EU AI Act: Qué significa para tu empresa en 2026

El Reglamento de Inteligencia Artificial de la UE (EU AI Act) ya está en vigor, y 2026 es el año clave. Para entonces, la mayoría de las obligaciones serán plenamente aplicables. Las empresas que usan IA (incluso ChatGPT, Gemini o Claude) tendrán que cumplir con nuevas exigencias de transparencia, evaluación de riesgos y gobernanza. El incumplimiento puede costar hasta 35 millones de euros o el 7% de la facturación global. Te explicamos lo que necesitas saber.

El Reglamento (UE) 2024/1689, conocido como EU AI Act, es el primer marco legal integral del mundo para regular la inteligencia artificial. Aprobado en 2024, su calendario de aplicación se despliega por fases, y 2026 es el año en que la mayoría de las obligaciones se vuelven exigibles para los sistemas de IA de propósito general (como los modelos de lenguaje) y para los sistemas de alto riesgo. Si tu empresa usa IA en cualquier ámbito (atención al cliente, recursos humanos, análisis de datos, generación de contenido), este reglamento te afecta directamente. Ignorarlo no es una opción: las multas son millonarias y las autoridades de supervisión (en España, la AEPD y la nueva Agencia Española de Supervisión de IA) ya están preparadas para inspeccionar.

Calendario de aplicación: ¿qué entra en vigor cuándo?

• Febrero 2025: Prohibición de sistemas de IA de «riesgo inaceptable» (puntuación social, reconocimiento emocional en el trabajo y educación, scraping masivo de imágenes faciales).
• Agosto 2025: Entran en vigor las normas para modelos de IA de propósito general (GPAI) con obligaciones de transparencia y documentación.
• Agosto 2026: Fecha clave. Se aplican todas las obligaciones para sistemas de IA de alto riesgo (incluyendo los utilizados en infraestructuras críticas, educación, empleo, servicios esenciales, migración, administración de justicia). También las obligaciones para GPAI con «riesgo sistémico».
• Agosto 2027: Plazo final para que los sistemas de IA de alto riesgo que ya estaban en el mercado se adapten al reglamento.

Para la mayoría de las empresas, el horizonte de cumplimiento es agosto de 2026. Esto significa que tienes aproximadamente 18 meses para evaluar tus sistemas de IA, documentarlos y, si es necesario, migrar a soluciones que cumplan con el reglamento.

Los 4 niveles de riesgo del EU AI Act

¿Dónde se encaja tu empresa?

La mayoría de las empresas que usan IA de propósito general (modelos de lenguaje como ChatGPT, Gemini, Claude, LLaMA) para tareas internas o externas caerán en alguna de estas categorías:

• Chatbot de atención al cliente: Riesgo limitado → obligación de informar al usuario de que habla con una IA. Etiquetar los mensajes generados.
• Selección de personal con IA (curriculum vitae): Alto riesgo → sistema de gestión de riesgos, documentación técnica, supervisión humana, evitar sesgos.
• Evaluación de solvencia crediticia con IA: Alto riesgo → mismas obligaciones que selección de personal.
• IA que genera informes internos (no interactúa con externos): Riesgo mínimo → sin obligaciones adicionales, pero recomendable documentar.
• IA utilizada en un hospital para diagnosticar: Alto riesgo (si es un sistema de apoyo diagnóstico) o riesgo inaceptable (si reemplaza al médico sin supervisión).

Obligaciones clave para sistemas de alto riesgo

Si tu IA se clasifica como alto riesgo (lo que será común en recursos humanos, finanzas, sanidad, educación), deberás implementar:

• Sistema de gestión de riesgos: Identificar, evaluar y mitigar riesgos conocidos y previsibles durante todo el ciclo de vida de la IA.
• Datos de entrenamiento de alta calidad: Los conjuntos de datos deben ser relevantes, representativos, libres de errores y completos. Debes documentar su origen y características.
• Documentación técnica: Antes de comercializar o usar el sistema, debes elaborar documentación que demuestre el cumplimiento (arquitectura, especificaciones, pruebas, etc.).
• Diseño de trazabilidad: El sistema debe registrar automáticamente eventos relevantes (logs) para garantizar la auditabilidad.
• Transparencia e información a los usuarios: Los usuarios deben saber que están interactuando con una IA y entender sus capacidades y limitaciones.
• Supervisión humana: Debes designar supervisores humanos capaces de intervenir o anular las decisiones de la IA.
• Robustez, precisión y ciberseguridad: El sistema debe ser resistente a errores, ataques y manipulaciones. Debes definir métricas de precisión y monitorizarlas.

¿Y los modelos de propósito general (ChatGPT, Gemini, Claude)?

