Reglamento Europeo de Inteligencia Artificial AI Act: Qué Deben Saber las Empresas

El 27 de julio de 2026 entró en vigor el Reglamento (UE) 2026/1744 — el «Ómnibus Digital de IA» — y aplazó más de un año los plazos de alto riesgo del Reglamento de IA de la UE. Seis días después, el 2 de agosto de 2026, la mayoría de las demás obligaciones del Reglamento pasaron a ser exigibles de todos modos, incluida la transparencia de chatbots y ultrafalsificaciones. Muchas empresas se quedaron con el primer titular y se perdieron el segundo: un análisis de un proveedor de 2026 basado en sus propias evaluaciones de clientes en ocho sectores encontró que el 78 % de las organizaciones evaluadas no había dado pasos significativos hacia el cumplimiento del Reglamento, y el 83 % carecía de un inventario formal de los sistemas de IA que utiliza (Vision Compliance, abril de 2026).

La respuesta corta a «¿me afecta el Reglamento de IA de la UE?» es: puede que sí si construyes, comercializas o utilizas un sistema de IA en la UE, o si los resultados del sistema se utilizan allí, aunque tu empresa tenga la sede en otro país. El artículo 2 contiene exclusiones específicas, por lo que el alcance debe analizarse caso por caso. El resto de esta guía repasa qué cambió en 2026, qué no cambió, los plazos que importan ahora, quién asume cada obligación y una hoja de ruta práctica para prepararse.

Qué Es el Reglamento de IA de la UE y Si Afecta a tu Empresa

El Reglamento (UE) 2024/1689 define un sistema de IA como software que infiere, a partir de los datos que recibe, cómo generar resultados — predicciones, contenidos, recomendaciones o decisiones — capaces de influir en entornos físicos o virtuales. Autonomía e inferencia son las palabras clave. Un motor de reglas convencional o una calculadora determinista no se convierte en IA solo por ejecutarse en un ordenador, y un sistema tampoco necesita aprendizaje profundo o capacidades generativas para entrar en la definición.

El Reglamento alcanza a proveedores que introducen sistemas de IA en el mercado de la UE, a responsables del despliegue establecidos en la UE, a importadores y distribuidores, y — de forma decisiva — a proveedores y responsables del despliegue de terceros países cuyo sistema genere resultados utilizados en la UE. A diferencia de otras normas europeas, esta regla territorial no depende de un criterio separado de «orientación». Con sujeción a las exclusiones del artículo 2, puede abarcar una plataforma de selección colombiana que puntúe candidatos para un responsable de contratación europeo, el modelo de scoring crediticio de una fintech salvadoreña que alimente a un banco socio europeo o una herramienta SaaS estadounidense cuyo chatbot atienda a clientes españoles, con independencia de dónde estén sus servidores, su personal o su domicilio social.

España se adelantó en infraestructura de supervisión. La Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), creada por el Real Decreto 729/2023 y operativa desde 2024, es el primer supervisor nacional de IA dedicado en la Unión Europea. Desde entonces ha colaborado en la publicación de 16 guías prácticas de cumplimiento desarrolladas a partir del sandbox regulatorio español de IA — una referencia útil para cualquier empresa con actividad en España o Barcelona que intente traducir el Reglamento en pasos operativos.

El Ómnibus Digital de 2026: Qué Cambió Realmente (y Qué No)

Este es el punto donde más se equivoca la cobertura mediática, y tiene consecuencias comerciales directas: el aplazamiento es real, pero parcial.

El Reglamento (UE) 2026/1744 aplazó los dos plazos de alto riesgo que más preocupaban: los usos del anexo III (empleo, crédito, educación, servicios esenciales y otros) se aplican ahora desde el 2 de diciembre de 2027, y la IA integrada en productos del anexo I (productos sanitarios, maquinaria, juguetes) desde el 2 de agosto de 2028. También amplió determinadas simplificaciones de pymes a las pequeñas empresas de mediana capitalización, extendió el acceso a los sandboxes regulatorios, simplificó el régimen original de alfabetización en IA para empresas y añadió una nueva prohibición sobre sistemas de IA que generen material íntimo no consentido o material de abuso sexual infantil, con efecto desde el 2 de diciembre de 2026.

