El 2 de agosto de 2026 es una de esas fechas que, si tienes algo que ver con tecnología, marketing, recursos humanos o desarrollo de software en Europa, más vale que tengas marcada en el calendario. Ese día entra en plena aplicación el Reglamento Europeo de Inteligencia Artificial —el EU AI Act, en la jerga del sector—, la primera ley integral sobre IA del mundo. No es una norma para gigantes tecnológicos de Silicon Valley: afecta a cualquier empresa que desarrolle, distribuya o simplemente *use* sistemas de inteligencia artificial dentro del mercado europeo, independientemente de su tamaño o de dónde esté domiciliada.

El reglamento lleva en vigor desde el 1 de agosto de 2024, pero sus obligaciones se han ido activando por fases. Las prohibiciones de prácticas de riesgo inaceptable —como el scoring social o la manipulación subliminal— ya rigen desde febrero de 2025. Las obligaciones para modelos de propósito general (los grandes modelos de lenguaje como GPT, Claude o Gemini) entraron en vigor en agosto de 2025. Lo que llega ahora es el grueso de la normativa: la aplicación plena para sistemas de alto riesgo y, sobre todo, las obligaciones de transparencia que tocan a la inmensa mayoría de empresas y a cualquier usuario que consuma contenido digital.

Transparencia y etiquetado: la obligación que más afecta al día a día

El artículo más visible del cambio que se avecina es el de la transparencia. Desde el 2 de agosto, cualquier contenido generado o manipulado sustancialmente por IA —sea texto, imagen, audio o vídeo— deberá estar claramente identificado. La norma establece un sistema de "doble etiquetado": por un lado, un marcado técnico legible por máquinas (compatible con estándares como C2PA); por otro, una advertencia clara y visible para las personas. El objetivo es que nadie pueda confundir una imagen generada por un modelo con una fotografía real, ni un artículo redactado por una IA con una pieza periodística firmada por un humano.

Esto tiene implicaciones directas para sectores como los medios de comunicación, el marketing digital, el entretenimiento o el comercio electrónico. Si una agencia usa una herramienta de IA para generar imágenes de producto o textos publicitarios y los publica sin etiquetarlos, estará incumpliendo la norma. El mismo criterio aplica a los deepfakes y a cualquier contenido sintético de interés público. Según el análisis del despacho Roca Junyent, la ley contempla matices: no será obligatorio etiquetar si la intervención de la IA ha sido menor y no altera el sentido del contenido.

Para los chatbots —uno de los usos más extendidos en atención al cliente— la obligación es igualmente clara: el sistema debe identificarse como IA al inicio de cada conversación. Si una empresa tiene un bot de WhatsApp o un asistente telefónico automatizado, ese bot tendrá que avisar explícitamente de que el usuario está hablando con una máquina. No vale ocultarlo con un nombre humanizado o un avatar.

Alto riesgo: las obligaciones más exigentes

Más allá de la transparencia, el 2 de agosto activa las obligaciones completas para los sistemas de IA clasificados como de alto riesgo. ¿Qué entra en esa categoría? Cualquier sistema que tome decisiones sobre personas en ámbitos sensibles: filtrado de CVs y evaluación de candidatos en recursos humanos, scoring crediticio, acceso a servicios educativos, gestión de infraestructuras críticas o decisiones en el ámbito sanitario, entre otros.

Para estos sistemas, las empresas deberán implementar un sistema de gestión de riesgos continuo a lo largo del ciclo de vida del producto, garantizar que los datos de entrenamiento son representativos y libres de sesgos en la medida de lo posible, mantener documentación técnica detallada, registrar automáticamente los eventos del sistema para garantizar trazabilidad y asegurar supervisión humana real —no meramente formal— sobre las decisiones críticas. Además, los proveedores y operadores de sistemas de alto riesgo deben registrarlos en la base de datos pública europea antes de agosto de 2026.

Las multas por incumplimiento son de las más elevadas del panorama regulatorio europeo: hasta 35 millones de euros o el 7 % de la facturación global anual, lo que sea mayor. Para las pymes y startups, el régimen sancionador es algo más flexible: se aplica la cifra menor entre el importe fijo y el porcentaje de facturación, y tienen acceso prioritario a los sandboxes regulatorios.

España, referente europeo en sandboxes de IA

Aquí entra en juego uno de los aspectos más relevantes para las empresas españolas: el papel pionero de España en la implementación del AI Act. El EU AI Act obliga a todos los Estados miembros a contar con al menos un sandbox regulatorio operativo antes de agosto de 2026. España ya lleva ventaja: es el único país de la UE que tenía un sandbox activo en 2025, gestionado por la AESIA (Agencia Española de Supervisión de Inteligencia Artificial), con sede en A Coruña.

En abril de 2025, la AESIA seleccionó 12 proyectos piloto de empresas españolas para probar sus sistemas de IA bajo supervisión regulatoria en un entorno controlado. Las conclusiones de esa primera hornada de pilotos se plasmaron en diciembre de 2025 en 16 guías prácticas gratuitas, que cubren desde la evaluación de riesgos hasta la gobernanza de datos, la supervisión humana y la transparencia. Están disponibles en la web de AESIA y son, en la práctica, el mejor punto de partida para cualquier empresa española que no sepa por dónde empezar.

El Parlamento Europeo constató en abril de 2026 que, de los 27 Estados miembros, solo España tenía un sandbox plenamente operativo; cinco estaban en proceso de implementarlo y 16 aún no habían comunicado sus planes. Es una ventaja competitiva real para el ecosistema emprendedor español.

¿Qué deben hacer empresas y usuarios ahora?

La pregunta práctica es obvia: ¿qué tiene que hacer una empresa española para no llegar tarde? El primer paso es inventariar todos los sistemas de IA que se usan, aunque sea de forma indirecta. Usar ChatGPT para redactar emails o analizar documentos internos tiene riesgo mínimo y pocas obligaciones específicas; usarlo como chatbot público o para filtrar candidatos en un proceso de selección ya activa obligaciones concretas de transparencia y, posiblemente, de alto riesgo.

Es importante recordar que la responsabilidad es compartida: el proveedor del modelo (OpenAI, Anthropic, Google…) responde de que el sistema cumpla los requisitos técnicos, pero la empresa que lo despliega —el operador— responde de usarlo correctamente, supervisarlo y notificar incidentes. No se puede delegar todo el cumplimiento en el proveedor.

Hay una variable que conviene seguir de cerca: la Comisión Europea propuso en noviembre de 2025 (en el llamado Digital Omnibus) aplazar hasta diciembre de 2027 las obligaciones para sistemas de alto riesgo del Anexo III. Esa propuesta aún no ha sido aprobada por el Parlamento Europeo y el Consejo, por lo que la fecha oficial sigue siendo agosto de 2026. Prepararse para esa fecha es lo prudente.