El 2 d’agost del 2026 s’ha activat una nova fase del Reglament europeu d’Intel·ligència Artificial (Reglament UE 2024/1689) : des d’aquesta data són exigibles les obligacions de transparència i entren en funcionament les autoritats de vigilància del mercat. La norma no distingeix per sector ni per mida d’empresa: reparteix deures segons el paper que cada organització exerceix davant d’un sistema d’IA. Per tant, qualsevol companyia que utilitzi un assistent conversacional, generi continguts amb IA o hagi incorporat aquestes eines als seus processos interns entra, més o menys, dins del radar de la norma.
El problema habitual no és la manca de voluntat de complir, sinó la dificultat de saber què aplica exactament i des de quan. Conviuen un reglament europeu, una reforma recent del calendari i una llei espanyola encara en tramitació. Aquest article ordena aquest mapa en llenguatge de negoci.
Tres normes que no són la mateixa norma
La primera capa és el Reglament (UE) 2024/1689 , conegut com AI Act . Està en vigor des de l’1 d’agost de 2024 i, per naturalesa de reglament europeu, s’aplica directament a Espanya sense necessitat de transposició. El seu calendari és escalonat: unes obligacions van néixer el 2025 i d’altres s’han anat activant després. El text complet en castellà està disponible a EUR-Lex i al BOE .
La segona capa és el Reglament (UE) 2026/1744 , l’anomenat Òmnibus digital sobre IA , en vigor des del 27 de juliol de 2026. Ha reordenat els terminis: manté el que va entrar en aplicació el 2 d’agost de 2026 i desplaça el gruix del règim d’alt risc a desembre de 2022.
La tercera capa és espanyola. El Consell de Ministres va aprovar el 26 de maig de 2026 el projecte de Llei Orgànica per al bon ús i la governança de la intel·ligència artificial , publicat pel Congrés el 12 de juny i encara en tramitació parlamentària. Aquesta llei no crea obligacions noves per a les empreses: designa les autoritats competents, regula els entorns controlats de proves i concreta el règim sancionador nacional dins de les forquetes que ja fixa el reglament europeu. En altres paraules, no cal esperar la llei espanyola per estar obligat: l’obligació ja existeix.
Les teves obligacions depenen del paper que jugues, no de la mida de la teva empresa
Aquest és el punt que més confusió genera. El reglament no classifica les empreses per sector ni per facturació, sinó pel rol jurídic que ocupen respecte a cada sistema dIA. Els dos papers rellevants per a la majoria de les organitzacions són:
- Proveïdor : qui desenvolupa un sistema d’IA o el comercialitza sota la seva pròpia marca. Aquí també entra l’empresa que integra un model de tercers en un producte propi i l’ofereix als seus clients.
- Responsable del desplegament: qui utilitza un sistema de IA sota la seva autoritat en el marc de la seva activitat professional. És la posició en què es troba la immensa majoria de pimes i mitjanes empreses.
Una mateixa organització pot ocupar els dos papers alhora segons el sistema de què parlem. Per això el primer pas de qualsevol pla d’adequació no és jurídic, sinó d’inventari: saber quines eines d’IA s’estan fent servir realment i amb quina finalitat.
El que ja és exigible avui
Pràctiques prohibides
Des del 2 de febrer del 2025 estan prohibits determinats usos considerats de risc inacceptable, com els sistemes de manipulació que exploten vulnerabilitats de persones o col·lectius concrets. Són supòsits poc freqüents en l’ús empresarial ordinari, però cal conèixer-los abans de contractar qualsevol solució.
Alfabetització a IA
També des del febrer del 2025, les organitzacions que proporcionen o utilitzen sistemes d’IA han d’adoptar mesures perquè les persones que els manegen tinguin un nivell suficient de coneixement: què fan aquestes eines, per a què serveixen i quins són els seus límits i riscos. No implica formació tècnica avançada ni saber programar. Implica formació proporcional a l’ús, documentada i amb evidència que s’ha impartit.
Transparència
Aquesta és la novetat d’agost del 2026 i la que afecta més empreses de manera immediata. Les obligacions de l’article 50 del reglament es tradueixen, a la pràctica, a informar quan correspon:
- Avisar a la persona que esteu interactuant amb un sistema d’IA , per exemple en un chatbot o un assistent virtual d’atenció al client.
- Identificar els continguts generats o manipulats artificialment –textos, imatges, àudio o vídeo– en els supòsits previstos per la norma.
- Informar de l’ús de sistemes de reconeixement d’emocions o de categorització biomètrica quan es facin servir.
La conseqüència operativa és senzilla d’enunciar i menys senzilla d’executar: cal revisar la web, els canals d’atenció i els fluxos de contingut corporatiu per comprovar on intervé la IA i si s’està comunicant.
