La inteligencia artificial ya tiene regulación con dientes en Europa. <cite index="6-1">El AI Act entró en vigor el 1 de agosto de 2024 y será plenamente aplicable dos años después, el 2 de agosto de 2026</cite>, lo que convierte esta fecha en el punto de no retorno para cualquier empresa que opere con IA en territorio europeo. No es una regulación del futuro: es ley vigente que se aplica ahora.
El reglamento, conocido oficialmente como <cite index="5-10">Reglamento (UE) 2024/1689, fue la primera regulación integral de IA del mundo</cite> y funciona de forma escalonada. <cite index="6-23">Las prácticas prohibidas y las obligaciones de alfabetización en IA ya rigen desde el 2 de febrero de 2025, las reglas de gobernanza y las obligaciones para modelos de propósito general (GPAI) se aplicaron desde el 2 de agosto de 2025, y las reglas para sistemas de alto riesgo integrados en productos regulados tienen un periodo de transición extendido hasta el 2 de agosto de 2027.</cite> En medio de todo eso, agosto de 2026 es la gran fecha para la mayoría de empresas.
Qué está prohibido desde ya
No todo espera a agosto. Algunas cosas ya son ilegales en la UE desde hace más de un año. <cite index="17-2">Están completamente prohibidos la clasificación de ciudadanos basada en comportamiento social con consecuencias perjudiciales, la identificación biométrica remota en tiempo real en espacios públicos, los sistemas de categorización biométrica que infieran datos sensibles como raza u orientación sexual, y el reconocimiento de emociones en entornos laborales o educativos.</cite> Si tu empresa usa alguno de estos sistemas, tiene un problema legal desde febrero de 2025.
También hay que entender cómo funciona la clasificación. <cite index="18-6,18-7">La clasificación depende del uso concreto del sistema, no de la tecnología. El mismo modelo de lenguaje puede ser de riesgo mínimo si se usa para redactar emails internos, de riesgo limitado si funciona como chatbot público, o de alto riesgo si filtra candidatos en procesos de selección.</cite> El primer paso para cualquier empresa, sea grande o pequeña, es hacer ese inventario.
Lo que llega en agosto de 2026
<cite index="2-2,2-3,2-4">El 2 de agosto de 2026 entran en vigor las obligaciones completas para los sistemas de IA de alto riesgo, que incluyen un sistema de gestión de riesgos continuo.</cite> Según el texto oficial del reglamento publicado por la Comisión Europea, los sectores más afectados son los que usan IA para tomar decisiones sobre personas: recursos humanos, crédito bancario, educación, sanidad o infraestructuras críticas.
<cite index="10-33">Los sistemas de alto riesgo requieren diez requisitos obligatorios que incluyen gestión de riesgos, gobernanza de datos, documentación técnica, registro de actividades, supervisión humana, precisión, marcado CE, registro en la base de datos de la UE, sistema de gestión de calidad y acciones correctivas.</cite> No es papeleo opcional: el incumplimiento tiene consecuencias reales.
En cuanto a las multas, el régimen es más duro que el del RGPD. <cite index="5-8">Las sanciones llegan hasta los 35 millones de euros o el 7% de la facturación global.</cite> <cite index="12-21,12-22">Y lo más importante: son acumulativas con las multas del RGPD. Si una empresa de banca usa IA para credit scoring sin cumplir el AI Act y sin evaluación de impacto conforme al RGPD, puede recibir una multa del AI Act más otra del RGPD.</cite>
Hay un matiz importante que seguir de cerca. <cite index="4-3,4-4,4-5,4-6">En noviembre de 2025, la Comisión Europea propuso en el llamado Digital Omnibus aplazar las obligaciones de alto riesgo: los sistemas del Anexo III tendrían plazo hasta diciembre de 2027 en lugar de agosto de 2026. Pero esa propuesta aún debe ser aprobada por el Parlamento Europeo y el Consejo. Mientras tanto, la fecha oficial sigue siendo agosto de 2026 y las empresas deben prepararse para ella.</cite>
España, pionera con su propia agencia
En España la vigilancia recae sobre la AESIA (Agencia Española de Supervisión de la Inteligencia Artificial), con sede en A Coruña. <cite index="29-8">Con su creación, España se convirtió en el primer país europeo con una agencia dedicada a la supervisión de la IA, anticipándose a la entrada en vigor del reglamento europeo.</cite> <cite index="21-5">La AESIA cuenta con un cuerpo de inspección propio que inició sus operaciones de supervisión de prácticas prohibidas a partir del 2 de febrero de 2025 y asumió plena potestad sancionadora desde el 2 de agosto de 2025.</cite>
<cite index="5-24,5-25,5-26">En la práctica, la AESIA probablemente empezará con advertencias y recomendaciones antes de imponer multas severas, especialmente a pymes. No hay un periodo de gracia oficial, pero las autoridades europeas han indicado un enfoque gradual. La AESIA ha señalado que priorizará la formación y orientación sobre las sanciones en los primeros meses.</cite> Eso no significa que haya margen para ignorar la ley.
Qué implica esto si eres usuario, no empresa
Para quien usa herramientas de IA en su día a día, el AI Act trae derechos concretos. <cite index="19-12,19-13">El reglamento introduce obligaciones de transparencia específicas para garantizar que las personas estén informadas cuando sea necesario. Por ejemplo, cuando se usen sistemas como chatbots, los usuarios deben saber que están interactuando con una máquina.</cite> <cite index="19-14,19-15">Además, los proveedores de IA generativa deben garantizar que el contenido generado por IA sea identificable, y ciertos contenidos como los deepfakes deben estar etiquetados de forma clara y visible.</cite>
Eso significa que si una empresa te atiende con un chatbot, tiene que decírtelo. Si ves una imagen o vídeo generado por IA con intención informativa, debe estar marcado. Y si una decisión que te afecta —un crédito denegado, una oferta de empleo que nunca llegó— fue tomada por un sistema de alto riesgo, tienes derecho a que ese sistema esté auditado y supervisado.
El AI Act no es solo burocracia corporativa. Es la primera vez en el mundo que una ley obliga a que la IA que decide sobre tu vida sea documentada, supervisada y explicable. El reto para España y para Europa es que esa promesa se cumpla también en la práctica.