Lo que no tocó: el régimen de prácticas prohibidas del artículo 5 y las definiciones originales, aplicables desde el 2 de febrero de 2025; las obligaciones sobre modelos de IA de uso general (GPAI), aplicables desde el 2 de agosto de 2025; y las obligaciones de transparencia del artículo 50 — informar al usuario de que habla con un chatbot, etiquetar ultrafalsificaciones, marcar contenido sintético —, exigibles desde el 2 de agosto de 2026, junto con las potestades de ejecución de la Comisión sobre proveedores de modelos de uso general. Existe una transición: los proveedores de sistemas de contenido sintético introducidos en el mercado antes del 2 de agosto de 2026 tienen hasta el 2 de diciembre de 2026 para cumplir el artículo 50.2. Leer «el Reglamento se retrasó» como «podemos relajarnos con la IA» deja un vacío de cumplimiento activo justo en las áreas que ya conllevan sanciones.

Los Cuatro Niveles de Riesgo: Dónde Se Sitúan Tus Sistemas de IA

Todo sistema de IA que una empresa construye, compra o integra cae en uno de cuatro niveles. Las etiquetas «riesgo limitado» y «riesgo mínimo» son atajos explicativos, no categorías legales exhaustivas — las pruebas jurídicas reales están en los artículos 5, 6 y el anexo III del propio Reglamento.

La clasificación de alto riesgo sigue dos vías. El artículo 6.1 alcanza a la IA que constituye un producto regulado o un componente de seguridad del anexo I cuando la legislación sectorial ya exige evaluación de conformidad por terceros. El artículo 6.2 presume de alto riesgo los usos del anexo III, salvo que el sistema realice solo tareas estrechas, procedimentales o preparatorias y no plantee un riesgo significativo — una excepción que exige un análisis documentado, no una suposición. Los modelos de IA de uso general (GPAI) están sujetos a un régimen separado a nivel de modelo que puede aplicarse aunque el sistema final no sea de alto riesgo: los proveedores de modelos de la clase GPT-4, Gemini o Claude Opus deben mantener documentación técnica, compartir información con proveedores posteriores, publicar un resumen de los datos de entrenamiento y cumplir las normas de derechos de autor de la UE. Los modelos con presunción de riesgo sistémico — de forma informal, los entrenados por encima de aproximadamente 10²⁵ operaciones de coma flotante, un umbral que la Comisión también puede fijar con otros criterios — enfrentan pruebas adicionales, mitigación de riesgos y obligaciones de notificación de incidentes.

Todos los Plazos que Debes Vigilar: Calendario Completo de Cumplimiento

Fuentes: Reglamento (UE) 2024/1689 y Reglamento (UE) 2026/1744, Diario Oficial de la UE (EUR-Lex); Comisión Europea, "Navigating the AI Act".

Proveedor, Responsable del Despliegue, Importador, Distribuidor: Quién Responde de Qué

El Reglamento asigna obligaciones por función, no por la etiqueta contractual. Llamarte «cliente» o «revendedor» no cambia lo que realmente haces con un sistema.

• Los proveedores cargan con lo más pesado: definir la finalidad prevista, construir el expediente técnico, gestionar riesgos, diseñar la capacidad de registro y supervisión humana, y completar la evaluación de conformidad.
• Los responsables del despliegue — el papel que ocupa la mayoría de las empresas — deben utilizar los sistemas conforme a las instrucciones, asignar supervisión humana competente, vigilar el funcionamiento, conservar registros accesibles y comunicar riesgos. Los organismos públicos y los responsables del despliegue de determinados sistemas de crédito o de seguros de vida y salud deben además realizar una evaluación de impacto sobre los derechos fundamentales.
• Importadores y distribuidores verifican que el proveedor ha cumplido antes de que el sistema llegue al mercado, y deben detener el suministro si no lo ha hecho.

