AI Act: guía completa para empresas españolas

Qué es el AI Act

¿Qué es el AI Act y a quién aplica?

El AI Act — formalmente el Reglamento (UE) 2024/1689, publicado el 12 de julio de 2024 — es el marco jurídico europeo que regula el desarrollo, la comercialización y el uso de sistemas de inteligencia artificial. Al ser un reglamento y no una directiva, aplica directamente en España: no hace falta esperar a ninguna ley española para que sus obligaciones sean exigibles.

Su lógica es sencilla de entender aunque el texto sea largo: regula usos, no tecnologías. No prohíbe «la IA generativa» ni obliga a certificar «todo lo que use IA»; clasifica cada sistema según el riesgo que su uso concreto genera para la salud, la seguridad o los derechos de las personas, y asigna obligaciones proporcionales a ese riesgo. Un mismo modelo puede ser riesgo mínimo en un uso (redactar borradores internos) y alto riesgo en otro (filtrar currículums).

¿A quién aplica? A toda la cadena: proveedores (quien desarrolla o comercializa el sistema), responsables del despliegue (la empresa que lo usa — la figura en la que cae la inmensa mayoría de pymes españolas), importadores y distribuidores. También a empresas de fuera de la UE cuyo output se use dentro de la Unión. No hay exención por tamaño: una pyme de cinco empleados que usa IA tiene obligaciones — proporcionales, pero reales.

Las 4 categorías de riesgo, con ejemplos de pyme española

Todo el reglamento pivota sobre esta clasificación. Antes de preocuparse por sanciones o certificados, la pregunta operativa para cualquier empresa es: ¿en qué categoría cae cada sistema de IA que uso?

1. Riesgo inaceptable — prohibido (art. 5)

Usos vetados en toda la UE desde el 2 de febrero de 2025: puntuación social de personas, manipulación subliminal que cause daño, explotación de vulnerabilidades, scraping masivo e indiscriminado de imágenes faciales, y — atención, porque toca a empresas normales — el reconocimiento de emociones en el lugar de trabajo y en centros educativos. Si un proveedor te ofrece «análisis emocional de empleados en videollamadas», eso no es innovación: es una práctica prohibida del artículo 5, en el tramo de multa más alto.

2. Alto riesgo (Anexos I y III)

Sistemas cuyo fallo afecta seriamente a derechos o seguridad: IA para selección de personal y decisiones laborales (el caso de alto riesgo más frecuente en pymes — un software que criba currículums entra aquí), evaluación educativa, scoring crediticio y acceso a servicios esenciales, biometría, infraestructuras críticas, y la IA integrada como componente de seguridad en productos regulados (máquinas, productos sanitarios). Exigen gestión de riesgos, calidad de datos, documentación técnica, supervisión humana y evaluación de conformidad. Sus fechas originales eran el 2 de agosto de 2026 (Anexo III, art. 6.2) y el 2 de agosto de 2027 (Anexo I, art. 6.1); el Digital Omnibus aprobado en junio de 2026 las traslada al 2 de diciembre de 2027 y al 2 de agosto de 2028 respectivamente. El desglose del anexo III ámbito a ámbito, con ejemplos realistas de pyme, está en sistemas de alto riesgo del AI Act.

3. Riesgo limitado — transparencia (art. 50)

La categoría que más pymes toca en la práctica. Desde el 2 de agosto de 2026: los chatbots y asistentes deben identificarse como IA ante el usuario, el contenido sintético debe ser detectable como generado, y los deepfakes deben etiquetarse. Si tu web tiene un asistente conversacional o publicas contenido generado con IA, esta es tu categoría. Es el patrón que aplicamos, por ejemplo, en los agentes de voz: se identifican como IA en la primera frase de cada llamada.

4. Riesgo mínimo

Todo lo demás — que es la mayoría: filtros de spam, recomendadores internos, asistentes de redacción y programación usados bajo supervisión humana. Sin obligaciones específicas más allá de la alfabetización del art. 4 y de las normas que ya aplicaban antes (RGPD incluido). El reglamento anima a códigos de conducta voluntarios, pero no impone cargas nuevas.

Calendario de aplicación (actualizado tras el Digital Omnibus)

Este calendario incorpora el cambio más importante de 2026 — y el que la mayoría de guías todavía no refleja: el paquete Digital Omnibus sobre IA, cuyo acuerdo político de mayo de 2026 fue aprobado por el Parlamento Europeo el 16 de junio y por el Consejo el 29 de junio de 2026, aplaza las obligaciones de alto riesgo. Un matiz de rigor: a fecha de publicación de esta guía (julio de 2026) el paquete está pendiente de publicación en el Diario Oficial de la UE — trámite formal previo a su entrada en vigor —, de modo que las fechas formalmente vigentes siguen siendo las del art. 113 original (Anexo III el 2 de agosto de 2026, Anexo I el 2 de agosto de 2027) hasta que el Omnibus se publique. La tabla distingue ambas capas.

