EU AI Act: Qué significa para tu empresa en 2026
El Reglamento de Inteligencia Artificial de la UE (EU AI Act) ya está en vigor, y 2026 es el año clave. Para entonces, la mayoría de las obligaciones serán plenamente aplicables. Las empresas que usan IA (incluso ChatGPT, Gemini o Claude) tendrán que cumplir con nuevas exigencias de transparencia, evaluación de riesgos y gobernanza. El incumplimiento puede costar hasta 35 millones de euros o el 7% de la facturación global. Te explicamos lo que necesitas saber.
En pocas palabras: El Reglamento (UE) 2024/1689, conocido como EU AI Act, es el primer marco legal integral del mundo para regular la inteligencia artificial. Aprobado en 2024, su calendario de aplicación se despliega por fases, y 2026 es el año en que la mayoría de las obligaciones se vuelven exigibles para los sistemas de IA de propósito general (como los modelos de lenguaje) y para los sistemas de alto riesgo. Si tu empresa usa IA en cualquier ámbito, este reglamento te afecta directamente. Ignorarlo no es una opción: las multas son millonarias y las autoridades de supervisión ya están preparadas para inspeccionar.
Calendario de aplicación: ¿qué entra en vigor cuándo?
- Febrero 2025: Prohibición de sistemas de IA de «riesgo inaceptable» (puntuación social, reconocimiento emocional en el trabajo y educación, scraping masivo de imágenes faciales).
- Agosto 2025: Entran en vigor las normas para modelos de IA de propósito general (GPAI) con obligaciones de transparencia y documentación.
- Agosto 2026: Fecha clave. Se aplican todas las obligaciones para sistemas de IA de alto riesgo (incluyendo los utilizados en infraestructuras críticas, educación, empleo, servicios esenciales, migración, administración de justicia). También las obligaciones para GPAI con «riesgo sistémico».
- Agosto 2027: Plazo final para que los sistemas de IA de alto riesgo que ya estaban en el mercado se adapten al reglamento.
Para la mayoría de las empresas, el horizonte de cumplimiento es agosto de 2026. Esto significa que tienes aproximadamente 18 meses para evaluar tus sistemas de IA, documentarlos y, si es necesario, migrar a soluciones que cumplan con el reglamento.
Los 4 niveles de riesgo del EU AI Act
Riesgo inaceptable (prohibido): Sistemas de manipulación subliminal, explotación de vulnerabilidades, puntuación social por gobiernos, reconocimiento de emociones en lugares de trabajo y educación, recolección masiva de imágenes faciales de internet. Multas: hasta 35M€ o 7% de facturación global.
Riesgo limitado (obligaciones de transparencia): Sistemas de IA que interactúan con humanos (chatbots, asistentes virtuales) deben informar de que están interactuando con una IA. Contenido generado (deepfakes, texto, imágenes) debe ser etiquetado como tal. Multas: hasta 7,5M€ o 1,5% de facturación.
Riesgo mínimo o nulo (sin obligaciones adicionales): Videojuegos, filtros de spam, sistemas de recomendación no intrusivos. Libre uso.
¿Dónde se encaja tu empresa?
- Chatbot de atención al cliente: Riesgo limitado obligación de informar al usuario de que habla con una IA.
- Selección de personal con IA (curriculum vitae): Alto riesgo sistema de gestión de riesgos, documentación técnica, supervisión humana.
- Evaluación de solvencia crediticia con IA: Alto riesgo mismas obligaciones que selección de personal.
- IA que genera informes internos (no interactúa con externos): Riesgo mínimo sin obligaciones adicionales.
- IA utilizada en un hospital para diagnosticar: Alto riesgo (si es apoyo) o riesgo inaceptable (si reemplaza al médico sin supervisión).
Obligaciones clave para sistemas de alto riesgo
Si tu IA se clasifica como alto riesgo (lo que será común en recursos humanos, finanzas, sanidad, educación), deberás implementar:
- Sistema de gestión de riesgos: Identificar, evaluar y mitigar riesgos conocidos y previsibles durante todo el ciclo de vida de la IA.
- Datos de entrenamiento de alta calidad: Los conjuntos de datos deben ser relevantes, representativos, libres de errores y completos. Debes documentar su origen y características.
- Documentación técnica: Antes de comercializar o usar el sistema, debes elaborar documentación que demuestre el cumplimiento (arquitectura, especificaciones, pruebas, etc.).
- Diseño de trazabilidad: El sistema debe registrar automáticamente eventos relevantes (logs) para garantizar la auditabilidad.
- Transparencia e información a los usuarios: Los usuarios deben saber que están interactuando con una IA y entender sus capacidades y limitaciones.
- Supervisión humana: Debes designar supervisores humanos capaces de intervenir o anular las decisiones de la IA.
- Robustez, precisión y ciberseguridad: El sistema debe ser resistente a errores, ataques y manipulaciones. Debes definir métricas de precisión y monitorizarlas.
¿Y los modelos de propósito general (ChatGPT, Gemini, Claude)?
