EU AI Act en 2026: qué deben hacer las empresas para cumplir con la nueva normativa de Inteligencia Artificial
La Inteligencia Artificial ya forma parte del día a día de muchas empresas.
Un equipo comercial utiliza ChatGPT para preparar propuestas. Recursos Humanos incorpora una herramienta para filtrar candidatos. Marketing genera imágenes y contenidos con IA. Atención al cliente despliega un chatbot. Finanzas utiliza algoritmos para detectar anomalías. Y, en muchos casos, diferentes departamentos empiezan a utilizar herramientas de Inteligencia Artificial sin que exista todavía una visión centralizada de todas ellas.
La pregunta ya no es únicamente cómo aprovechar la Inteligencia Artificial.
En 2026 aparece una segunda pregunta cada vez más importante:
¿Estamos utilizando la IA de acuerdo con el EU AI Act?
Desde el 2 de agosto de 2026, el Reglamento Europeo de Inteligencia Artificial es aplicable con carácter general en la Unión Europea, aunque algunas de sus obligaciones han entrado —o entrarán— en aplicación de forma progresiva.
Esto no significa que todas las empresas tengan que implantar las mismas medidas.
Precisamente, uno de los principios fundamentales del EU AI Act es su enfoque basado en el riesgo.
Por eso, antes de crear decenas de documentos, políticas o procedimientos, hay algo mucho más básico que una organización debería hacer:
entender qué sistemas de IA utiliza, para qué los utiliza, qué papel desempeña frente a ellos y qué obligaciones pueden resultar aplicables.
Veámoslo paso a paso.
El EU AI Act ya no es una regulación del futuro
Durante los últimos años era habitual hablar del EU AI Act como una normativa que “llegaría próximamente”.
Ese momento ya ha llegado.
El Reglamento (UE) 2024/1689 establece un marco común para el desarrollo, comercialización y utilización de sistemas de Inteligencia Artificial en la Unión Europea.
Texto consolidado del Reglamento (UE) 2024/1689 — EUR-Lex
Su aplicación se ha diseñado de forma progresiva.
Las obligaciones relacionadas con determinadas prácticas prohibidas y la alfabetización en Inteligencia Artificial comenzaron a aplicarse desde febrero de 2025.
Posteriormente entraron en aplicación otras partes del Reglamento y, desde agosto de 2026, el EU AI Act resulta aplicable con carácter general, incluidas importantes obligaciones relacionadas con la transparencia de determinados sistemas de IA.
Algunas obligaciones específicas correspondientes a sistemas clasificados como Alto Riesgo, sin embargo, disponen de un calendario posterior.
En particular, determinadas disposiciones aplicables a los sistemas de Alto Riesgo incluidos en el Anexo III serán aplicables desde el 2 de diciembre de 2027, mientras que determinadas obligaciones relativas a sistemas vinculados a productos regulados del Anexo I lo serán desde el 2 de agosto de 2028.
Esto introduce un matiz importante:
tener más tiempo para determinadas obligaciones no significa que las empresas deban esperar para empezar a identificar y gobernar sus sistemas de IA.
De hecho, cuanto mayor es el número de herramientas y casos de uso de IA dentro de una organización, más complejo resulta reconstruir posteriormente quién utiliza qué, con qué finalidad, qué datos intervienen y quién es responsable.
1. El primer paso: saber qué Inteligencia Artificial utiliza realmente la empresa
Puede parecer evidente.
En la práctica, no siempre lo es.
Imaginemos una empresa de 300 empleados.
El departamento de Marketing utiliza una herramienta de IA generativa para crear imágenes y textos.
El departamento Comercial utiliza asistentes de Inteligencia Artificial integrados en su CRM.
Recursos Humanos prueba un software que ayuda a clasificar candidaturas.
Atención al cliente ha conectado un chatbot a su base de conocimiento.
Algunos empleados utilizan, además, herramientas públicas de IA para resumir documentos, analizar información o preparar presentaciones.
¿Cuántos sistemas de IA utiliza realmente esa organización?
Probablemente más de los que Dirección, IT o Compliance conocen.
Por eso, uno de los primeros pasos de una estrategia seria de AI Governance consiste en crear un inventario de sistemas y casos de uso de Inteligencia Artificial, en Aicertia ofrecemos un sistema integrado de AI Gobernance, para pequeñas, medianas y grandes empresas.
