Si alguien de tu equipo ha usado ChatGPT esta semana, tu empresa ya tiene obligaciones bajo el AI Act, aunque no hayas programado ni una línea de código.

En junio se aprobó un paquete de reforma que aplazó parte del calendario, y la mayoría de la cobertura se quedó en el titular: hay más tiempo. Para una empresa que usa IA generativa en su día a día, eso es falso. Casi ninguna de tus obligaciones inmediatas se ha movido.

¿Qué es el AI Act?

El Reglamento (UE) 2024/1689, conocido como AI Act, es la primera ley integral del mundo sobre inteligencia artificial. Fue aprobado por el Parlamento Europeo y el Consejo el 13 de junio de 2024, se publicó en el Diario Oficial de la Unión Europea el 12 de julio de 2024 y entró en vigor el 1 de agosto de ese mismo año. Al ser un reglamento y no una directiva, se aplica de forma directa en los 27 países de la Unión Europea sin que cada uno tenga que traducirlo a su propia legislación.

Clasifica cualquier sistema de IA en cuatro niveles:

• Riesgo inaceptable: prohibido sin más, son las prácticas del artículo 5.
• Riesgo alto: el grueso de las obligaciones pesadas, para los sistemas del artículo 6 y el Anexo III como selección de personal, evaluación educativa, infraestructuras críticas o scoring crediticio.
• Riesgo limitado: obligaciones de transparencia.
• Riesgo mínimo: la mayoría de los usos, sin obligaciones específicas.

Aplica a quien desarrolla IA y a quien la usa dentro de la Unión Europea, sea o no europea la empresa.

Si es la primera vez que te asomas a esto, en su momento escribimos una introducción al AI Act y a lo que cambia para las empresas. Este artículo es la actualización: el calendario ha cambiado desde entonces.

El calendario, después del Digital Omnibus

El 19 de noviembre de 2025 la Comisión Europea propuso el paquete de reforma conocido como Digital Omnibus sobre IA, documento COM(2025) 836, con el objetivo declarado de simplificar el calendario del Reglamento.

El Parlamento Europeo aprobó el texto final en votación el 16 de junio de 2026 y el Consejo de la Unión Europea dio su aprobación definitiva el 29 de junio de 2026.

Lo que cambia

Las obligaciones de los sistemas de alto riesgo independientes del Anexo III (empleo, educación, infraestructuras críticas, scoring crediticio, actuación policial) se aplazan del 2 de agosto de 2026 al 2 de diciembre de 2027. Las de los sistemas de IA integrados en productos ya regulados por otra normativa europea (Anexo I: dispositivos médicos, maquinaria, juguetes) se aplazan hasta el 2 de agosto de 2028. Además se incorpora una prohibición nueva, sobre contenido de imagen íntima no consentida generado por IA, con entrada en vigor el 2 de diciembre de 2026 con independencia de que exista o no un sistema de alto riesgo de por medio. El desglose por artículo de Freshfields lo detalla bien.

Lo que no cambia

Las prácticas prohibidas y la obligación de alfabetización en IA llevan en vigor desde el 2 de febrero de 2025, y el Digital Omnibus no las toca. Las obligaciones para los proveedores de modelos de propósito general, como ChatGPT, Claude o Gemini, se aplican desde el 2 de agosto de 2025. Y las obligaciones de transparencia del artículo 50, que es la que de verdad afecta al día a día de una empresa que usa IA generativa, entraron en vigor el 2 de agosto de 2026 tal cual estaba previsto, con una prórroga corta y específica solo para el marcado técnico de contenido en sistemas ya desplegados antes de esa fecha, que se extiende hasta el 2 de diciembre de 2026.

El aplazamiento es real, pero afecta a una parte concreta del reglamento, los sistemas de alto riesgo del Anexo III y el Anexo I, no a todo el AI Act. Si tu empresa usa IA generativa para atención al cliente, redacción, análisis o soporte interno, casi ninguna de tus obligaciones inmediatas se ha movido.

A quién afecta: no hace falta desarrollar IA para tener obligaciones

El error más repetido es pensar que el AI Act solo habla con quien construye modelos de IA.

El reglamento distingue entre proveedor, quien desarrolla el sistema o lo pone en el mercado, y desplegador, quien lo usa dentro de su actividad profesional. Una empresa es desplegadora desde el momento en que alguien usa ChatGPT, Copilot, un CRM con scoring automático o cualquier herramienta con IA integrada, aunque no haya programado nada.

Las obligaciones, una por una

Alfabetización en IA, artículo 4, ya vigente desde el 2 de febrero de 2025. Proveedores y desplegadores deben garantizar un nivel suficiente de conocimiento, formación y comprensión sobre la IA que usa su personal: qué puede hacer, qué riesgos tiene, qué limitaciones. No exige saber programar; exige poder demostrar que la plantilla no usa la IA a ciegas.

Transparencia, artículo 50, en vigor desde el 2 de agosto de 2026. Quien despliega un chatbot debe dejar claro que la persona está hablando con una IA, no con un humano, salvo que sea evidente por el contexto. Quien despliega sistemas que generan contenido sintético debe asegurarse de que ese contenido pueda identificarse como generado o manipulado por IA, en un formato legible por máquina.

Obligaciones del desplegador de alto riesgo, artículo 26, aplicable a los sistemas del Anexo III desde el 2 de diciembre de 2027. Entre otras: usar el sistema según las instrucciones del proveedor, asignar supervisión humana con competencia y autoridad reales, vigilar el funcionamiento e informar de inmediato si detecta un riesgo, conservar los registros generados automáticamente durante al menos seis meses, e informar a los trabajadores antes de poner en marcha un sistema de alto riesgo en el puesto de trabajo.

