AI Act: qué debe hacer una empresa que implementa IA (cronograma 2027, obligaciones, competencias de IA)

El Reglamento de la UE sobre Inteligencia Artificial (AI Act, Reglamento 2024/1689) está en vigor desde agosto de 2024 y se aplica por fases. En julio de 2026, la Unión adoptó el llamado Digital Omnibus (Reglamento 2026/1744), que aplazó algunos plazos, sobre todo para los sistemas de alto riesgo. Para una empresa que incorpora IA en sus procesos, esto implica dos cosas: parte de las obligaciones ya están vigentes y para otras hay más tiempo del que preveían las guías anteriores.

Este texto ordena qué afecta a una empresa que implanta IA (en la terminología del Reglamento: «usuario» o deployer), cuáles son las fechas actualizadas y por dónde empezar. No es asesoramiento jurídico; para sistemas de alto riesgo conviene consultar la clasificación con un abogado.

Conclusiones clave

• Las prohibiciones y las competencias en IA rigen desde el 2 de febrero de 2025. Toda empresa que use IA debe garantizar a su personal un nivel adecuado de competencias en IA (art. 4).
• La transparencia frente a los usuarios rige desde el 2 de agosto de 2026. Los chatbots, generadores de contenidos y deepfakes deben estar señalizados.
• Sistemas de alto riesgo: plazos aplazados. Anexo III (reclutamiento, calificación crediticia, educación, biometría) desde el 2 de diciembre de 2027; anexo I (IA en productos regulados, p. ej., productos sanitarios) desde el 2 de agosto de 2028.
• La mayoría de las implantaciones empresariales son de riesgo mínimo. Un asistente para documentos, un buscador de conocimiento o la previsión de demanda no son sistemas de alto riesgo, pero igualmente se les aplican las competencias en IA y la transparencia.
• Multas de hasta 35 millones EUR o el 7% de la facturación por prácticas prohibidas; umbrales más bajos para pymes y pequeñas empresas de mediana capitalización.

Qué es el AI Act y a quién se aplica

El AI Act introduce normas uniformes para los sistemas de IA en toda la UE. Las obligaciones dependen de dos factores: el papel de la empresa en la cadena de valor y el nivel de riesgo del sistema.

Roles definidos en el Reglamento:

• Proveedor (provider): desarrolla un sistema de IA y lo introduce en el mercado bajo su propio nombre o marca.
• Usuario (deployer): utiliza un sistema de IA en el marco de su actividad profesional. Es la mayoría de las empresas que implantan IA.
• Importador y distribuidor: introducen en el mercado de la UE sistemas procedentes de fuera de la Unión o los ponen a disposición de terceros.

El Reglamento tiene efecto extraterritorial: también se aplica a empresas de fuera de la UE si los resultados de sus sistemas de IA se usan en la Unión.

Regla importante del art. 25: la empresa que implanta un sistema de alto riesgo de un tercero bajo su propia marca, lo modifica de forma sustancial o cambia su finalidad a un uso de alto riesgo pasa a ser proveedor y asume sus obligaciones.

Cuatro niveles de riesgo

La misma tecnología puede encajar en distintas categorías según el uso. Un modelo de lenguaje que hace resúmenes de documentos en la empresa es de riesgo mínimo. Ese mismo modelo utilizado para la preselección de candidaturas en reclutamiento es un sistema de alto riesgo.

Calendario: qué ya está vigente y qué se ha aplazado

Situación tras el Digital Omnibus (Reglamento 2026/1744, en vigor desde el 27 de julio de 2026):

• 1 de agosto de 2024: entrada en vigor del AI Act.
• 2 de febrero de 2025: prohibiciones (art. 5) y competencias en IA (art. 4). Vigente.
• 2 de agosto de 2025: obligaciones de los proveedores de modelos de propósito general (GPAI), estructura de supervisión, régimen sancionador. Vigente.
• 2 de agosto de 2026: obligaciones de transparencia (art. 50), sandboxes regulatorios en cada Estado miembro, aplicación general del Reglamento salvo para sistemas de alto riesgo. Vigente.
• 2 de diciembre de 2026: fin del periodo transitorio para señalizar contenidos sintéticos en sistemas introducidos en el mercado antes del 2.08.2026; nuevas prohibiciones del art. 5.
• 2 de diciembre de 2027: sistemas de alto riesgo del anexo III (antes: 2.08.2026). Los sistemas introducidos en el mercado antes de esa fecha solo quedan sujetos tras una modificación sustancial.
• 2 de agosto de 2028: sistemas de alto riesgo del anexo I, es decir, IA en productos sujetos a otra normativa de la UE, p. ej., productos sanitarios, máquinas (antes: 2.08.2027).
• 2 de agosto de 2030: sistemas de alto riesgo utilizados por autoridades públicas.

