El AI Act es el Reglamento (UE) 2024/1689, la norma europea que regula los usos de la inteligencia artificial según el riesgo que suponen para las personas. Está en vigor desde el 1 de agosto de 2024 y sus obligaciones se aplican por fases: algunas ya rigen, otras llegan entre 2026 y 2028.
Si tu empresa usa IA, aunque sea solo ChatGPT o Copilot, el reglamento ya le asigna un papel y al menos una obligación en vigor. La confusión más común arranca en el nombre: se busca como ley, como reglamento o como AI Act, y muchas veces en el sitio equivocado.
Las cifras justifican tomárselo en serio: las multas alcanzan los 35 millones de euros o el 7 % de la facturación global, y la fase que activa el régimen sancionador se aplica desde el 2 de agosto de 2026.
Claves en 30 segundos
- El AI Act, el «reglamento de IA» y la «ley europea de inteligencia artificial» son la misma norma: el Reglamento (UE) 2024/1689.
- Es un reglamento europeo de aplicación directa: obliga en España sin pasar por el BOE ni necesitar una ley que lo traduzca.
- Obliga también a quien solo usa IA de terceros. La obligación de alfabetización (artículo 4) rige desde el 2 de febrero de 2025.
- Clasifica los usos de la IA en cuatro niveles de riesgo: prohibido, alto, limitado (transparencia) y mínimo.
- La reforma conocida como Ómnibus Digital aplaza únicamente las obligaciones de alto riesgo. El resto del calendario sigue intacto, incluida la aplicación general del 2 de agosto de 2026.
Qué es el AI Act (y por qué no lo vas a encontrar en el BOE)
El AI Act es el Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, aprobado el 13 de junio de 2024 y publicado en el Diario Oficial de la Unión Europea el 12 de julio de 2024. Circula con tres nombres: AI Act (el nombre inglés, el más buscado), Reglamento de Inteligencia Artificial o RIA (el nombre técnico en español) y «ley de IA» (el nombre coloquial). Los tres se refieren al mismo texto.
El detalle que más confusiones genera en España: es un reglamento, y en derecho europeo eso tiene una consecuencia práctica enorme. Un reglamento se aplica directamente en todos los Estados miembros desde la fecha que él mismo fija. Una directiva, en cambio, necesita que cada país apruebe su propia ley para incorporarla. El RGPD funcionó igual: obligaba en España antes de que existiera la LOPDGDD.
Por eso el texto del AI Act no está en el BOE ni va a estarlo. La versión oficial en español se consulta en EUR-Lex, el diario oficial europeo. Quien busca «ley de inteligencia artificial BOE» encuentra otras cosas: normas españolas que complementan al reglamento, pero que ni lo sustituyen ni lo repiten.
España aporta dos piezas propias a este marco. La primera es la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), creada por el Real Decreto 729/2023, que actúa como autoridad nacional de vigilancia. La segunda es una ley orgánica de gobernanza de la IA que concreta el régimen sancionador interno; sigue el procedimiento parlamentario ordinario y puede consultarse en el Boletín Oficial de las Cortes. Las obligaciones para tu empresa nacen del reglamento europeo, con ley española o sin ella.
Conviene aclarar también qué entiende la norma por «sistema de IA», porque su definición (art. 3.1) es más amplia de lo que sugiere la conversación pública. Cubre cualquier sistema basado en máquinas que opera con cierta autonomía e infiere, a partir de la información que recibe, cómo generar resultados: predicciones, recomendaciones, contenidos o decisiones. Ahí caben los modelos generativos de moda y también el algoritmo de scoring que tu banco lleva años usando, un sistema de recomendación o un clasificador estadístico bien afinado. El software tradicional con reglas fijas programadas queda fuera; en la frontera, la evaluación hay que hacerla caso a caso.
¿Y qué regula exactamente? Usos concretos de la IA y el riesgo que suponen para las personas: filtrar currículums con un algoritmo, por ejemplo, o denegar un crédito de forma automatizada. El mismo modelo de IA puede ser irrelevante para el reglamento en un uso y estar fuertemente regulado en otro. Esa lógica centrada en el uso, y en quién lo hace, explica casi todo lo que viene a continuación.
A quién aplica: el papel que te asigna el reglamento
El AI Act reparte obligaciones según lo que cada organización hace con la IA (artículo 2 y siguientes). Los dos papeles que importan a una empresa normal son el de proveedor, quien desarrolla un sistema de IA o lo comercializa con su marca, y el de responsable del despliegue, quien utiliza un sistema de IA bajo su autoridad. En inglés, provider y deployer. Hay papeles menores (importador, distribuidor), relevantes sobre todo para quien revende tecnología.
