Faltan menos de cuatro meses y el reloj no se va a detener. <cite index="1-18">El 2 de agosto de 2026 entran en vigor las obligaciones completas para los sistemas de IA de alto riesgo</cite>, la pieza central del Reglamento (UE) 2024/1689, más conocido como EU AI Act. No se trata de una norma que afecte solo a los gigantes tecnológicos de Silicon Valley: <cite index="5-7,5-8,5-9">si tu empresa desarrolla, distribuye o simplemente usa sistemas de IA en Europa, esta normativa te afecta directamente, con multas que alcanzan los 35 millones de euros o el 7 % de la facturación global, y con alcance extraterritorial: da igual dónde estés, si operas en el mercado europeo, debes cumplir.</cite>
El reglamento no ha llegado de golpe. <cite index="8-6">Entró en vigor el 1 de agosto de 2024 y ha desplegado sus obligaciones en fases: desde febrero de 2025 rigen las prohibiciones y la alfabetización en IA, y desde agosto de 2025 aplican las reglas de gobernanza y las obligaciones para modelos de propósito general (GPAI).</cite> Agosto de 2026 es, por tanto, el momento en que la mayoría de empresas —las que ni desarrollan modelos fundacionales ni fabrican productos regulados— se enfrentan a sus obligaciones más concretas y exigibles.
Los cuatro niveles de riesgo que debes conocer
<cite index="6-15">La clasificación por niveles de riesgo es el núcleo de la ley: riesgo inaceptable (prohibido desde febrero de 2025), alto riesgo (obligaciones completas desde agosto de 2026), riesgo limitado (obligaciones de transparencia) y riesgo mínimo (sin obligaciones).</cite> La clave, y también el error más habitual, es asumir que la categoría depende de la tecnología. No es así: <cite index="7-18,7-19">la clasificación depende del uso, no de la tecnología. El mismo ChatGPT puede ser riesgo mínimo, limitado o alto riesgo según para qué lo uses.</cite>
¿Qué entra en la categoría de alto riesgo? <cite index="7-11">Sistemas que afectan a derechos fundamentales: selección de personal, acceso a crédito, evaluación de clientes, verificación de identidad, IA en sanidad y educación.</cite> Para una empresa española mediana que use software de RRHH con filtrado automático de CVs o una herramienta de scoring crediticio, el plazo de agosto no es abstracto: es una fecha límite con consecuencias reales. <cite index="6-16">Los sistemas de alto riesgo requieren diez requisitos obligatorios que incluyen gestión de riesgos, gobernanza de datos, documentación técnica, registro de actividades, supervisión humana, precisión, marcado CE, registro en la base de datos de la UE, sistema de gestión de calidad y acciones correctivas.</cite>
Para los sistemas de riesgo limitado —chatbots de atención al cliente, generadores de texto, asistentes de voz— <cite index="4-1,4-2">la fecha que hay que recordar también es el 2 de agosto de 2026, cuando entran en vigor las obligaciones de transparencia para sistemas de riesgo limitado.</cite> En la práctica: <cite index="4-20,4-21,4-22">hay que asegurarse de que todas las herramientas de atención al cliente basadas en IA se identifican claramente como tales, incluyendo el chatbot en la web, la integración de WhatsApp y cualquier sistema de telefonía IA. En cada punto de contacto donde un cliente interactúe con IA debe haber una indicación clara.</cite>
Startups y pymes: ni exentas ni desamparadas
Uno de los malentendidos más extendidos en el ecosistema emprendedor español es creer que el AI Act es cosa de grandes corporaciones. <cite index="2-11,2-12,2-13">Es incorrecto: el EU AI Act aplica a cualquier empresa operando en la UE o con usuarios en la UE, sin importar tamaño ni sede. Una startup de 5 personas con 10 usuarios en España está dentro.</cite>
