El 2 de agosto de 2026 se ha activado una nueva fase del Reglamento europeo de Inteligencia Artificial (Reglamento UE 2024/1689): desde esa fecha son exigibles las obligaciones de transparencia y entran en funcionamiento las autoridades de vigilancia del mercado. La norma no distingue por sector ni por tamaño de empresa: reparte deberes según el papel que cada organización desempeña frente a un sistema de IA. Por lo tanto, cualquier compañía que utilice un asistente conversacional, genere contenidos con IA o haya incorporado estas herramientas a sus procesos internos entra, en mayor o menor medida, dentro del radar de la norma.
El problema habitual no es la falta de voluntad de cumplir, sino la dificultad de saber qué aplica exactamente y desde cuándo. Conviven un reglamento europeo, una reforma reciente de su calendario y una ley española todavía en tramitación. Este artículo ordena ese mapa en lenguaje de negocio.
Tres normas que no son la misma norma
La primera capa es el Reglamento (UE) 2024/1689, conocido como AI Act. Está en vigor desde el 1 de agosto de 2024 y, por su naturaleza de reglamento europeo, se aplica directamente en España sin necesidad de transposición. Su calendario es escalonado: unas obligaciones nacieron en 2025 y otras se han ido activando después. El texto completo en castellano está disponible en EUR-Lex y en el BOE.
La segunda capa es el Reglamento (UE) 2026/1744, el llamado Ómnibus digital sobre IA, en vigor desde el 27 de julio de 2026. Ha reordenado los plazos: mantiene lo que entró en aplicación el 2 de agosto de 2026 y desplaza el grueso del régimen de alto riesgo a diciembre de 2027 y agosto de 2028.
La tercera capa es española. El Consejo de Ministros aprobó el 26 de mayo de 2026 el proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, publicado por el Congreso el 12 de junio y todavía en tramitación parlamentaria. Esta ley no crea obligaciones nuevas para las empresas: designa a las autoridades competentes, regula los entornos controlados de pruebas y concreta el régimen sancionador nacional dentro de las horquillas que ya fija el reglamento europeo. Dicho de otro modo, no hay que esperar a la ley española para estar obligado: la obligación ya existe.
Tus obligaciones dependen del papel que juegas, no del tamaño de tu empresa
Este es el punto que más confusión genera. El reglamento no clasifica a las empresas por sector ni por facturación, sino por el rol jurídico que ocupan respecto a cada sistema de IA. Los dos papeles relevantes para la mayoría de organizaciones son:
- Proveedor: quien desarrolla un sistema de IA o lo comercializa bajo su propia marca. Aquí entra también la empresa que integra un modelo de terceros en un producto propio y lo ofrece a sus clientes.
- Responsable del despliegue: quien utiliza un sistema de IA bajo su autoridad en el marco de su actividad profesional. Es la posición en la que se encuentra la inmensa mayoría de pymes y medianas empresas.
Una misma organización puede ocupar los dos papeles a la vez según el sistema del que hablemos. De ahí que el primer paso de cualquier plan de adecuación no sea jurídico, sino de inventario: saber qué herramientas de IA se están usando realmente y con qué finalidad.
Lo que ya es exigible hoy
Prácticas prohibidas
Desde el 2 de febrero de 2025 están prohibidos determinados usos considerados de riesgo inaceptable, como los sistemas de manipulación que explotan vulnerabilidades de personas o colectivos concretos. Son supuestos poco frecuentes en el uso empresarial ordinario, pero conviene conocerlos antes de contratar cualquier solución.
Alfabetización en IA
También desde febrero de 2025, las organizaciones que proporcionan o utilizan sistemas de IA deben adoptar medidas para que las personas que los manejan cuenten con un nivel suficiente de conocimiento: qué hacen esas herramientas, para qué sirven y cuáles son sus límites y riesgos. No implica formación técnica avanzada ni saber programar. Implica formación proporcional al uso, documentada y con evidencia de que se ha impartido.
Transparencia
Esta es la novedad de agosto de 2026 y la que afecta a más empresas de forma inmediata. Las obligaciones del artículo 50 del reglamento se traducen, en la práctica, en informar cuando corresponde:
- Avisar a la persona de que está interactuando con un sistema de IA, por ejemplo en un chatbot o un asistente virtual de atención al cliente.
- Identificar los contenidos generados o manipulados artificialmente —textos, imágenes, audio o vídeo— en los supuestos previstos por la norma.
- Informar del uso de sistemas de reconocimiento de emociones o de categorización biométrica cuando se empleen.
La consecuencia operativa es sencilla de enunciar y menos sencilla de ejecutar: hay que revisar la web, los canales de atención y los flujos de contenido corporativo para comprobar dónde interviene la IA y si eso se está comunicando.