La trampa que conviene nombrar explícitamente: el artículo 25 reclasifica a un responsable del despliegue como proveedor — con todas sus obligaciones — si comercializa un sistema con su propia marca, lo modifica sustancialmente o cambia su finalidad prevista de modo que pase a ser de alto riesgo. Un banco que toma el modelo de scoring crediticio de un proveedor y lo reentrena con datos propios, o una BPO que revende con marca blanca una herramienta de IA de un tercero, puede cruzar esa línea sin proponérselo. La clasificación debe reabrirse cada vez que cambien los datos, el modelo, la interfaz o la finalidad — no archivarse una vez y olvidarse.

Qué Exige Realmente el Cumplimiento de Alto Riesgo

Para los sistemas de alto riesgo, el capítulo III establece una arquitectura de evidencias defendibles, no un ejercicio de casillas: gestión de riesgos durante todo el ciclo de vida, gobernanza y calidad de datos, documentación técnica (anexo IV), registros automáticos conservados al menos seis meses, instrucciones y transparencia para los responsables del despliegue, un diseño de supervisión humana que dé a una persona real la autoridad de anular o detener el sistema, pruebas de exactitud y ciberseguridad, un sistema documentado de gestión de calidad, evaluación de conformidad, declaración UE de conformidad, marcado CE, registro y seguimiento poscomercialización con notificación de incidentes graves.

Para la mayoría de los usos del anexo III, la vía de conformidad por defecto es el control interno, no la certificación externa — determinados sistemas biométricos son la principal excepción, donde puede requerirse un organismo notificado. Para los productos del anexo I, los requisitos de IA se integran en el proceso de conformidad sectorial ya existente (por ejemplo, el Reglamento de productos sanitarios), en lugar de funcionar como una vía paralela. Una advertencia que conviene incorporar a cualquier plan de proyecto para 2026-2027: las normas armonizadas que generarían presunción de conformidad siguen incompletas — CEN y CENELEC no cumplieron su objetivo original de agosto de 2025, y el trabajo de estandarización continúa en 2026. La ausencia de una norma final no elimina el deber de prepararse; significa documentar especificaciones alternativas defendibles y evidencias de pruebas hasta que exista una.

Enfoque Sectorial: Sanidad y Productos Sanitarios

La IA sanitaria alcanza la condición de alto riesgo por dos vías: un uso de servicio esencial del anexo III (un sistema que controla el acceso o la elegibilidad para la asistencia sanitaria), o el artículo 6.1, cuando la IA constituye un producto sanitario o componente de seguridad y la legislación de productos sanitarios ya exige evaluación de conformidad por terceros.

En la práctica, la IA integrada en dispositivos MDR de clase IIa/IIb/III e IVDR de clase A-D — a veces llamada informalmente «IA de producto sanitario» — acumula ahora obligaciones del Reglamento de IA sobre las ya exigidas por MDR/IVDR: gobernanza de datos, transparencia, supervisión humana y seguimiento poscomercialización adicionales, sobre un proceso de cumplimiento que ya era considerable. El Grupo de Coordinación de Productos Sanitarios publicó el documento MDCG 2025-6 específicamente para aclarar cómo interactúan ambos regímenes, y el mensaje es consistente: integrar los requisitos del Reglamento de IA en el sistema de gestión de calidad y el proceso de evaluación clínica ya existentes, en lugar de mantener dos programas paralelos. La fecha aplicable a esta vía del anexo I es ahora el 2 de agosto de 2028, pero el marcado CE bajo MDR o IVDR no exime a un hospital de validar sus propios flujos de trabajo, la competencia de sus usuarios y el rendimiento continuado en su población real de pacientes — esa responsabilidad sigue siendo local.

Enfoque Sectorial: Servicios Financieros y Seguros

Dos usos concretos se presumen de alto riesgo conforme al anexo III: la IA que evalúa la solvencia o establece la puntuación crediticia de una persona física, y la IA utilizada para evaluar riesgos y fijar precios en seguros de vida y salud. La detección de fraude queda explícitamente excluida de la base de alto riesgo del scoring crediticio, aunque puede activar otras disposiciones del Reglamento.