La trampa habitual está en creerse fuera por no programar. Usar IA ya te coloca dentro del reglamento, con el paquete de obligaciones más ligero, pero dentro. Esta tabla resume los tres perfiles más comunes en una empresa:
| Perfil | Tu papel según el AI Act | Qué te obliga |
|---|---|---|
| Usas herramientas de IA (ChatGPT, Copilot, Gemini) en el trabajo diario | Responsable del despliegue | Alfabetización del personal (art. 4, en vigor). Transparencia si el contenido generado llega a terceros (art. 50, desde el 2 de agosto de 2026). RGPD si tratas datos personales |
| Integras IA en un proceso o producto (chatbot de atención, filtro de CV, scoring) | Responsable del despliegue; proveedor si lo comercializas con tu marca | Lo anterior, más comprobar si el uso entra en el Anexo III (alto riesgo). En RRHH, crédito o educación, casi seguro que sí |
| Desarrollas o vendes sistemas de IA | Proveedor | Obligaciones plenas según el nivel de riesgo del sistema: gestión de riesgos, documentación técnica, marcado, registro |
Dos matices que evitan sustos. El reglamento alcanza a proveedores de fuera de la UE cuando los resultados de su sistema se usan dentro de la Unión, así que «mi proveedor es americano» tampoco te saca del mapa. Y el uso puramente personal, fuera de la actividad profesional, queda excluido.
Una norma organizada por riesgo
Todo el reglamento cuelga de una idea: cuanto más puede dañar un uso de la IA a una persona, más obligaciones carga. La Comisión Europea lo estructura en cuatro escalones, de mayor a menor exigencia: prácticas prohibidas (manipulación subliminal, puntuación social o reconocimiento de emociones en el trabajo, vetadas desde el 2 de febrero de 2025 por el art. 5), sistemas de alto riesgo (los usos del Anexo III: selección de personal, crédito, educación, servicios esenciales), riesgo limitado (obligaciones de transparencia) y riesgo mínimo, donde vive la mayoría de las herramientas cotidianas sin obligaciones específicas. La alfabetización del art. 4 corre aparte de esta escala: va ligada al hecho de usar IA, sea cual sea el escalón.
El escalón decisivo para cualquier proyecto es el alto riesgo, y ese análisis ya lo tienes hecho con método propio en cómo saber si tu sistema es de alto riesgo: los cuatro niveles en detalle, los ocho ámbitos del Anexo III y las cuatro preguntas para clasificar tu sistema. Como referencia rápida: si tu IA decide o influye sobre personas en empleo, educación, crédito o servicios esenciales, trabaja con la hipótesis de que es de alto riesgo hasta demostrar lo contrario.
Del escalón del que menos se habla saldrán más obligaciones nuevas que de ningún otro: la transparencia del art. 50. Desde el 2 de agosto de 2026, quien atiende clientes con un chatbot debe dejar claro que se habla con una máquina, y el contenido generado o manipulado por IA (deepfakes incluidos) debe ir identificado como tal. Es la obligación discreta del reglamento: alcanza a cualquier empresa con un asistente en la web o contenido sintético en sus canales, tenga o no un solo sistema de alto riesgo.
¿Y ChatGPT? Dónde encajan los modelos de uso general
Los grandes modelos de lenguaje que usa casi todo el mundo (los que hay detrás de ChatGPT, Gemini, Copilot o Claude) tienen un capítulo propio en el reglamento, al margen de la pirámide de riesgo: los «modelos de IA de uso general», GPAI por sus siglas en inglés (arts. 51 a 56). Sus obligaciones aplican desde el 2 de agosto de 2025 y recaen sobre quien desarrolla el modelo: documentación técnica, política de derechos de autor y un resumen público de los datos de entrenamiento. Los modelos con riesgo sistémico, los más potentes, cargan además con evaluaciones y medidas de seguridad reforzadas.
La consecuencia práctica para tu empresa es tranquilizadora: ese paquete de obligaciones le corresponde a OpenAI, Google o Anthropic. Tu papel sigue siendo el de responsable del despliegue de la herramienta concreta que uses, con las obligaciones de la tabla de perfiles.