El que s’ha ajornat (i per què esperar no compensa)
Després de l’Òmnibus digital, les obligacions dels sistemes classificats com a alt risc de l’annex III passen a aplicar-se el 2 de desembre de 2027, i les vinculades a productes regulats de l’annex I, el 2 d’agost de 2028. És una pròrroga rellevant, perquè en aquesta categoria poden encaixar usos gens exòtics, selecció de personal, avaluació de solvència.
Ara bé, la feina prèvia consumeix mesos: classificar cada sistema, reunir la documentació tècnica del proveïdor, definir qui supervisa què i articular l’avaluació d’impacte quan a més hi ha tractament de dades personals. I hi ha un matís important: el reglament no substitueix el RGPD, s’aplica de manera acumulativa. Un mateix sistema pot activar obligacions de IA i de protecció de dades alhora.
Qui supervisa a Espanya el compliment de la normativa de l’ús d’IA a l’empresa
L’ Agència Espanyola de Supervisió de la Intel·ligència Artificial (AESIA) , amb seu a la Corunya, és l’organisme central de supervisió i el punt de contacte amb la Comissió Europea. Al seu costat actuen autoritats sectorials: l’Agència Espanyola de Protecció de Dades en matèria de dades personals i biometria, el Banc d’Espanya i la CNMV a l’àmbit financer o el Consell General del Poder Judicial al de la justícia.
Les sancions previstes al reglament europeu arriben, en els supòsits més greus, als 35 milions d’euros o al 7% del volum de negoci mundial, amb trams inferiors per a la resta d’incompliments. Més enllà de les xifres, convé retenir l’enfocament de proporcionalitat: a una empresa amb un ús bàsic d’IA se li demanarà un pla raonable i documentat, no pas l’estructura de compliment d’una multinacional. Per orientar aquest treball, la mateixa AESIA ha publicat un conjunt de guies pràctiques per al compliment del reglament , de caràcter no vinculant, dirigides a pimes, startups i grans empreses.
Cinc decisions pràctiques per als propers mesos
- Inventariar els sistemes dIA en ús real. Incloent l’anomenat shadow AI: eines que han entrat per iniciativa dels equips i que ningú no ha registrat. Sense inventari no hi ha cap classificació possible.
- Determineu el rol en cada cas. Proveïdor o responsable del desplegament, sistema per sistema, perquè hi pengen obligacions diferents.
- Redactar una política interna dús. Què es pot fer amb IA, amb quina informació, què requereix revisió humana i quines dades no s’han d’introduir mai a eines externes.
- Formar i deixar constància. L’obligació d’alfabetització es compleix amb formació adaptada al lloc i registre de la realització.
- Revisar els contractes amb proveïdors tecnològics. Documentació tècnica disponible, clàusules de IA, repartiment de responsabilitats i compatibilitat amb les exigències de protecció de dades i de ciberseguretat.
Preguntes freqüents sobre la regulació de la IA
El Reglament d’IA afecta una pime?
Sí, si utilitzeu sistemes d’IA. La norma no estableix llindars de mida: reparteix obligacions segons el paper de cada organització davant del sistema i segons el nivell de risc. El que varia amb la mida i l’ús és la proporcionalitat de les mesures exigibles.
Cal etiquetar tot el contingut generat amb IA?
No tot, però sí els supòsits previstos a l’article 50 del reglament, aplicables des del 2 d’agost de 2026, entre els quals determinats continguts sintètics i les interaccions amb chatbots i assistents virtuals.
Quan comencen les obligacions dels sistemes d’alt risc?
Després de la reforma introduïda pel Reglament (UE) 2026/1744, el 2 de desembre del 2027 per als sistemes de l’annex III i el 2 d’agost del 2028 per als de l’annex I.
Què és l’AESIA i què hi pot fer?
És l?agència estatal encarregada de supervisar l?aplicació del reglament a Espanya, amb capacitat d?inspecció i sanció. No emet certificats de conformitat ni autoritza prèviament els sistemes dIA de les empreses.
L’adequació és un projecte de governança, no de tecnologia
La lectura de fons és que el compliment normatiu en matèria d’IA s’assembla més a un exercici de governança que no pas a la compra d’una eina. Exigeix saber quins sistemes hi ha, qui els fa servir, amb quines dades i sota quin control. És exactament el mateix múscul que reclamen l’automatització de processos i la gestió documental quan s’aborden amb criteri, i una de les cinc línies que ja identificàvem entre les tendències en TI per al 2026.
A Canon Vallès acompanyem les organitzacions en aquest treball previ des del terreny tècnic i organitzatiu: inventari de sistemes, revisió dels fluxos on intervé la IA, polítiques internes dús i formació dels equips. Pots conèixer el nostre enfocament a l’àrea de consultoria informàtica o contactar amb nosaltres per comentar el teu cas.
