Durante meses, el Reglamento de Inteligencia Artificial de la Unión Europea parecía una norma de futuro. Ya no lo es. Desde el 2 de agosto de 2026 la Oficina de IA de la Comisión Europea y las autoridades nacionales de cada país tienen poder para comprobar que se cumple, pedir documentación y, si hace falta, sancionar. Para una empresa española que usa ChatGPT, un asistente de voz o un software con IA dentro, la pregunta ya no es «si» nos afectará, sino «qué nos pueden pedir y en qué plazo».

Este artículo no repite lo que ya explicamos sobre la marca de agua de los textos. Se centra en otra cosa: quién vigila, qué plazos quedan y qué papeles conviene tener preparados. Es un resumen práctico, no asesoramiento jurídico. Si tu negocio toma decisiones importantes con IA, lo sensato es revisarlo con un abogado especializado.

Qué cambió el 2 de agosto de 2026

La Comisión Europea publica en su página oficial del marco de cumplimiento que, desde el 2 de agosto de 2026, la Oficina de IA y las autoridades nacionales asumen la aplicación del Reglamento. Hasta ese día, buena parte de las obligaciones existía en el papel pero sin un sistema de vigilancia en marcha. Ahora sí.

Eso significa, en la práctica, tres cosas:

• Hay supervisores con nombre. La Oficina de IA de la Comisión vigila los modelos de IA de propósito general, es decir, los grandes modelos que luego otras empresas integran. Las autoridades de cada Estado vigilan los sistemas que se usan dentro de su territorio.

• Pueden pedir información. El Reglamento permite exigir documentación técnica, evaluar modelos y pedir medidas correctoras. No hace falta esperar a una denuncia.

• Las sanciones están previstas en la norma. El texto fija techos de multa que dependen de la infracción. Las prácticas prohibidas son las más graves; las obligaciones de transparencia y documentación, las siguientes.

En España, la autoridad nacional es la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), que ya tenía encargada esa función antes de la fecha. Si quieres seguir la actualidad de su criterio, su web oficial es el sitio al que acudir, no los resúmenes de terceros.

Los plazos que todavía tienen fecha

No todo entra en vigor a la vez. El calendario que publica la Comisión separa las obligaciones por bloques, y conviene tenerlo claro para no preocuparse por lo que aún no toca ni descuidar lo que ya aplica:

• Ya aplicables: las prácticas prohibidas (por ejemplo, la manipulación que explota vulnerabilidades o la puntuación social) y la obligación de alfabetización en IA del personal.

• 2 de diciembre de 2026: prohibición de sistemas de IA que generen material íntimo sin consentimiento o material de abuso sexual infantil.

• 2 de diciembre de 2027: reglas para los sistemas de alto riesgo del anexo III, como los usados en selección de personal o en la evaluación de solvencia.

• 2 de agosto de 2028: reglas para los sistemas de alto riesgo integrados en productos regulados, como maquinaria o dispositivos médicos.

Ojo con un matiz: el paquete de simplificación de la Unión ha aplazado algunas de estas fechas para ciertos sistemas del sector público. Antes de planificar nada basado en un plazo concreto, compruébalo en el texto oficial, porque las fechas se han movido más de una vez.

Qué te puede pedir una autoridad

Una inspección no empieza con una multa. Empieza con una petición de información. Y lo que se pide suele ser sencillo de describir y difícil de improvisar. Estos son los documentos que más pesan en cualquier revisión:

• Inventario de sistemas de IA. Una lista de todas las herramientas con IA que usa tu empresa, para qué, con qué datos y quién las gestiona. Parece obvio, pero casi nadie lo tiene por escrito.

• Clasificación de riesgo. Para cada sistema, por qué crees que es de riesgo mínimo, limitado o alto. Si es alto, qué medidas aplicas.

• Transparencia hacia quien interactúa con la IA. Si un cliente habla con un chatbot, debe saberlo. Y si un contenido se ha generado de forma artificial, en determinados casos debe poder identificarse como tal.

• Supervisión humana. Quién revisa las decisiones que la IA toma o propone, y cómo puede corregirse un error.

• Formación del personal. Evidencia de que quien usa estas herramientas sabe lo que hace y sus límites.

Si tuvieras que enseñar esto mañana, ¿lo tendrías en una carpeta? Esa pregunta sirve de test mejor que cualquier checklist genérico.

El error más común: creer que solo afecta a las tecnológicas

Mucha pyme piensa que el Reglamento es cosa de OpenAI, Anthropic o Google. Esa lectura es incompleta. La norma distingue entre quien desarrolla un sistema de IA y quien lo despliega o lo usa en su actividad. Un despacho que usa un software de IA para filtrar currículos, una clínica con un asistente que responde a pacientes o una inmobiliaria que genera fichas con IA entran en el perímetro aunque no hayan construido nada.

Dicho de otra forma: no hace falta fabricar IA para tener obligaciones. Basta con usarla en un contexto que la norma considera sensible. Por eso el inventario del punto anterior es lo primero que conviene hacer.

Relacionado con esto está la protección de datos. El Reglamento no sustituye al RGPD, se suma a él. Un sistema puede cumplir la IA y fallar en privacidad, o al revés. Te explicamos la parte de datos de clientes en este artículo sobre ChatGPT y el RGPD en pymes.

Quién responde si algo sale mal: proveedor o tú

Una de las preguntas que más se repiten en las consultas es esta: si el software que contratamos falla, ¿la responsabilidad es suya o nuestra? La respuesta práctica es que se reparte, y el reparto depende de tu papel en la cadena. El proveedor del sistema tiene obligaciones sobre cómo está diseñado, entrenado y documentado. Quien lo usa en su negocio tiene obligaciones sobre cómo lo aplica, con qué datos y con qué supervisión.

