La aplicación del AI Act entra en una fase más tangible para las empresas europeas. Desde el 2 de agosto de 2026, la Oficina de IA de la Comisión Europea y las autoridades nacionales asumen funciones de supervisión y ejecución sobre partes relevantes del reglamento. La fecha no significa que todas las obligaciones entren a la vez, pero sí que la regulación deja de ser un horizonte lejano para quienes desarrollan, compran o integran inteligencia artificial.
El marco europeo combina normas ya aplicables con calendarios escalonados. Las prohibiciones iniciales y la obligación de fomentar alfabetización en IA comenzaron antes, en febrero de 2025. Las reglas de gobernanza y las obligaciones para modelos de propósito general se aplican desde agosto de 2025. Ahora la supervisión toma forma y las obligaciones de transparencia ganan peso para proveedores y organizaciones que despliegan determinados sistemas.
La pregunta práctica ya no es si una empresa usa IA, sino qué papel desempeña en cada sistema y qué evidencia puede aportar sobre ese uso. Una compañía puede ser usuaria de una herramienta de terceros, desplegadora ante sus clientes o proveedor si modifica y comercializa una solución bajo su propia marca. Cada posición trae deberes distintos.
La Comisión explica que las obligaciones de transparencia cubren, entre otros casos, informar cuando una persona interactúa directamente con una IA y habilitar marcas legibles por máquina para detectar contenidos generados o manipulados. Los desplegadores también deben informar de determinados contenidos sintéticos, de sistemas de reconocimiento de emociones o de categorización biométrica cuando corresponda. Para sistemas puestos en el mercado antes de agosto de 2026, existe un plazo hasta el 2 de diciembre de 2026 en ciertas obligaciones de marcado y detección.
El calendario de los sistemas de alto riesgo sigue siendo una de las cuestiones que más confusión genera. Tras el denominado AI Omnibus, las normas para usos de alto riesgo del anexo III, como algunos casos de biometría, infraestructura crítica, educación, empleo o migración, se aplicarán desde el 2 de diciembre de 2027. Las normas para IA integrada en productos regulados, como maquinaria, juguetes o ascensores, llegarán el 2 de agosto de 2028.
Ese margen no equivale a una invitación a esperar: los inventarios de sistemas, los contratos con proveedores y los controles de datos requieren tiempo para construirse. Además, un proyecto puede tener obligaciones de transparencia o de protección de datos antes de encajar en la categoría de alto riesgo.
Para una pyme española, un punto de partida razonable no exige convertir cada proceso en un proyecto jurídico. Exige saber qué herramientas se usan, para qué decisiones, con qué datos y quién valida el resultado. También conviene revisar si el proveedor ofrece documentación sobre límites, instrucciones de uso, medidas de ciberseguridad y vías de notificación de incidentes.
- Inventariar los sistemas de IA y clasificarlos por función, datos y personas afectadas.
- Definir revisión humana en decisiones que puedan afectar a empleo, crédito, acceso o derechos.
- Revisar contratos, trazabilidad y obligaciones de transparencia con cada proveedor.
La Comisión ha reforzado además el papel de la Oficina de IA en los modelos de propósito general y en determinados sistemas conectados con grandes plataformas y buscadores. Para las empresas que construyen sobre modelos ajenos, esto no elimina la responsabilidad propia. El proveedor del modelo puede aportar documentación, pero la organización que lo integra decide su contexto, sus datos y el modo en que llega a usuarios o trabajadores.
La regulación también abre espacios de prueba. El AI Omnibus amplía el acceso a entornos controlados de experimentación y extiende ciertas simplificaciones a empresas medianas de menor tamaño. Es una oportunidad para probar productos con acompañamiento regulatorio, aunque no sustituye una evaluación seria de impacto y seguridad.
La ventaja de las empresas que se preparen ahora será operativa, no solo legal: podrán desplegar IA con menos improvisación cuando clientes, socios y administraciones pidan explicaciones. El AI Act exige documentación y controles, pero también puede ordenar una adopción que hasta ahora se ha hecho a menudo herramienta por herramienta, sin una visión común de riesgos, valor y responsabilidad.