Ese inventario puede incluir, entre otros aspectos:
- nombre del sistema o herramienta;
- proveedor;
- departamento responsable;
- finalidad;
- personas que lo utilizan;
- datos tratados;
- personas afectadas por sus resultados;
- grado de autonomía;
- decisiones en las que interviene;
- propietario interno del sistema;
- clasificación regulatoria preliminar.
No se trata simplemente de crear una hoja de cálculo.
Se trata de obtener una fotografía real de cómo se está utilizando la IA dentro de la organización.
2. No todas las herramientas de IA tienen el mismo riesgo
Aquí aparece uno de los conceptos esenciales del EU AI Act.
El Reglamento no trata del mismo modo todos los sistemas de Inteligencia Artificial.
El nivel de obligaciones depende, entre otros factores, de la finalidad del sistema, su contexto de utilización y el impacto que puede producir sobre las personas.
Pensemos en dos ejemplos.
Ejemplo 1: generación de contenido de marketing
Una empresa utiliza Inteligencia Artificial para generar una primera versión de los textos de sus publicaciones en redes sociales.
Una persona revisa posteriormente el contenido antes de publicarlo.
Ejemplo 2: selección de personal
La misma empresa incorpora un sistema de Inteligencia Artificial que analiza currículums y ayuda a determinar qué candidatos pasan a la siguiente fase de un proceso de selección.
Ambos utilizan Inteligencia Artificial.
Pero las consecuencias de sus decisiones son muy diferentes.
Por eso, uno de los errores más habituales sería aplicar una política genérica de IA y asumir que todos los sistemas están cubiertos de la misma forma.
El análisis debe realizarse caso por caso.
En Aicertia, este proceso comienza precisamente con una Clasificación de Riesgo e Impacto Regulatorio, mediante la cual se analiza el sistema, el caso de uso, el papel de la organización y las posibles obligaciones aplicables.
Clasificación de Riesgo e Impacto Regulatorio de IA — Aicertia
3. ¿Proveedor o responsable del despliegue? El papel de la empresa también importa
Otra pregunta fundamental es:
¿qué papel desempeña nuestra organización respecto al sistema de IA?
No es lo mismo desarrollar un sistema propio y comercializarlo que utilizar una solución creada por un tercero.
Una organización puede actuar, dependiendo del caso, como proveedor, responsable del despliegue —habitualmente denominado deployer—, importador, distribuidor u otro operador dentro de la cadena de valor.
Ese papel es relevante porque determina qué obligaciones corresponden a cada organización.
Por ejemplo, una compañía que utiliza una plataforma comercial de Inteligencia Artificial para apoyar determinados procesos internos no se encuentra necesariamente en la misma posición regulatoria que la empresa que desarrolla ese sistema.
Pero utilizar tecnología de terceros tampoco elimina las responsabilidades.
Puede seguir siendo necesario analizar:
- para qué se utiliza;
- qué decisiones apoya;
- qué personas se ven afectadas;
- qué instrucciones proporciona el proveedor;
- qué datos se introducen;
- qué supervisión humana existe;
- qué información recibe el usuario;
- cómo se controla el funcionamiento del sistema.
Por eso, una correcta clasificación no debería limitarse a responder:
“¿Es esta herramienta de Alto Riesgo?”
También debería responder:
“¿Qué papel desempeña nuestra empresa y qué obligaciones se derivan de ese papel?”
4. AI Literacy: formar a las personas que utilizan Inteligencia Artificial
Existe otra parte del EU AI Act que afecta potencialmente a un número enorme de organizaciones: la alfabetización en Inteligencia Artificial o AI Literacy.
El artículo 4 establece obligaciones para proveedores y responsables del despliegue dirigidas a apoyar el desarrollo de competencias en materia de IA entre el personal y otras personas que operan o utilizan sistemas de Inteligencia Artificial en su nombre.
La idea es sencilla:
si una organización introduce Inteligencia Artificial en sus procesos, las personas que trabajan con ella deberían comprender suficientemente qué están utilizando y cuáles son sus implicaciones.
Pero esto no significa necesariamente impartir exactamente el mismo curso a toda la organización.
