El AI Act en 2026: timeline, obligaciones y cuándo empieza la aplicación real

Qué cambia exactamente el 2 de agosto de 2026

El AI Act entró en vigor el 1 de agosto de 2024, pero su aplicación se ha escalonado. Algunos bloques ya están en vigor desde 2025 (prohibiciones, alfabetización en IA, obligaciones de modelos de propósito general). Lo que cambia de verdad el 2 de agosto de 2026, tras el Digital Omnibus, son las obligaciones de transparencia del artículo 50 — el régimen completo de alto riesgo del Anexo III, que iba a entrar ese mismo día, se ha aplazado a diciembre de 2027, y los sandboxes regulatorios nacionales se aplazaron a agosto de 2027.

Esa era la lectura oficial hasta la aprobación del Digital Omnibus. Con el aplazamiento del Anexo III a diciembre de 2027, 2026 deja de ser el año del "salto grande" para el alto riesgo — pero el artículo 50 sigue su calendario original, así que agosto de 2026 no es una fecha para ignorar, solo para entender bien qué cubre. Guía completa: el artículo 50 en detalle, con las 5 obligaciones y qué revisar esta semana.

Timeline definitivo del AI Act

Estas son las fechas clave que debes conocer y comunicar internamente:

Las cuatro categorías de riesgo, en una frase cada una

El Reglamento ordena los sistemas de IA en cuatro niveles de riesgo, y de ahí cuelga todo lo demás:

• Riesgo inaceptable: directamente prohibidos. Manipulación subliminal, social scoring de las administraciones, identificación biométrica en tiempo real en espacios públicos (con excepciones tasadas), entre otros — aplicable desde febrero de 2025. El Digital Omnibus añadió dos prohibiciones más, en vigor desde el 2 de diciembre de 2026: la generación por IA de contenido sexual no consentido y de imágenes de abuso sexual infantil (CSAM).
• Alto riesgo: sistemas que pueden afectar derechos fundamentales o seguridad. Educación, empleo, servicios esenciales, justicia, control de fronteras, infraestructuras críticas. Aquí está el grueso del compliance: arts. 8 a 15 y todo el ciclo de vida del sistema (gestión de riesgos, gobierno de datos, documentación técnica, registros automáticos, transparencia, supervisión humana, robustez y precisión).
• Riesgo limitado: obligaciones de transparencia del art. 50. Chatbots y deepfakes deben informar al usuario de que está interactuando con IA o de que el contenido ha sido generado/manipulado.
• Riesgo mínimo: sin obligaciones específicas, aunque se anima a la adopción voluntaria de códigos de conducta.

GPAI: el caso especial

Los modelos de propósito general (GPAI) tienen un calendario propio. Sus obligaciones (Cap. V) entraron en aplicación en agosto de 2025, pero los poderes sancionadores de la Comisión sobre proveedores de GPAI no se activan hasta el 2 de agosto de 2026. Es decir: durante este primer año los proveedores de modelos como GPT, Claude, Gemini o Llama han estado obligados, pero la Comisión no podía multar; a partir de agosto sí. Si eres proveedor o ajustas modelos de propósito general, el Checklist de Cumplimiento GPAI cubre los 11 controles exigidos en estos 4 bloques.

Para modelos GPAI puestos en el mercado antes del 2 de agosto de 2025, el plazo se extiende hasta el 2 de agosto de 2027. Es la cláusula que da margen para adaptar modelos preexistentes.

Las multas son disuasorias: hasta 35 millones de euros o el 7% de la facturación global (el importe que sea mayor) para infracciones graves del régimen de prohibiciones. Para incumplimientos de obligaciones de proveedor o de usuarios, hasta 15 millones o el 3% de la facturación global.

Quién aplica el Reglamento en España

La supervisión es a dos niveles. A nivel europeo, la Comisión actúa a través del AI Office, plenamente operativo desde agosto de 2025, con competencias exclusivas sobre GPAI. A nivel nacional, cada Estado miembro designa una o varias autoridades de mercado. España fue pionera: en 2024 creó la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña.

La AEPD mantiene su rol como autoridad de protección de datos personales y, por extensión, sobre cualquier sistema de IA que trate datos personales. En julio de 2025 publicó una guía aclarando que ya puede actuar contra sistemas de IA prohibidos que traten datos personales, incluso antes de la aplicación plena del AI Act. Es decir: para muchos casos prácticos en España no tendrás una autoridad sino dos, y ambas deben estar coordinadas en tu plan de compliance.