El EU AI Act también regula a los proveedores de modelos de IA de propósito general (GPAI), como OpenAI, Google, Anthropic. Pero tú, como empresa que usa esos modelos a través de una API o interfaz, también tienes obligaciones, especialmente de transparencia. Si usas ChatGPT en tu empresa, deberás:

• Informar a tus empleados y clientes cuando estén interactuando con una IA (no con un humano).
• Etiquetar el contenido generado (texto, imágenes, vídeos) como generado por IA, cuando sea relevante.
• No usar la IA para tareas de alto riesgo a menos que hayas implementado las salvaguardas exigidas (supervisión humana, gestión de riesgos, etc.).
• Documentar el uso que haces de la IA, especialmente si afecta a derechos de terceros.

Advertencia: Muchos proveedores de IA pública no ofrecen las garantías necesarias para sistemas de alto riesgo (por ejemplo, no permiten supervisión humana efectiva o no proporcionan logs detallados). En esos casos, usar su API puede ser incompatible con el EU AI Act. La solución es implementar modelos open source en hardware propio, donde tienes control total sobre la supervisión, los logs y la documentación.

¿Qué debes hacer antes de agosto de 2026?

• 1. Inventario de sistemas de IA: Haz un listado de todas las herramientas de IA que usas en tu empresa (ChatGPT, Gemini, Claude, modelos propios, APIs, librerías). Incluye tanto las oficiales como las que los empleados usan por su cuenta (shadow IA).
• 2. Clasificación por nivel de riesgo: Para cada sistema, determina si es riesgo inaceptable (prohibido), alto, limitado o mínimo. Usa la guía oficial de la Comisión Europea.
• 3. Para sistemas de alto riesgo: Implementa las obligaciones mencionadas (gestión de riesgos, documentación, supervisión humana, logs). Si el proveedor no lo permite, migra a una solución que sí lo permita (open source + hardware propio).
• 4. Para sistemas de riesgo limitado: Asegúrate de que los usuarios sepan que interactúan con una IA y que el contenido generado está etiquetado.
• 5. Designa un responsable de cumplimiento: Puede ser tu DPO (Delegado de Protección de Datos) o una persona específica para IA. Debe conocer el reglamento y supervisar la implementación.
• 6. Documenta todo: El EU AI Act exige documentación técnica. Guarda registros de evaluaciones, decisiones y medidas adoptadas.

La ventaja de la IA local (on-premise) para cumplir con el EU AI Act

Implementar IA en hardware propio te da una ventaja decisiva para cumplir con el reglamento:

• Control total de los logs: Puedes registrar cada interacción, garantizando la trazabilidad que exige el reglamento. En la nube pública, los logs son limitados o inexistentes.
• Supervisión humana real: Puedes diseñar flujos donde un humano revise y anule decisiones de la IA antes de que tengan efecto.
• Documentación técnica: Al controlar la infraestructura, puedes documentar con precisión la arquitectura, los datos de entrenamiento y las pruebas de rendimiento.
• Datos de entrenamiento bajo control: Si fine‑tuneas el modelo, sabes exactamente qué datos usaste, su calidad y su procedencia.
• No dependes de certificaciones de terceros: Tu cumplimiento no depende de que OpenAI o Google cumplan con el EU AI Act (algo que aún está por verse). Tú eres el responsable, y con hardware propio puedes demostrarlo.

La gestión empresarial con IA soberana no es solo una cuestión de privacidad o coste; con el EU AI Act, también es una cuestión de cumplimiento legal. Las empresas que dependan de APIs de proveedores externos pueden encontrarse en agosto de 2026 sin la documentación ni los controles necesarios. Migrar a hardware propio te da independencia y tranquilidad.

Multas y sanciones: no es un riesgo menor

El EU AI Act establece un sistema de multas escalonadas:

• Uso de sistemas prohibidos: hasta 35.000.000 € o el 7% del volumen de negocio mundial anual.
• Incumplimiento de obligaciones para sistemas de alto riesgo: hasta 15.000.000 € o el 3% del volumen de negocio.
• Incumplimiento de obligaciones de transparencia: hasta 7.500.000 € o el 1,5% del volumen de negocio.
• Información incorrecta a las autoridades: hasta 7.500.000 € o el 1,5% del volumen de negocio.

Además, las autoridades de supervisión pueden ordenar la retirada del mercado, la suspensión del uso o la limitación del sistema de IA. Para empresas que dependen críticamente de la IA, una orden de suspensión puede ser catastrófica.

Conclusión: 2026 está a la vuelta de la esquina

El EU AI Act no es una amenaza lejana. Las obligaciones para la mayoría de los sistemas de IA entran en vigor en agosto de 2026. Si tu empresa usa IA hoy, debes empezar a prepararte ahora. El primer paso es inventariar y clasificar tus sistemas. El segundo, para los sistemas de alto riesgo, es evaluar si tu proveedor actual te permite cumplir. Si no es así, considera migrar a hardware propio con modelos open source. La inversión es asumible, el plazo es realista y el coste de no hacerlo (multas, suspensiones, pérdida de reputación) es inasumible. La soberanía tecnológica también es cumplimiento normativo.