El AI Act (Reglamento UE 2024/1689) obliga a toda empresa que use o distribuya sistemas de IA en la UE, sea o no tecnológica, y clasifica los sistemas en cuatro niveles de riesgo. Las prácticas prohibidas del artículo 5 lo están desde el 2 de febrero de 2025; el 2 de agosto de 2026 es la fecha general de aplicación; y los requisitos de los sistemas de alto riesgo son exigibles desde el 2 de diciembre de 2027 (anexo III) y el 2 de agosto de 2028 (anexo I), tras el aplazamiento introducido por el Reglamento (UE) 2026/1744, el Ómnibus digital sobre IA, en vigor desde el 27 de julio de 2026.
El Reglamento (UE) 2024/1689 de Inteligencia Artificial, conocido como AI Act, es la primera legislación integral del mundo sobre IA y se aplica directamente en España sin transposición nacional. No es una directiva que los estados adaptan; es un reglamento de aplicación directa y obligatoria. Si tu empresa utiliza, desarrolla, importa o distribuye sistemas de IA en el mercado europeo, ya tiene obligaciones activas. Lo que queda por activarse, según el calendario del artículo 113 en su redacción vigente, son las normas más exigentes para sistemas de alto riesgo. Pero ni eso significa esperar: el tiempo de preparación es ahora.
Si quieres ir directo a tu caso: el clasificador AI Act te dice, según tu rol y tu tipo de sistema, qué obligaciones concretas te tocan y desde qué fecha. Si prefieres entender antes el porqué, en proveedor, implementador, importador: quién es quién en el AI Act explicamos cómo se determina tu papel en la cadena y por qué condiciona todo lo demás.
En esta guía explicamos, de forma concreta y sin tecnicismos innecesarios, qué obliga el AI Act a una empresa española en 2026, cuáles son los plazos reales tras la última reforma (el Ómnibus digital sobre IA, en vigor desde el 27 de julio de 2026), qué sanciones arriesgas si no actúas y cómo estructurar el cumplimiento desde un departamento de compliance o desde la dirección general.
¿Qué es el AI Act y por qué te afecta aunque no seas empresa tecnológica?
El AI Act no regula solo a las empresas que desarrollan software de inteligencia artificial. Regula a cualquier organización que ponga en servicio o utilice un sistema de IA en la Unión Europea, con independencia de si ese sistema lo ha comprado a un proveedor externo o lo ha construido internamente. Un despacho de abogados que usa un sistema automatizado para revisar contratos, una empresa industrial que aplica visión artificial en su línea de producción, un departamento de RRHH que utiliza software de selección con algoritmos de puntuación de candidatos: todos ellos están en el ámbito de aplicación del reglamento.
El reglamento clasifica los sistemas de IA en cuatro categorías según el nivel de riesgo que presentan para los derechos fundamentales y la seguridad de las personas. Esta clasificación determina qué obligaciones concretas recaen sobre cada operador.
Las cuatro categorías de riesgo del AI Act
| Categoría | Descripción | Ejemplos | Régimen aplicable |
|---|---|---|---|
| Riesgo inaceptable (prohibido) | Sistemas que atentan contra derechos fundamentales o manipulan a las personas sin su conocimiento | Puntuación social; técnicas subliminales o deliberadamente manipuladoras; identificación biométrica remota en tiempo real en espacios de acceso público con fines de aplicación de la ley (salvo excepciones tasadas); explotación de vulnerabilidades por edad, discapacidad o situación socioeconómica; y, desde diciembre de 2026, la generación o manipulación de imágenes, vídeos o audios de las partes íntimas de una persona identificable sin su consentimiento | Prohibidas desde el 2 de febrero de 2025, salvo las dos letras nuevas del artículo 5, apartado 1 (letras b bis y b ter), y los apartados 1 bis y 1 ter, aplicables desde el 2 de diciembre de 2026 |
| Alto riesgo (Anexo III) | Sistemas con impacto significativo en derechos, seguridad o acceso a servicios esenciales | Software de selección de RRHH con puntuación automatizada; scoring crediticio; sistemas biométricos de categorización; herramientas de evaluación educativa; gestión de infraestructuras críticas; sistemas de decisión en migración y asilo | Requisitos y obligaciones del capítulo III exigibles desde el 2 de diciembre de 2027 (plazo aplazado por el Reglamento (UE) 2026/1744) |
