AI Act: qué obliga a una pyme desde agosto de 2026
AI Act: qué obliga a una pyme desde agosto de 2026
AI Act: qué obliga hoy a una pyme, qué se aplazó y por dónde conviene empezar
AI Act es el nombre con el que se conoce el Reglamento europeo de inteligencia artificial, cuyo grueso de obligaciones se aplica desde el 2 de agosto de 2026. Lo exigible hoy a una empresa mediana es más concreto y más abarcable de lo que ha dado a entender el ruido de los últimos meses.
Durante la primera mitad del año circuló la idea de que el AI Act caería en agosto sobre las empresas como un cuerpo normativo enorme y de aplicación inmediata. El calendario real resultó más ordenado. Una parte de las obligaciones arrancó ese día, otra se desplazó a finales de 2027, y distinguir entre ambas es lo que permite a una dirección saber qué tiene delante.
Qué se aplica desde agosto y qué se aplazó a 2027
El AI Act, formalmente Reglamento (UE) 2024/1689, está en vigor desde agosto de 2024 con un calendario escalonado. En febrero de 2025 entraron las prácticas prohibidas, en agosto de ese mismo año las reglas para los modelos de propósito general, y el 2 de agosto de 2026 quedaba fijada la aplicación del grueso restante.
Ese último tramo se reordenó a mitad de año. El Reglamento (UE) 2026/1744, conocido como Ómnibus digital sobre IA, se publicó en el Diario Oficial el 24 de julio y está en vigor desde el 27. Aplaza los sistemas de alto riesgo del Anexo III al 2 de diciembre de 2027, y los que van integrados en productos ya regulados, como maquinaria o productos sanitarios, al 2 de agosto de 2028.
Lo que sí arrancó en agosto son las obligaciones de transparencia del artículo 50. Alcanzan a cualquier empresa que tenga inteligencia artificial de cara al público, con independencia de su tamaño, porque el AI Act no contempla exenciones por facturación ni por plantilla en este capítulo.
Las obligaciones del AI Act que afectan hoy a una pyme
La más visible tiene que ver con la interacción. Cuando un sistema trata directamente con personas, esas personas deben saber que están hablando con una máquina, salvo que resulte evidente por el contexto.
El contenido tiene su propia regla. Las imágenes, los audios, los vídeos y los textos generados o alterados con IA deben llevar una marca en formato legible por máquina que permita detectar su origen sintético. Los sistemas que ya estaban en el mercado antes de agosto disponen de un periodo de gracia que termina el 2 de diciembre de 2026.
Sobre el responsable del despliegue recae además un deber propio. Quien publica un deepfake tiene que declararlo, y quien difunde textos generados con IA sobre asuntos de interés público debe indicarlo, salvo que exista revisión humana con responsabilidad editorial.
El AI Act incluye también la alfabetización del personal, que el Ómnibus suavizó. La empresa ya no garantiza un nivel determinado de competencia, sino que apoya su desarrollo entre quienes trabajan con estas herramientas.
El chatbot de la web es el caso más frecuente
En la práctica, casi ninguna pyme fabrica sistemas de inteligencia artificial. Los usa, y esa figura tiene nombre propio en el AI Act: responsable del despliegue. La consecuencia operativa es que la responsabilidad de avisar recae sobre quien pone el asistente delante del cliente, aunque la tecnología venga de un tercero.
El aviso tiene que ser útil, lo que descarta esconderlo en un pie legal. Una frase en el primer mensaje de la conversación cumple de sobra, y conviene acompañarla de una salida clara hacia una persona. Los agentes y asistentes conversacionales bien planteados ya funcionan así por diseño, porque la transparencia mejora la conversación en lugar de estorbarla.
La misma lógica aplica al correo automatizado, a los resúmenes de llamadas que se envían al cliente y a cualquier respuesta que salga de la empresa sin intervención humana.
El régimen sancionador y quién vigila en España
El régimen sancionador del AI Act reserva las cuantías más altas para las prácticas prohibidas, con multas de hasta 35 millones de euros o el 7% de la facturación mundial. El incumplimiento de las obligaciones de transparencia se mueve en otro rango, hasta 15 millones o el 3%, y para pymes se aplica la menor de las dos cifras.
Conviene leer esos números con perspectiva. El riesgo realista para una empresa mediana viene de un cliente, un competidor o un empleado que denuncia ante la autoridad nacional, mucho antes que de una inspección europea. En España esa autoridad es la AESIA, con sede en A Coruña, y el marco de gobernanza llegará a través del proyecto de ley orgánica aprobado por el Consejo de Ministros en mayo de 2026, hoy en tramitación parlamentaria.
Selección de personal y scoring: lo que llega en diciembre de 2027
El aplazamiento del Anexo III da aire, aunque conviene saber qué contiene. El AI Act clasifica ahí los usos de IA en selección de personal, en decisiones sobre promoción o despido, en evaluación crediticia y en acceso a servicios esenciales. Una pyme que utilice una herramienta para cribar currículos entra de lleno en esa categoría.
Las obligaciones asociadas son de otro orden. El AI Act exige ahí gestión de riesgos documentada, calidad de los datos de entrenamiento, supervisión humana efectiva y registro de la actividad del sistema. Preparar eso lleva meses, y la experiencia con el RGPD sugiere que las organizaciones que empezaron pronto lo resolvieron con una fracción del esfuerzo. Una consultoría de integración de IA planteada con tiempo permite decidir qué usos merecen la pena antes de tener que documentarlos.
Cumplir empieza por saber qué IA se usa
El primer trabajo no es jurídico. Consiste en levantar un inventario honesto de dónde hay inteligencia artificial dentro de la casa: qué herramientas se usan, en qué proceso, con qué datos y de cara a quién. Ese ejercicio suele revelar bastante más de lo esperado, porque una parte del uso real entra por cuentas personales y nunca pasó por dirección.
Ese inventario resuelve la mitad del cumplimiento del AI Act y sirve además para algo más rentable. Señala qué procesos están apoyándose en IA sin criterio y cuáles piden una automatización de operaciones bien diseñada.
Las empresas que salgan bien paradas de esta etapa serán las que hayan entendido el AI Act como un mapa de su propio uso de la tecnología.
Fuentes:
EUR-Lex: Reglamento (UE) 2026/1744, Ómnibus digital sobre IA
La Moncloa: Consejo de Ministros de 26 de mayo de 2026