El AI Act abrió el 2 de agosto de 2026 una fase distinta para las empresas que desarrollan o utilizan inteligencia artificial en Europa. Desde esa fecha se aplican las obligaciones de transparencia del artículo 50 y comienzan las facultades de ejecución de la Comisión Europea y de las autoridades nacionales sobre las reglas ya exigibles. El cambio obliga a revisar qué sistemas usa cada organización, qué información reciben las personas y qué evidencias permitirían explicar esas decisiones ante un supervisor.
El reglamento entró en vigor el 1 de agosto de 2024. Las primeras prohibiciones y las disposiciones sobre alfabetización en IA empezaron a aplicarse en febrero de 2025; las reglas de gobernanza y las obligaciones para los modelos de propósito general, en agosto de ese mismo año. El nuevo hito amplía el perímetro efectivo de la norma, aunque todavía deja fuera buena parte del régimen previsto para los sistemas de alto riesgo.
El AI Act obliga a identificar la interacción con IA
Chatbots, asistentes virtuales y otros servicios conversacionales deben informar de que detrás de la interfaz hay una inteligencia artificial, salvo cuando resulte evidente por las circunstancias. Para una empresa, el ajuste alcanza al diseño del servicio, al momento en que se muestra el aviso y a la claridad con la que se presenta.
La regla se proyecta sobre herramientas de atención al cliente, agentes comerciales y asistentes incorporados a páginas web. También alcanza a desarrollos construidos sobre modelos de terceros. La clasificación jurídica depende del papel que ocupa cada participante, una distinción que puede repartir obligaciones entre el proveedor del modelo, la compañía que crea el sistema y la organización que lo despliega frente al usuario.
El artículo 50 incorpora obligaciones para los proveedores de sistemas capaces de generar o manipular texto, audio, imágenes o vídeo. Estos sistemas deben facilitar la detección del origen artificial mediante marcas legibles por máquina, siempre que la solución sea técnicamente viable y suficientemente robusta. La Comisión contempla metadatos, marcas de agua, registros o métodos criptográficos, sin imponer una única arquitectura.
El marcado técnico corresponde al proveedor, mientras la información visible puede recaer sobre quien utiliza o publica el contenido. Los responsables del despliegue deben identificar los deepfakes y determinados textos generados o manipulados con IA destinados a informar al público sobre asuntos de interés general. En estos últimos casos existen excepciones cuando ha intervenido una revisión humana sustantiva y una persona o entidad asume responsabilidad editorial.
Una corrección ortográfica o una comprobación formal no bastan para acogerse a esa excepción. Las directrices europeas exigen capacidad real para aprobar, modificar o rechazar el contenido atendiendo a su sustancia, incluida la verificación de la información y de las fuentes. Para medios y departamentos de comunicación, el criterio desplaza el análisis desde la herramienta hacia el control editorial aplicado.
La Comisión ha validado además un código voluntario, firmado por más de 180 organizaciones, como vía para acreditar el marcado y el etiquetado, aunque admite mecanismos equivalentes. Las compañías que no se adhieran tendrán que demostrar el cumplimiento por otros medios adecuados.
La supervisión empieza con competencias repartidas
La Oficina Europea de Inteligencia Artificial puede ejercer sus facultades de investigación y sanción sobre los proveedores de modelos de propósito general y determinados sistemas vinculados a ellos. Puede solicitar información, requerir acceso para evaluar modelos, ordenar medidas correctoras y limitar su disponibilidad.
Esas facultades se apoyan en obligaciones que ya afectan a los proveedores de modelos de propósito general. Deben preparar documentación para las autoridades y para las empresas que integran sus modelos, adoptar una política de cumplimiento de la normativa europea sobre derechos de autor y publicar un resumen suficientemente detallado de los contenidos empleados durante el entrenamiento. Los proveedores de los modelos más avanzados deben, además, evaluar y reducir riesgos sistémicos relacionados con ciberseguridad, manipulación, pérdida de control o daños a gran escala.
Las autoridades nacionales se ocupan del resto de sistemas, mientras el Supervisor Europeo de Protección de Datos controla los utilizados por las instituciones de la Unión. La distribución evita concentrar la vigilancia en Bruselas, aunque depende de la capacidad técnica y presupuestaria de cada Estado. En España, AESIA se presenta como la entidad nacional de supervisión dentro de un esquema en el que también pueden intervenir organismos de protección de derechos y supervisores sectoriales.
La capacidad de supervisión contará con apoyo científico independiente. Un panel formado por 60 expertos asistirá al AI Office y a las autoridades nacionales en la evaluación de modelos, riesgos y medidas de seguridad. La oficina también ha nombrado a Alessandro Abate, profesor de la Universidad de Oxford especializado en verificación y control de sistemas de IA, como asesor científico principal. Su incorporación refuerza una estructura que tendrá que examinar tecnologías cuyo funcionamiento no siempre puede valorarse mediante documentación contractual o declaraciones de los proveedores.
