Qué es el AI Act y qué cambia realmente en 2026
El AI Act es la ley más ambiciosa del mundo sobre inteligencia artificial. También es, a estas alturas, una de las que más veces ha cambiado de calendario. Si tienes una empresa que usa IA en España (que, a estas alturas, es prácticamente cualquier empresa), merece la pena entender qué obligaciones ya son reales y cuáles se han vuelto a aplazar.
¿Qué es exactamente el AI Act?
Es el Reglamento Europeo de Inteligencia Artificial, y su lógica de fondo es sencilla: clasifica los sistemas de IA según el riesgo que suponen y exige más garantías cuanto mayor es ese riesgo. Si algún término de los que aparecen a continuación no te resulta familiar, tienes las definiciones básicas en nuestro glosario de inteligencia artificial.
- Riesgo inaceptable: directamente prohibido. Por ejemplo, sistemas de puntuación social al estilo chino o manipulación psicológica encubierta.
- Alto riesgo: permitido, pero con obligaciones estrictas de documentación, supervisión humana y evaluación. Aquí entran usos como selección de personal, acceso a crédito o educación.
- Riesgo limitado: obligaciones de transparencia. El usuario debe saber que está hablando con una IA o viendo contenido generado por IA.
- Riesgo mínimo: sin obligaciones específicas (la inmensa mayoría de aplicaciones de IA actuales).
No es una ley pensada solo para las grandes tecnológicas: cualquier empresa europea que use IA para filtrar currículums, generar contenido o interactuar con clientes puede estar sujeta a alguna de estas categorías.
Lo que ya lleva más de un año en vigor
Aunque en 2026 es cuando más se habla del AI Act, buena parte de sus obligaciones llevan aplicándose desde 2025:
- Desde el 2 de febrero de 2025, están prohibidas las prácticas de riesgo inaceptable: manipulación encubierta, scoring social, o identificación biométrica en tiempo real en espacios públicos, entre otras.
- Desde el 2 de agosto de 2025, son exigibles las obligaciones para proveedores de modelos de propósito general (los llamados GPAI, es decir, los grandes modelos fundacionales tipo GPT o Gemini): documentación técnica, transparencia sobre los datos de entrenamiento y, para los modelos de mayor riesgo sistémico, evaluaciones específicas.
- También desde agosto de 2025, las sanciones ya son aplicables: hasta 35 millones de euros o el 7% de la facturación global anual de la empresa, lo que sea mayor (con topes más bajos para pymes).
Lo que llega el 2 de agosto de 2026
Esta es la fecha que marca la aplicación de la mayor parte del reglamento. A partir de ahí entran en vigor las obligaciones de transparencia del artículo 50: los chatbots deben identificarse como IA, y el contenido sintético (texto, imagen, audio o vídeo generado por IA) debe etiquetarse como tal, incluidos los deepfakes. También arrancan las reglas de vigilancia de mercado, que dan a las autoridades nacionales capacidad real de supervisión.
Para quienes ya tuvieran sistemas de contenido sintético en el mercado antes de esa fecha, hay un margen adicional hasta el 2 de diciembre de 2026 para adaptarse.
El giro de última hora: el aplazamiento a 2027
Aquí está la parte que menos se esperaba. El Reglamento (UE) 2026/1744, del 8 de julio de 2026 y en vigor desde el 27 de julio, forma parte del llamado Digital Omnibus: un paquete de simplificación normativa que aplaza hasta diciembre de 2027 las obligaciones más exigentes del reglamento, las que afectan a los sistemas de alto riesgo (las secciones 1 a 3 del capítulo III, es decir, los usos recogidos en el artículo 6.2 y el anexo III: empleo, educación, acceso a servicios esenciales, entre otros).
En la práctica, la UE ha dado un año y medio más de margen justo a la parte de la ley que más impacto tiene sobre procesos internos de las empresas (contratación, scoring, evaluación educativa). No es casual: coincide con la presión creciente por no perder competitividad frente a Estados Unidos y China en la carrera de la IA, algo que ya apuntábamos al comparar las estrategias de IA de EE. UU. y Europa y en nuestro repaso de la carrera europea por liderar la inteligencia artificial.
Qué significa esto para una empresa en España
Con este calendario ya más claro, el trabajo práctico para cualquier empresa que use IA se reduce a tres frentes:
- Inventariar qué sistemas de IA usa realmente la organización y clasificar su nivel de riesgo.
- Revisar contratos con proveedores tecnológicos para que las garantías y responsabilidades queden bien repartidas.
- Ajustar políticas internas en las áreas más sensibles: recursos humanos, atención al cliente, scoring de riesgo y tratamiento de datos personales, aunque su plazo definitivo se haya movido a 2027.
Vale la pena recordar que este reglamento conviene entenderlo junto al debate sobre soberanía tecnológica europea que ya tratamos con ALIA y la promesa fallida de la IA pública en España: Europa quiere liderar en regulación mientras sigue dependiendo casi por completo de infraestructura y modelos de fuera.
La ley más ambiciosa, aplicada a fogonazos
El AI Act nació con la ambición de ser el estándar mundial de regulación de IA, a la manera en que el RGPD lo fue para la protección de datos. Lo que estamos viendo en 2026 es una ley que cumple esa ambición sobre el papel, pero que en la práctica avanza a trompicones: parte ya aplicada, parte que llega este agosto, y la parte más dura, aplazada otra vez. Ni tan rígida como parecía en 2024, ni tan simple como pide la industria. Habrá que ver si para 2027 seguimos hablando del mismo calendario.