El matiz aparece cuando construyes encima. Una empresa que coge un modelo de uso general, lo adapta y lo comercializa como producto propio puede convertirse en proveedora del sistema resultante, con las obligaciones del nivel de riesgo que le toque. Cualquier proyecto serio de producto con IA necesita esa evaluación antes de salir al mercado.
Qué se aplica ya y qué llega después
El reglamento entró en vigor el 1 de agosto de 2024 y sus obligaciones se activan por fases. Dos bloques rigen ya: las prácticas prohibidas y la alfabetización, aplicables desde el 2 de febrero de 2025, y las obligaciones de los modelos de uso general, desde el 2 de agosto de 2025. El siguiente hito ordena todo lo demás: el 2 de agosto de 2026 el reglamento pasa a aplicarse con carácter general, con la transparencia del art. 50 y el régimen sancionador incluidos.
Las obligaciones de alto riesgo son las únicas con el calendario movido. La reforma conocida como Ómnibus Digital de IA, aprobada por el Parlamento Europeo el 16 de junio de 2026 y adoptada por el Consejo el 29 de junio de 2026, las lleva a diciembre de 2027 (Anexo III) y a agosto de 2028 (Anexo I), y añade alguna prohibición nueva, como los sistemas de imágenes íntimas no consentidas, con plazo propio. Conviene leer la reforma en sus términos exactos, porque se ha contado como un aplazamiento general y su alcance es mucho más estrecho: la transparencia, la alfabetización, las prohibiciones y las sanciones mantienen sus fechas.
La secuencia completa, fecha a fecha y con lo que tu empresa tiene que tener listo en cada una, está en el calendario completo de obligaciones del AI Act en España, que mantenemos actualizado con cada cambio normativo.
Las sanciones: cuánto y quién las pone
El régimen sancionador está en el artículo 99 del reglamento y se aplica desde el 2 de agosto de 2026. Tres tramos, según la gravedad:
- Hasta 35 millones de euros o el 7 % de la facturación global anual (la cifra mayor) por usar prácticas prohibidas del art. 5.
- Hasta 15 millones de euros o el 3 % por incumplir las demás obligaciones, las de alto riesgo incluidas.
- Hasta 7,5 millones de euros o el 1 % por facilitar información incorrecta a las autoridades.
Para pymes y startups, el reglamento prevé que se aplique la cifra menor de cada par, una de las pocas concesiones explícitas al tamaño de la empresa.
En España, la autoridad de referencia es la AESIA, y el reparto fino de competencias sancionadoras (qué expediente instruye quién, con qué procedimiento) lo concreta la ley orgánica de gobernanza en tramitación. Que ese reparto interno siga cocinándose tiene un efecto engañoso: las obligaciones europeas ya son exigibles y los incumplimientos de hoy serán los expedientes de mañana.
Y una precisión importante: la sanción rara vez es el primer coste. Antes suele llegar el contrato que un cliente grande te exige revisar, o la licitación que pide evidencias de cumplimiento. El AI Act ya aparece en procesos de due diligence.
Cuatro malentendidos que conviene quitarse de encima
«Esto va con las tecnológicas.» El reglamento reparte papeles a cualquier organización que use IA en su actividad, del despacho de tres personas a la industrial con quinientos empleados. El paquete de cada una depende de su perfil y del nivel de riesgo de sus usos, y el paquete mínimo (alfabetización, transparencia) alcanza a prácticamente todas.
«Hasta 2027 hay margen para todo.» El aplazamiento del Ómnibus cubre únicamente las obligaciones de alto riesgo. La alfabetización y las prohibiciones rigen desde febrero de 2025, y la aplicación general, con su régimen sancionador, llega el 2 de agosto de 2026. Quien lo fía todo a 2027 llega tarde a lo que ya está en vigor.
«Cuando salga la ley española, ya me pondré.» Las obligaciones nacen del reglamento europeo y son exigibles con ley española o sin ella. La ley interna organiza quién instruye los expedientes y con qué procedimiento; esperar a ese detalle administrativo deja descubierto el fondo del asunto.
«La IA que usamos por dentro no cuenta.» El uso interno también entra en el reglamento. La alfabetización aplica a cualquier uso profesional de IA, y un filtro interno de currículums pertenece al Anexo III aunque ningún cliente lo vea jamás. El criterio del reglamento mira a las personas afectadas, y tus empleados y candidatos lo son.
Por dónde empezar esta semana
Cumplir el AI Act desde cero parece un proyecto de meses. Arrancarlo bien son tres pasos concretos.
