El 2 de agosto de 2026 no es una fecha cualquiera en el calendario regulatorio. Ese día el Reglamento Europeo de Inteligencia Artificial —conocido como AI Act— entra en plena aplicación, obligando a cualquier empresa que opere en la Unión Europea con sistemas de IA de alto riesgo a cumplir una lista de exigencias que van desde la documentación técnica hasta la supervisión humana de las decisiones automatizadas. Y las multas por incumplimiento llegan hasta los 35 millones de euros o el 7% de la facturación global anual, lo que sea mayor. Para una pyme española, eso puede ser directamente el cierre.
El reglamento lleva en vigor desde agosto de 2024, pero su aplicación ha sido escalonada. Las prohibiciones de IA de riesgo inaceptable —manipulación subliminal, puntuación social por parte de poderes públicos— rigen desde febrero de 2025. Las obligaciones para los modelos de propósito general (los grandes LLMs como GPT o Gemini) arrancaron en agosto de 2025. Ahora toca el turno más exigente: los sistemas de alto riesgo.
Qué es exactamente el "alto riesgo"
El AI Act clasifica los sistemas de IA en cuatro niveles según el daño potencial que pueden causar. Los de alto riesgo son los que afectan a ámbitos sensibles: selección de personal, concesión de crédito, acceso a servicios educativos, infraestructuras críticas, administración de justicia o vigilancia biométrica, entre otros. Si tu empresa usa un algoritmo para filtrar candidaturas o un modelo para evaluar la solvencia de un cliente, probablemente estás en esta categoría.
A partir del 2 de agosto, estos sistemas deberán cumplir diez obligaciones concretas: un sistema de gestión de riesgos continuo, gobernanza y calidad de los datos de entrenamiento, documentación técnica detallada, registro automático de eventos (logs), transparencia hacia el usuario, supervisión humana efectiva, medidas de ciberseguridad, precisión demostrable, marcado CE cuando aplique y registro en la base de datos pública de la UE. No es burocracia menor: los procesos de evaluación de conformidad pueden llevar entre tres y seis meses según la complejidad del sistema.
Un punto clave que muchas empresas pasan por alto: si usas un sistema de IA de alto riesgo desarrollado por un tercero —por ejemplo, un software de RRHH con IA para filtrar CVs— tú, como empresa que lo despliega, tienes tus propias obligaciones. No basta con que el proveedor cumpla; el usuario final también responde. La responsabilidad no se delega por contrato.
Los agentes de IA: ya no hay zona gris
Una de las novedades más relevantes de las últimas semanas ha sido la aclaración de la Comisión Europea sobre los agentes de IA. Hasta hace poco, existía un debate abierto: ¿estaban herramientas como los agentes autónomos de CrewAI, Devin o Microsoft Copilot Agents cubiertos por el AI Act, o operaban en un vacío legal?
El 13 de abril de 2026, el AI Act Service Desk —la plataforma gestionada por DG CONNECT para resolver dudas sobre el reglamento— publicó una respuesta oficial: los agentes de IA no constituyen una categoría jurídica separada. Las definiciones de «sistema de IA» y «modelo de propósito general» del propio reglamento son suficientes para incluirlos. Si un agente autónomo toma decisiones que afectan a derechos fundamentales o actúa en alguno de los ámbitos del Anexo III, queda sujeto al Capítulo III completo del AI Act: evaluación de conformidad, supervisión humana, documentación técnica y registro en la base de datos europea.
Esta aclaración llega en un momento de expansión acelerada del uso de agentes en empresas españolas. Según datos publicados por Microsoft en febrero de 2026, casi uno de cada tres empleados usa agentes de IA no aprobados por sus empresas. El llamado «shadow AI» ya es una realidad interna en muchas organizaciones, aunque no exista un inventario oficial de estas herramientas. Eso, a partir de agosto, puede traducirse en un incumplimiento regulatorio invisible pero sancionable.
Hay una matización importante: las FAQ del Service Desk no son vinculantes desde el punto de vista legal. Solo el texto publicado en el Diario Oficial de la UE tiene efecto normativo. Pero sí anticipan el criterio con el que la Comisión supervisará y, en su caso, sancionará. Ignorarlas sería un riesgo innecesario.
España vigila: la AESIA ya está en marcha
En el plano doméstico, España tiene una ventaja y también una responsabilidad adicional: fue el primer Estado miembro de la UE en crear una agencia de supervisión de IA. La AESIA (Agencia Española de Supervisión de la Inteligencia Artificial), con sede en A Coruña, lleva operativa desde junio de 2024 y cuenta con un cuerpo de inspección propio que inició sus operaciones en febrero de 2025 y asumió plena potestad sancionadora desde agosto de ese mismo año. No es un organismo testimonial: ya ha publicado 16 guías de cumplimiento y tiene abiertas investigaciones preliminares sobre empresas españolas.
En paralelo, la AEPD —que ya venía aplicando el RGPD— ha intensificado su supervisión del uso de IA. Las multas de ambas agencias son acumulables: un mismo incidente puede generar sanciones simultáneas del AI Act y del RGPD, y no se sustituyen entre sí. Las pymes tienen un régimen sancionador atenuado —se aplica el menor entre el importe fijo y el porcentaje de facturación— pero no están exentas. Las obligaciones de transparencia aplican a todas las empresas por igual, independientemente de su tamaño.
Para las empresas que todavía no han empezado, el tiempo es ajustado pero no imposible. Los expertos recomiendan un enfoque en tres fases: inventario completo de los sistemas de IA en uso (incluyendo herramientas de terceros), clasificación por nivel de riesgo de cada uno, y diseño de un plan de documentación, gobernanza y formación interna. La Oficina Europea de IA prevé publicar herramientas de apoyo y guías adicionales durante el segundo trimestre de 2026. Usarlas puede marcar la diferencia entre llegar bien preparado o llegar con una sanción esperando.