AI Act 2026: qué deben hacer autónomos y empresas que utilizan inteligencia artificial
La inteligencia artificial ha dejado de ser únicamente una herramienta tecnológica para convertirse también en una cuestión de cumplimiento normativo.
Desde el 2 de agosto de 2026 se aplica en la Unión Europea una parte fundamental del Reglamento Europeo de Inteligencia Artificial —conocido como AI Act o Ley de IA— y, en particular, han comenzado a ser exigibles nuevas obligaciones de transparencia para determinados sistemas de inteligencia artificial.
Esto afecta no solo a grandes empresas como OpenAI, Google, Microsoft o Anthropic.
También puede afectar a autónomos, agencias de marketing, desarrolladores, empresas de comercio electrónico, consultores, profesionales y pymes que utilizan sistemas de IA dentro de su actividad profesional.
La cuestión, por tanto, ya no es simplemente:
¿Utilizo inteligencia artificial en mi negocio?
La pregunta correcta empieza a ser:
¿Cómo utilizo la inteligencia artificial, para qué la utilizo y qué obligaciones legales implica ese uso?
Y esto es importante porque utilizar ChatGPT para preparar un borrador interno no tiene las mismas implicaciones que implementar un chatbot de atención al cliente, utilizar IA para analizar candidatos a un empleo o desarrollar un agente autónomo que toma decisiones que afectan a terceros.
El AI Act no empezó el 2 de agosto de 2026
Conviene aclarar uno de los puntos que más confusión está generando.
El Reglamento (UE) 2024/1689, conocido como AI Act, entró en vigor el 1 de agosto de 2024, aunque sus diferentes obligaciones se están aplicando progresivamente.
El calendario ha sido escalonado:
- 2 de febrero de 2025: comenzaron a aplicarse las disposiciones sobre prácticas de IA prohibidas y alfabetización en inteligencia artificial.
- 2 de agosto de 2025: comenzaron a aplicarse las normas de gobernanza y determinadas obligaciones relacionadas con los modelos de IA de propósito general.
- 2 de agosto de 2026: comenzó la aplicación general de gran parte del Reglamento y, entre otras cuestiones, de las obligaciones de transparencia del artículo 50.
- 2 de diciembre de 2027: está prevista la aplicación de determinadas obligaciones relacionadas con sistemas de alto riesgo incluidos en el Anexo III.
- 2 de agosto de 2028: se aplicarán determinadas normas sobre sistemas de IA de alto riesgo integrados en productos regulados.
Puedes consultar el calendario oficial de aplicación en la Comisión Europea:
Calendario y aplicación del AI Act - Comisión Europea
Por tanto, decir simplemente que “la Ley de IA entró en vigor en agosto de 2026” no sería técnicamente correcto.
Lo que ocurrió el 2 de agosto de 2026 es especialmente relevante porque comenzaron a aplicarse, entre otras obligaciones, importantes normas de transparencia.
¿El AI Act afecta a una pequeña empresa que simplemente utiliza IA?
Sí, potencialmente.
El Reglamento diferencia varias figuras dentro del ecosistema de inteligencia artificial.
Una de las más importantes para la mayoría de empresas es el denominado responsable del despliegue.
El AI Act lo define como la persona física o jurídica que utiliza un sistema de IA bajo su propia autoridad, excepto cuando se utiliza dentro de una actividad estrictamente personal y no profesional.
Texto oficial del Reglamento Europeo de Inteligencia Artificial
Esto significa que una empresa que utiliza inteligencia artificial dentro de sus operaciones puede entrar dentro del ámbito del Reglamento aunque no haya desarrollado el modelo de IA.
Por ejemplo:
- utilizar IA para atención al cliente;
- integrar un chatbot en una página web;
- automatizar respuestas;
- generar determinados contenidos;
- utilizar agentes de IA;
- analizar documentación;
- procesar información empresarial;
- utilizar IA en procesos de recursos humanos.