El aplazamiento de plazos no cambia el alcance de las obligaciones. Para un sistema de alto riesgo, implantar la documentación, el registro y la supervisión humana lleva meses; así que 2027 está más cerca de lo que parece.

Obligaciones de la empresa que implanta IA (usuario)

Para cualquier sistema de IA, con independencia del riesgo

Competencias en IA (art. 4). La empresa debe garantizar que las personas que operan sistemas de IA tienen conocimientos suficientes sobre su funcionamiento, limitaciones y riesgos, adecuados al contexto y al grupo de personas afectadas por el sistema. El Reglamento no impone la forma; en la práctica son formaciones, políticas internas e instrucciones.

Transparencia (art. 50). Si empleados o clientes conversan con un chatbot, deben saberlo, salvo que sea obvio. Los contenidos generados por IA y publicados en materias de interés público deben marcarse como generados. Los deepfakes deben señalarse. Los sistemas de reconocimiento de emociones y categorización biométrica requieren informar a las personas afectadas.

Para sistemas de alto riesgo (art. 26 y 27)

• Uso conforme a las instrucciones del proveedor. El proveedor debe aportar instrucciones; el usuario debe seguirlas.
• Supervisión humana. La empresa designa a personas con competencias, formación y facultades para supervisar el sistema, incluida la capacidad de ignorar o revertir sus decisiones.
• Datos de entrada. En la medida en que la empresa controle los datos de entrada, estos deben ser adecuados y suficientemente representativos para la finalidad del sistema. La gestión de los datos de entrenamiento es obligación del proveedor, no del usuario.
• Supervisión y notificación. La empresa monitoriza el funcionamiento del sistema; si detecta un riesgo para la salud, la seguridad o los derechos fundamentales, detiene su uso e informa al proveedor y a la autoridad de supervisión del mercado. Los incidentes graves deben notificarse.
• Logs. La empresa conserva los registros (logs) generados automáticamente por el sistema (en la medida en que tenga control sobre ellos) al menos 6 meses, salvo que otras normas exijan más tiempo.
• Personal. Antes de implantar un sistema de alto riesgo en el lugar de trabajo, la empresa informa a los trabajadores y a sus representantes.
• Personas afectadas por las decisiones. La empresa informa a las personas físicas de que están sujetas a una decisión respaldada por un sistema de alto riesgo y, a petición, explica el papel del sistema en la decisión.
• Evaluación del impacto en los derechos fundamentales (art. 27). Obligatoria para autoridades públicas y entidades que prestan servicios públicos, así como para empresas que usen IA para evaluar la capacidad crediticia y para la tarificación del riesgo en seguros de vida y de salud.

El registro interno de sistemas de IA en la empresa no es, en sí, una obligación legal para la mayoría de usuarios (el registro en la base de datos de la UE recae en proveedores y autoridades públicas), pero sin inventario es imposible cumplir el resto de obligaciones.

Competencias en IA en la práctica

El art. 4 rige desde febrero de 2025 y afecta a cualquier empresa que use IA, también herramientas listas para usar. Qué debe abarcar el refuerzo de competencias:

• Cómo funciona la herramienta: qué puede y qué no puede hacer el modelo, de dónde obtiene los datos para responder.
• Limitaciones: alucinaciones, dependencia de la calidad de los datos, necesidad de verificar resultados en tareas con efectos sobre personas o finanzas.
• Datos: qué no se puede introducir en modelos públicos (datos personales, secretos comerciales, datos de clientes) y en qué se diferencia un chatbot público de una implantación con condiciones empresariales.
• Rol humano: quién es responsable de la decisión asistida por IA y cuándo tiene la obligación de cuestionarla.
• Procedimientos: dónde reportar un funcionamiento erróneo o preocupante del sistema.

El nivel de detalle depende del rol: distinto para la dirección, para quienes operan el sistema a diario y para el equipo de TI que lo mantiene.

