EU AI Act: Guia Practica para Empresas [2026]

EU AI Act: Guia Practica de la Ley de IA Europea para Empresas [2026]

El 2 de agosto de 2026 entra en plena aplicacion el EU AI Act, la ley de inteligencia artificial mas ambiciosa del mundo. Si tu empresa desarrolla, distribuye o simplemente usa sistemas de IA en Europa, esta normativa te afecta directamente. Las multas alcanzan los 35 millones de euros o el 7% de la facturacion global, lo que sea mayor. Y tiene alcance extraterritorial: da igual donde estes, si operas en el mercado europeo, debes cumplir.

Esta guia practica te explica, sin jerga legal innecesaria, exactamente que dice el EU AI Act, como te afecta y que pasos concretos debe dar tu empresa para estar preparada antes de la fecha limite.

¿Quieres dominar la IA y su regulacion? En La Escuela de IA analizamos cada cambio normativo y su impacto real en empresas. Unete gratis a nuestra comunidad de +100 profesionales en español. Tambien en YouTube @JavadexAI y TikTok @javadex.

---

En Resumen

• El EU AI Act (Reglamento UE 2024/1689) es la primera ley integral de IA del mundo, con aplicacion plena el 2 de agosto de 2026
• Clasifica los sistemas de IA en 4 niveles de riesgo: inaceptable (prohibido), alto, limitado y minimo
• Las multas llegan hasta 35 millones de euros o el 7% de la facturacion mundial
• Tiene alcance extraterritorial (como el RGPD): afecta a cualquier empresa que opere en la UE
• Las practicas prohibidas y las obligaciones de alfabetizacion en IA ya estan en vigor desde febrero 2025
• Las obligaciones para modelos GPAI (ChatGPT, Claude, Gemini) aplican desde agosto 2025
• España fue el primer pais de la UE en crear su autoridad supervisora: la AESIA
• La Comision Europea propuso en noviembre 2025 (Digital Omnibus) aplazar los plazos de alto riesgo hasta diciembre 2027, pero aun no esta aprobado
• Si usas cualquier herramienta de IA en tu empresa, tienes obligaciones. No importa el tamaño

---

Timeline Completo del EU AI Act

El EU AI Act no se aplica todo de golpe. Tiene un despliegue escalonado que ya comenzo en 2024:

Nota importante sobre el Digital Omnibus: En noviembre de 2025, la Comision Europea propuso aplazar la aplicacion de las obligaciones de alto riesgo. Bajo esta propuesta, los sistemas de alto riesgo del Anexo III tendrian plazo hasta diciembre de 2027 (en lugar de agosto 2026) y los del Anexo I hasta agosto de 2028. Esta propuesta aun debe ser aprobada por el Parlamento Europeo y el Consejo. Mientras tanto, la fecha oficial sigue siendo agosto de 2026 y las empresas deben prepararse para ella.

---

Que es el EU AI Act

El EU AI Act (Reglamento de Inteligencia Artificial de la Union Europea, oficialmente Reglamento (UE) 2024/1689) es la primera legislacion integral del mundo que regula el desarrollo, comercializacion y uso de sistemas de inteligencia artificial.

Datos clave

• Aprobacion: 13 de junio de 2024 por el Parlamento Europeo y el Consejo de la UE
• Publicacion: Diario Oficial de la UE, 12 de julio de 2024
• Entrada en vigor: 1 de agosto de 2024
• Aplicacion plena: 2 de agosto de 2026
• Ambito: Cualquier sistema de IA comercializado o utilizado en la UE, independientemente de donde este ubicado el proveedor
• Supervision: European AI Office (nivel UE) + autoridades nacionales (AESIA en España)

Por que se creo

La UE busco tres objetivos principales:

1. Proteger derechos fundamentales: evitar discriminacion, manipulacion y vigilancia masiva por IA
2. Crear seguridad juridica: dar a las empresas reglas claras sobre que pueden y que no pueden hacer con IA
3. Fomentar la innovacion: establecer un marco que permita desarrollar IA de forma responsable sin bloquear el progreso

A quien afecta

El EU AI Act aplica a tres tipos de actores:

Alcance extraterritorial: al igual que el RGPD, el EU AI Act aplica a empresas de fuera de la UE si sus sistemas de IA se usan dentro del mercado europeo. Una startup de Silicon Valley que vende software de scoring crediticio a bancos europeos debe cumplir el reglamento.