| Alto riesgo (Anexo I) | IA embebida en productos regulados por legislación sectorial (maquinaria, dispositivos médicos, vehículos, juguetes…) | Diagnóstico médico asistido por IA; sistemas de control de maquinaria industrial; IA en vehículos autónomos | Requisitos y obligaciones del capítulo III exigibles desde el 2 de agosto de 2028 (plazo aplazado por el Reglamento (UE) 2026/1744) |
| Riesgo limitado | Sistemas con riesgos de transparencia controlables mediante información al usuario | Chatbots; generadores de imágenes o texto; sistemas de recomendación | Obligaciones de transparencia del artículo 50 (informar al usuario de que interactúa con IA, marcar el contenido sintético). No es un nivel «por debajo» del alto riesgo: pueden concurrir con él |
| Riesgo mínimo | Sistemas sin impacto significativo sobre personas | Filtros antispam; asistentes de búsqueda interna; herramientas de productividad básica | Sin requisitos específicos por su nivel de riesgo, pero le siguen aplicando la alfabetización en IA del artículo 4 y el resto del ordenamiento (RGPD, consumo, laboral). El artículo 95 prevé códigos de conducta voluntarios |
Plazos reales tras el Ómnibus digital: qué está ya en vigor y qué viene
Uno de los aspectos más confusos del AI Act es su calendario escalonado. A continuación detallamos los hitos ya vigentes y los próximos, incorporando los cambios introducidos por el Ómnibus digital sobre IA: el Reglamento (UE) 2026/1744 del Parlamento Europeo y del Consejo, de 8 de julio de 2026, publicado en el DO L, 2026/1744, de 24 de julio de 2026 y en vigor desde el 27 de julio de 2026, tres días después de su publicación. Conviene subrayarlo porque circula mucha información desfasada: no es una propuesta ni un acuerdo político pendiente de tramitar, es un reglamento en vigor y directamente aplicable.
Febrero de 2025 — Prohibiciones absolutas en vigor
Desde el 2 de febrero de 2025 están prohibidas las prácticas de IA consideradas de riesgo inaceptable (artículo 5 del Reglamento): técnicas subliminales o deliberadamente manipuladoras que mermen la capacidad de decidir, explotación de vulnerabilidades por edad, discapacidad o situación socioeconómica, puntuación social, predicción de delitos basada únicamente en perfilado o rasgos de personalidad, extracción no selectiva de imágenes faciales de internet o de circuitos cerrados de televisión para crear bases de reconocimiento facial, inferencia de emociones en el lugar de trabajo y en centros educativos —con una salvedad literal del artículo 5, apartado 1, letra f), que conviene no pasar por alto: «excepto cuando el sistema de IA esté destinado a ser instalado o introducido en el mercado por motivos médicos o de seguridad», de modo que la detección de fatiga del conductor, la vigilancia de seguridad o un dispositivo médico no son prácticas prohibidas—, categorización biométrica para deducir raza, opiniones políticas, afiliación sindical, convicciones religiosas o filosóficas, vida sexual u orientación sexual —el artículo 5, apartado 1, letra g), exige que el sistema «clasifique individualmente a las personas físicas sobre la base de sus datos biométricos», y precisa que «esta prohibición no incluye el etiquetado o filtrado de conjuntos de datos biométricos adquiridos lícitamente, como imágenes, basado en datos biométricos ni la categorización de datos biométricos en el ámbito de la garantía del cumplimiento del Derecho»—, e identificación biométrica remota en tiempo real en espacios de acceso público con fines de aplicación de la ley, salvo las excepciones tasadas del propio artículo. Si tu empresa usaba alguno de estos sistemas, debió haberlo retirado o adaptado antes de esa fecha.
El Ómnibus digital añade dos prohibiciones nuevas al artículo 5, apartado 1, párrafo primero (letras b bis y b ter), más dos apartados que acotan cuándo se activan (1 bis y 1 ter). Cubren la generación o manipulación de imágenes, vídeos o audios realistas de las partes íntimas de una persona física identificable —o de esa persona participando en actividades sexualmente explícitas— sin su consentimiento libre, específico, informado, inequívoco y explícito, y el material de abuso sexual infantil en el sentido de la Directiva 2011/93/UE. No son exigibles todavía: se aplican a partir del 2 de diciembre de 2026.
