Reglamento de IA (AI Act): qué obliga ya a tu empresa en España

El Reglamento (UE) 2024/1689 —el AI Act— es plenamente aplicable desde el 2 de agosto de 2026. Si tu empresa usa inteligencia artificial en algún proceso, ya tienes obligaciones legales exigibles, aunque no hayas desarrollado ni una línea de código: basta con usar una herramienta de IA de un tercero en el marco de tu actividad.

Esta guía explica qué te aplica según el papel que juegues, qué plazos quedan abiertos y qué documentación necesitas tener encima de la mesa.

Tu primera decisión: qué papel juegas

El Reglamento no reparte obligaciones por sector ni por tamaño, sino por el papel que ocupas frente al sistema de IA. Las dos figuras que afectan a la práctica totalidad de las empresas españolas son:

• Proveedor — desarrollas un sistema de IA, o lo pones en el mercado bajo tu marca. Ojo: también eres proveedor si coges un modelo de un tercero, lo integras en tu producto y lo vendes con tu nombre. Es el rol con más carga normativa.
• Responsable del despliegue — usas un sistema de IA bajo tu autoridad en tu actividad profesional. Aquí entra la enorme mayoría: el despacho que usa IA para redactar, la agencia que automatiza contenido, la empresa que filtra candidaturas con un software de recursos humanos.

Usar ChatGPT, Copilot o cualquier asistente de IA en el trabajo te convierte en responsable del despliegue. No eres el proveedor del modelo, pero tienes obligaciones propias y sancionables.

Hay dos figuras más —importador y distribuidor— relevantes si comercializas en la UE sistemas de IA de fuera del mercado europeo.

El segundo paso: clasificar por riesgo

El AI Act es una norma de producto: te exige más cuanto mayor es el riesgo del sistema. Son cuatro niveles.

La clasificación no es opinable y tiene consecuencias económicas directas. Un software de criba de curriculums es alto riesgo por el Anexo III; el mismo modelo lingüístico usado para resumir actas internas, no. De esa diferencia depende que necesites un sistema de gestión de riesgos completo o una política interna de dos páginas.

El error de clasificación más frecuente

Muchas empresas se autoclasifican en «riesgo mínimo» mirando la herramienta en abstracto, cuando el Reglamento clasifica por finalidad de uso. La pregunta correcta no es «¿qué es esta herramienta?», sino «¿para decidir qué la estoy usando?». Si la respuesta afecta al acceso de una persona a un empleo, a un crédito, a una prestación o a una evaluación educativa, estás probablemente en alto riesgo.

Lo que ya te obliga aunque tu riesgo sea mínimo

Alfabetización en IA (art. 4)

Aplicable desde febrero de 2025 y, en la práctica, la obligación más desatendida. Tanto proveedores como responsables del despliegue deben garantizar un nivel suficiente de formación en IA de su personal, teniendo en cuenta sus conocimientos técnicos, el contexto de uso y las personas afectadas.

No hay un formato tasado: lo que se te va a pedir es acreditarlo. Una formación documentada, con asistentes y contenidos registrados, es la diferencia entre cumplir y afirmar que cumples.

Transparencia (art. 50)

Exigible desde agosto de 2026:

• Si interactúas con clientes mediante un chatbot, debe quedar claro que hablan con una IA.
• El contenido sintético —texto, imagen, audio o vídeo generado o manipulado con IA— debe estar marcado en formato legible por máquina.
• Los deepfakes y las imágenes manipuladas requieren revelación explícita.

Supervisión humana real

Para sistemas de alto riesgo, el art. 26 obliga al responsable del despliegue a encomendar la supervisión a personas con la competencia, formación y autoridad necesarias, a usar el sistema conforme a las instrucciones del proveedor, a vigilar su funcionamiento y a conservar los registros generados automáticamente durante un mínimo de seis meses.

«Supervisión humana» no significa que alguien esté nominalmente al cargo: significa que esa persona puede entender la salida del sistema y tiene capacidad efectiva de revertir la decisión.

