Tras NIS-2 y DORA, con el EU AI Act se incorpora la siguiente regulación impulsada por plazos que alcanza a la mediana empresa. Desde el 2 de agosto de 2026, el Reglamento (UE) 2024/1689 se aplica directamente en gran parte, y, a diferencia de NIS-2, no hay delimitación sectorial: quien emplea u ofrece IA está en principio dentro del ámbito de aplicación. Al mismo tiempo, el llamado Ómnibus Digital ha aplazado las obligaciones políticamente más delicadas. Esto conduce a un malentendido extendido: «aplazado» no significa «resuelto», y lo que rige desde agosto de 2026 rige con rigor.
Este artículo interpreta qué es realmente aplicable desde el 2 de agosto de 2026, qué ha pospuesto el Ómnibus y qué debería hacer ahora concretamente una mediana empresa.
La situación de plazos, ordenada con sobriedad
El AI Act entró en vigor el 1 de agosto de 2024 y se aplica de forma escalonada. Las etapas relevantes:
- 2 de febrero de 2025: rigen las prohibiciones (art. 5) para las prácticas de IA inaceptables, así como la obligación de competencia en IA («AI literacy», art. 4).
- 2 de agosto de 2025: rigen las reglas de gobernanza y las obligaciones para los proveedores de modelos de IA de uso general (GPAI, art. 51 y ss.).
- 2 de agosto de 2026: entra en vigor la aplicabilidad general, en particular las obligaciones de transparencia del art. 50 así como el régimen de sanciones y ejecución.
- 2 de diciembre de 2027: las obligaciones para los sistemas de alto riesgo del anexo III (aplicaciones autónomas como el cribado de candidatos, la evaluación de solvencia, la biometría).
- 2 de agosto de 2028: las obligaciones para los sistemas de alto riesgo integrados en productos regulados (anexo I).
Las dos últimas fechas son el resultado del Ómnibus Digital: las obligaciones de alto riesgo del anexo III se aplazaron del 2 de agosto de 2026 original al 2 de diciembre de 2027, y las del anexo I del 2 de agosto de 2027 al 2 de agosto de 2028. Este aplazamiento alivia a las empresas que operan o desarrollan sistemas de alto riesgo, pero no cambia nada de lo que rige directamente desde el 2 de agosto de 2026.
Lo que rige con rigor desde el 2 de agosto de 2026: la transparencia del art. 50
Las obligaciones de transparencia del art. 50 no se aplazaron. Afectan prácticamente a toda empresa que emplea IA generativa en el contacto con el cliente o en la producción de contenidos:
- Divulgación del chatbot (art. 50, apdo. 1): quien interactúa con un sistema de IA debe ser informado de ello, de forma reconocible en la propia interacción, no oculta en las condiciones generales. Un bot de soporte sin un aviso claro deja, por tanto, de ser conforme.
- Etiquetado de los contenidos generados por IA (art. 50, apdo. 2): las salidas de los sistemas generativos deben marcarse de forma legible por máquina como generadas o editadas artificialmente. Para los sistemas existentes, el reglamento prevé un plazo transitorio hasta el 2 de diciembre de 2026; los sistemas nuevos deben aplicar el marcado de inmediato.
- Etiquetado de deepfakes y de asuntos de interés público (art. 50, apdo. 4): los medios sintéticos que representan personas o hechos reales deben etiquetarse de forma visible. Los textos generados por IA sobre asuntos de interés público también, a menos que pasen por una revisión editorial documentada con responsabilidad designada.
Estas obligaciones suenan técnicas, pero en la práctica son sobre todo una cuestión de disciplina de proceso: ¿quién sabe dónde, en la propia casa, la IA generativa produce textos, imágenes o respuestas de chat para el cliente?
Proveedor o responsable del despliegue: la cuestión del rol decide las obligaciones
El AI Act distingue dos roles básicos, y la diferencia tiene consecuencias. Un proveedor («provider») desarrolla un sistema de IA o un modelo GPAI y lo introduce en el mercado bajo su propio nombre. Un responsable del despliegue («deployer») emplea un sistema de este tipo bajo su propia responsabilidad, es decir, la mediana empresa típica que utiliza en operación una herramienta adquirida.
La clasificación no es estática: quien modifica sustancialmente un modelo adquirido, lo ajusta de forma fina o lo redistribuye bajo su propio nombre puede convertirse él mismo en proveedor con las obligaciones de este. Para la mayoría de las medianas empresas rige de entrada el rol de responsable del despliegue, pero precisamente aquí merece la pena la revisión documentada, en lugar de dejar la cuestión abierta.
