vida i salut, educació o infraestructures crítiques.
• 2 d’agost de 2028: alt risc de la IA integrada en productes regulats (annex I).

Allò que més afecta el dia a dia d’una empresa ja és exigible: què està prohibit, formar qui fa servir la IA i avisar quan una persona parla amb una IA.

La primera pregunta: fas servir la IA d’altres o poses en servei la teva?

El Reglament reparteix les obligacions segons el paper que té l’organització amb cada sistema, i gairebé totes les empreses tenen tots dos:

• Ets responsable del desplegament quan fas servir, sota la teva autoritat, un sistema d’IA d’un tercer: l’assistent corporatiu, l’agent que ve amb el teu CRM, l’eina que filtra currículums.
• Ets proveïdor quan desenvolupes un sistema o un agent, o l’encarregues, i el poses en servei amb el teu nom: el xatbot d’atenció que ha construït el teu equip o un agent intern sobre les teves dades.

Hi ha un matís important (article 25): si poses la teva marca a un sistema d’alt risc d’un altre, el modifiques de manera substancial o li canvies la finalitat fins a convertir-lo en d’alt risc, passes a tenir les obligacions del proveïdor. I construir un agent sobre un model d’ús general no et converteix en proveïdor del model, però sí del sistema que poses en servei.

El que ja has de complir

Pràctiques prohibides

Des del febrer de 2025 estan prohibits, entre d’altres, els sistemes que manipulen les persones de manera nociva, la puntuació social, el reconeixement d’emocions a la feina i als centres educatius (tret de motius mèdics o de seguretat) i la categorització biomètrica per deduir dades sensibles. És la infracció amb les multes més altes.

A la pràctica: revisa que cap ús, propi o d’un proveïdor, caigui en aquestes categories.

Alfabetització en IA

L’article 4 obliga proveïdors i responsables del desplegament a prendre mesures perquè el seu personal, i qui faci servir la IA en nom seu, tingui un nivell suficient de coneixement. La Comissió ha aclarit que no cal cap certificat ni un nivell concret. El que sí que cal és formació adaptada al paper de cada persona i al risc dels sistemes que fa servir, i convé deixar constància del que s’ha fet. Remetre el personal a les instruccions d’ús, en general, no n’hi ha prou.

A la pràctica: un programa de formació per perfils (qui fa servir un assistent, qui decideix amb l’ajuda d’un sistema, qui el construeix) i un registre de qui l’ha rebut. Si un proveïdor fa servir IA per tu, inclou-ho al seu contracte.

Transparència

Des del 2 d’agost de 2026, l’article 50 obliga que:

• qui parli amb un xatbot o un agent sàpiga que és una IA, tret que sigui evident;
• els proveïdors d’IA generativa marquin el contingut que generen de manera que es pugui detectar;
• qui publiqui deepfakes digui que el contingut és artificial, i que qui publiqui textos generats per IA per informar el públic sobre assumptes d’interès general també ho digui, tret que una persona els hagi revisat i assumeixi la responsabilitat editorial.

El juny de 2026 la Comissió va publicar un codi de bones pràctiques, voluntari, sobre com marcar i etiquetar el contingut generat per IA, amb una icona comuna europea.

A la pràctica: revisa els teus xatbots i agents de cara al client, les teves campanyes i el contingut que publiques generat amb IA.

Si algun dels teus sistemes és d’alt risc

L’alt risc de l’annex III arriba el 2 de desembre de 2027, i no és gaire temps: cal saber quins sistemes ho són, preparar qui els supervisa i tenir els registres en ordre. En una empresa, els casos més habituals són la selecció i avaluació de persones, la concessió de crèdit i la fixació de preus en assegurances de vida i salut. El maig de 2026 la Comissió va publicar un esborrany de directrius amb exemples de què és i què no és alt risc.

Si fas servir un sistema d’alt risc d’un tercer, l’article 26 et demana:

• fer-lo servir segons les instruccions del proveïdor;
• assignar la supervisió humana a persones amb competència, formació i autoritat per aturar-lo;
• si controles les dades d’entrada, que siguin pertinents i representatives;
• vigilar-ne el funcionament, avisar el proveïdor de riscos i incidents greus i suspendre’n l’ús si hi ha risc;
• conservar els registres que genera almenys sis mesos;
• informar els treballadors i els seus representants abans d’usar-lo a la feina, i les persones sobre les quals decideix o ajuda a decidir.