Si tu empresa ya esta adaptada al RGPD, la logica de cumplimiento del EU AI Act te resultara familiar. Pero el ambito es diferente: mientras el RGPD regula datos personales, el AI Act regula sistemas de IA, procesen o no datos personales.

---

Sistema de Clasificacion de Riesgo

El corazon del EU AI Act es su sistema de clasificacion basado en riesgo. Cada sistema de IA se clasifica en uno de cuatro niveles, y las obligaciones dependen del nivel asignado:

Como clasificar tu sistema

La clasificacion depende del uso concreto del sistema, no de la tecnologia subyacente. El mismo modelo de lenguaje (por ejemplo, GPT-4) puede ser:

• Riesgo minimo: si lo usas para generar borradores de emails internos
• Riesgo limitado: si lo usas como chatbot de cara al publico
• Alto riesgo: si lo usas para filtrar candidatos en procesos de seleccion

Por eso, el primer paso para cualquier empresa es inventariar todos sus usos de IA y clasificar cada uno por separado.

---

Practicas Prohibidas (Riesgo Inaceptable)

Desde el 2 de febrero de 2025, los siguientes usos de IA estan completamente prohibidos en la UE:

Prohibiciones absolutas

Multa por incumplimiento: hasta 35 millones de euros o el 7% de la facturacion anual global, lo que sea mayor.

Que significa en la practica

• Si tu empresa usa un sistema que puntua a clientes por "confiabilidad social" para decidir si les das servicio: prohibido.
• Si usas IA que detecta emociones de empleados durante reuniones para evaluar su rendimiento: prohibido.
• Si recopilas fotos de redes sociales para crear un sistema de reconocimiento facial: prohibido.

La mayoria de estas practicas ya eran eticamente cuestionables. Ahora son directamente ilegales.

---

Obligaciones para Sistemas de Alto Riesgo

Los sistemas de IA de alto riesgo son los que mas obligaciones generan bajo el EU AI Act. Estan definidos en el Anexo III del reglamento e incluyen IA usada en:

Ambitos de alto riesgo (Anexo III)

• Biometria: identificacion y categorizacion biometrica remota
• Infraestructuras criticas: gestion de redes de agua, gas, electricidad, trafico
• Educacion: admisiones, evaluacion de estudiantes, deteccion de comportamiento en examenes
• Empleo y RRHH: filtrado de CVs, seleccion de candidatos, evaluacion de rendimiento, asignacion de tareas
• Servicios esenciales: scoring crediticio, calculo de primas de seguros (vida y salud), evaluacion para prestaciones sociales
• Seguridad publica: evaluacion de riesgo de reincidencia, poligrafos
• Migracion: evaluacion de solicitudes de asilo, deteccion de documentos falsos
• Justicia: evaluacion de pruebas, investigacion de hechos
• Democracia: sistemas que pueden influir en resultados electorales

Obligaciones del proveedor (quien desarrolla)

Si tu empresa desarrolla un sistema de IA clasificado como alto riesgo, debes cumplir estas obligaciones:

1. Sistema de gestion de riesgos: identificar, evaluar y mitigar riesgos durante todo el ciclo de vida del sistema
2. Gobernanza de datos: garantizar que los datos de entrenamiento sean relevantes, representativos y libres de sesgos
3. Documentacion tecnica: mantener documentacion completa y actualizada (arquitectura, datos, rendimiento, limitaciones)
4. Registro automatico de actividad (logging): el sistema debe generar logs automaticos para trazabilidad
5. Transparencia e instrucciones de uso: proporcionar informacion clara al implementador sobre como usar el sistema
6. Supervision humana: diseñar el sistema para que un humano pueda intervenir, corregir o detenerlo
7. Precision, robustez y ciberseguridad: el sistema debe funcionar correctamente y resistir ataques
8. Evaluacion de conformidad: pasar la evaluacion correspondiente antes de comercializarlo
9. Marcado CE: obtener y exhibir la marca de conformidad europea
10. Registro en la base de datos de la UE: inscribir el sistema en la base de datos publica europea de IA

Obligaciones del implementador (quien usa)

Si tu empresa usa un sistema de IA de alto riesgo (la situacion mas comun para PYMES españolas):

1. Seguir las instrucciones del proveedor: usar el sistema segun su finalidad prevista
2. Asignar supervision humana: designar personas competentes que supervisen el funcionamiento
3. Calidad de datos de entrada: asegurar que los datos que introduces son relevantes y de calidad
4. Monitorizar el sistema: vigilar el rendimiento y reportar incidentes graves al proveedor y a la autoridad
5. Conservar logs: guardar los registros de actividad durante minimo 6 meses
6. Evaluacion de impacto: para usos publicos de alto riesgo, evaluar el impacto sobre derechos fundamentales
7. Informar a empleados: si usas IA de alto riesgo en el trabajo, informar a representantes de los trabajadores

---

Obligaciones para Modelos GPAI (Proposito General)

Desde el 2 de agosto de 2025, los proveedores de modelos de IA de proposito general (GPAI) como GPT-4, Claude, Gemini o Llama tienen obligaciones especificas.

Todos los modelos GPAI

Modelos GPAI con riesgo sistemico

Los modelos que superan 10^25 FLOPs de computacion en entrenamiento se clasifican como de riesgo sistemico y tienen obligaciones adicionales:

• Notificacion: informar a la Comision Europea en un plazo de 2 semanas desde que se alcanza o se preve alcanzar el umbral
• Evaluaciones de modelo: realizar evaluaciones estandarizadas y adversariales (red-teaming)
• Evaluacion y mitigacion de riesgos: documentar riesgos identificados y medidas adoptadas
• Reporte de incidentes: informar de incidentes graves a la European AI Office
• Ciberseguridad: implementar protecciones adecuadas para el modelo

En la practica para empresas: si tu empresa usa ChatGPT, Claude o Gemini como herramienta, las obligaciones GPAI recaen sobre el proveedor (OpenAI, Anthropic, Google). Tu obligacion como implementador es cumplir las normas de transparencia (avisar que usas IA) y, si lo integras en un sistema de alto riesgo, cumplir las obligaciones correspondientes.

---

Sanciones y Multas

El EU AI Act establece un regimen sancionador escalonado que supera al del RGPD:

Regimen especial para PYMES y startups

Para pequeñas y medianas empresas, incluidas startups, se aplica la cifra que sea menor (no mayor) entre el importe fijo y el porcentaje de facturacion. Esto significa:

Otras consecuencias mas alla de las multas:

• Retirada del mercado: la autoridad puede ordenar retirar el sistema de IA
• Prohibicion temporal: suspension de la actividad hasta corregir el incumplimiento
• Daño reputacional: las sanciones son publicas
• Responsabilidad civil: las personas afectadas pueden reclamar daños y perjuicios

---

Como Preparar tu Empresa: Checklist Paso a Paso

Paso 1: Inventario de sistemas de IA (inmediato)

Haz una lista completa de todos los sistemas de IA que tu empresa utiliza:

• [ ] Herramientas comerciales: ChatGPT, Copilot, Salesforce Einstein, HubSpot AI, etc.
• [ ] Sistemas propios: chatbots, modelos internos, automatizaciones con IA
• [ ] IA embebida en software existente: funciones de IA en tu CRM, ERP, herramientas de marketing
• [ ] APIs de terceros: integraciones con APIs de OpenAI, Anthropic, Google, etc.