Dicho esto, el reglamento sí prevé un trato diferenciado para los más pequeños. <cite index="13-21">Las pymes y startups deben cumplir todas las obligaciones, pero las multas se calculan con el porcentaje que sea menor (no mayor), tienen acceso prioritario a sandboxes regulatorios, tasas reducidas para evaluaciones de conformidad y documentación técnica simplificada.</cite> Tampoco conviene confiar en que el proveedor de la herramienta resuelva el problema: <cite index="2-15,2-16,2-17,2-18">asumir que las APIs externas se encargan del cumplimiento no es correcto. OpenAI y Anthropic son proveedores; la empresa que las usa es el operador. Ellos cumplen sus obligaciones (documentar el modelo GPAI, sus capacidades y límites). El operador cumple las suyas: documentar cómo usa el modelo, qué datos pasa y qué mitigaciones aplica.</cite>
Además, existe un comodín relevante sobre la mesa. <cite index="5-13,5-14,5-15,5-16">La Comisión Europea propuso en noviembre de 2025 aplazar la aplicación de las obligaciones de alto riesgo: bajo esta propuesta, los sistemas de alto riesgo del Anexo III tendrían plazo hasta diciembre de 2027. Sin embargo, esta propuesta aún debe ser aprobada por el Parlamento Europeo y el Consejo. Mientras tanto, la fecha oficial sigue siendo agosto de 2026 y las empresas deben prepararse para ella.</cite>
España: el primer país con agencia propia de supervisión de IA
El contexto regulatorio español tiene una particularidad que pocas empresas conocen. <cite index="28-7,28-8">El 22 de agosto de 2023 el Gobierno aprobó las normas internas de la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), convirtiendo a España en el primer país europeo con una agencia dedicada a la supervisión de la IA,</cite> anticipándose a sus socios comunitarios. <cite index="23-5">La AESIA cuenta con un cuerpo de inspección propio, que inició sus operaciones de supervisión de prácticas prohibidas a partir del 2 de febrero de 2025 y asumió plena potestad sancionadora desde el 2 de agosto de 2025.</cite>
La agencia, con sede en A Coruña, no es un organismo decorativo. <cite index="6-26">Sus 16 guías publicadas en diciembre de 2025 cubren desde la clasificación de riesgo hasta los requisitos de documentación técnica, y son de lectura obligada para cualquier empresa que desarrolle o use IA en España.</cite> Toda esa documentación está disponible en aesia.gob.es. Además, <cite index="16-21">las multas del AI Act se acumulan con las del RGPD: la AEPD ya ha impuesto multas de 890.000 euros a banca, 540.000 euros a seguros y 320.000 euros a RRHH por uso indebido de IA con datos personales.</cite>
El tiempo se acaba: qué hacer ahora
<cite index="1-39">Implementar un sistema de gestión de riesgos de IA, documentar cada sistema, formar al equipo, hacer las evaluaciones de conformidad y registrar todo en la base de datos europea lleva meses de trabajo.</cite> Quien espere a julio para empezar llegará tarde. La hoja de ruta más sencilla pasa por tres fases: inventariar todos los sistemas de IA en uso —incluyendo herramientas de terceros integradas en el CRM o el ERP—, clasificarlos según el nivel de riesgo usando recursos como el AI Act Compliance Checker de artificialintelligenceact.eu, y después priorizar documentación y formación interna.
<cite index="18-12,18-13,18-14">El EU AI Act no trata solo de evitar sanciones: es una oportunidad para demostrar que la IA puede ser segura, transparente y rentable al mismo tiempo. Pero el cumplimiento requiere tiempo, y estos meses son una oportunidad, no una garantía. Las empresas que actúen ahora —identificando riesgos, cuantificando su impacto económico y construyendo estructuras de gobernanza— convertirán la presión regulatoria en una ventaja competitiva.</cite> En un mercado donde la confianza del usuario en los sistemas de IA es todavía frágil, llegar a agosto con los deberes hechos puede ser la diferencia entre crecer y quedarse fuera del juego.