La Autoridad Bancaria Europea (EBA) publicó en noviembre de 2025 un documento que compara el Reglamento de IA con CRD, CRR y DORA, y no encontró contradicciones significativas entre ambos regímenes — las entidades financieras pueden satisfacer buena parte de la obligación de sistema de gestión de calidad del proveedor mediante su gobernanza ya existente, aunque conservan las obligaciones específicas de IA sobre gestión de riesgos y notificación de incidentes. EIOPA llegó a una conclusión similar para los seguros en su dictamen de agosto de 2025, que confirma que las obligaciones de gobernanza ya presentes en Solvencia II y en la Directiva de Distribución de Seguros se extienden con naturalidad a los sistemas de IA fuera de las categorías prohibida y de alto riesgo. Ninguna de las dos autoridades propone normas nuevas; ambas indican a las entidades reguladas que comparen lo que ya hacen con el Reglamento, en lugar de construir una segunda estructura de cumplimiento.

El riesgo práctico está en la contratación. Un banco o asegurador que utiliza el modelo de alto riesgo de un tercero suele ser responsable del despliegue, pero una cláusula contractual que se limite a decir «cumplimos el Reglamento de IA» no es evidencia — la entidad regulada conserva sus propias obligaciones de despliegue, supervisión y protección del cliente, independientemente de lo que prometa el proveedor. La documentación del modelo, las evidencias de sesgo y rendimiento, la notificación de cambios de versión, los derechos de auditoría y los compromisos sobre incidentes deben estar en el contrato, no darse por hecho.

Sanciones: Lo Que Realmente Cuesta el Incumplimiento

Fuente: Reglamento (UE) 2024/1689, artículo 99, EUR-Lex.

Para pymes y startups se aplica la menor de las dos cantidades; para empresas más grandes, la mayor. Una startup con 2 millones de euros de facturación que incurra en una infracción de nivel 1 se enfrenta a unos 140.000 euros, no a 35 millones — una distinción relevante que suele perderse en los titulares. Como referencia, el límite del 7 % para prácticas prohibidas supera el 4 % del RGPD, convirtiéndolo en la segunda sanción porcentual más alta de la regulación digital de la UE, solo por detrás del 10 % de la Ley de Mercados Digitales.

Cómo Prepararse: Hoja de Ruta de Cumplimiento en 8 Pasos

El aplazamiento compró tiempo, no una excusa para esperar — la preparación para alto riesgo suele llevar entre 12 y 24 meses una vez que se cuenta el saneamiento de datos, la arquitectura de registros y las pruebas. Este es el orden que lleva a una empresa de cero a un cumplimiento defendible.

Cuánto Puede Costar el Cumplimiento

No existe un precio universal creíble para cumplir el Reglamento de IA. El coste depende de si la empresa actúa como proveedor o responsable del despliegue, de si el sistema es de alto riesgo y de los controles que ya existan. Una empresa que usa herramientas habituales de productividad no debe presupuestar como si fabricara un producto sanitario regulado.

Para las pymes, una estimación oficial inferior parte de 5.000 €. La propuesta de la Comisión de 2021 calculó el coste anual de la supervisión humana para usuarios de IA de alto riesgo en aproximadamente 5.000–8.000 € al año. Esta es una estimación regulatoria de alcance limitado, no un precio de mercado ni un presupuesto integral de cumplimiento. Consulta la propuesta oficial en EUR-Lex.

Los tiempos siguientes son rangos de planificación, no plazos legales. Varias líneas de trabajo pueden ejecutarse en paralelo.

La cifra representa un caso delimitado, no un precio de partida para todas las empresas. No cubre una organización sin sistema de calidad, varios sistemas, un saneamiento importante de datos, trabajo clínico sobre productos sanitarios ni el coste interno continuo de seguimiento y respuesta a incidentes. El primer paso práctico consiste en inventariar y clasificar los sistemas antes de fijar un presupuesto.

Preguntas Frecuentes

Fuentes

Cada afirmación de este artículo remite a una de estas fuentes primarias. Verifícalas directamente y vuelve a comprobarlas cerca de las fechas en que tomes tus decisiones — varias (el Ómnibus Digital, el calendario de estandarización, las designaciones nacionales) seguían en movimiento en el momento de escribir esto.