Qué hacer ahora que el art. 50 ya está en vigor

El 2 de agosto de 2026 ya ha pasado. Si no tenías listas las obligaciones de transparencia del art. 50 para esa fecha, no hay un "próximo aviso" — ya estás fuera de plazo, aunque el riesgo real de sanción todavía dependa de cuándo empiecen las primeras inspecciones. No es el momento de diseñar un programa de compliance desde cero, pero sí de cerrar cuanto antes las cuatro tareas que cualquier auditor querrá ver el primer día:

1. Inventario completo de sistemas de IA

Listado exhaustivo de todos los sistemas con componente de IA que tu organización desarrolla, despliega o utiliza. Incluye no solo modelos propios: cuenta también plataformas SaaS con IA embebida (CRM, RRHH, marketing, atención al cliente). Una empresa típica descubre el doble de sistemas de los que pensaba al hacer este inventario.

2. Clasificación por nivel de riesgo

Cada sistema del inventario se mapea contra las cuatro categorías. El Anexo III del Reglamento es la referencia: ocho áreas que automáticamente clasifican un sistema como de alto riesgo (biometría, infraestructuras críticas, educación, empleo, servicios privados/públicos esenciales, aplicación de la ley, fronteras, justicia y procesos democráticos).

3. Programa de alfabetización en IA

Obligatorio desde febrero de 2025 (art. 4), aunque el Digital Omnibus suavizó su redacción: ya no exige "garantizar" un resultado, sino "tomar medidas" para promoverlo — una obligación de esfuerzo, no de resultado, pero sigue siendo vinculante para todo desplegador. No hay definición tasada de "suficiente", pero la Comisión Europea —y, en España, también la AEPD— consideran insuficiente el simple envío de un PDF: se espera formación documentada, adaptada al rol y registrable. La supervisión nacional de esta obligación arranca el 3 de agosto de 2026. Si operas en otro país, comprueba el criterio de tu propia autoridad, aunque la exigencia de fondo es la misma en toda la UE.

4. Gobernanza interna

Designar responsables claros. En organizaciones pequeñas suele recaer en el DPO ampliando funciones o en un comité ad hoc. En organizaciones medianas y grandes, lo razonable es un AI Governance Officer o un comité multidisciplinar (legal + IT + negocio + seguridad). Si vas a perseguir certificación ISO 42001, esta gobernanza es la base sobre la que se construye todo el AIMS (AI Management System).

Lo que viene después de agosto de 2026

A partir de la aplicación plena, espera tres movimientos de mercado: (a) los primeros expedientes sancionadores nacionales, probablemente sobre transparencia del art. 50 antes que sobre alto riesgo —porque son más fáciles de detectar—; (b) una cascada de actualizaciones contractuales en la cadena de suministro de IA (cada cliente exigirá a sus proveedores garantías formales de cumplimiento); y (c) la consolidación de ISO/IEC 42001 como el "ISO 27001 de la IA", con auditorías ya disponibles bajo BS ISO/IEC 42006:2025.

El AI Act no es perfecto y todavía habrá clarificaciones en su aplicación práctica durante 2026 y 2027. Pero la dirección es clara: en Europa, hacer IA sin pensar en governance ha dejado de ser una opción.

Errores frecuentes en la preparación para el AI Act

El AI Act enforcement ya es una realidad, y los patrones de error que se observan en el mercado tienen un coste que va más allá de las multas. Estos son los más frecuentes:

• Tratar agosto de 2026 como la única fecha que importa. Las obligaciones de febrero y agosto de 2025 ya están en vigor. Empresas que todavía no tienen el inventario de sistemas hecho, ni el programa de alfabetización documentado, están ya en incumplimiento.
• Asumir que el tamaño exime. El AI Act aplica por tipo de uso, no por tamaño de empresa. Una pyme que use un sistema de scoring de crédito o de evaluación de candidatos tiene las mismas obligaciones que una gran corporación para ese sistema específico.
• Delegar toda la responsabilidad en el proveedor tecnológico. Si tu empresa despliega un sistema de IA de alto riesgo desarrollado por un tercero, eres el desplegador y tienes obligaciones propias que no desaparecen porque el proveedor cumpla con las suyas. Ambas responsabilidades coexisten.
• Clasificar todos los sistemas como de bajo o mínimo riesgo por defecto. La clasificación de riesgo debe hacerse con criterios documentados y cruzando la funcionalidad del sistema con el Anexo III. Una clasificación sin justificación es una clasificación sin valor ante el regulador.
• Crear la documentación técnica justo antes de la inspección. El artículo 11 exige documentación previa al despliegue. Una documentación redactada a posteriori, aunque sea técnicamente correcta, es difícilmente defendible como evidencia de cumplimiento real.
• Ignorar la AEPD como segunda autoridad. En España, la AEPD puede actuar sobre sistemas de IA que traten datos personales incluso antes de la aplicación plena del AI Act, bajo el RGPD. Muchos sistemas de alto riesgo tratan datos personales. Esto significa dos autoridades con capacidad de inspección, no una.