Febrero y agosto de 2025 — Alfabetización en IA y modelos GPAI
Dos bloques de obligaciones alcanzan a prácticamente cualquier empresa. Conviene no confundir sus fechas, porque no son la misma:
- Artículo 4 — Alfabetización en IA, exigible desde el 2 de febrero de 2025: el artículo 4 vive en el capítulo I, que se aplica desde el 2 de febrero de 2025 y no desde agosto. Obliga a proveedores y responsables del despliegue a adoptar medidas «para apoyar la promoción» de la alfabetización en materia de IA de su personal y de las demás personas que se encarguen en su nombre del funcionamiento y la utilización de los sistemas, atendiendo a sus conocimientos técnicos, su experiencia, su educación y su formación y al contexto previsto de uso. Esa es la redacción que introdujo el Reglamento (UE) 2026/1744 y que rige desde el 27 de julio de 2026; el propio artículo precisa que «esta obligación no exige que los proveedores o los responsables del despliegue garanticen un nivel específico de alfabetización en materia de IA de ninguna persona en particular». Es una obligación de medios, no de resultado — pero sigue vigente y sigue siendo sancionable, y lo que hay que poder mostrar son las medidas adoptadas.
- Artículos 51-55 — Modelos de propósito general (GPAI), desde el 2 de agosto de 2025: las empresas que desarrollen o adapten modelos de lenguaje de gran escala para su distribución en la UE tienen obligaciones de documentación, evaluación de riesgos sistémicos y registro. Afecta sobre todo a proveedores de tecnología, pero también a empresas que ajustan (fine-tuning) modelos para uso interno a gran escala. En la misma fecha entraron en aplicación el capítulo III, sección 4 (organismos notificados), la gobernanza del capítulo VII y el régimen sancionador del capítulo XII —este último con una excepción expresa en el artículo 113, párrafo tercero, letra b): el artículo 101, sobre multas a proveedores de modelos de IA de uso general, queda fuera y sigue la fecha general de aplicación.
Agosto de 2026 — Fecha general de aplicación del AI Act
El 2 de agosto de 2026 es la fecha general de aplicación del AI Act. El Ómnibus digital no la ha tocado: su considerando 40 la reconoce expresamente como tal. A partir de esa fecha son exigibles, entre otras, las obligaciones de transparencia del artículo 50. Y que el capítulo III se haya aplazado no aplaza el resto del Reglamento: las prohibiciones del artículo 5, la transparencia del artículo 50, la alfabetización del artículo 4, la gobernanza y el régimen sancionador siguen cada uno su propio calendario.
Un punto que conviene no dar por resuelto: el régimen sancionador del capítulo XII es aplicable desde el 2 de agosto de 2025 —salvo su artículo 101, sobre multas a proveedores de modelos de IA de uso general, que sigue la fecha general de aplicación—, pero España todavía no ha aprobado la ley que designa a las autoridades nacionales y concreta el procedimiento sancionador. Sigue en tramitación parlamentaria, como detallamos en el apartado de sanciones.
Diciembre de 2027 — Obligaciones plenas para sistemas de alto riesgo (Anexo III)
Con el Ómnibus digital, el capítulo III, secciones 1, 2 y 3 —los requisitos de los sistemas de alto riesgo y las obligaciones de sus proveedores y responsables del despliegue—, con excepción del artículo 6, apartado 5, pasa a ser aplicable a partir del 2 de diciembre de 2027 para los sistemas clasificados de alto riesgo en virtud del artículo 6, apartado 2, y el Anexo III (biometría, RRHH, crédito, infraestructuras críticas, educación, migración, justicia). La base legal es el artículo 113, párrafo tercero, letra c), en la redacción dada por el Reglamento (UE) 2026/1744. Importa decirlo con precisión: lo que se aplaza es ese capítulo, no el AI Act. Y la preparación no admite espera, porque los requisitos son sustanciales (véase la sección siguiente).
Agosto de 2028 — Sistemas de alto riesgo embebidos en productos (Anexo I)
Los sistemas de IA clasificados como de alto riesgo en virtud del artículo 6, apartado 1, y el Anexo I —IA integrada en productos sujetos a legislación sectorial de seguridad, como maquinaria o dispositivos médicos— tienen hasta el 2 de agosto de 2028, conforme a la misma letra c) del artículo 113. Es la segunda fecha del aplazamiento, y la que más veces se olvida al citar solo la del Anexo III.