Paso 2: Clasificacion por nivel de riesgo (inmediato)

Para cada sistema del inventario:

• [ ] Determinar si es riesgo inaceptable, alto, limitado o minimo
• [ ] Documentar el uso concreto (la clasificacion depende del uso, no de la tecnologia)
• [ ] Identificar si alguno entra en los ambitos del Anexo III (empleo, credito, educacion, etc.)

Paso 3: Eliminar practicas prohibidas (inmediato)

• [ ] Verificar que ningun sistema realiza practicas prohibidas (scoring social, manipulacion, vigilancia biometrica)
• [ ] Si existe alguno, detenerlo inmediatamente (las prohibiciones estan en vigor desde febrero 2025)

Paso 4: Cumplir obligaciones de alfabetizacion (en curso)

Desde febrero 2025, el Articulo 4 exige que el personal tenga conocimientos suficientes sobre IA:

• [ ] Formar a empleados que trabajan con IA sobre sus capacidades y limitaciones
• [ ] Documentar la formacion proporcionada
• [ ] Actualizar periodicamente los conocimientos del equipo

Si buscas una guia practica de implementacion, consulta nuestro Checklist de Adopcion de IA para Empresas con pasos detallados.

Paso 5: Cumplir transparencia (antes de agosto 2026)

• [ ] Si usas chatbots: añadir aviso visible de que el usuario interactua con IA
• [ ] Si generas contenido con IA (imagenes, texto, video): etiquetarlo adecuadamente
• [ ] Si usas deepfakes: marcarlos obligatoriamente como contenido generado por IA

Paso 6: Documentacion tecnica para alto riesgo (antes de agosto 2026)

Si tienes sistemas de alto riesgo:

• [ ] Preparar documentacion tecnica completa (arquitectura, datos, rendimiento, limitaciones)
• [ ] Establecer un sistema de gestion de riesgos documentado
• [ ] Implementar logging automatico
• [ ] Diseñar mecanismos de supervision humana

Paso 7: Evaluacion de conformidad (antes de agosto 2026)

• [ ] Realizar la evaluacion de conformidad correspondiente (autoevaluacion o por organismo notificado, segun el tipo)
• [ ] Obtener el marcado CE si eres proveedor
• [ ] Registrar el sistema en la base de datos de la UE

Paso 8: Gobernanza interna

• [ ] Designar un responsable de cumplimiento de IA en la empresa
• [ ] Establecer procedimientos para reportar incidentes graves
• [ ] Crear un protocolo de monitorizacion continua
• [ ] Informar a representantes de trabajadores si usas IA de alto riesgo en RRHH

Paso 9: Revision de contratos con proveedores

• [ ] Verificar que tus proveedores de IA cumplen con el EU AI Act
• [ ] Incluir clausulas de cumplimiento en nuevos contratos
• [ ] Solicitar documentacion tecnica y certificaciones a proveedores de sistemas de alto riesgo

Paso 10: Plan de actualizacion continua

• [ ] Establecer revisiones periodicas del inventario de IA (trimestral recomendado)
• [ ] Seguir las actualizaciones del reglamento y las directrices de la Comision
• [ ] Monitorizar la normativa nacional española complementaria

Para una vision mas amplia de como integrar IA en tu empresa, consulta nuestra guia de IA para Empresas: Herramientas y Estrategia.

---

Impacto en España

AESIA: la autoridad supervisora

España fue el primer pais de la UE en crear su agencia nacional de supervision de IA: la AESIA (Agencia Española de Supervision de Inteligencia Artificial), operativa desde junio de 2024 y con sede en A Coruña.