Lo que se ha aplazado (y por qué esperar no compensa)
Tras el Ómnibus digital, las obligaciones de los sistemas clasificados como de alto riesgo del anexo III pasan a aplicarse el 2 de diciembre de 2027, y las vinculadas a productos regulados del anexo I, el 2 de agosto de 2028. Es una prórroga relevante, porque en esa categoría pueden encajar usos nada exóticos: selección de personal, evaluación de solvencia, acceso a servicios esenciales o determinadas aplicaciones en educación.
Ahora bien, el trabajo previo consume meses: clasificar cada sistema, reunir la documentación técnica del proveedor, definir quién supervisa qué y articular la evaluación de impacto cuando además hay tratamiento de datos personales. Y hay un matiz importante: el reglamento no sustituye al RGPD, se aplica de forma acumulativa. Un mismo sistema puede activar obligaciones de IA y de protección de datos a la vez.
Quién supervisa en España el cumplimiento de la normativa del uso de IA en la empresa
La Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña, es el organismo central de supervisión y el punto de contacto con la Comisión Europea. Junto a ella actúan autoridades sectoriales: la Agencia Española de Protección de Datos en materia de datos personales y biometría, el Banco de España y la CNMV en el ámbito financiero o el Consejo General del Poder Judicial en el de la justicia.
Las sanciones previstas en el reglamento europeo alcanzan, en los supuestos más graves, los 35 millones de euros o el 7 % del volumen de negocio mundial, con tramos inferiores para el resto de incumplimientos. Más allá de las cifras, conviene retener el enfoque de proporcionalidad: a una empresa con un uso básico de IA se le pedirá un plan razonable y documentado, no la estructura de cumplimiento de una multinacional. Para orientar ese trabajo, la propia AESIA ha publicado un conjunto de guías prácticas para el cumplimiento del reglamento, de carácter no vinculante, dirigidas a pymes, startups y grandes empresas.
Cinco decisiones prácticas para los próximos meses
- Inventariar los sistemas de IA en uso real. Incluyendo el llamado shadow AI: herramientas que han entrado por iniciativa de los equipos y que nadie ha registrado. Sin inventario no hay clasificación posible.
- Determinar el rol en cada caso. Proveedor o responsable del despliegue, sistema por sistema, porque de ahí cuelgan obligaciones distintas.
- Redactar una política interna de uso. Qué se puede hacer con IA, con qué información, qué requiere revisión humana y qué datos no deben introducirse nunca en herramientas externas.
- Formar y dejar constancia. La obligación de alfabetización se cumple con formación adaptada al puesto y registro de su realización.
- Revisar los contratos con proveedores tecnológicos. Documentación técnica disponible, cláusulas de IA, reparto de responsabilidades y compatibilidad con las exigencias de protección de datos y de ciberseguridad.
Preguntas frecuentes sobre la regulación de la IA
¿El Reglamento de IA afecta a una pyme?
Sí, si utiliza sistemas de IA. La norma no establece umbrales de tamaño: reparte obligaciones según el papel de cada organización frente al sistema y según el nivel de riesgo de este. Lo que varía con el tamaño y el uso es la proporcionalidad de las medidas exigibles.
¿Hay que etiquetar todo el contenido generado con IA?
No todo, pero sí los supuestos previstos en el artículo 50 del reglamento, aplicables desde el 2 de agosto de 2026, entre ellos determinados contenidos sintéticos y las interacciones con chatbots y asistentes virtuales.
¿Cuándo empiezan las obligaciones de los sistemas de alto riesgo?
Tras la reforma introducida por el Reglamento (UE) 2026/1744, el 2 de diciembre de 2027 para los sistemas del anexo III y el 2 de agosto de 2028 para los del anexo I.
¿Qué es la AESIA y qué puede hacer?
Es la agencia estatal encargada de supervisar la aplicación del reglamento en España, con capacidad de inspección y sanción. No emite certificados de conformidad ni autoriza previamente los sistemas de IA de las empresas.
La adecuación es un proyecto de gobernanza, no de tecnología
La lectura de fondo es que el cumplimiento normativo en materia de IA se parece más a un ejercicio de gobernanza que a la compra de una herramienta. Exige saber qué sistemas hay, quién los usa, con qué datos y bajo qué control. Es exactamente el mismo músculo que reclaman la automatización de procesos y la gestión documental cuando se abordan con criterio, y una de las cinco líneas que ya identificábamos entre las tendencias en TI para 2026.
En Canon Vallès acompañamos a las organizaciones en ese trabajo previo desde el terreno técnico y organizativo: inventario de sistemas, revisión de los flujos donde interviene la IA, políticas internas de uso y formación de los equipos. Puedes conocer nuestro enfoque en el área de consultoría informática o contactar con nosotros para comentar tu caso.