Qué obligaciones concretas tiene tu empresa si usa sistemas de alto riesgo
Si tu empresa opera sistemas clasificados como alto riesgo (un módulo de puntuación de candidatos en RRHH, un sistema de scoring para aprobación de crédito interno, una plataforma de videovigilancia con reconocimiento facial…), las obligaciones del AI Act son las más exigentes del Reglamento. Puedes comprobar primero si tu caso concreto encaja en el Anexo III en nuestra guía de clasificación de sistemas de alto riesgo. Aquí está el núcleo de lo que deberás tener documentado y operativo antes del 2 de diciembre de 2027:
1. Sistema de gestión de riesgos específico para IA
Debes establecer, documentar, aplicar y mantener un sistema de gestión de riesgos a lo largo de todo el ciclo de vida del sistema de IA. No es suficiente con una cláusula en el contrato con el proveedor: hay que identificar los riesgos razonablemente previsibles del sistema, estimarlos, evaluarlos y adoptar medidas de gestión proporcionales. Este proceso debe revisarse periódicamente y ante cualquier cambio material en el sistema.
2. Gobernanza y calidad de los datos de entrenamiento
Si desarrollas o adaptas el modelo, debes documentar las prácticas de gobernanza de datos: origen de los datos, procedimientos de depuración, sesgos identificados y medidas correctoras. Incluso como desplegador (empresa que compra y usa el sistema sin desarrollarlo), tienes obligación de supervisar que el sistema funciona conforme a su finalidad y de documentar incidentes.
3. Documentación técnica y registro de actividad
El AI Act exige documentación técnica detallada para cada sistema de alto riesgo: descripción del sistema, finalidad prevista, datos utilizados, métricas de rendimiento, limitaciones conocidas y medidas de supervisión humana. Además, los sistemas de alto riesgo deben generar registros automáticos (logs) que permitan rastrear su funcionamiento durante un periodo mínimo de seis meses desde el uso.
4. Transparencia e información a los usuarios
Las personas afectadas por un sistema de alto riesgo (candidatos evaluados, solicitantes de crédito, personas en zonas de videovigilancia) deben recibir información clara sobre la existencia del sistema, su finalidad y los derechos que les asisten. Esto se integra con los derechos del RGPD (artículos 13 y 14) cuando el sistema trata datos personales.
5. Supervisión humana
Los sistemas de alto riesgo deben diseñarse para que personas físicas puedan supervisar, interrumpir o anular su funcionamiento. En la práctica, esto significa que ninguna decisión de alto impacto —selección de un candidato, denegación de un crédito, limitación de acceso a un servicio esencial— puede ser adoptada de forma completamente automatizada sin posibilidad de revisión humana.
6. Evaluación de conformidad y registro
Antes de poner en servicio un sistema de alto riesgo, debe realizarse una evaluación de conformidad. Para la mayoría de los sistemas del Anexo III, esta evaluación puede realizarla el propio proveedor mediante autoevaluación, siempre que disponga de la documentación requerida. El sistema debe inscribirse en la base de datos europea de IA (gestionada por la Comisión Europea) antes de su puesta en servicio.
Obligaciones aplicables a todas las empresas (no solo alto riesgo)
Incluso si tu empresa no usa sistemas de alto riesgo, el AI Act impone obligaciones horizontales que ya están en vigor o entran en vigor en agosto de 2026:
- Alfabetización en IA (art. 4): exigible desde el 2 de febrero de 2025, con redacción nueva desde el 27 de julio de 2026. Debes poder acreditar las medidas adoptadas para apoyar la promoción de la alfabetización en IA de quien la usa en tu nombre. El artículo ya no exige garantizar un nivel concreto en ninguna persona determinada, pero sí haber hecho algo y poder demostrarlo.
- Transparencia en sistemas conversacionales y generativos (art. 50): si usas un chatbot de atención al cliente, debes informar a los usuarios de que están interactuando con un sistema de IA, salvo que sea evidente por el contexto.
- Marcado de contenido generado por IA (art. 50, apdo. 2): los proveedores de sistemas que generen contenido sintético de audio, imagen, vídeo o texto deben velar por que los resultados de salida estén marcados en un formato legible por máquina que permita detectar que han sido generados o manipulados artificialmente. Hay un plazo de transición propio que conviene tener anotado: el nuevo artículo 111, apartado 4, da a los proveedores de sistemas que ya estuvieran en el mercado antes del 2 de agosto de 2026 hasta el 2 de diciembre de 2026 para cumplir ese apartado. Por separado, los responsables del despliegue que difundan ultrafalsificaciones tienen la obligación del artículo 50, apartado 4, de hacer público que el contenido es artificial. Esto afecta de lleno a campañas de marketing con imágenes o vídeos sintéticos.