Funciones principales de AESIA:

• Supervisar y controlar el cumplimiento del AI Act en España
• Gestionar sandboxes regulatorios (entornos de prueba controlados)
• Publicar guias practicas de cumplimiento (ya ha publicado 16 guias en diciembre de 2025)
• Imponer sanciones y medidas correctoras
• Representar a España ante la European AI Board

Las 16 guias de AESIA

En diciembre de 2025, AESIA publico 16 guias practicas basadas en los resultados de su sandbox regulatorio. Cubren temas como evaluacion de riesgos, documentacion tecnica, supervision humana, transparencia, gobernanza de datos y ciberseguridad. Estan disponibles gratuitamente en la web de AESIA y son el mejor punto de partida para cualquier empresa española.

Sandbox regulatorio

AESIA gestiona el primer sandbox regulatorio de IA en la UE. En abril de 2025, selecciono 12 proyectos piloto de empresas españolas para testar sus sistemas de IA bajo supervision regulatoria. Los resultados estan siendo referencia para otras empresas.

Normativa complementaria española

España esta preparando legislacion nacional complementaria al EU AI Act. En la propuesta de ley española se incluyen:

• Multas especificas adaptadas al contexto español
• Obligaciones adicionales para el sector publico
• Mecanismos de mediacion antes de procedimientos sancionadores
• Colaboracion con la AEPD (Agencia Española de Proteccion de Datos) en casos donde IA y datos personales se solapen

---

EU AI Act vs RGPD: Comparativa

Si tu empresa ya cumplio con el RGPD, tienes ventaja. Pero hay diferencias importantes:

Donde se solapan

Muchos sistemas de IA procesan datos personales, lo que significa que debes cumplir ambas normativas simultaneamente. Ejemplos:

• Un sistema de scoring crediticio basado en IA: alto riesgo (AI Act) + datos personales (RGPD)
• Un chatbot que recoge datos de clientes: transparencia (AI Act) + consentimiento (RGPD)
• IA para seleccion de personal: alto riesgo (AI Act) + datos sensibles de candidatos (RGPD)

La buena noticia: si ya tienes un DPO (Delegado de Proteccion de Datos) y procesos de cumplimiento RGPD, puedes ampliarlos para cubrir tambien el AI Act.

---

Mi Recomendacion

Llevo años trabajando con empresas que adoptan IA, y el patron que veo se repite siempre: las que se preparan con tiempo ahorran dinero, y las que esperan al ultimo momento pagan el doble (en consultoria de emergencia, multas o ambas cosas).

Mi consejo concreto:

1. No esperes a que se confirme el Digital Omnibus. Aunque la Comision haya propuesto aplazar los plazos de alto riesgo a diciembre de 2027, la aprobacion no esta garantizada. Preparate para agosto de 2026.

1. Empieza por el inventario. El 80% de las empresas que he visto no saben exactamente cuantos sistemas de IA usan. Hacer el inventario es el paso mas facil y el que mas claridad te da.

1. Prioriza la formacion. La obligacion de alfabetizacion en IA ya esta en vigor. Forma a tu equipo ahora. Es la obligacion de menor coste y mayor retorno.

1. No confundas "uso de IA" con "desarrollo de IA". Si simplemente usas ChatGPT o Copilot, tus obligaciones son mucho menores que las de un proveedor. No sobredimensiones el esfuerzo.

1. Aprovecha los recursos gratuitos. Las 16 guias de AESIA, los compliance checkers online y los sandboxes regulatorios existen para ayudarte. Usalos antes de contratar consultoria.

1. Integra el cumplimiento del AI Act con el del RGPD. No crees silos separados. Un unico framework de gobernanza de datos e IA es mas eficiente.

Para ver como la IA esta evolucionando en todos los frentes, consulta nuestro analisis del Estado del Arte de la Inteligencia Artificial en 2026.

---

Preguntas Frecuentes (FAQ)

¿El EU AI Act me afecta si solo uso ChatGPT para escribir emails?

