AI Act en la empresa: qué exige y qué hay que hacer

Desde el 2 de agosto de 2026, el Reglamento europeo de inteligencia artificial (AI Act) se aplica y las autoridades ya pueden supervisarlo. Muchas empresas siguen esperando a 2027 porque han leído que «se ha retrasado». Solo se ha retrasado una parte. Este artículo explica qué está en vigor hoy, qué viene después y qué tiene que hacer una organización que usa o desarrolla IA.

Qué está en vigor y qué se ha retrasado

El AI Act (Reglamento (UE) 2024/1689) se aplica por fases. En julio de 2026 entró en vigor el llamado Omnibus digital de IA (Reglamento (UE) 2026/1744), que retrasó las obligaciones de los sistemas de alto riesgo. El resto del calendario no se movió:

• Desde el 2 de febrero de 2025: prácticas prohibidas y obligación de alfabetización en IA.
• Desde el 2 de agosto de 2025: obligaciones de los proveedores de modelos de IA de uso general, como los que hay detrás de GPT, Claude o Gemini, y estructura de gobernanza.
• Desde el 2 de agosto de 2026: aplicación general, supervisión de las autoridades y obligaciones de transparencia.
• 2 de diciembre de 2026: una nueva práctica prohibida (generar contenido sexual no consentido o material de abuso infantil) y fin del plazo para marcar el contenido generado por IA en los sistemas que ya estaban en el mercado.
• 2 de diciembre de 2027: obligaciones de alto riesgo para los usos del anexo III, como empleo, crédito, seguros de vida y salud, educación o infraestructuras críticas.
• 2 de agosto de 2028: alto riesgo de la IA integrada en productos regulados (anexo I).

Lo que más afecta al día a día de una empresa ya es exigible: qué está prohibido, formar a quien usa la IA y avisar cuando una persona habla con una IA.

La primera pregunta: ¿usas IA de otros o pones en servicio la tuya?

El Reglamento reparte las obligaciones según el papel que tiene la organización con cada sistema, y casi todas las empresas tienen los dos:

• Eres responsable del despliegue cuando usas, bajo tu autoridad, un sistema de IA de un tercero: el asistente corporativo, el agente que viene con tu CRM, la herramienta que filtra currículos.
• Eres proveedor cuando desarrollas un sistema o un agente, o lo encargas, y lo pones en servicio con tu nombre: el chatbot de atención que ha construido tu equipo o un agente interno sobre tus datos.

Hay un matiz importante (artículo 25): si pones tu marca a un sistema de alto riesgo de otro, lo modificas de forma sustancial o le cambias la finalidad hasta convertirlo en alto riesgo, pasas a tener las obligaciones del proveedor. Y construir un agente sobre un modelo de uso general no te convierte en proveedor del modelo, pero sí del sistema que pones en servicio.

Lo que ya tienes que cumplir

Prácticas prohibidas

Desde febrero de 2025 están prohibidos, entre otros, los sistemas que manipulan a las personas de forma dañina, la puntuación social, el reconocimiento de emociones en el trabajo y en los centros educativos (salvo por motivos médicos o de seguridad) y la categorización biométrica para deducir datos sensibles. Es la infracción con las multas más altas.

En la práctica: revisa que ningún uso, propio o de un proveedor, caiga en estas categorías.

Alfabetización en IA

El artículo 4 obliga a proveedores y responsables del despliegue a tomar medidas para que su personal, y quien use la IA en su nombre, tenga un nivel suficiente de conocimiento. La Comisión ha aclarado que no hace falta un certificado ni un nivel concreto. Lo que sí hace falta es formación adaptada al papel de cada persona y al riesgo de los sistemas que usa, y conviene dejar constancia de lo que se ha hecho. Remitir al personal a las instrucciones de uso, en general, no basta.

En la práctica: un programa de formación por perfiles (quien usa un asistente, quien decide con la ayuda de un sistema, quien lo construye) y un registro de quién lo ha recibido. Si un proveedor usa IA por ti, inclúyelo en su contrato.

Transparencia

Desde el 2 de agosto de 2026, el artículo 50 obliga a:

• que quien hable con un chatbot o un agente sepa que es una IA, salvo que sea evidente;
• que los proveedores de IA generativa marquen el contenido que generan de forma que se pueda detectar;
• que quien publique deepfakes diga que el contenido es artificial, y que quien publique textos generados por IA para informar al público sobre asuntos de interés general también lo diga, salvo que una persona los haya revisado y asuma la responsabilidad editorial.

En junio de 2026 la Comisión publicó un código de buenas prácticas, voluntario, sobre cómo marcar y etiquetar el contenido generado por IA, con un icono común europeo.

En la práctica: revisa tus chatbots y agentes de cara al cliente, tus campañas y el contenido que publicas generado con IA.