El calendario que todavía te queda

Si tu sistema es un componente de seguridad de un producto sujeto a legislación armonizada de la UE, tienes margen hasta 2027. Para todo lo demás, el plazo ya venció.

El AI Act no sustituye al RGPD: se suma

Es la confusión más cara de todas. Si tu sistema de IA trata datos personales —y casi todos lo hacen—, sigues necesitando:

1. Base jurídica válida para el tratamiento, y la finalidad original no cubre automáticamente el entrenamiento o la mejora de un modelo.
2. Contrato de encargado del tratamiento (art. 28 RGPD) con cada proveedor de IA al que envíes datos personales. Aceptar los términos de servicio por web no siempre basta.
3. Control de transferencias internacionales si el proveedor procesa fuera del EEE.
4. Evaluación de impacto (art. 35 RGPD) cuando el tratamiento sea de alto riesgo, que es lo habitual en perfilado y decisiones automatizadas.
5. Garantías del art. 22 RGPD si hay decisiones automatizadas con efectos jurídicos sobre personas: derecho a intervención humana, a explicación y a impugnar.

En España, la AESIA es la autoridad de referencia para el Reglamento de IA y la AEPD conserva su competencia sobre datos personales. En sectores regulados pueden sumarse supervisores propios. Dos normas, varias autoridades y un único hecho: el uso de IA en tu empresa.

Qué sanciones hay sobre la mesa

El art. 99 establece tres tramos, aplicables al importe mayor entre la cifra fija y el porcentaje de volumen de negocio anual mundial —y al menor de los dos cuando se trata de pymes:

• Hasta 35 M€ o el 7% — prácticas prohibidas del art. 5.
• Hasta 15 M€ o el 3% — incumplimiento del resto de obligaciones de proveedores y responsables del despliegue.
• Hasta 7,5 M€ o el 1% — información incorrecta, incompleta o engañosa a las autoridades.

A esto se añade el riesgo que, en la práctica, llega antes que la inspección: el contractual. Cada vez más clientes corporativos y pliegos públicos exigen declaraciones de cumplimiento del AI Act a sus proveedores. Quien no pueda documentarlo, queda fuera del proceso.

La documentación mínima que deberías tener

Con independencia de tu nivel de riesgo, este es el expediente que permite acreditar diligencia:

1. Registro de sistemas de IA — qué herramientas se usan, para qué, con qué datos, quién las supervisa y qué riesgo tienen asignado.
2. Política interna de uso de IA — qué está permitido, qué está prohibido, qué información nunca se introduce en herramientas de terceros.
3. Formación documentada del personal, con fecha y contenidos (art. 4).
4. Cláusulas de IA en tus contratos con clientes y proveedores, delimitando responsabilidades.
5. Adenda RGPD con cada proveedor de IA que trate datos personales por tu cuenta.
6. Evidencias de supervisión humana para sistemas de alto riesgo: quién revisa, con qué criterio y qué registros quedan.

Si hoy te inspeccionaran, la pregunta no sería «¿usas IA?», sino «muéstrame cómo controlas el uso que haces de ella». El cumplimiento del AI Act es documental: lo que no está escrito no existe.

Por dónde empezar esta semana

1. Haz un inventario honesto: toda herramienta de IA que alguien use en la empresa, incluida la que nadie ha aprobado formalmente.
2. Asigna el papel que ocupas en cada una: proveedor o responsable del despliegue.
3. Clasifica por finalidad de uso, no por herramienta, y marca cualquier caso que roce el Anexo III.
4. Cierra primero lo transversal: política interna, registro y formación. Es lo que cubre más riesgo con menos esfuerzo.
5. Revisa los contratos con tus proveedores de IA y con tus clientes.

Este artículo es información general sobre el Reglamento (UE) 2024/1689 y no constituye asesoramiento jurídico para un caso concreto. La clasificación de riesgo y las obligaciones aplicables dependen del uso específico que haga cada organización.