Un responsable de Recursos Humanos que utiliza un sistema de IA para apoyar procesos de selección puede necesitar conocimientos diferentes a los de una persona que utiliza una herramienta generativa para preparar borradores internos.
Un departamento IT tendrá necesidades distintas a Marketing.
Y un responsable de Compliance o AI Governance probablemente necesitará un nivel de conocimiento diferente.
Un ejemplo sencillo
Imaginemos una empresa que permite a sus empleados utilizar herramientas de IA generativa.
Una política que simplemente diga:
“Se permite utilizar Inteligencia Artificial de forma responsable”
difícilmente resolverá por sí sola todos los riesgos.
Los empleados deberían saber, por ejemplo:
- qué herramientas están autorizadas;
- qué información pueden introducir;
- qué información no deberían compartir;
- cómo comprobar resultados;
- cuándo es necesaria revisión humana;
- qué riesgos de error, sesgo o confidencialidad pueden aparecer;
- cuándo es necesario informar del uso de Inteligencia Artificial.
La formación deja así de ser una cuestión exclusivamente académica.
Se convierte en una medida de gobierno de la IA.
AI Literacy y Certificación de Equipos — Aicertia
5. Transparencia: ¿sabe una persona cuándo está interactuando con una IA?
Desde el 2 de agosto de 2026 también resultan especialmente relevantes las obligaciones de transparencia contempladas en el artículo 50 del EU AI Act.
Entre otras situaciones, el Reglamento introduce obligaciones relacionadas con determinados sistemas que interactúan directamente con personas y con determinados contenidos generados o manipulados mediante Inteligencia Artificial.
Pensemos en un ejemplo muy habitual.
Una empresa incorpora un asistente conversacional a su página web para responder automáticamente las preguntas de sus clientes.
La primera cuestión no debería ser únicamente:
“¿Funciona bien el chatbot?”
También deberíamos preguntarnos:
“¿Sabe el usuario que está interactuando con un sistema de Inteligencia Artificial?”
El artículo 50 aborda precisamente este tipo de situaciones, además de determinados supuestos relacionados con contenido sintético, deepfakes, reconocimiento de emociones o categorización biométrica.
La Comisión Europea publicó en julio de 2026 directrices específicas para facilitar la interpretación y aplicación de estas obligaciones.
Es un buen ejemplo de cómo el cumplimiento del EU AI Act empieza a pasar de los grandes principios a situaciones empresariales muy concretas.
6. ¿Y si el sistema puede ser de Alto Riesgo?
Aquí es donde el análisis empieza a requerir mayor profundidad.
El EU AI Act considera de Alto Riesgo determinados sistemas de Inteligencia Artificial cuando su utilización puede producir impactos especialmente relevantes sobre la salud, la seguridad o los derechos fundamentales.
Dentro de los ámbitos contemplados aparecen determinados usos relacionados con cuestiones como:
- empleo y gestión de trabajadores;
- educación;
- determinados servicios esenciales;
- biometría;
- infraestructuras críticas;
- migración y control fronterizo;
- administración de justicia y otros ámbitos establecidos por el Reglamento.
Esto no significa que cualquier software de Recursos Humanos, por ejemplo, sea automáticamente de Alto Riesgo.
Lo determinante es analizar el caso de uso concreto y comprobar si reúne los criterios establecidos por el Reglamento.
Por eso resulta especialmente importante evitar conclusiones rápidas basadas únicamente en el nombre de la tecnología.
Si después de una primera clasificación existen indicadores de que un sistema puede quedar dentro de una categoría de Alto Riesgo, el siguiente paso puede ser evaluar de forma más profunda su grado de preparación.
Pre-Assessment EU AI Act — Sistemas de IA de Alto Riesgo — Aicertia
Entre los elementos que pueden necesitar análisis se encuentran la gestión de riesgos, gobernanza de datos, documentación, registros, supervisión humana, precisión, robustez, ciberseguridad y las responsabilidades de cada operador.
7. Cumplir no significa crear documentos y olvidarse de ellos
Existe además otro error frecuente.
Pensar en el cumplimiento como un proyecto con fecha de inicio y fecha de finalización.
- Un sistema de Inteligencia Artificial puede cambiar.
- El proveedor puede actualizar su modelo.
- Puede modificarse la finalidad para la que se utiliza.
- Puede empezar a trabajar con nuevos datos.
- Puede integrarse en otro proceso.