Pero las obligaciones dependerán enormemente de qué sistema se esté utilizando y para qué finalidad.
No es lo mismo utilizar ChatGPT que tomar decisiones sobre personas
Uno de los principios fundamentales del AI Act es su enfoque basado en riesgo.
Simplificando, podemos distinguir entre:
- prácticas prohibidas;
- sistemas de alto riesgo;
- sistemas sujetos a obligaciones específicas de transparencia;
- sistemas cuyo riesgo es reducido.
Por tanto, una pequeña empresa no tiene que asumir automáticamente toda la carga regulatoria asociada a un sistema de alto riesgo simplemente porque sus trabajadores utilicen ChatGPT.
El contexto y la finalidad son fundamentales.
Utilizar una IA como apoyo para redactar un correo electrónico, resumir documentación o preparar una propuesta comercial es muy diferente de utilizar inteligencia artificial para decidir:
- quién consigue un empleo;
- quién obtiene determinadas prestaciones;
- quién recibe un crédito;
- cómo se evalúa a un estudiante;
- o determinadas decisiones que afectan significativamente a una persona.
Chatbots y agentes de IA: desde agosto de 2026 la transparencia es fundamental
Uno de los cambios más visibles afecta a los chatbots y sistemas de IA que interactúan directamente con personas.
El artículo 50 establece que los sistemas destinados a interactuar directamente con personas deben diseñarse para que estas sepan que están interactuando con una inteligencia artificial, salvo cuando resulte evidente para una persona razonablemente informada atendiendo al contexto.
Consultar artículo 50 del AI Act en EUR-Lex
La Comisión Europea también ha publicado información específica sobre estas obligaciones:
Nuevas obligaciones de transparencia desde agosto de 2026
Por ejemplo, una empresa podría hacer que su asistente comience una conversación diciendo:
“Hola, soy el asistente virtual de inteligencia artificial de [empresa]. ¿En qué puedo ayudarte?”
No es necesario estar recordándolo constantemente durante toda la conversación.
Lo importante es que la información se facilite de manera clara y distinguible como máximo en la primera interacción o exposición.
¿Todo contenido creado con inteligencia artificial debe etiquetarse?
Aquí conviene evitar una simplificación bastante extendida.
El AI Act no establece simplemente que cualquier texto o imagen en cuya creación haya participado una IA deba llevar siempre una etiqueta visible diciendo “creado con IA”.
El artículo 50 contiene obligaciones diferentes según quién genera el contenido, qué tipo de contenido es y cómo se utiliza.
Deepfakes
Cuando se genera o manipula contenido audiovisual de manera que pueda parecer auténtico, el AI Act establece obligaciones de divulgación.
Contenido sobre asuntos de interés público
Cuando una IA genera o manipula texto publicado con el objetivo de informar al público sobre asuntos de interés público, puede existir obligación de informar de que ha sido generado artificialmente.
Existe, sin embargo, una excepción importante cuando el contenido ha pasado por revisión humana o control editorial y una persona física o jurídica asume la responsabilidad editorial de la publicación.
Esta diferencia es particularmente relevante para:
- blogs;
- periódicos digitales;
- medios;
- publicaciones corporativas;
- marketing de contenidos;
- agencias de comunicación.
Utilizar una IA como herramienta para preparar un borrador y posteriormente revisarlo, contrastarlo, corregirlo y publicarlo bajo responsabilidad editorial humana no es necesariamente equivalente a publicar automáticamente contenido generado íntegramente por una máquina sin supervisión.
Las plataformas también están introduciendo sus propias etiquetas
Redes sociales y plataformas digitales están incorporando mecanismos para identificar contenidos generados o modificados mediante inteligencia artificial.
Pero conviene separar dos cuestiones:
- las obligaciones establecidas por el AI Act;
- las normas internas de cada plataforma.
Cumplir las condiciones de Instagram, Facebook, TikTok o YouTube no significa necesariamente haber cumplido automáticamente todas las obligaciones del Reglamento Europeo de IA.