La Comisión ha abierto una herramienta de reclamaciones, un canal seguro para alertadores vinculados profesionalmente con proveedores y un mecanismo para empresas que integran modelos de propósito general desarrollados por terceros. Estos cauces amplían la información disponible para los supervisores y añaden una variable a la gestión de proveedores tecnológicos.
Las prácticas prohibidas pueden alcanzar sanciones de 35 millones de euros o el 7% de la facturación mundial anual, la cifra que resulte superior. Otros incumplimientos, incluidas obligaciones sobre modelos de propósito general o transparencia, pueden llegar a 15 millones o al 3%. La escala de las multas coloca documentación y trazabilidad dentro de la gestión corporativa.
Henna Virkkunen, vicepresidenta ejecutiva de la Comisión Europea para Soberanía Tecnológica, Seguridad y Democracia, presentó el comienzo de esta etapa como un intento de combinar «seguridad jurídica para los innovadores» con la protección del interés público. Su declaración refleja el equilibrio que Bruselas pretende sostener durante la aplicación del reglamento: exigir controles sobre los modelos y sus usos sin frenar su adopción empresarial. La eficacia de ese planteamiento dependerá ahora de la coherencia de las inspecciones, de los recursos de las autoridades nacionales y de la disponibilidad de criterios técnicos comunes.
El AI Act retrasa la IA de alto riesgo
La nueva fase coincide con la entrada en vigor, el 27 de julio, del AI Omnibus. La reforma desplazó al 2 de diciembre de 2027 las obligaciones completas para los sistemas de alto riesgo del anexo III, entre ellos determinados usos en empleo, educación, crédito, biometría, migración y justicia. Los sistemas integrados en productos regulados, como maquinaria o dispositivos médicos, quedan para el 2 de agosto de 2028.
El aplazamiento responde a la necesidad de disponer de estándares y estructuras de evaluación antes de exigir el régimen completo. Sin embargo, la transparencia del artículo 50 mantiene su fecha y las reglas ya aplicables sobre prácticas prohibidas, alfabetización y modelos de propósito general continúan bajo supervisión.
Para una empresa usuaria, esa separación temporal altera las prioridades. Los expedientes de conformidad de alto riesgo pueden esperar en determinados casos, pero el inventario de sistemas, la clasificación de usos y la identificación de proveedores condicionan cualquier decisión posterior. Una herramienta general puede entrar en un ámbito regulado por la finalidad concreta con la que se utiliza, como ocurre con la selección de candidatos.
Los datos facilitados por Entelgy reflejan el recorrido pendiente. En una encuesta a 300 CEOs y directivos de empresas de más de 250 empleados que utilizan IA o herramientas digitales, el 31,7% declaró no haber implantado medidas de adaptación. Entre quienes sí habían actuado, la formación aparecía como la medida más extendida, seguida de los responsables de gobernanza y las políticas internas de uso.
La muestra no describe por sí sola a todas las grandes compañías españolas, pero apunta a una brecha entre adopción y control. Copilotos y herramientas generativas se han incorporado con frecuencia mediante contratos departamentales o cuentas individuales. Reconstruir después qué datos procesan, qué decisiones apoyan y qué avisos muestran resulta más costoso que introducir esas preguntas en compras, seguridad y diseño.
Del aviso en pantalla a la evidencia corporativa
La tarea inmediata consiste en comprobar chatbots, asistentes, sistemas de reconocimiento de emociones, categorización biométrica y procesos que publican contenido sintético. El análisis debe continuar hacia contratos y documentación técnica, porque una etiqueta visible no resuelve la obligación de marcado cuando corresponde al proveedor.
El alcance operativo llega también a la infraestructura. Holger Pfister, vicepresidente regional de SUSE, advierte de que la trazabilidad, la seguridad de los datos y la capacidad de auditoría no pueden resolverse únicamente en la aplicación visible para el usuario, sino que deben extenderse a la nube y a las capas tecnológicas que soportan cada sistema. Para las empresas que combinan modelos, plataformas y servicios de varios proveedores, conservar ese control exige revisar accesos, registros, condiciones contractuales e interoperabilidad. La dependencia tecnológica puede convertirse así en una dificultad regulatoria cuando impide reconstruir cómo se procesaron los datos o cómo se produjo una salida determinada.
Los sistemas generativos introducidos en el mercado antes del 2 de agosto disponen hasta el 2 de diciembre de 2026 para adaptarse a determinadas obligaciones técnicas de marcado y detección. La prórroga se limita al artículo 50.2. El aviso de interacción con IA y el etiquetado de deepfakes no comparten automáticamente ese margen.
A partir de ahora, el cumplimiento se medirá con inventarios, evaluaciones jurídicas, registros de compras, políticas de comunicación, formación y protocolos de incidencias. La capacidad de localizar cada sistema, asignar responsabilidades y demostrar el control sobre su uso determinará la respuesta cuando llegue una reclamación, una auditoría de cliente o una petición del supervisor.