- Revisión del inventario de herramientas de IA: no es un requisito formal expreso del Reglamento, pero sin inventario no se puede clasificar el riesgo ni acreditar ninguna de las obligaciones anteriores. Es el primer paso de cualquier expediente de cumplimiento.
Sanciones: cuánto puedes perder por incumplir el AI Act
El régimen sancionador del AI Act es el más elevado de toda la regulación digital europea, superando incluso al RGPD en los supuestos más graves:
| Tipo de infracción | Sanción máxima |
|---|---|
| Uso de prácticas de IA prohibidas (art. 5) | 35 millones de euros o el 7% de la facturación mundial anual (el mayor de los dos) |
| Incumplimiento de obligaciones para proveedores o desplegadores de IA de alto riesgo | 15 millones de euros o el 3% de la facturación mundial anual |
| Suministro de información incorrecta o engañosa a autoridades supervisoras | 7,5 millones de euros o el 1% de la facturación mundial anual |
Para las pymes, incluidas las empresas emergentes, el artículo 99, apartado 6, permite que cada multa se fije por el porcentaje o el importe de los apartados 3, 4 y 5, según cuál de ellos sea menor. Y el artículo 99, apartado 1, en la redacción dada por el Ómnibus digital, obliga a los Estados miembros a tener en cuenta los intereses de las pymes, de las empresas emergentes y de las pequeñas empresas de mediana capitalización, así como su viabilidad económica, e incorpora expresamente la posibilidad de imponer advertencias o medidas no pecuniarias junto a las multas administrativas. Para las pequeñas empresas de mediana capitalización, el nuevo apartado 6 bis limita del mismo modo las multas de los apartados 4 y 5. Nada de esto exime de responsabilidad.
Queda una pieza abierta, y es la que más confusión genera en España: a 30 de julio de 2026 no existe todavía ninguna ley ni real decreto español en vigor que designe formalmente a la autoridad de vigilancia del mercado del artículo 70 del AI Act ni que concrete el procedimiento sancionador nacional. Lo que hay es el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial (expediente 121/000096, XV Legislatura), publicado en el BOCG del Congreso, Serie A, núm. 97-1, de 12 de junio de 2026 y, a esta fecha, en fase de enmiendas en la Comisión de Economía, Comercio y Transformación Digital, con el plazo ampliado hasta el 2 de septiembre de 2026. No está publicado en el BOE, no tiene fuerza de ley y su texto puede cambiar. Está previsto, además, que no designe a la AESIA como autoridad única: reparte la vigilancia del mercado entre la AESIA y otros supervisores —entre ellos la AEPD, el Consejo General del Poder Judicial, el Banco de España y la Dirección General de Seguros y Fondos de Pensiones— según el tipo de sistema, y añade un tramo nacional de infracciones leves de hasta 500.000 euros o el 0,5 % del volumen de negocios mundial total, si esta cuantía fuese superior.
De la AESIA sí se puede afirmar lo que está verificado: su creación la autorizan la Ley 22/2021, de 28 de diciembre (disposición adicional centésima trigésima), y la Ley 28/2022, de 21 de diciembre (disposición adicional séptima); el Real Decreto 729/2023, de 22 de agosto, aprueba su Estatuto; tiene su sede institucional en A Coruña; y el 16 de diciembre de 2025 publicó 16 guías de apoyo al cumplimiento del AI Act para sistemas de alto riesgo.
Cómo estructurar el cumplimiento del AI Act en tu empresa: ruta de cinco pasos
En nuestro servicio de consultoría AI Act trabajamos con un enfoque estructurado que permite a la empresa pasar de cero a un expediente de cumplimiento auditble en un plazo razonable. Estos son los cinco pasos esenciales:
Paso 1 — Inventario y clasificación de sistemas de IA
El punto de partida es saber qué sistemas de IA utiliza tu empresa: herramientas SaaS con componentes de IA, desarrollos internos, automatizaciones con modelos de lenguaje, sistemas de visión artificial, asistentes conversacionales… Para cada sistema, se determina su categoría de riesgo según los criterios del Reglamento. Este inventario es la base de cualquier programa de cumplimiento y permite priorizar esfuerzos.