Nota sobre los modelos de uso general (GPAI): los comercializados antes del 2 de agosto de 2025 disponen hasta el 2 de agosto de 2027 para adecuarse. Fuente del calendario: Comisión Europea — marco regulatorio de la IA. Desglosamos las dos capas de fechas — la vigente del art. 113 y la del Digital Omnibus — con su traducción operativa por tipo de empresa en Calendario del AI Act: qué aplica ya y qué viene.

Obligaciones que YA están vigentes (y las que llegan el 2 de agosto de 2026)

El aplazamiento del alto riesgo ha generado una confusión peligrosa: «el AI Act se ha retrasado, ya veremos en 2027». Falso. Tres bloques de obligaciones aplican hoy o en cuestión de semanas:

• Alfabetización en IA (art. 4) — vigente desde el 2 de febrero de 2025. Proveedores y empresas usuarias deben garantizar que su personal tiene un nivel suficiente de conocimiento sobre la IA que maneja: qué hace, qué no hace, qué riesgos tiene. No exige un título ni un curso homologado; exige formación proporcional al uso real — lo desgranamos en la alfabetización en IA del artículo 4. Una política de uso de IA más una formación interna documentada cubre a la mayoría de pymes.
• Prácticas prohibidas (art. 5) — vigentes desde el 2 de febrero de 2025. El deber aquí es de verificación: revisar que ninguna herramienta contratada (o que un proveedor te proponga) cae en un uso vetado. El tramo sancionador de este bloque es el máximo del reglamento.
• Transparencia (art. 50) — aplica desde el 2 de agosto de 2026. Chatbots que se identifican como IA, contenido sintético marcado, deepfakes etiquetados. Si tienes un asistente en la web, un bot de WhatsApp o un agente de voz telefónico, es tu obligación más inmediata y la más barata de cumplir bien desde el diseño.
• Modelos GPAI — desde el 2 de agosto de 2025. Obligan al proveedor del modelo (OpenAI, Anthropic, Google…), no a la empresa que lo usa. Si tu pyme consume estos modelos vía API o herramienta, tu papel es de responsable del despliegue: te afectan el art. 4 y, según el uso, el art. 50 — no las obligaciones GPAI.

Alto riesgo: qué exige y por qué la nueva fecha no es una amnistía

Si alguno de tus sistemas cae en el Anexo III — el caso típico en pyme es el cribado de candidatos con IA —, el paquete de obligaciones es exigente: sistema de gestión de riesgos durante todo el ciclo de vida, gobernanza y calidad de los datos de entrenamiento, documentación técnica, registro de eventos (logs), supervisión humana efectiva, robustez y ciberseguridad, y evaluación de conformidad previa con marcado CE cuando procede. Comprobar con evidencia dónde estás respecto a ese paquete es el trabajo de una auditoría de sistemas de IA.

La nueva fecha del 2 de diciembre de 2027 da margen, pero conviene leerla bien: se aprobó precisamente porque los estándares armonizados y las autoridades nacionales no estaban listos — no porque las obligaciones fueran a suavizarse. Quien despliega hoy un sistema de alto riesgo sin gestión de riesgos ni supervisión humana no está «aprovechando la prórroga»: está acumulando deuda regulatoria sobre un sistema que tendrá que rehacer. Nuestra recomendación operativa es diseñar ya con los requisitos en la mano — como hacemos en la implementación y gestión de agentes de IA con supervisión humana (HITL) desde el primer sprint.

Sanciones del AI Act: los tres tramos del artículo 99

El régimen sancionador es aplicable desde el 2 de agosto de 2025 y las cuantías máximas están en el propio reglamento. Tres tramos, según la gravedad de la infracción:

Matiz clave para pymes: el art. 99 ordena que, para pymes y startups, cada multa se limite al menor de los dos importes (la cifra fija o el porcentaje), no al mayor. Los titulares de «35 millones de multa a tu pyme» son mal periodismo: la horquilla real se gradúa por gravedad, tamaño y grado de cooperación. Eso no la convierte en simbólica — el tramo del art. 50 (transparencia) alcanza los 15 M€ o el 3% — pero sí en proporcional. Analizamos los tres tramos con ejemplos de pyme, la regla de modulación del art. 99.6 y el checklist para evitarlas en Sanciones del AI Act: multas por artículo y cómo evitarlas.

¿Existe una certificación AI Act?