La alfabetización en inteligencia artificial ya afecta a las empresas
Otro aspecto que ha pasado considerablemente desapercibido es la denominada alfabetización en IA.
El artículo 4 afecta a proveedores y responsables del despliegue.
La normativa establece que deben adoptarse medidas para apoyar el desarrollo de la alfabetización en inteligencia artificial del personal y de otras personas que utilicen sistemas de IA en nombre de la organización.
Deben tenerse en cuenta aspectos como:
- conocimientos técnicos;
- experiencia;
- educación y formación;
- contexto en el que se utilizará la IA;
- personas sobre las que se utilizarán los sistemas.
La Comisión Europea aclara además que no existe una formación obligatoria única para todas las empresas ni es necesario obtener un certificado específico.
Preguntas y respuestas oficiales sobre alfabetización en IA
¿Qué debería saber un trabajador que utiliza inteligencia artificial?
1. Que una IA puede equivocarse
Los modelos generativos pueden producir información incorrecta.
Una respuesta convincente no es necesariamente una respuesta verdadera.
2. Que determinadas respuestas deben verificarse
Cuanto mayor sea el impacto potencial de una decisión, mayor debería ser el nivel de supervisión humana.
3. Qué datos puede introducir en una herramienta
La empresa debería establecer claramente qué información puede y no puede compartirse con servicios externos de inteligencia artificial.
Especialmente cuando hablamos de:
- datos personales;
- documentación confidencial;
- información financiera;
- secretos comerciales;
- datos médicos;
- información de clientes;
- credenciales de acceso.
4. Qué herramientas están autorizadas
No debería existir una situación en la que cada trabajador utilice indiscriminadamente cualquier servicio de IA disponible en Internet para procesar información empresarial.
5. Cuándo debe existir supervisión humana
Una IA puede preparar borradores, propuestas, respuestas, informes y análisis.
Pero la automatización completa de decisiones sensibles puede requerir controles adicionales.
¿Es obligatorio realizar un curso oficial de inteligencia artificial?
No existe actualmente un curso único ni una certificación universal exigida por el artículo 4.
La Comisión Europea confirma que no es necesario disponer de un certificado específico para acreditar las medidas de alfabetización.
Una organización puede documentar internamente:
- qué formación se ha impartido;
- cuándo;
- a quién;
- qué temas se trataron;
- qué políticas internas se explicaron.
Conviene crear un inventario interno de herramientas de IA
Aunque no todos los usos implican exactamente las mismas obligaciones documentales, existe una medida de gobernanza muy sencilla que resulta especialmente útil:
crear un inventario de sistemas de inteligencia artificial utilizados por la empresa.
| Herramienta | Uso | Departamento | Datos tratados | Interacción con clientes | Responsable |
|---|---|---|---|---|---|
| ChatGPT | Redacción y análisis | Marketing | Información no sensible | No | Marketing |
| Chatbot web | Atención inicial | Comercial | Consultas de clientes | Sí | Comercial |
| Generador de imágenes | Creatividades | Marketing | Ninguno | Indirecta | Marketing |
| Agente automatizado | Procesos internos | Administración | Datos empresariales | No | Dirección |
A partir de ahí resulta mucho más sencillo evaluar:
- qué herramientas existen;
- para qué se utilizan;
- quién las utiliza;
- qué datos procesan;
- qué riesgo presentan;
- qué medidas de control necesitan.
Cuidado con los datos personales: el AI Act no sustituye al RGPD
Otro error frecuente consiste en pensar que toda la regulación sobre inteligencia artificial está concentrada en el AI Act.
No es así.
Cuando se procesan datos personales siguen siendo aplicables las obligaciones derivadas del Reglamento General de Protección de Datos (RGPD).
El propio AI Act establece expresamente que sus disposiciones no sustituyen la normativa europea sobre protección de datos y privacidad.