Paso 2 — Análisis de brechas (gap analysis)
Con el inventario en mano, se analiza la brecha entre la situación actual y los requisitos del AI Act para cada sistema. Para los sistemas de bajo o mínimo riesgo, la brecha suele ser pequeña (actualizar textos legales, añadir información al usuario). Para los sistemas de alto riesgo, la brecha puede ser significativa: falta de documentación técnica, ausencia de registros, necesidad de rediseñar procesos de supervisión humana.
Paso 3 — Plan de acción y hoja de ruta
Sobre la base del gap analysis, se define un plan de acción con responsables, plazos y recursos. El plan debe diferenciar las acciones inmediatas (cumplir obligaciones ya activas como la alfabetización) de las acciones a medio plazo (preparar la documentación técnica para sistemas de alto riesgo antes del plazo de diciembre de 2027).
Paso 4 — Implementación: documentación, procesos y formación
Esta fase incluye la redacción de la documentación técnica requerida, la implantación de sistemas de registro y monitorización, la actualización de avisos de transparencia hacia los usuarios afectados (integración con las políticas de privacidad del RGPD), y los programas de formación en alfabetización en IA para el personal relevante.
Paso 5 — Revisión y mantenimiento continuo
El AI Act es un reglamento de ciclo de vida: las obligaciones no se cumplen una vez y se archivan. Hay que revisar el inventario ante cualquier adopción de un nuevo sistema de IA, actualizar la documentación ante cambios materiales en los sistemas existentes, y mantener los registros de actividad activos. Adicionalmente, el propio Reglamento y los estándares técnicos armonizados que irán publicándose pueden imponer ajustes periódicos.
AI Act y su relación con el RGPD, NIS2 e ISO 42001
El AI Act no opera en el vacío: interacciona con otras normas que tu empresa puede estar ya cumpliendo o que también te afectan. Comprender estas intersecciones evita trabajo duplicado y asegura una gobernanza digital coherente.
- RGPD: los sistemas de IA que tratan datos personales —es decir, prácticamente todos los que tienen impacto sobre personas— deben cumplir simultáneamente con el AI Act y con el RGPD. Las evaluaciones de impacto (EIPD/DPIA) del RGPD y las evaluaciones de riesgo del AI Act pueden y deben coordinarse para evitar duplicar esfuerzo. La base legal para el tratamiento automatizado de datos sigue siendo el RGPD; el AI Act añade el marco de gobernanza del sistema.
- NIS2: si tu empresa opera infraestructuras críticas o servicios esenciales y utiliza sistemas de IA en esos entornos, las obligaciones de ciberseguridad de la Directiva NIS2 (pendiente de transposición en España a junio de 2026) se solapan con los requisitos de seguridad y robustez del AI Act para sistemas de alto riesgo.
- ISO 42001: esta norma internacional de gestión de sistemas de inteligencia artificial puede actuar como marco de implementación para las obligaciones del AI Act. Contar con un sistema certificado bajo ISO 42001 facilita demostrar conformidad con el Reglamento, aunque la certificación ISO no equivale por sí sola al cumplimiento legal del AI Act.
Si tu empresa ya trabaja en el cumplimiento de NIS2, recomendamos coordinar ambas iniciativas. Puedes conocer más sobre nuestra consultoría NIS2 y DORA para empresas con exposición regulatoria en ciberseguridad.
Preguntas frecuentes
¿El AI Act me afecta si solo uso herramientas SaaS de terceros con IA, como ChatGPT o Copilot?
Sí, aunque con menos carga que si fueras el desarrollador del sistema. Como desplegador (empresa que usa un sistema de IA desarrollado por un tercero), tienes obligaciones específicas: asegurarte de que el sistema se usa para la finalidad prevista, supervisar su funcionamiento, informar a los usuarios cuando corresponda y, si el sistema es de alto riesgo, documentar su uso y mantener los registros requeridos. El proveedor (Microsoft, OpenAI, etc.) asume las obligaciones propias del proveedor, pero no te exime de las tuyas como desplegador.
¿Qué es exactamente la «alfabetización en IA» que exige el artículo 4 y cómo la acredito?
