El Reglamento (UE) 2024/1689, conocido como Reglamento Europeo de Inteligencia Artificial o AI Act, entró en vigor el 1 de agosto de 2024 con una aplicación escalonada que se extiende hasta 2027. Esa gradualidad ha generado una confusión persistente en los comités de dirección: hay empresas que llevan dos años preparando un cumplimiento que no les toca y otras que siguen sin saber que ya incumplen desde 2025. Agosto de 2026 es el hito más denso del calendario y conviene llegar con las ideas ordenadas.
El calendario real, sin ruido
Estas son las fechas que fija el propio Reglamento:
- 2 de febrero de 2025. Prohibiciones del artículo 5 (puntuación social, manipulación subliminal, categorización biométrica por características sensibles, reconocimiento de emociones en trabajo y educación, entre otras) y obligación de alfabetización en IA del artículo 4.
- 2 de agosto de 2025. Obligaciones para modelos de propósito general (GPAI), estructura de gobernanza europea y nacional, y régimen sancionador.
- 2 de agosto de 2026. Aplicación general del Reglamento, incluidos los sistemas de alto riesgo del Anexo III y las obligaciones de transparencia del artículo 50.
- 2 de agosto de 2027. Sistemas de alto riesgo del Anexo I, es decir, IA incorporada en productos ya sujetos a evaluación de conformidad por terceros (maquinaria, sanitarios, ascensores, juguetes). También la fecha límite para los modelos GPAI que ya estaban en el mercado antes de agosto de 2025.
El Anexo III cubre ocho áreas: biometría, infraestructuras críticas, educación y formación profesional, empleo y gestión de trabajadores, acceso a servicios esenciales públicos y privados (aquí entran la evaluación de solvencia crediticia y la tarificación de seguros de vida y salud), aplicación de la ley, migración y asilo, y administración de justicia. Si una empresa usa IA fuera de esos ocho supuestos, su sistema no es de alto riesgo por mucho que sea crítico para el negocio.
El ómnibus digital y por qué no conviene planificar sobre un aplazamiento
En noviembre de 2025 la Comisión Europea presentó un paquete ómnibus digital que incluye modificaciones específicas del AI Act, entre ellas retrasar la aplicación de las obligaciones de alto riesgo y vincularlas a la disponibilidad efectiva de las normas técnicas armonizadas, que acumulan retraso. La propuesta ha sido criticada por organizaciones de derechos digitales y respaldada por buena parte de la industria.
El punto operativo es otro: cualquier modificación debe pasar por el procedimiento legislativo ordinario, con Parlamento y Consejo. Recomendamos verificar el estado de tramitación antes de tomar decisiones de calendario y, mientras tanto, planificar sobre las fechas del texto vigente. Un plan de cumplimiento que solo funciona si Bruselas aprueba una prórroga no es un plan.
Proveedor o responsable del despliegue: la distinción que ahorra meses de trabajo
Es el error más caro que vemos en los proyectos que llegan a nuestra mesa. El Reglamento reparte obligaciones muy desiguales entre quien desarrolla y pone en el mercado un sistema (proveedor) y quien lo utiliza bajo su autoridad en el ejercicio de su actividad (responsable del despliegue). La inmensa mayoría de empresas españolas están en el segundo grupo: compran una herramienta de selección de personal, un motor de scoring o un asistente conversacional y lo integran.
Si su empresa solo despliega
Las obligaciones del artículo 26 son exigentes pero acotadas: usar el sistema conforme a las instrucciones del proveedor, encomendar la supervisión humana a personas con competencia y autoridad reales, asegurarse de que los datos de entrada son pertinentes para la finalidad prevista, vigilar el funcionamiento y suspender el uso ante incidentes, conservar los registros generados automáticamente durante al menos seis meses, e informar a los trabajadores y a sus representantes antes de poner en marcha un sistema de alto riesgo en el entorno laboral. Se suma la evaluación de impacto relativa a los derechos fundamentales del artículo 27, que no aplica a todos: solo a organismos públicos, a entidades privadas que prestan servicios públicos y a quienes usan IA para evaluar solvencia crediticia o para tarificar seguros de vida y salud.
Lo que no le corresponde: el sistema de gestión de la calidad, la documentación técnica del Anexo IV, la evaluación de conformidad, el marcado CE ni el registro en la base de datos de la UE. Eso es carga del proveedor, y su trabajo consiste en exigírselo por contrato.
Cuándo un desplegador se convierte en proveedor
El artículo 25 establece tres supuestos en los que la carga completa se traslada a quien creía ser un simple usuario: poner su nombre o marca comercial en un sistema de alto riesgo ya comercializado, introducir una modificación sustancial en él, o modificar la finalidad de un sistema que no era de alto riesgo hasta convertirlo en uno que sí lo es. Cualquier proyecto de white label o de fine-tuning profundo sobre una herramienta de terceros debería revisarse contra este artículo antes de firmarse.
Qué debería estar cerrado hoy
- Inventario de sistemas de IA. Incluye lo que nadie declara: funcionalidades de IA embebidas en el ERP, en el ATS de recursos humanos o en el CRM. Sin inventario no hay clasificación posible.
- Clasificación de riesgo documentada. Prohibido, alto riesgo, riesgo de transparencia o riesgo mínimo, con el razonamiento por escrito. La excepción del artículo 6.3 permite descartar el alto riesgo en ciertos casos, pero exige documentar la evaluación y registrarla.
- Alfabetización del personal. El artículo 4 es exigible desde febrero de 2025 y aplica a toda organización que use IA, sea cual sea su nivel de riesgo. Formación proporcionada al contexto, al perfil de las personas y al uso concreto, con evidencia de que se ha impartido.
- Documentación del proveedor. Instrucciones de uso, limitaciones conocidas, medidas de supervisión humana previstas y su papel en la cadena de valor. Debe pedirse en el proceso de compra, no seis meses después.
- Transparencia frente al usuario final. El artículo 50 obliga a informar de que se interactúa con una IA y a etiquetar el contenido sintético. Afecta a cualquier empresa con asistentes conversacionales o generación de contenido, con independencia del alto riesgo.
El marco español
La autoridad de vigilancia del mercado en España es la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña, aunque en sectores regulados concurren los supervisores sectoriales existentes. El Gobierno aprobó en marzo de 2025 un anteproyecto de ley para el buen uso y la gobernanza de la IA que desarrolla el régimen sancionador nacional; conviene seguir su tramitación porque determinará el detalle procedimental de las inspecciones.
Las multas del Reglamento llegan a 35 millones de euros o el 7 % del volumen de negocio mundial en el caso de las prácticas prohibidas, y a 15 millones o el 3 % para el resto de obligaciones. Son cifras que justifican el ejercicio de clasificación, pero también justifican no pagar por un programa de cumplimiento dimensionado para un proveedor cuando la empresa solo despliega.
Nuestra recomendación para las próximas semanas es concreta: cerrar el inventario, clasificar con criterio jurídico y técnico, y separar con claridad qué obligaciones son propias y cuáles deben trasladarse a los contratos con los proveedores tecnológicos. Ese trabajo tiene valor aunque el calendario europeo se mueva.