Si alguno de tus sistemas es de alto riesgo

El alto riesgo del anexo III llega el 2 de diciembre de 2027, y no es mucho tiempo: hay que saber qué sistemas lo son, preparar a quien los supervisa y tener los registros en orden. En una empresa, los casos más habituales son la selección y evaluación de personas, la concesión de crédito y la fijación de precios en seguros de vida y salud. En mayo de 2026 la Comisión publicó un borrador de directrices con ejemplos de qué es y qué no es alto riesgo.

Si usas un sistema de alto riesgo de un tercero, el artículo 26 te pide:

• usarlo según las instrucciones del proveedor;
• asignar la supervisión humana a personas con competencia, formación y autoridad para pararlo;
• si controlas los datos de entrada, que sean pertinentes y representativos;
• vigilar su funcionamiento, avisar al proveedor de riesgos e incidentes graves y suspender el uso si hay riesgo;
• conservar los registros que genera al menos seis meses;
• informar a los trabajadores y a sus representantes antes de usarlo en el trabajo, y a las personas sobre las que decide o ayuda a decidir.

Los organismos públicos, las empresas que prestan servicios públicos y quien use IA para evaluar la solvencia o fijar precios en seguros de vida y salud tienen que hacer, además, una evaluación de impacto en los derechos fundamentales antes de usarlo (artículo 27).

Si eres proveedor de un sistema de alto riesgo, se suman la gestión de riesgos, la calidad de los datos, la documentación técnica, el registro automático de eventos, la transparencia hacia quien lo usa, el diseño para la supervisión humana, la exactitud y la robustez (artículos 9 a 15), un sistema de gestión de la calidad y la evaluación de conformidad.

Qué te juegas

Las multas máximas son:

• 35 millones de euros o el 7 % de la facturación mundial por prácticas prohibidas;
• 15 millones o el 3 % por incumplir el resto de obligaciones, incluidas las de transparencia y las del responsable del despliegue;
• 7,5 millones o el 1 % por dar información incorrecta a las autoridades.

Se aplica la cifra mayor, salvo a pymes y pequeñas empresas de mediana capitalización, a las que se aplica la menor. En España supervisa la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), y el proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA, que concreta el régimen sancionador, está en tramitación en las Cortes.

Por dónde empezar: un plan en seis pasos

1. Haz el inventario. Lista todos los sistemas y agentes de IA de la organización: los propios, los de proveedores y los que vienen dentro de las herramientas que ya usas (CRM, ofimática, atención al cliente). Para cada uno: para qué sirve, quién es el responsable, qué datos usa y quién es el proveedor. Sin inventario no se puede clasificar nada.
2. Clasifica cada sistema por riesgo y por papel, con tu asesoría jurídica, y deja escrito el razonamiento.
3. Retira lo prohibido. Ya es sancionable.
4. Forma a las personas según su papel y guarda el registro.
5. Cumple la transparencia en chatbots, agentes y contenido generado.
6. Prepara el alto riesgo: nombra a quién supervisa cada sistema, asegúrate de que los registros se conservan y define cómo se detectan y se notifican los incidentes.

El AI Act no es solo un asunto de IT: implica a dirección, legal o protección de datos, IT y recursos humanos.

El problema de fondo: poder demostrarlo

Cumplir no es solo hacer: es poder demostrarlo cuando lo pida una autoridad, un cliente o un auditor. Y ahí está la dificultad. Las empresas ya no tienen un sistema de IA: tienen decenas de agentes de proveedores distintos, cada uno con sus propios registros. Con un inventario en una hoja de cálculo y documentos hechos a mano, el inventario envejece, los registros quedan dispersos y la supervisión humana no queda trazada.

La forma sostenible es sacar la evidencia de lo que los sistemas ya hacen: qué agente actuó, con qué datos, con qué modelo, cuánto costó y quién lo aprobó.

Cómo te ayudamos

Lo hacemos con nuestro servicio AI Governance, sobre Regentic.AI, la plataforma de observabilidad y gobernanza de agentes de IA de la que Zemsania es distribuidor exclusivo en Europa:

• Inventario vivo de agentes, bases de conocimiento e integraciones, propios y de terceros, conectados sin reescribirlos por OpenTelemetry, MCP, REST o A2A.
• Reglas deterministas de coste, latencia, errores y datos sensibles: primero avisar, después bloquear.
• Políticas y aprobaciones donde tiene que decidir una persona, con la supervisión trazada.
• Evidencia del AI Act sacada de los datos reales, con informes sellados y explicados en lenguaje natural para dirección y para el delegado de protección de datos.

Empezamos por un censo de tus agentes, los conectamos y los observamos, y después gobernamos. La plataforma aporta la evidencia; la clasificación de riesgo la declara tu organización.

Este artículo es informativo y no sustituye el asesoramiento jurídico de tu organización.