Els organismes públics, les empreses que presten serveis públics i qui faci servir IA per avaluar la solvència o fixar preus en assegurances de vida i salut han de fer, a més, una avaluació d’impacte en els drets fonamentals abans d’usar-lo (article 27).

Si ets proveïdor d’un sistema d’alt risc, s’hi sumen la gestió de riscos, la qualitat de les dades, la documentació tècnica, el registre automàtic d’esdeveniments, la transparència cap a qui el fa servir, el disseny per a la supervisió humana, l’exactitud i la robustesa (articles 9 a 15), un sistema de gestió de la qualitat i l’avaluació de conformitat.

Què t’hi jugues

Les multes màximes són:

• 35 milions d’euros o el 7 % de la facturació mundial per pràctiques prohibides;
• 15 milions o el 3 % per incomplir la resta d’obligacions, incloses les de transparència i les del responsable del desplegament;
• 7,5 milions o l’1 % per donar informació incorrecta a les autoritats.

S’aplica la xifra més gran, tret de pimes i petites empreses de mitjana capitalització, a les quals s’aplica la més petita. A Espanya supervisa l’Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), i el projecte de Llei Orgànica per al bon ús i la governança de la IA, que concreta el règim sancionador, està en tramitació a les Corts.

Per on començar: un pla en sis passos

1. Fes l’inventari. Llista tots els sistemes i agents d’IA de l’organització: els propis, els de proveïdors i els que vénen dins de les eines que ja fas servir (CRM, ofimàtica, atenció al client). Per a cadascun: per a què serveix, qui n’és el responsable, quines dades fa servir i qui és el proveïdor. Sense inventari no es pot classificar res.
2. Classifica cada sistema per risc i per paper, amb la teva assessoria jurídica, i deixa escrit el raonament.
3. Retira el que és prohibit. Ja és sancionable.
4. Forma les persones segons el seu paper i guarda’n el registre.
5. Compleix la transparència en xatbots, agents i contingut generat.
6. Prepara l’alt risc: nomena qui supervisa cada sistema, assegura’t que els registres es conserven i defineix com es detecten i es notifiquen els incidents.

L’AI Act no és només un afer d’IT: implica direcció, legal o protecció de dades, IT i recursos humans.

El problema de fons: poder demostrar-ho

Complir no és només fer: és poder demostrar-ho quan ho demani una autoritat, un client o un auditor. I aquí és la dificultat. Les empreses ja no tenen un sistema d’IA: tenen desenes d’agents de proveïdors diferents, cadascun amb els seus propis registres. Amb un inventari en un full de càlcul i documents fets a mà, l’inventari envelleix, els registres queden dispersos i la supervisió humana no queda traçada.

La manera sostenible és treure l’evidència del que els sistemes ja fan: quin agent ha actuat, amb quines dades, amb quin model, quant ha costat i qui ho ha aprovat.

Com t’ajudem

Ho fem amb el nostre servei AI Governance, sobre Regentic.AI, la plataforma d’observabilitat i governança d’agents d’IA de la qual Zemsania és distribuïdor exclusiu a Europa:

• Inventari viu d’agents, bases de coneixement i integracions, propis i de tercers, connectats sense reescriure’ls per OpenTelemetry, MCP, REST o A2A.
• Regles deterministes de cost, latència, errors i dades sensibles: primer avisar, després bloquejar.
• Polítiques i aprovacions on ha de decidir una persona, amb la supervisió traçada.
• Evidència de l’AI Act treta de les dades reals, amb informes segellats i explicats en llenguatge natural per a direcció i per al delegat de protecció de dades.

Comencem per un cens dels teus agents, els connectem i els observem, i després governem. La plataforma aporta l’evidència; la classificació de risc la declara la teva organització.

Aquest article és informatiu i no substitueix l’assessorament jurídic de la teva organització.