- Puede afectar a nuevas personas.
- O puede aparecer una nueva obligación, directriz o criterio regulatorio.
Por eso, una buena estrategia de AI Governance necesita una cierta continuidad.
Por ejemplo:
una empresa clasifica inicialmente un asistente interno como un sistema utilizado exclusivamente para ayudar a los empleados a localizar documentación.
Meses después, ese mismo sistema comienza a recomendar respuestas automáticas que los agentes envían directamente a clientes.
Aunque la tecnología sea aparentemente la misma, el contexto de utilización ha cambiado.
Y ese cambio puede justificar una nueva revisión.
Un modelo de gobierno continuo permite mantener actualizados el inventario, los responsables, los riesgos, los controles, los cambios, los proveedores y las evidencias.
Gobierno Continuo de IA — vAIO — Aicertia
8. Cinco preguntas que una empresa debería poder responder hoy
El EU AI Act puede parecer complejo cuando se observa como un Reglamento de cientos de páginas.
Pero existe una forma mucho más práctica de empezar.
Cualquier organización que utilice Inteligencia Artificial debería intentar responder con claridad a cinco preguntas:
1. ¿Qué sistemas de Inteligencia Artificial utilizamos?
No solamente los contratados oficialmente por IT, sino también las herramientas y casos de uso presentes en los diferentes departamentos.
2. ¿Para qué utilizamos cada sistema?
La finalidad y el contexto son fundamentales para determinar el riesgo.
3. ¿Qué papel desempeñamos?
¿Desarrollamos el sistema? ¿Lo comercializamos? ¿Lo utilizamos dentro de nuestra organización?
4. ¿Qué riesgos y obligaciones pueden aplicarse?
AI Literacy, transparencia, posibles categorías de Alto Riesgo, supervisión humana, documentación u otras obligaciones.
5. ¿Podemos demostrar lo que estamos haciendo?
Esta última pregunta es quizá la más importante.
Una empresa puede afirmar que utiliza la Inteligencia Artificial de forma responsable.
Pero, llegado el momento, debería poder demostrar cómo lo hace.
- ¿Qué sistemas ha identificado?
- ¿Quién es responsable?
- ¿Qué evaluación se realizó?
- ¿Qué formación recibió el personal?
- ¿Qué controles se han implantado?
- ¿Qué decisiones se tomaron?
- ¿Qué evidencias existen?
En cumplimiento regulatorio, lo que una organización puede demostrar suele ser tan importante como lo que afirma estar haciendo.
De utilizar IA a gobernar la IA
Durante los últimos años, muchas organizaciones se han concentrado en una pregunta:
“¿Cómo podemos utilizar más Inteligencia Artificial?”
La llegada del EU AI Act introduce inevitablemente una segunda:
“¿Cómo podemos utilizarla de forma controlada, responsable y conforme a la regulación?”
No significa frenar la innovación.
Al contrario.
Una organización que conoce sus sistemas, comprende sus riesgos, establece responsabilidades y forma adecuadamente a sus equipos tiene una base mucho más sólida para incorporar nuevas soluciones de Inteligencia Artificial.
El objetivo no debería ser generar burocracia alrededor de cada herramienta.
El objetivo debería ser saber qué IA tenemos, qué riesgo tiene y qué debemos hacer al respecto.
Ese es probablemente el mejor punto de partida para cualquier estrategia de cumplimiento del EU AI Act.
¿Por dónde empezar?
En Aicertia ayudamos a las organizaciones a convertir los requisitos del EU AI Act en medidas concretas y ejecutables.
El proceso puede comenzar identificando y clasificando los sistemas de Inteligencia Artificial utilizados por la organización, determinando el papel que desempeña la empresa y analizando las obligaciones regulatorias aplicables.
Clasificación de Riesgo e Impacto Regulatorio de IA
A partir de ahí, cuando sea necesario, pueden abordarse evaluaciones de preparación para sistemas de Alto Riesgo, medidas de transparencia, programas de AI Literacy, remediación y modelos de gobierno continuo.
Porque el cumplimiento del EU AI Act no empieza rellenando documentación.
Empieza entendiendo qué Inteligencia Artificial utiliza la organización, para qué la utiliza y qué responsabilidad genera.
Aicertia — EU AI Act Compliance, Governance, Training & Certification.