Primero, inventaría la IA que ya usas. Todas: las contratadas, las integradas en tu software y las que tu equipo usa por su cuenta sin contárselo a nadie. Ese último grupo suele ser el mayor. En una pyme, la lista suele salir de una reunión con los responsables de área.
Segundo, clasifica cada uso con las dos tablas de esta guía. Perfil (¿solo la usas, la integras o la desarrollas?) y nivel de riesgo. Con eso sabes qué obligaciones te corren y cuáles puedes descartar. Si algo roza el Anexo III, trátalo como prioritario. El checklist para cumplir el AI Act en una pyme convierte esta clasificación en plan de trabajo.
Tercero, cubre las dos obligaciones que ya están en vigor. Formar al personal que usa IA, porque la alfabetización en IA es exigible desde febrero de 2025, y ordenar el uso interno con una política de uso de IA que diga qué herramientas están permitidas y para qué. Son las dos medidas más baratas de todo el reglamento y las primeras que pedirá cualquier revisión. Ordenar ambas bajo un mismo marco es lo que se llama compliance de IA.
Preguntas frecuentes
¿El AI Act ya está en vigor?
Sí. Entró en vigor el 1 de agosto de 2024 y se aplica por fases. Las prohibiciones y la obligación de alfabetización rigen desde el 2 de febrero de 2025; la aplicación general llega el 2 de agosto de 2026; las obligaciones de alto riesgo, entre diciembre de 2027 y agosto de 2028.
¿Dónde puedo leer el AI Act en español?
En EUR-Lex, el diario oficial de la UE, que publica el texto completo del Reglamento (UE) 2024/1689 en español. En el BOE no está: los reglamentos europeos se aplican directamente y España solo publica sus normas complementarias.
¿Aplica a mi pyme si solo usamos ChatGPT?
Sí, con el paquete más ligero. Usar herramientas de IA te convierte en responsable del despliegue: debes garantizar la alfabetización de quien las usa (art. 4) y, desde el 2 de agosto de 2026, cumplir la transparencia del art. 50 si el contenido generado llega a clientes o al público. El tamaño de la empresa influye en las sanciones, pero las obligaciones son las mismas.
¿Qué diferencia hay entre el AI Act y el RGPD?
Regulan cosas distintas y se aplican a la vez. El RGPD protege los datos personales, use IA quien los trate o use una hoja de cálculo. El AI Act regula los usos de la IA, traten datos personales o vayan sin ellos. Un filtro de currículums con IA activa los dos: RGPD por los datos de los candidatos, AI Act por ser un uso de alto riesgo en empleo.
¿Qué pasa si no cumplo?
Multas de hasta 35 millones de euros o el 7 % de la facturación global por prácticas prohibidas, de hasta 15 millones o el 3 % por el resto de obligaciones y de hasta 7,5 millones o el 1 % por informar mal a las autoridades (art. 99), con la cifra menor como techo para pymes. En España sancionará la AESIA conforme al reparto que fije la ley española de gobernanza de la IA.
¿Quién vigila el cumplimiento en España?
La autoridad nacional de referencia es la AESIA, la Agencia Española de Supervisión de la Inteligencia Artificial, creada por el Real Decreto 729/2023. Cuando el uso de IA implica datos personales, la AEPD mantiene sus competencias con el RGPD, así que un mismo sistema puede responder ante las dos. El reparto detallado de la potestad sancionadora lo fija la ley española de gobernanza de la IA que tramitan las Cortes.
¿El Ómnibus Digital aplaza el AI Act?
Aplaza una parte concreta: las obligaciones de los sistemas de alto riesgo, que pasan al 2 de diciembre de 2027 (Anexo III) y al 2 de agosto de 2028 (Anexo I). Todo lo demás mantiene su calendario. Las prohibiciones y la alfabetización siguen en vigor y la aplicación general sigue fijada para el 2 de agosto de 2026.
Una reflexión antes de cerrar
El AI Act se ha contado demasiadas veces en clave de amenaza, con la multa de 35 millones como titular. Leído con calma es otra cosa: una norma que te pide saber qué IA usas, para qué y con qué control. Cualquier empresa bien gestionada querría saber eso aunque ningún reglamento se lo pidiera. La ventaja de empezar ahora, con las obligaciones ligeras ya en vigor y las duras aún de camino, es que puedes hacerlo con orden y a tu ritmo. Esa ventana es la que se cierra en agosto de 2026.