Ojo, porque el artículo 4 cambió de redacción el 27 de julio de 2026: lo sustituyó íntegramente el artículo 1, punto 5, del Reglamento (UE) 2026/1744. En su redacción vigente obliga a los proveedores y a los responsables del despliegue a adoptar medidas «para apoyar la promoción» de la alfabetización en materia de IA de su personal y de las demás personas que se encarguen en su nombre del funcionamiento y la utilización de los sistemas, teniendo en cuenta sus conocimientos técnicos, su experiencia, su educación y su formación, así como el contexto previsto de uso. Y añade una frase decisiva: «Esta obligación no exige que los proveedores o los responsables del despliegue garanticen un nivel específico de alfabetización en materia de IA de ninguna persona en particular.» Pasa, por tanto, de obligación de resultado a obligación de medios. Sigue existiendo, sigue siendo exigible desde el 2 de febrero de 2025 y sigue siendo sancionable: lo que se acredita ya no es el nivel alcanzado por cada empleado, sino las medidas adoptadas — inventario de sistemas de IA, mapa del personal por nivel de exposición, contenidos y fechas de la formación impartida y un responsable del programa. El artículo 4, apartado 2, prevé además que la Comisión publique ejemplos prácticos de cómo cumplir la obligación en la plataforma única de información del artículo 62, apartado 3, letra b).
¿Qué cambia el Ómnibus digital sobre IA y desde cuándo se aplica?
El Ómnibus digital sobre IA no es un acuerdo político ni un borrador: es el Reglamento (UE) 2026/1744 del Parlamento Europeo y del Consejo, de 8 de julio de 2026, publicado en el DO L, 2026/1744, de 24 de julio de 2026, y en vigor desde el 27 de julio de 2026. Es Derecho de la Unión directamente aplicable. Sus cambios más relevantes para las empresas son cuatro: (1) aplaza la fecha de aplicación del capítulo III, secciones 1, 2 y 3 —los requisitos de los sistemas de alto riesgo y las obligaciones de sus proveedores y responsables del despliegue—, con excepción del artículo 6, apartado 5, al 2 de diciembre de 2027 para los sistemas del artículo 6, apartado 2, y el Anexo III, y al 2 de agosto de 2028 para los del artículo 6, apartado 1, y el Anexo I; (2) sustituye íntegramente el artículo 4 sobre alfabetización en materia de IA, que pasa de obligación de resultado a obligación de medios; (3) inserta dos prohibiciones nuevas en el artículo 5, apartado 1, párrafo primero (letras b bis y b ter), y dos apartados que las acotan (1 bis y 1 ter), aplicables desde el 2 de diciembre de 2026; y (4) inserta un artículo 4 bis que permite, con condiciones tasadas, tratar categorías especiales de datos personales para detectar y corregir sesgos. Lo que no cambia: el 2 de agosto de 2026 sigue siendo la fecha general de aplicación del AI Act, y las prohibiciones del artículo 5 vigentes desde el 2 de febrero de 2025 siguen intactas. Cuidado con el atajo de decir que «el AI Act se retrasa»: lo aplazado es un capítulo concreto.
¿Qué autoridad vigila y sanciona el AI Act en España?
A 30 de julio de 2026, todavía ninguna con designación formal. No existe aún ninguna ley ni real decreto español en vigor que designe a la autoridad de vigilancia del mercado del artículo 70 del AI Act ni que concrete el procedimiento sancionador nacional. El régimen sancionador del capítulo XII del Reglamento es aplicable desde el 2 de agosto de 2025 —salvo su artículo 101, sobre multas a proveedores de modelos de IA de uso general, que el artículo 113, párrafo tercero, letra b), excluye expresamente y que sigue la fecha general de aplicación—, pero el propio Reglamento deja a cada Estado miembro establecer las sanciones y designar a sus autoridades. En España, lo que existe es el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial (expediente 121/000096, XV Legislatura), publicado en el BOCG del Congreso, Serie A, núm. 97-1, de 12 de junio de 2026, y a esta fecha en fase de enmiendas en la Comisión de Economía, Comercio y Transformación Digital, con el plazo ampliado hasta el 2 de septiembre de 2026: no está publicado en el BOE, no tiene fuerza de ley y su texto puede cambiar. Está previsto, además, que ese proyecto no designe a la AESIA como autoridad única, sino que reparta la vigilancia entre la AESIA y otros supervisores según el tipo de sistema. De la AESIA sí consta: su creación la autorizan la Ley 22/2021 y la Ley 28/2022; el Real Decreto 729/2023, de 22 de agosto, aprueba su Estatuto; tiene su sede institucional en A Coruña; y el 16 de diciembre de 2025 publicó 16 guías de apoyo al cumplimiento del AI Act para sistemas de alto riesgo.