Si, pero de forma minima. Usar ChatGPT para tareas de bajo riesgo (emails, borradores, brainstorming) se clasifica como riesgo minimo o limitado. Tu principal obligacion es la transparencia: si generas contenido para el publico, etiquetalo. Y la alfabetizacion en IA: asegurate de que tu equipo entiende las limitaciones del sistema.

¿Mi startup esta exenta por ser pequeña?

No, pero tienes un regimen simplificado. Las PYMES y startups deben cumplir todas las obligaciones, pero las multas se calculan con el porcentaje que sea menor (no mayor), tienen acceso prioritario a sandboxes regulatorios, tasas reducidas para evaluaciones de conformidad y documentacion tecnica simplificada.

¿Que pasa si uso un sistema de IA y el proveedor no cumple?

Ambos tienen responsabilidad. El proveedor es responsable de que el sistema cumpla los requisitos tecnicos, pero tu como implementador eres responsable de usarlo correctamente, supervisarlo y reportar incidentes. Si un proveedor no cumple, eso no te exime de tus propias obligaciones.

¿Los sistemas de IA open source estan exentos?

Parcialmente. Los modelos de IA de codigo abierto tienen un regimen mas ligero en cuanto a transparencia y documentacion. Sin embargo, si se usan para aplicaciones de alto riesgo o si alcanzan el umbral de riesgo sistemico (10^25 FLOPs), las obligaciones aplican igual.

¿Que diferencia hay entre el EU AI Act y la normativa de otros paises?

El EU AI Act es el unico marco integral y vinculante del mundo. EEUU tiene la Executive Order on AI de Biden (no vinculante, parcialmente revocada por Trump). China tiene regulaciones sectoriales pero fragmentadas. Reino Unido opta por un enfoque sectorial. El EU AI Act es el mas completo y el que mas multas contempla.

¿Que es la evaluacion de conformidad?

Es el proceso mediante el cual se verifica que un sistema de IA de alto riesgo cumple todos los requisitos del reglamento. Puede ser una autoevaluacion (para la mayoria de sistemas del Anexo III) o una evaluacion por organismo notificado (para sistemas biometricos de identificacion remota y algunos sistemas del Anexo I).

¿Cuando entra en vigor la obligacion de registro en la base de datos de la UE?

El 2 de agosto de 2026 para sistemas de alto riesgo del Anexo III. Los proveedores e implementadores deben registrar sus sistemas en la base de datos publica de la UE antes de comercializarlos o ponerlos en servicio.

¿Puedo seguir usando IA de reconocimiento facial en mi empresa?

Depende del uso. La vigilancia biometrica masiva en tiempo real en espacios publicos esta prohibida (salvo excepciones para seguridad con autorizacion judicial). El reconocimiento de emociones en el trabajo o la educacion tambien esta prohibido. Pero la autenticacion biometrica voluntaria (por ejemplo, desbloqueo de movil) esta permitida.

---

Recursos Utiles

Oficiales

• Texto completo del EU AI Act: Reglamento (UE) 2024/1689 en EUR-Lex
• European AI Office: digital-strategy.ec.europa.eu
• AESIA (España): aesia.digital.gob.es
• Timeline oficial: ai-act-service-desk.ec.europa.eu

Herramientas practicas

• Compliance Checker: artificialintelligenceact.eu/assessment
• Implementation Timeline: artificialintelligenceact.eu/implementation-timeline
• Directrices GPAI: digital-strategy.ec.europa.eu/guidelines-gpai

En javadex.es

• Checklist de Adopcion de IA para Empresas - Plan paso a paso de implementacion y cumplimiento
• IA para Empresas: Herramientas y Estrategia - Guia completa de adopcion de IA
• Estado del Arte de la IA en 2026 - Tendencias y avances actuales

---

Ultima actualizacion: 20 de febrero de 2026. Este articulo se actualiza periodicamente para reflejar cambios en el EU AI Act, directrices de la Comision Europea y normativa nacional española. La informacion proporcionada es orientativa y no constituye asesoramiento juridico.