El EU AI Act también regula a los proveedores de modelos de IA de propósito general (GPAI), como OpenAI, Google, Anthropic. Pero tú, como empresa que usa esos modelos a través de una API o interfaz, también tienes obligaciones, especialmente de transparencia. Si usas ChatGPT en tu empresa, deberás:
- Informar a tus empleados y clientes cuando estén interactuando con una IA (no con un humano).
- Etiquetar el contenido generado (texto, imágenes, vídeos) como generado por IA, when sea relevante.
- No usar la IA para tareas de alto riesgo a menos que hayas implementado las salvaguardas exigidas (supervisión humana, gestión de riesgos, etc.).
- Documentar el uso que haces de la IA, especialmente si afecta a derechos de terceros.
Advertencia: Muchos proveedores de IA pública no ofrecen las garantías necesarias para sistemas de alto riesgo (por ejemplo, no permiten supervisión humana efectiva o no proporcionan logs detallados). En esos casos, usar su API puede ser incompatible con el EU AI Act. La solución es implementar modelos open source en hardware propio, donde tienes control total sobre la supervisión, los logs y la documentación.
IA Pública (ChatGPT, Gemini, Claude)
- Logs limitados o inexistentes
- Supervisión humana difícil o imposible
- Dependencia de certificación del proveedor
- Riesgo de incumplimiento del EU AI Act
- Datos fuera de tu control
IA Local (TOWINIA onpremise)
- Logs completos y auditables
- Supervisión humana real y efectiva
- Cumplimiento demostrable por ti mismo
- Alineado con EU AI Act
- Control total de datos e infraestructura
La ventaja de la IA local (on-premise)
Implementar IA en hardware propio te da una ventaja decisiva: control total de los logs (trazabilidad), supervisión humana real (puedes diseñar flujos donde un humano revise y anule decisiones), documentación técnica precisa (al controlar la infraestructura), datos de entrenamiento bajo control (si finetuneas, sabes exactamente qué datos usaste), y no dependes de certificaciones de terceros. Tu cumplimiento no depende de que OpenAI o Google cumplan con el EU AI Act. Tú eres el responsable, y con hardware propio puedes demostrarlo.
Multas y sanciones: no es un riesgo menor
El EU AI Act establece un sistema de multas escalonadas:
- Uso de sistemas prohibidos: hasta 35.000.000 € o el 7% del volumen de negocio mundial anual.
- Incumplimiento de obligaciones para sistemas de alto riesgo: hasta 15.000.000 € o el 3% del volumen de negocio.
- Incumplimiento de obligaciones de transparencia: hasta 7.500.000 € o el 1,5% del volumen de negocio.
- Información incorrecta a las autoridades: hasta 7.500.000 € o el 1,5% del volumen de negocio.
Además, las autoridades de supervisión pueden ordenar la retirada del mercado, la suspensión del uso o la limitación del sistema de IA. Para empresas que dependen críticamente de la IA, una orden de suspensión puede ser catastrófica.
Pasos para preparar a tu empresa antes de agosto de 2026
Te recomendamos esta hoja de ruta para cumplir con el EU AI Act:
Inventario de sistemas de IA
Haz un listado de todas las herramientas de IA que usas (ChatGPT, Gemini, Claude, modelos propios, APIs). Incluye tanto las oficiales como las de uso no autorizado (shadow IA).
Clasificación por nivel de riesgo
Para cada sistema, determina si es riesgo inaceptable (prohibido), alto, limitado o mínimo. Usa la guía oficial de la Comisión Europea.
Implementa obligaciones para alto riesgo
Para sistemas de alto riesgo, implementa gestión de riesgos, documentación, supervisión humana y logs. Si el proveedor no lo permite, migra a una solución que sí lo haga.
Transparencia para riesgo limitado
Asegúrate de que los usuarios sepan que interactúan con una IA y que el contenido generado está etiquetado como tal.
Designa un responsable de cumplimiento
Puede ser tu DPO o una persona específica para IA. Debe conocer el reglamento y supervisar la implementación.
Documenta todo
El EU AI Act exige documentación técnica. Guarda registros de evaluaciones, decisiones y medidas adoptadas. La trazabilidad es clave.
Conclusión: 2026 está a la vuelta de la esquina
El EU AI Act no es una threat lejana. Las obligaciones para la mayoría de los sistemas de IA entran en vigor en agosto de 2026. Si tu empresa usa IA hoy, debes empezar a prepararte ahora. El primer paso es inventariar y clasificar tus sistemas. El segundo, para los sistemas de alto riesgo, es evaluar si tu proveedor actual te permite cumplir. Si no es así, considera migrar a hardware propio con modelos open source. La inversión es asumible, el plazo es realista y el coste de no hacerlo (multas, suspensiones, pérdida de reputación) es inasumible. La soberanía tecnológica también es cumplimiento normativo.
¿Quieres preparar a tu empresa para el EU AI Act?
Auditoría de cumplimiento gratuita: Analizamos tus sistemas de IA, identificamos riesgos y te proponemos un plan de acción para cumplir con el reglamento antes de agosto de 2026. Incluye migración a hardware propio si es necesario.
Solicitar auditoría EU AI Act