Cómo se aplica en la práctica de la implementación

Desde la perspectiva técnica, la mayoría de las obligaciones del AI Act se reducen a decisiones de arquitectura que se toman al inicio del proyecto. En Startup House, en las implantaciones de asistentes de IA, agentes y bases de conocimiento para empresas, aplicamos principios que facilitan la posterior conformidad, sea cual sea la clase de riesgo:

• Respuestas basadas en datos verificados del cliente (RAG) con citación de fuentes, lo que limita las alucinaciones y permite al usuario comprobar el origen de la respuesta.
• Integración con las políticas de acceso existentes (entre otras, Okta), para que la IA solo vea los datos a los que el usuario tiene permiso.
• Despliegue en la nube del cliente y trabajo con modelos en condiciones empresariales: los datos del cliente no entrenan modelos públicos de IA.
• Registro de consultas y respuestas desde la primera versión, no como añadido tras la puesta en producción.
• Humano en el bucle donde la IA respalda decisiones sobre personas o dinero: el sistema propone, la persona aprueba.
• Transparencia ante el usuario: el asistente se presenta como IA e informa cuando no conoce la respuesta.
• Arquitectura que permita cambiar de modelo (p. ej., de OpenAI a Anthropic) sin reconstruir el sistema, porque los requisitos para los modelos GPAI y los propios modelos cambian más rápido que los sistemas corporativos.

Trabajamos según ISO 27001 y ajustamos los proyectos a los requisitos de clientes de sectores regulados (fintech, healthcare, ciberseguridad). La clasificación de riesgos y las obligaciones legales las define el cliente con su departamento jurídico; nosotros aportamos la parte técnica: documentación, logs, mecanismos de supervisión y transparencia.

La inventariación de sistemas de IA, la asignación de responsabilidades y el control de plazos la apoya Compliance Copilot (strona produktu): agente de IA de Startup House para la monitorización continua del cumplimiento (p. ej., RGPD, DORA, NIST, ISO), que señala lagunas en documentación y procedimientos antes de que las detecte una auditoría.

Cómo preparar la empresa: 5 pasos

1. Inventario. Lista de todas las herramientas con IA en la empresa: desde chatbots en atención al cliente y funciones de IA en SaaS, hasta modelos en el backend. Para cada una: proveedor, uso, quién la utiliza y qué datos entran.
2. Clasificación de riesgos. Asignar cada herramienta a una de las cuatro categorías según el uso, no la tecnología. Ver por separado si en algún caso la empresa pasa a ser proveedor (marca propia, modificación sustancial).
3. Auditoría de proveedores. Para sistemas de alto riesgo: si el proveedor aportará instrucciones, documentación y soporte para logging. Para herramientas GPAI (modelos de propósito general): si el contrato empresarial excluye el entrenamiento con los datos de la empresa.
4. Política de uso de IA. Normas para el personal: herramientas permitidas, prohibición de introducir datos sensibles en modelos públicos, obligación de verificar resultados, canal para reportar problemas, señalización de contenidos generados por IA.
5. Competencias y procedimientos. Formación adaptada a los roles, designación de responsables de la supervisión de los sistemas, procedimientos de monitorización y notificación de incidentes. Para sistemas de alto riesgo: plan para alcanzar la conformidad antes de diciembre de 2027 (anexo III) o agosto de 2028 (anexo I).

Multas por incumplimiento del AI Act

• Hasta 35 millones EUR o el 7% de la facturación anual mundial (la mayor de las dos): prácticas prohibidas.
• Hasta 15 millones EUR o el 3%: infracción del resto de obligaciones, incluidas las de sistemas de alto riesgo y transparencia.
• Hasta 7,5 millones EUR o el 1,5%: facilitar a las autoridades información falsa o incompleta.

Para pymes y startups, y tras el Digital Omnibus también para pequeñas empresas de mediana capitalización, se aplica la menor de las dos cuantías. Además de las multas, la autoridad de supervisión puede ordenar la retirada del sistema.

Consulta también: Cómo elegir una empresa para implantar IA: checklist de 20 preguntas y elementos del contrato · Microsoft 365 Copilot, ChatGPT Enterprise o un asistente de IA propio

Preguntas frecuentes

¿El AI Act se aplica a pequeñas y medianas empresas?

