El 2 de agosto de 2026 pasó, y para casi todas las empresas pasó desapercibido. El “trending” en los meses previos fue que Bruselas había aplazado el AI Act y que, por tanto, había aún tiempo. Es una lectura incompleta y, en la práctica, peligrosa. Lo que llegó en agosto fue la fecha de aplicación general del Reglamento (UE) 2024/1689. Lo que se aplazó, con el Ómnibus Digital publicado en el DOUE el 24 de julio y en vigor desde el 27, fueron únicamente las obligaciones de los sistemas de alto riesgo: el Anexo III pasa al 2 de diciembre de 2027 y el Anexo I al 2 de agosto de 2028. Todo lo demás sigue su calendario.
Y ese «todo lo demás» es justo lo que afecta a la mayoría de las empresas. Lo ordenamos en tres capas, y ninguna necesita un abogado para entenderse.
La primera lleva en vigor desde febrero de 2025, es la que más empresas incumplen sin saberlo y dice dos cosas. Una: hay usos vetados, como manipular a las personas, puntuarlas socialmente o leer sus emociones en el trabajo. Dos: la empresa que usa IA tiene que formar a la gente que la usa. Aquí hay una novedad de julio que casi nadie ha contado: el Ómnibus suavizó la redacción de esa formación. Ya no hay que garantizar un nivel, sino apoyar que exista. Pero no la eliminó, y el día que alguien pregunte se demuestra con un registro que incluye quién se formó, cuándo y en qué.
La segunda entró en agosto de este año y es de puro sentido común: si un cliente habla con un chatbot, tiene que saber que es un chatbot; si se publica contenido generado por IA, tiene que ir marcado; si es un deepfake, hay que decirlo. Quien ya tenía estos sistemas funcionando antes de agosto tiene hasta el 2 de diciembre para el marcado técnico. Ese mismo día entra en vigor la nueva prohibición de las apps que generan imágenes íntimas sin consentimiento.
La tercera es el supervisor, y aquí hay que evitar caer en engaños. Las multas están fijadas desde 2025, son de hasta 35 millones de euros o el 7% de la facturación global por los usos prohibidos, la cifra que resulte mayor (en las pymes, la menor). AESIA es la autoridad en España y la ley que le da el procedimiento para sancionar ya está en el Congreso. Lo que Bruselas aplazó no toca nada de esto.
¿Qué deberían estar haciendo ya las empresas? Responder a una pregunta que nadie quiere poner encima de la mesa: qué IA usamos hoy y quién responde de cada una. De los comités directivos con los que he trabajado este año, más del 70% no sabía responder a esto.
Pongamos un caso que nos encontramos con frecuencia. Empresa industrial, 150 empleados, sin departamento de IA. Marketing genera imágenes y textos con una cuenta personal de pago. En la web hay un chatbot de atención al cliente que instaló el integrador el año pasado y que no dice que es una IA. RRHH está probando una herramienta que preselecciona currículums. Nadie ha formado a nadie y no hay un solo documento que diga lo contrario. Ese comité tiene hoy dos frentes abiertos, con uno de ellos de alto riesgo esperando a diciembre de 2027 y ninguna forma de demostrar nada. Y no es una empresa aislada, es lo habitual.
Ponerse al día no es ninguna obra magna, lo que ya está en vigor se puede cerrar en unas semanas. Se empieza por un inventario de todo lo que usa IA (aquí se suele destapar una docena de herramientas que nadie tenía en la lista). Se sigue clasificando cada una por el riesgo que supone y por el papel que juega la empresa, porque no obliga lo mismo usar una herramienta que integrarla para un cliente o venderla con marca propia. Se añade el aviso en el chatbot, que es una tarde de trabajo. Se forma a la plantilla por perfiles, algo breve, y se deja registro de quién, cuándo y en qué. Y, lo más importante, se nombra en el comité a un responsable con poder para decir que no, ya que un comité de IA sin capacidad de veto es un comité asesor, y los comités asesores no paran despliegues.
Como defiendo en el libro ‘El Método IA’, la inteligencia artificial no se gestiona como un proyecto, hay que operarla como una capacidad. Con el cumplimiento pasa exactamente igual, ya que no es un expediente que se cierra en diciembre de 2027. Es una disciplina que empieza con un inventario y no termina. Las empresas que la construyan ahora, cuando todavía hay margen, llegarán al alto riesgo con el trabajo hecho. Las demás llegarán como pasó hace años con el RGPD; en el último trimestre, a un coste mayor y con el supervisor ya en marcha.