Es la pregunta que más nos llega de dirección y compras, y la respuesta corta es: no existe un «certificado AI Act» único que tu empresa pueda colgar en la pared. Lo que existe son tres cosas distintas que el mercado mezcla constantemente: la evaluación de conformidad con marcado CE, obligatoria solo para sistemas de alto riesgo y a cargo del proveedor; la ISO/IEC 42001:2023, una certificación voluntaria de sistema de gestión de IA que sí puede obtenerse hoy a través de certificadoras acreditadas (AENOR, Bureau Veritas, BSI…); y la adecuación general — inventario, formación, transparencia — que no genera ningún sello pero es lo que el reglamento exige de verdad a la mayoría de empresas.

Si un comercial te está ofreciendo «la certificación del AI Act» como producto cerrado, conviene leer primero ¿Existe el certificado AI Act? Lo que tu empresa necesita realmente — ahí desmontamos la confusión, comparamos las tres vías y damos un árbol de decisión simple según tu caso.

La ley española de gobernanza de la IA y el papel de AESIA

Circula mucho la búsqueda «ley de inteligencia artificial España», y merece una aclaración: el AI Act ya aplica en España sin necesidad de ley nacional. Lo que está en marcha es el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial: el Consejo de Ministros lo aprobó y remitió al Congreso el 26 de mayo de 2026, y está en tramitación parlamentaria (fase de enmiendas) — a fecha de esta guía sigue pendiente de aprobación final. Su función no es duplicar el reglamento europeo, sino organizarlo en España: designar autoridades, regular los sandboxes de pruebas y concretar el cuadro sancionador nacional dentro de las horquillas del art. 99.

La pieza institucional central es AESIA, la Agencia Española de Supervisión de la Inteligencia Artificial (con sede en A Coruña): autoridad de vigilancia de mercado para la mayoría de sistemas y punto de contacto único ante la Comisión Europea. En ámbitos sectoriales actúan además sus autoridades propias — para una pyme, la más relevante en la práctica sigue siendo la AEPD, porque casi todo sistema de IA con datos personales responde también ante el RGPD (cómo se apilan las dos normas y dónde chocan en la práctica, en RGPD e inteligencia artificial). El desglose completo de la capa española — qué contiene el proyecto de ley, en qué fase exacta está y qué hace (y qué no hace) AESIA — está en Ley de inteligencia artificial en España: qué hay aprobado de verdad.

Checklist de cumplimiento por tamaño de empresa

Lo mínimo defendible, por perfil. No es asesoramiento jurídico — es el orden de trabajos que aplicamos en proyectos reales de adecuación.

Micro y pequeña empresa que usa IA generativa (ChatGPT, Copilot, Gemini)

1. Inventario de sistemas de IA — qué herramientas se usan, para qué, con qué datos. Una tabla honesta basta; sin inventario, todo lo demás es teatro.
2. Política de uso de IA — qué está permitido, qué datos no se pegan nunca en una herramienta externa, quién supervisa el output. Tenemos una plantilla abierta con las ocho secciones estándar, lista para adaptar.
3. Formación art. 4 documentada — sesión interna proporcional al uso, con registro de asistencia. Vigente desde febrero de 2025.
4. Verificación de prohibidas — repaso rápido del art. 5 contra tu inventario (el reconocimiento de emociones de empleados es el tropiezo típico).

Pyme con IA de cara al cliente (chatbot, agente de voz, contenido generado)

1. Todo lo anterior, más:
2. Transparencia art. 50 antes del 2 de agosto de 2026 — el bot se identifica como IA, el contenido sintético se marca, los deepfakes se etiquetan.
3. Revisión de proveedores — dónde procesan los datos, qué dice su contrato sobre RGPD y AI Act, quién responde de qué en la cadena.
4. Supervisión humana definida — quién revisa qué decisiones del sistema y con qué criterio de escalado.

Mediana empresa o pyme con casos de alto riesgo (RRHH con IA, scoring, sector regulado)

1. Todo lo anterior, más:
2. Clasificación formal de riesgo de cada sistema contra el Anexo III — por escrito, con criterio y fecha.
3. Plan de adecuación hacia el 2 de diciembre de 2027 — gestión de riesgos, calidad de datos, logs, documentación técnica y supervisión humana; el margen es para hacerlo bien, no para empezar tarde.
4. DPIA (y evaluación de impacto en derechos fundamentales cuando proceda) — coordinadas con el RGPD, que sigue aplicando en paralelo.
5. Valorar la ISO/IEC 42001 — como estructura de gestión demostrable frente a clientes y licitaciones, no como sustituto del reglamento.

Transparencia sobre nuestro papel: Genai Sapiens Consulting no es un despacho de abogados ni una entidad certificadora. Hacemos consultoría de adecuación técnica y operativa — inventario, clasificación de riesgo, transparencia desde el diseño, supervisión humana e implantación de los sistemas —, y para las cuestiones estrictamente jurídicas recomendamos validar con asesoramiento legal colegiado.