Sí. No hay exclusión por tamaño; las obligaciones dependen del rol y del nivel de riesgo del sistema. Las pymes tienen umbrales de multa más bajos, documentación simplificada para proveedores y acceso a sandboxes regulatorios que cada Estado miembro tuvo que poner en marcha antes de agosto de 2026.

¿El uso de ChatGPT u otro chatbot en la empresa es conforme con el AI Act?

Su uso en sí, sí, siempre que se cumpla el art. 4 (competencias del personal) y las políticas internas de protección de datos. El problema surge cuando la empresa usa el modelo en un uso de alto riesgo (p. ej., selección de candidatos) o lo integra en su propio producto bajo su marca: en ese caso puede convertirse en proveedor del sistema y asumir sus obligaciones.

¿Tengo que reconstruir mi sistema de IA actual?

Depende de la categoría. Los sistemas de riesgo mínimo no requieren cambios más allá de la transparencia si interactúan con usuarios. Los sistemas de alto riesgo introducidos en el mercado antes del 2 de diciembre de 2027 quedan sujetos a las normas solo tras una modificación sustancial; los nuevos deben cumplir los requisitos desde esa fecha. Los sistemas de la categoría prohibida (p. ej., reconocimiento de emociones de empleados) debían desactivarse antes del 2 de febrero de 2025.

¿En qué se diferencia un proveedor de un usuario (deployer)?

El proveedor crea el sistema y lo introduce en el mercado (p. ej., el fabricante del modelo o una empresa que vende su propia herramienta de IA). El usuario lo emplea en su actividad (p. ej., un banco que usa una herramienta externa para evaluar la capacidad crediticia). La evaluación de conformidad, la documentación técnica y el registro corresponden al proveedor; la supervisión humana, la monitorización, los logs y la información al personal corresponden al usuario.

¿Cómo comprobar si mi sistema es de alto riesgo?

El anexo III enumera áreas: biometría, infraestructuras críticas, educación, empleo y gestión de personal, acceso a servicios esenciales (incluida la capacidad crediticia y seguros), aplicación de la ley, migración, justicia. El anexo I abarca la IA como elemento de seguridad de productos regulados (productos sanitarios, maquinaria, vehículos). Si el sistema opera en estas áreas e influye en decisiones sobre personas, es de alto riesgo, salvo que realice únicamente una tarea auxiliar acotada (excepciones del art. 6, ap. 3).

¿Qué pasa con los modelos de propósito general (GPAI) que usamos vía API?

Las obligaciones para modelos GPAI (documentación, política de derechos de autor; para modelos con riesgo sistémico, pruebas adicionales) recaen en sus proveedores y rigen desde el 2 de agosto de 2025. La empresa que usa un modelo vía API es usuaria del sistema construido sobre ese modelo, con obligaciones según el uso.

¿Cómo afecta el AI Act al desarrollo de la IA en las empresas polacas?

El AI Act regula la implantación de soluciones de inteligencia artificial en los negocios. Es relevante para la innovación, la seguridad y la confianza de los clientes. Las empresas en Polonia deben incorporar sus requisitos en su estrategia de inversión y expansión.

¿El AI Act se aplica al uso de IA en marketing y e‑commerce?

Sí, también las tiendas online y agencias de marketing deben cumplir las normas aplicables. La IA usada para creación de contenidos, análisis de ingresos u optimización de gasto suele encajar en usos de riesgo mínimo. Deberes adicionales pueden derivarse del modo de usar los datos y los contenidos generados.

¿Cómo preparar la empresa para los requisitos del AI Act en el cuarto trimestre de 2026?

Conviene empezar por analizar las herramientas de IA disponibles y probar su conformidad con la normativa. Los expertos deben señalar riesgos, elaborar listas de control y procedimientos de aviso. Antes de iniciar nuevas implantaciones, también hay que formar al personal.

¿El AI Act regula el uso de IA en reclutamiento y determinación de salarios?

Sí, los sistemas de IA que apoyan el reclutamiento, la evaluación de empleados y las decisiones sobre retribución pueden clasificarse como sistemas de alto riesgo. Requieren supervisión humana adecuada, documentación y control de funcionamiento. Esto es especialmente importante para proteger los derechos de los trabajadores y la transparencia de las decisiones.

Texto de carácter informativo que no constituye asesoramiento jurídico. Estado legal: octubre de 2026, tras la entrada en vigor del Reglamento 2026/1744 (Digital Omnibus).