Aunque el grueso del artículo 26 se aplaza a diciembre de 2027 para los sistemas del Anexo III, la alfabetización y la transparencia siguen corriendo ya, en paralelo, sin esperar a esa fecha.

Las multas que puedes pagar

El artículo 99 fija tres tramos:

Para una gran empresa se aplica el importe mayor entre el fijo y el porcentaje. Pero el propio artículo 99, en su apartado 6, establece una regla distinta para pymes y startups: en su caso se aplica el importe menor entre los dos.

La diferencia no es cosmética. Una empresa que factura 2 millones de euros no se enfrenta a 35 millones; se enfrenta, en el peor de los casos, al 7% de esa facturación, unos 140.000 euros. Sigue siendo una cifra capaz de comprometer la tesorería de una pyme, pero no tiene nada que ver con el titular de los 35 millones que ha circulado estas semanas.

Y un matiz que se pasa por alto: las multas del AI Act no sustituyen a las del RGPD, se suman. Si una fuga de datos a través de una IA generativa implica datos personales, la misma infracción puede activar un expediente sancionador por el AI Act y otro por el RGPD, que opera desde 2018 sin ningún aplazamiento posible.

Qué está pasando ya en España

La AESIA, Agencia Española de Supervisión de la Inteligencia Artificial, tiene su sede en A Coruña y se creó en 2023, siendo España el primer país de la Unión Europea con una agencia estatal dedicada a esto.

El Consejo de Ministros aprobó el 26 de mayo de 2026 la remisión al Congreso de los Diputados del Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, que da a la AESIA su marco sancionador nacional definitivo y reparte competencias con la AEPD, el CGPJ, el Banco de España y la CNMV según el ámbito. El texto se publicó en el Boletín Oficial de las Cortes Generales el 12 de junio de 2026 y sigue en tramitación parlamentaria. La Administración Pública queda exenta de las multas económicas en el texto aprobado; las empresas privadas no tienen ninguna exención equivalente.

Que la ley española siga en trámite no suspende nada. El reglamento europeo ya es de aplicación directa, y las obligaciones vigentes (prohibiciones y alfabetización desde febrero de 2025, transparencia desde agosto de 2026) son exigibles con o sin ley nacional. La AEPD, además, ya ha abierto investigaciones por uso indebido de IA con datos personales bajo el marco del RGPD, que no necesita esperar a nada.

¿Qué hacer ahora?

Haz un inventario real de qué IA se usa en la empresa, incluida la que nadie ha aprobado formalmente. No sirve una lista de aplicaciones compradas si la mitad del equipo usa ChatGPT desde su cuenta personal.

Cubre primero lo que ya es exigible: alfabetización del personal y transparencia si tienes chatbots o generas contenido con IA. No dejes la clasificación de riesgo para diciembre de 2027 si algún sistema toca selección de personal, evaluación educativa o scoring.

Da una alternativa aprobada antes de prohibir, y añade una capa técnica que no dependa de que cuarenta personas recuerden la política cada vez que abren un chat de IA.

Si quieres el detalle de qué implica cada obligación para una empresa española, hay una guía práctica de BIPLAZA que lo aterriza bien, y nosotros escribimos sobre las oportunidades y desafíos del reglamento para las empresas europeas.

Fuentes

Todas consultadas el 9 de agosto de 2026. Si algo no te cuadra, compruébalo.

Texto oficial y articulado

• EUR-Lex: Reglamento (UE) 2024/1689, el texto consolidado.
• AI Act Explorer del Future of Life Institute, articulado navegable: artículo 4 (alfabetización), artículo 5 (prácticas prohibidas), artículo 6 (clasificación de alto riesgo), artículo 26 (obligaciones del desplegador), artículo 50 (transparencia) y artículo 99 (sanciones, incluido el apartado 6 del que sale la regla del importe menor para pymes).

El Digital Omnibus

• EUR-Lex: propuesta de la Comisión, COM(2025) 836, de 19 de noviembre de 2025.
• Consejo de la Unión Europea: nota de prensa de la aprobación definitiva, 29 de junio de 2026.
• Freshfields: EU AI Act unpacked #34, The final Digital Omnibus on AI, el calendario nuevo desglosado por artículo.

España

• AESIA, sitio institucional de la agencia.
• La Moncloa: resumen del Consejo de Ministros del 26 de mayo de 2026.
• Congreso de los Diputados: ficha del Proyecto de Ley Orgánica, expediente 121/000096.

Contexto

• COPE: Multas de hasta 35 millones de euros a partir del 2 de agosto por la Ley de IA. ¿También para las pymes?
• BIPLAZA: Ley de IA en España. ¿Qué debe hacer tu empresa para cumplirla?

Artículos anteriores nuestros

• AI Act: la nueva regulación europea que cambia cómo tu empresa puede usar inteligencia artificial
• La Ley de Inteligencia Artificial de la UE: oportunidades y desafíos para las empresas europeas

Si te has quedado con la duda de por dónde empezar, esa es la parte fácil de resolver. El inventario de IA y la formación del artículo 4 son trabajo acotado: se hacen en semanas, no en trimestres, y son justo lo que hay que poder demostrar si alguien pregunta.

Es a lo que nos dedicamos. Montevive acompaña a empresas e instituciones a inventariar qué IA se está usando de verdad, formar a los equipos con el nivel que pide el artículo 4 y clasificar los sistemas que puedan caer en el Anexo III antes de que la fecha llegue. Si quieres que lo miremos con tu caso delante, escríbenos.

Este artículo refleja el estado del marco normativo a 9 de agosto de 2026, incluida la adopción del Digital Omnibus sobre IA. Tiene finalidad informativa y no sustituye asesoramiento legal: verifica siempre la documentación oficial vigente antes de tomar decisiones de cumplimiento.