Por tanto, implementar un chatbot, un agente comercial o un sistema automatizado puede implicar analizar simultáneamente:
- AI Act;
- RGPD;
- normativa sobre privacidad;
- normativa sobre comercio electrónico;
- contratos con proveedores;
- encargados y subencargados de tratamiento;
- transferencias internacionales de datos;
- políticas internas de seguridad.
¿Qué ocurre con una empresa situada fuera de la Unión Europea?
El AI Act tiene alcance extraterritorial.
No basta con instalar una empresa en Estados Unidos, Reino Unido u otro país para quedar automáticamente fuera de la regulación europea.
El artículo 2 establece, entre otros supuestos, que el Reglamento puede aplicarse a proveedores y responsables del despliegue establecidos fuera de la Unión Europea cuando los resultados generados por el sistema de IA se utilicen dentro de la Unión Europea.
Esto resulta especialmente importante para:
- empresas SaaS;
- agencias internacionales;
- desarrolladores;
- servicios de automatización;
- plataformas de IA;
- empresas constituidas mediante LLC;
- proveedores tecnológicos que trabajan con clientes europeos.
Algunas prácticas directamente prohibidas
Desde el 2 de febrero de 2025 determinadas prácticas están prohibidas.
Entre ellas figuran, con determinadas condiciones y excepciones:
- técnicas manipuladoras perjudiciales;
- explotación de vulnerabilidades;
- determinados sistemas de puntuación social;
- determinadas formas de policía predictiva individual basada únicamente en perfiles;
- creación o ampliación de bases de datos de reconocimiento facial mediante extracción indiscriminada de imágenes;
- determinadas formas de reconocimiento de emociones en centros de trabajo y educativos;
- determinadas categorizaciones biométricas destinadas a inferir información especialmente sensible.
Información oficial sobre prácticas de IA prohibidas
Recursos humanos: uno de los ámbitos que requiere mayor atención
La inteligencia artificial utilizada en contratación y gestión de trabajadores merece especial cuidado.
El AI Act clasifica determinados sistemas utilizados en ámbitos como:
- selección de personal;
- contratación;
- evaluación;
- promoción;
- decisiones sobre relaciones laborales;
como aplicaciones potencialmente de alto riesgo, dependiendo de sus características y finalidad.
Esto significa que utilizar ChatGPT para mejorar la redacción de una oferta de empleo no es equivalente a implementar un sistema automatizado que clasifique candidatos y determine quién puede continuar en un proceso de selección.
Si desarrollas agentes de IA para clientes, el análisis cambia
Existe otra distinción fundamental.
No es lo mismo utilizar un sistema de inteligencia artificial que desarrollar o comercializar determinados sistemas bajo tu propio nombre o marca.
El AI Act define específicamente la figura del proveedor.
Un proveedor puede asumir obligaciones adicionales relacionadas con:
- diseño del sistema;
- información facilitada;
- documentación;
- gestión del riesgo;
- transparencia;
- supervisión;
- cumplimiento.
Esto afecta especialmente a las empresas que están desarrollando:
- agentes de IA;
- chatbots;
- asistentes empresariales;
- automatizaciones inteligentes;
- sistemas de atención al cliente;
- soluciones verticales basadas en modelos de terceros.
Los contratos de los servicios de IA deberían revisarse
Una agencia que desarrolla soluciones de inteligencia artificial para terceros debería definir contractualmente cuestiones como:
- finalidad del sistema;
- servicios incluidos;
- responsabilidades de cada parte;
- tratamiento de datos;
- proveedores tecnológicos utilizados;
- costes de servicios externos;
- mantenimiento;
- actualización;
- disponibilidad;
- supervisión humana;
- limitaciones técnicas;
- modificaciones provocadas por cambios de APIs o modelos;
- procedimientos ante errores o incidentes.
Las alucinaciones de los modelos siguen siendo un problema
Los sistemas generativos pueden producir respuestas incorrectas.
Pero no existe una tasa universal de alucinaciones aplicable a todos los modelos, tareas y contextos.