Cuánto cuestan las infracciones
El régimen de sanciones del art. 99 es ejecutable desde el 2 de agosto de 2026 y es de varios niveles:
- Las infracciones de las prohibiciones del art. 5 pueden sancionarse con hasta 35 millones de euros o el 7 % de la cifra de negocios anual mundial, según cuál sea el importe más alto.
- Las infracciones de la mayoría de las demás obligaciones materiales, incluidas las obligaciones de transparencia de GPAI y del art. 50, se sitúan en un nivel inferior de hasta 15 millones de euros o el 3 % de la cifra de negocios anual mundial.
- Para la información falsa o incompleta a las autoridades rige un tercer nivel de hasta 7,5 millones de euros o el 1 %.
Para las pequeñas y medianas empresas, el reglamento prevé proporcionalidad, pero las multas siguen siendo ejecutables, y el orden de magnitud deja claro que no se trata de una formalidad.
Qué debería hacer ahora concretamente una mediana empresa
La presión de actuar no está en la costosa conformidad de alto riesgo —esa está pospuesta a 2027 y 2028—. Está en cuatro trabajos de base que de todos modos son la condición para cualquier cumplimiento posterior:
1. Elaborar un inventario de IA
Hágase una visión de conjunto completa de dónde se emplea IA en la empresa, incluida la «IA en la sombra», es decir, las herramientas que departamentos concretos usan sin autorización central. Sin este inventario no se puede asignar limpiamente ninguna obligación.
2. Clasificación de riesgos por caso de uso
Asigne cada caso de uso a las categorías del reglamento: prohibido (art. 5), de alto riesgo (anexo III/I), sujeto a transparencia (art. 50) o de riesgo mínimo. Solo esta clasificación le dice qué obligaciones y qué plazos rigen para qué sistema.
3. Establecer la transparencia
Aplique las obligaciones del art. 50 allí donde ya rigen hoy: avisos de chatbot, etiquetado de contenidos generados, procesos de revisión editorial. Es la parte directamente verificable desde agosto de 2026.
4. Anclar la gobernanza y la higiene de datos
La competencia en IA del art. 4 no es opcional, sino obligatoria desde febrero de 2025: sus empleados deben entender los sistemas que utilizan. A ello pertenecen directrices de uso claras, responsabilidades designadas y —a menudo subestimada— la higiene de datos. Porque muchos riesgos de gobernanza no surgen de la regulación, sino de la fuga imprudente de datos confidenciales hacia modelos externos.
Interpretación: obligación con beneficio estratégico secundario
Como ya ocurría con NIS-2, rige: el AI Act no exige en esencia acrobacias exóticas, sino un manejo consciente y documentado de una tecnología que de todos modos hace tiempo que está en casa. El inventario, la clasificación y la higiene de datos que el reglamento impone son a la vez la base para poder usar la IA de forma controlada y económica. Un fichero lleno de suscripciones a herramientas sin gobernanza no es ni conforme ni productivo.
Cómo ayuda sector7
Como casa de gestión propia de Solingen, acompañamos a las empresas de Renania del Norte-Westfalia a través del inventario de IA, la clasificación de riesgos y la construcción de una gobernanza sólida; nuestro asesoramiento en preparación y gobernanza de IA une este trabajo con el asesoramiento en cumplimiento sobre AI Act, NIS-2, DORA e ISO 27001 de una sola mano. Para el punto más delicado —la fuga de datos hacia modelos ajenos— ofrecemos con IA soberana entornos LLM y RAG privados y protegidos en nuestro propio parque de servidores alemán: sus datos no abandonan el entorno controlado, lo que facilita estructuralmente la higiene de datos y las obligaciones de transparencia.
A una interpretación honesta pertenece también lo que no hacemos: no entrenamos modelos fundacionales propios, no vendemos una «plantilla digital» autónoma y no rebajamos los precios de los hyperscalers. Nuestra operación de Managed AI Ops con SLA fijo está en construcción. Lo que ofrecemos hoy es asesoramiento, gobernanza y la operación segura de IA privada sobre infraestructura propia, certificados para Juniper, Cisco, HPE, F5, Fortinet y Palo Alto Networks.
Este artículo es una interpretación técnica y no sustituye el asesoramiento jurídico en cada caso concreto.