A quién se aplica el AI Act
El AI Act se aplica a las organizaciones que desarrollan, suministran o usan sistemas de IA en la UE, incluidas las empresas establecidas fuera de la UE cuyos sistemas de IA se introducen en el mercado de la UE o cuyos resultados se usan en la UE. Lo que usted tiene que hacer depende de su rol respecto a cada sistema:
- Proveedor: desarrolla un sistema de IA o un modelo de IA de uso general, o encarga su desarrollo, y lo introduce en el mercado o lo pone en servicio con su propio nombre.
- Responsable del despliegue: usa un sistema de IA bajo su propia autoridad en una actividad profesional, como una empresa que usa la herramienta de selección de personal de un proveedor.
- Importador y distribuidor: traen un sistema de fuera de la UE al mercado de la UE o lo comercializan en él.
La mayoría de las empresas son responsables del despliegue. Un responsable del despliegue pasa a ser proveedor si pone su nombre o su marca en un sistema de alto riesgo, lo modifica sustancialmente o cambia la finalidad de un sistema de modo que pase a ser de alto riesgo.
Los plazos
Las fechas siguen el AI Act tras su modificación por el Reglamento (UE) 2026/1744, el ómnibus digital, en vigor desde el 27 de julio de 2026.
- El AI Act entra en vigor.
- Las prácticas prohibidas quedan vetadas y se aplica la obligación de alfabetización en IA.
- Se aplican las normas sobre modelos de IA de uso general, gobernanza y sanciones.
- Se aplican las obligaciones de transparencia del artículo 50. La Oficina de IA puede hacer cumplir las normas sobre modelos de IA de uso general, y las autoridades nacionales supervisan la alfabetización en IA.
- Se aplican dos nuevas prohibiciones: la IA que crea imágenes íntimas o sexuales no consentidas y el material de abuso sexual de menores. Los sistemas generativos que ya estaban en el mercado antes del 2 de agosto de 2026 deben marcar sus resultados antes de esta fecha.
- Los modelos de IA de uso general introducidos en el mercado antes del 2 de agosto de 2025 deben cumplir.
- Se aplican las obligaciones para los usos de alto riesgo enumerados en el anexo III.
- Se aplican las obligaciones para la IA de alto riesgo en productos cubiertos por el anexo I.
- Los sistemas de alto riesgo usados por autoridades públicas que ya estaban en el mercado deben cumplir.
Paso 1: Listar todos los sistemas de IA
Paso 2: Clasificar el riesgo
Cada uso entra en uno de cuatro niveles. Clasifique cada uso, no cada producto: el mismo asistente puede ser de riesgo mínimo para redactar correos y de alto riesgo cuando se usa para seleccionar candidatos.
| Nivel | Qué cubre | Qué supone para usted |
|---|---|---|
| Prohibido | Prácticas prohibidas por el artículo 5, como la puntuación social o el reconocimiento de emociones en el trabajo, y desde el 2 de diciembre de 2026 la IA que crea imágenes íntimas no consentidas | Dejar de usarlo |
| Alto riesgo | Usos enumerados en el anexo III, como la selección de personal, el scoring crediticio y el acceso a servicios esenciales, y la IA en productos cubiertos por el anexo I | Obligaciones completas desde el 2 de diciembre de 2027 o el 2 de agosto de 2028 |
| Transparencia | Sistemas que interactúan con personas, generan contenido o crean deepfakes | Informar a las personas y marcar el contenido, según el artículo 50, desde el 2 de agosto de 2026 |
| Mínimo | La mayoría de los demás usos, como redactar, resumir y analizar | Sin obligaciones específicas más allá de la alfabetización en IA |
La Comisión publicó directrices sobre la definición de sistema de IA y sobre las prácticas prohibidas en febrero de 2025, y un proyecto de directrices sobre la clasificación de alto riesgo en mayo de 2026. Los sistemas de alto riesgo que ya estaban en el mercado antes de su fecha solo quedan cubiertos si después se modifican de forma significativa; los usados por autoridades públicas deben cumplir antes del 2 de agosto de 2030.
Paso 3: Identificar las obligaciones de su rol
Todos los proveedores y responsables del despliegue
Adoptar medidas para apoyar la alfabetización en IA del personal y de las demás personas que operan o usan sistemas de IA en su nombre, según el artículo 4.
Responsables del despliegue de sistemas de alto riesgo, según el artículo 26
Proveedores de sistemas de alto riesgo
Gestión de riesgos, gobernanza de los datos, documentación técnica, registro, instrucciones para los responsables del despliegue, supervisión humana, precisión, solidez y ciberseguridad, un sistema de gestión de la calidad, evaluación de la conformidad, marcado CE, registro en la base de datos de la UE y vigilancia poscomercialización.
Transparencia, según el artículo 50
Los proveedores diseñan los sistemas que interactúan con personas de modo que estas sepan que tratan con una IA, salvo que sea evidente, y marcan el contenido generado por IA en un formato legible por máquina. Los responsables del despliegue informan de los deepfakes y del texto generado por IA que se publica para informar al público sobre asuntos de interés público, salvo que una persona lo haya revisado y asuma la responsabilidad editorial. La Comisión publicó directrices sobre estas obligaciones el 20 de julio de 2026.
Proveedores de modelos de IA de uso general
Documentación técnica, información para las empresas que construyen sobre el modelo, una política de derechos de autor y un resumen público del contenido de entrenamiento, con deberes adicionales para los modelos con riesgo sistémico. El Código de buenas prácticas de IA de uso general de julio de 2025 es una vía reconocida para demostrar el cumplimiento.
Paso 4: Crear alfabetización en IA
El artículo 4 se aplica desde el 2 de febrero de 2025. Tras su modificación en julio de 2026, exige a proveedores y responsables del despliegue adoptar medidas para apoyar la alfabetización en IA de su personal y de otras personas que usan la IA en su nombre, sin tener que garantizar un nivel concreto. Las autoridades nacionales lo supervisan desde el 2 de agosto de 2026, y no se exige ningún certificado.
Consulte la formación en alfabetización en IA según el artículo 4.
Paso 5: Establecer la gobernanza
Una norma de sistema de gestión como ISO/IEC 42001 da a esta gobernanza una estructura que los auditores reconocen.
Multas
| Infracción | Multa máxima |
|---|---|
| Prácticas prohibidas | 35 millones de euros o el 7 % del volumen de negocios anual mundial |
| Obligaciones de los operadores, incluidos los responsables del despliegue y la transparencia | 15 millones de euros o el 3 % |
| Información incorrecta, incompleta o engañosa a las autoridades | 7,5 millones de euros o el 1 % |
Se aplica el mayor de los dos importes. Para las pymes y las empresas emergentes se aplica el menor, en todos los tramos, y las pequeñas empresas de mediana capitalización se benefician del importe menor en los dos tramos inferiores.
Fuentes
- Regulation (EU) 2026/1744, the Digital Omnibus on AI, Official Journal
- AI Act Service Desk: Article 4, AI literacy
- AI Act Service Desk: Article 26, obligations of deployers of high-risk AI systems
- AI Act Service Desk: Article 50, transparency obligations
- AI Act Service Desk: Article 99, penalties
- AI Act Service Desk: Article 113, entry into force and application
- European Commission: AI literacy questions and answers
- European Commission: guidelines on the definition of an AI system
- European Commission: guidelines on prohibited AI practices
- European Commission: draft guidelines on high-risk classification
- European Commission: guidelines on transparency obligations