Esto tiene una consecuencia importante en los contratos. Un proveedor que no puede decirte qué datos usó para entrenar su sistema, qué limitaciones conoce o cómo se corrigen los errores te deja a ti con el riesgo. Por eso conviene leer las condiciones de servicio con una pregunta concreta en mente: ¿qué me garantizan y qué me dejan a mí?

También importa el uso que das a la herramienta. Un mismo modelo puede ser de bajo riesgo si redacta una propuesta comercial y de alto riesgo si puntúa a candidatos para un puesto. El fabricante no controla esa decisión; la empresa que la toma sí. Por eso la clasificación de cada caso de uso es responsabilidad de quien lo pone en marcha, y no basta con pensar que «el modelo es seguro» en general.

Un último matiz práctico: si personalizas un sistema, cambias su finalidad o lo integras con tus propios datos, puedes pasar a ocupar un papel más cercano al del desarrollador. Es un terreno delicado en el que conviene pedir consejo antes de dar el paso, no después de tener un problema.

Qué hacer esta semana, sin dramatizar

No hace falta un departamento jurídico para empezar. Hay un orden razonable que cualquier pyme puede seguir en pocos días:

• Día 1: haz la lista. Pregunta a cada persona del equipo qué herramientas con IA usa, incluidas las gratuitas y las que vienen dentro de otro software. Anota también las que se han instalado sin avisar.

• Día 2: marca las sensibles. Cualquier sistema que decida algo sobre personas (contratar, cobrar, aceptar o rechazar, valorar) o que trate datos delicados merece revisión prioritaria.

• Día 3: pide a tus proveedores su documentación. Los fabricantes deben poder facilitar información técnica y de cumplimiento. Si no pueden, es una señal que anotar.

• Día 4: avisa donde haga falta. Si un cliente interactúa con un chatbot, que lo sepa. Revisa también el texto de tu web y tus políticas de uso.

• Día 5: forma al equipo y guarda constancia. Una sesión corta y un documento firmado con las normas de uso cubren mucho terreno.

Lo que no conviene hacer es contratar un «certificado de cumplimiento» a quien te lo venda por una cifra fija sin haber visto tu caso. Las promesas de cumplimiento garantizado suelen ser humo, igual que los «humanizadores» de texto que prometen esquivar cualquier detector.

La lectura de fondo: documentar es vender mejor

Hay una lectura menos defensiva. Una empresa que sabe qué IA usa, para qué y con qué límites vende mejor. Cuando un cliente grande pide garantías sobre el uso de IA en un proyecto, la respuesta documentada gana tiempo y confianza. Y cuando un competidor no puede contestar esa pregunta, la diferencia se nota.

Esto también conecta con cómo elegir herramientas. Un modelo más barato o más potente no siempre es el adecuado si no puedes explicar cómo lo usas. Si estás decidiendo qué IA encaja con tu negocio, la guía para elegir modelo de IA para empresas te ayuda a pensar en esos criterios antes de contratar nada.

Qué no sabemos todavía

Hay partes del Reglamento que se irán aclarando con la práctica: cómo se interpretarán algunas categorías de riesgo, qué criterios usarán las autoridades nacionales para graduar una sanción y cómo se coordinarán entre países. Las primeras resoluciones marcarán mucho del día a día. Por eso conviene desconfiar de quien presente una interpretación como si fuera la única posible.

Lo que sí está claro es la dirección. La IA deja de ser un experimento sin reglas y pasa a tratarse como cualquier otra herramienta que afecta a personas: con responsabilidades, con documentación y con alguien que puede preguntar por ella.

Preguntas frecuentes

¿El Reglamento de IA ya se aplica a mi empresa?

Depende de cómo uses la IA. Algunas obligaciones, como las prácticas prohibidas y la formación del personal, ya son exigibles. Otras, como las de sistemas de alto riesgo, tienen fechas posteriores. Lo primero es identificar qué herramientas usas y en qué contexto.

¿Quién me puede sancionar por incumplir?

Las autoridades nacionales de cada Estado miembro, en España la AESIA, y la Oficina de IA de la Comisión Europea para los modelos de propósito general. Las multas se fijan según el tipo de infracción y el tamaño de la empresa, y el texto prevé límites distintos para cada categoría.

¿Usar ChatGPT para escribir mis textos me obliga a algo?

Usar una herramienta para redactar no te convierte en responsable de la norma por sí mismo. Sí conviene saber qué contenido se genera con IA y, si se publica como material de tu marca, no presentar como humano algo que no lo es cuando la norma lo exija. El caso de las marcas de agua en textos de ChatGPT lo tratamos en este artículo.

¿Necesito un abogado para cumplir?

Para entender el marco y ordenar tu inventario, no necesariamente. Para decidir si un sistema es de alto riesgo, o para revisar contratos con proveedores, sí es recomendable contar con un profesional. Un diagnóstico inicial bien hecho ahorra mucho tiempo después.

¿Qué es lo primero que debo hacer si tengo poco tiempo?

Haz el inventario de herramientas con IA y marca las que toman decisiones sobre personas o tratan datos sensibles. Con esa lista ya sabes por dónde empezar y qué pedir a tus proveedores.

¿La norma afecta también a las pymes pequeñas?

Sí, aunque el texto contempla algunas facilidades para pymes y startups en ciertos trámites. Esas facilidades no eximen de las obligaciones de fondo, así que el inventario sirve igual para una empresa de cinco personas que para una de cien.

Si quieres revisar qué IA usa tu negocio y qué le conviene documentar antes de que llegue una petición, cuéntanos cómo trabajas y lo miramos juntos en una primera conversación sin compromiso. Escríbenos desde la página de contacto.