No puede afirmarse rigurosamente que “la IA tiene una tasa de alucinación del 1 %, del 5 % o del 10 %” sin especificar:
- modelo;
- versión;
- benchmark;
- tarea;
- idioma;
- configuración;
- contexto.
Cualquier proceso en el que un error pueda causar un perjuicio relevante debe diseñarse teniendo en cuenta que el modelo puede equivocarse.
La supervisión humana debe ser proporcional al riesgo.
¿Cuáles son las multas del AI Act?
Este es probablemente uno de los apartados sobre los que más titulares alarmistas se están publicando.
Las sanciones dependen de la infracción.
Para determinadas vulneraciones de las obligaciones del Reglamento, las multas pueden alcanzar 15 millones de euros o hasta el 3 % del volumen de negocio mundial anual de la empresa, dependiendo del supuesto aplicable.
Preguntas frecuentes oficiales sobre transparencia y sanciones
Las infracciones relacionadas con determinadas prácticas prohibidas pueden tener un régimen sancionador superior.
El Reglamento contempla además criterios de proporcionalidad y circunstancias específicas para pymes y empresas de menor tamaño.
Por eso titulares del tipo:
“Si utilizas ChatGPT te pueden multar con millones de euros”
son técnicamente engañosos.
La mera utilización de una herramienta de IA no implica automáticamente una sanción.
Qué debería hacer ahora una pequeña empresa
- Identificar todas las herramientas de IA utilizadas.
- Documentar para qué se utiliza cada herramienta.
- Determinar si existen interacciones con clientes.
- Revisar la transparencia.
- Revisar los datos introducidos.
- Establecer una política interna de uso de IA.
- Formar al personal.
- Documentar esa formación.
- Revisar procesos automatizados.
- Revisar periódicamente el sistema.
La IA empresarial entra en una nueva etapa
Durante los últimos años la prioridad de muchas empresas ha sido descubrir qué puede hacer la inteligencia artificial.
La siguiente etapa consiste en aprender cómo utilizarla de manera controlada, segura y legal.
Y esto no debería interpretarse necesariamente como un obstáculo para adoptar inteligencia artificial.
En realidad, obliga a introducir algo que muchas empresas deberían haber implantado aunque no existiera el AI Act:
gobernanza.
Saber:
- qué sistemas utiliza la empresa;
- quién los utiliza;
- con qué datos;
- para qué finalidad;
- qué decisiones pueden tomar;
- qué decisiones requieren intervención humana;
- y qué ocurre cuando algo falla.
En Resumen...
El 2 de agosto de 2026 supone un punto importante en la aplicación del AI Act europeo.
Pero ni significa que utilizar ChatGPT sea ilegal ni obliga automáticamente a todas las pequeñas empresas a implantar complejos departamentos jurídicos de inteligencia artificial.
La clave es aplicar proporcionalidad.
Una empresa que utiliza IA simplemente como asistente de productividad tiene un perfil regulatorio muy diferente al de una empresa que:
- desarrolla agentes para terceros;
- automatiza decisiones sobre personas;
- trata información sensible;
- utiliza sistemas biométricos;
- o despliega aplicaciones consideradas de alto riesgo.
Para la mayoría de pymes, el primer paso debería ser mucho más sencillo:
saber exactamente qué IA utilizan, para qué la utilizan, qué datos procesan y quién supervisa sus resultados.
A partir de ahí pueden determinarse las obligaciones reales.
El error sería actuar en cualquiera de los dos extremos:
ignorar por completo la regulación o dejarse arrastrar por titulares alarmistas que presentan cualquier utilización de IA como una posible infracción millonaria.
El AI Act requiere cumplimiento, pero también requiere interpretar correctamente qué obligaciones corresponden realmente a cada caso.
Este artículo tiene carácter informativo y divulgativo. No constituye asesoramiento jurídico. Cuando se utilicen sistemas de IA de alto riesgo, se procesen datos especialmente sensibles o se desarrollen soluciones de IA para terceros, es recomendable realizar un análisis jurídico específico del caso.