Conclusión: el AI Act no es un proyecto, es una fecha con consecuencias

Las AI Act compliance deadlines no esperan. Los tres primeros hitos ya han pasado —incluido el art. 50 el pasado 2 de agosto— y las obligaciones que activaron son auditables hoy. El próximo hito grande, el alto riesgo del Anexo III, está a más de un año (diciembre de 2027), pero la preparación para el artículo 10 —gobernanza de datos de entrenamiento— requiere infraestructura que no se construye en semanas, así que ese margen es para usarlo, no para posponerlo.

La buena noticia es que las organizaciones que ya operan con data governance real —linaje documentado, roles con autoridad, acceso controlado y calidad medida— tienen una base sólida para adaptarse. El cumplimiento del AI Act no es un proyecto paralelo: es la extensión natural de una gobernanza de datos madura hacia los sistemas de inteligencia artificial que esa gobernanza alimenta.

Las que no tienen esa base deben empezar ya, con una priorización clara: primero el inventario y la clasificación de riesgo, después la gobernanza de datos de los sistemas de alto riesgo, después la documentación técnica y el logging. No todo a la vez, pero todo antes de que el regulador llame.

Checklist: preparación por hito del AI Act

• Inventario completo de sistemas de IA (propios, desplegados y SaaS con IA embebida).
• Clasificación de riesgo de cada sistema con justificación documentada (Anexo III).
• Verificación de ausencia de sistemas prohibidos del artículo 5 en producción.
• Programa de alfabetización en IA documentado, adaptado al rol y verificable (art. 4).
• Gobernanza interna con responsables designados (AI Governance Officer o equivalente).
• Contratos con proveedores GPAI revisados y cumplimiento del Capítulo V acreditado.
• Sistema de gestión de riesgos de IA operativo para sistemas de alto riesgo (art. 9).
• Gobernanza de datasets de entrenamiento: origen, transformaciones y análisis de sesgos (art. 10).
• Documentación técnica completa y previa al despliegue para sistemas de alto riesgo (art. 11).
• Logging automático de eventos durante el ciclo de vida de sistemas de alto riesgo (art. 12).
• Mecanismos de supervisión humana efectivos y verificables (art. 14).
• Registro en la base de datos de la UE para los sistemas que lo requieran.

Preguntas frecuentes sobre las fechas clave del AI Act

¿Cuáles son las fechas clave del AI Act que toda empresa debe conocer?

Las seis fechas principales son: 2 de febrero de 2025 (prohibiciones del art. 5 y alfabetización en IA), 2 de agosto de 2025 (modelos GPAI y gobernanza institucional), 2 de agosto de 2026 (transparencia del art. 50), 2 de diciembre de 2026 (dos prohibiciones nuevas del art. 5 añadidas por el Digital Omnibus), 2 de agosto de 2027 (sandboxes regulatorios nacionales obligatorios) y 2 de diciembre de 2027 (alto riesgo del Anexo III, la fecha que antes era agosto de 2026). Los sistemas de alto riesgo embebidos en productos regulados (Anexo I) tienen hasta el 2 de agosto de 2028. Las tres primeras ya están en vigor.

¿Qué empresas están obligadas por el AI Act?

El AI Act aplica a cualquier organización que desarrolle, despliegue o use sistemas de IA en la Unión Europea, independientemente de dónde esté establecida. El criterio es el mercado donde opera el sistema, no la sede de la empresa. Esto incluye empresas de fuera de la UE cuyos sistemas afecten a personas en territorio europeo.

¿Qué son los sistemas de IA de alto riesgo según el AI Act?

Son sistemas de IA que pueden afectar derechos fundamentales o la seguridad de las personas. El Anexo III define ocho categorías: biometría, infraestructuras críticas, educación, empleo y RRHH, acceso a servicios esenciales (crédito, seguros, vivienda), aplicación de la ley, gestión de fronteras y migración, y administración de justicia y procesos democráticos.

¿Qué es la alfabetización en IA que exige el AI Act?

El artículo 4 obliga a proveedores y desplegadores a tomar medidas para promover que el personal que trabaja con sistemas de IA tenga un nivel suficiente de conocimiento sobre su funcionamiento, limitaciones y riesgos. El Digital Omnibus suavizó la redacción original (de "garantizar" a "tomar medidas para promover"), pero la obligación sigue siendo vinculante: la formación sigue teniendo que ser documentada, adaptada al rol y verificable — un PDF informativo no basta, según la interpretación de la Comisión Europea (y, en España, también de la AEPD). La supervisión nacional de esta obligación arranca el 3 de agosto de 2026.

¿Qué multas prevé el AI Act por incumplimiento?

Las sanciones se gradúan por tipo de infracción: hasta 35 millones de euros o el 7% de la facturación global anual por vulnerar las prohibiciones del artículo 5; hasta 15 millones o el 3% de la facturación por incumplir obligaciones de proveedores o desplegadores; y hasta 7,5 millones o el 1,5% por proporcionar información incorrecta a las autoridades. Se aplica siempre el importe mayor entre la cifra fija y el porcentaje de facturación.