El reloj corre para las empresas que operan con inteligencia artificial en Europa. El 2 de agosto de 2026, la mayoría de las disposiciones del Reglamento (UE) 2024/1689, más conocido como AI Act o Ley Europea de Inteligencia Artificial, comenzarán a aplicarse de forma efectiva. Esto supone que las compañías que desarrollen, importen o simplemente utilicen sistemas de IA en territorio comunitario deberán cumplir con un catálogo de obligaciones que van desde el etiquetado de contenido generado por máquinas hasta la evaluación obligatoria de riesgos. España, que ya cuenta con la AESIA (Agencia Española de Supervisión de Inteligencia Artificial) operativa desde 2025, será una de las primeras piezas del engranaje europeo de control.
Conviene recordar que el Reglamento no ha aparecido de la noche a la mañana. Entró en vigor el 1 de agosto de 2024 y su aplicación se ha diseñado de forma escalonada. Desde febrero de 2025 ya rigen las prohibiciones de prácticas consideradas de riesgo inaceptable —como la manipulación subliminal, el scoring social o la vigilancia biométrica masiva en espacios públicos— y la obligación de alfabetización en IA dentro de las organizaciones. En agosto de 2025 entraron en vigor las normas de gobernanza y las obligaciones para modelos de propósito general (GPAI). Lo que llega ahora, en agosto de 2026, es el grueso del reglamento: las reglas para sistemas de alto riesgo, las obligaciones de transparencia del artículo 50 y la exigencia de que cada Estado miembro tenga al menos un sandbox regulatorio operativo.
Qué cambia a partir del 2 de agosto
La fecha marca la activación de las obligaciones más exigentes del reglamento. Las empresas que operen sistemas clasificados como de alto riesgo —entre ellos, los utilizados para selección de personal, evaluación crediticia, educación, infraestructuras críticas o aplicaciones biométricas— tendrán que demostrar el cumplimiento de requisitos concretos. Según la guía de cumplimiento publicada por Delbion, estas obligaciones incluyen un sistema de gestión de riesgos continuo (artículo 9), gobernanza de datos de entrenamiento y validación (artículo 10), documentación técnica detallada (artículo 11), registro automático de eventos con trazabilidad completa (artículo 12) e instrucciones claras para los usuarios sobre limitaciones y riesgos del sistema (artículo 13).
Paralelamente, el artículo 50 impone obligaciones de transparencia que afectan a un espectro mucho más amplio de empresas. Todo contenido generado o modificado de forma sustancial por IA —textos, imágenes, vídeos, audios— deberá identificarse de manera visible. Los chatbots tendrán que avisar al usuario de que está interactuando con una máquina, y los deepfakes deberán etiquetarse de forma inequívoca. No se trata solo de grandes tecnológicas: cualquier pyme que utilice herramientas de IA generativa para crear contenido comercial entra en el perímetro de la norma.
El papel de España y la AESIA
España se adelantó al calendario europeo al crear la AESIA en agosto de 2023, convirtiéndose en el primer Estado miembro con una autoridad nacional de supervisión de inteligencia artificial. Con sede en A Coruña, la agencia ya dispone de un cuerpo de inspección propio y de potestad sancionadora desde agosto de 2025. Su actividad no ha sido testimonial: según diversas fuentes del sector, la agencia habría abierto investigaciones preliminares en los primeros meses de 2026.
Hace apenas unos días, el Gobierno presentó el Laboratorio de Ideas de AESIA, un órgano asesor compuesto por una treintena de expertos del ámbito académico, empresarial y sindical. Entre sus líneas de trabajo prioritarias están el impacto de la IA en la imagen de las mujeres, la desinformación vinculada a deepfakes y la protección de menores en entornos digitales. Todo ello encaja con la hoja de ruta de un regulador que busca pasar de la teoría a la acción en los meses previos a agosto.
Sanciones: un régimen más duro que el RGPD
Si algo debería motivar a las empresas a tomarse en serio la preparación, es el régimen sancionador. Las multas previstas en el AI Act pueden alcanzar los 35 millones de euros o el 7 % de la facturación anual global de la empresa, aplicándose la cifra mayor. Para infracciones graves relacionadas con sistemas de alto riesgo, las sanciones llegan hasta 15 millones de euros o el 3 % de la facturación global. Incluso suministrar información incorrecta a las autoridades puede acarrear multas de hasta 7,5 millones de euros o el 1 % del volumen de negocio.
Para pymes y startups, la norma prevé un cálculo proporcional —se aplica el menor entre el importe fijo y el porcentaje de facturación—, pero la exención no es total. Una empresa con dos millones de euros de ingresos podría enfrentarse a hasta 140.000 euros de sanción máxima por la infracción más grave, una cantidad que para muchas compañías jóvenes sería letal. Además, las multas del AI Act no sustituyen a las del RGPD: se acumulan. Un mismo incidente puede generar sanciones por ambas vías.
Cómo prepararse en los meses que quedan
Con apenas cuatro meses por delante, los expertos del sector coinciden en un enfoque estructurado que puede ejecutarse en un plazo de 90 días. El primer paso es realizar un inventario exhaustivo de todos los sistemas de IA que utiliza la organización, incluyendo herramientas SaaS, APIs de terceros, modelos internos y soluciones embebidas en software corporativo. A continuación, cada sistema debe clasificarse según los cuatro niveles de riesgo definidos por la norma —mínimo, limitado, alto y prohibido— para determinar qué obligaciones concretas le aplican.
El segundo bloque implica generar la documentación técnica exigida y diseñar un marco de gobernanza interno: quién supervisa las decisiones automatizadas, cómo se gestionan los incidentes y qué protocolos de intervención humana existen. Por último, las empresas con sistemas de alto riesgo deberán completar evaluaciones de conformidad, registrarse en la base de datos europea y obtener el marcado CE cuando proceda.
Un aspecto que a menudo se pasa por alto es la formación. El artículo 4 del reglamento establece una obligación de alfabetización en IA que ya está en vigor y que exige que empleados y colaboradores que operen estos sistemas cuenten con un nivel adecuado de conocimiento. Es un buen punto de partida para cualquier organización que aún no haya dado el primer paso.
El paquete Digital Omnibus propuesto por la Comisión Europea en noviembre de 2025 podría, si se aprueba, condicionar parte del calendario de obligaciones de alto riesgo a la disponibilidad de estándares técnicos armonizados, con fechas límite ampliadas hasta diciembre de 2027 o agosto de 2028 según el caso. Sin embargo, el análisis de Crowell & Moring advierte de que esa propuesta sigue en tramitación legislativa y que las empresas deben prepararse para una posible aplicación desde agosto de 2026. Esperar a una prórroga que no está garantizada sería una apuesta arriesgada. La regulación más ambiciosa del mundo en materia de IA ya está aquí, y quienes la ignoren se exponen a mucho más que una multa: se juegan la confianza del mercado.