Qué es el AI Act: el reglamento europeo de IA y lo que ya te obliga
El AI Act clasifica los sistemas de inteligencia artificial por riesgo y reparte obligaciones según el nivel. Si tienes un chatbot o unas automatizaciones, dos de esas obligaciones ya son tuyas.
Descubre en 5 minutos cómo automatizar ese proceso que te está haciendo perder tiempo y dinero
Qué es, en corto
El AI Act es el reglamento europeo de inteligencia artificial: el Reglamento (UE) 2024/1689. Clasifica los sistemas de IA por nivel de riesgo y reparte obligaciones distintas para cada nivel, tanto a quien los fabrica como a quien los usa. Si eres una pyme con un chatbot o unas automatizaciones, dos cosas te afectan ya: formar a tu gente y avisar de que al otro lado responde una máquina.
Instalaste un chat en la web hace dos años porque lo montaba el de la agencia en una tarde. Desde entonces contesta solo, tú no lo miras y nadie recuerda quién puso ese texto de bienvenida. Ese chat, sin que hayas hecho nada raro, ya está dentro del AI Act.
No hace falta desarrollar inteligencia artificial para que la norma te alcance. Basta con usarla.
Qué es el AI Act exactamente
Es un reglamento europeo, así que se aplica directamente en España sin necesidad de una ley que lo copie. Está en vigor desde el 1 de agosto de 2024 y no llegó de golpe: entra por fases, y varias ya han pasado. Su idea central es simple. En vez de regular la tecnología en abstracto, el reglamento mira para qué se usa cada sistema y cuánto daño puede hacer, y a partir de ahí reparte deberes. Cuanto más riesgo, más papeles.
El reglamento distingue además dos papeles: el proveedor, que fabrica o pone en el mercado el sistema, y el responsable del despliegue, que es quien lo usa en su empresa. Una pyme casi siempre es lo segundo, y eso ya conlleva obligaciones propias.
Cuándo te obliga cada fase del AI Act
- 2 de febrero de 2025. Prácticas prohibidas y alfabetización en IA, el artículo 4: quien usa inteligencia artificial tiene que garantizar que su gente sabe manejarla.
- 2 de agosto de 2025. Obligaciones de los modelos de propósito general y entrada en juego del régimen sancionador.
- 2 de agosto de 2026. Transparencia de la IA, el artículo 50: chatbots, agentes de voz y avatares tienen que avisar de que son una IA, y el contenido generado se etiqueta.
- Diciembre de 2027 y agosto de 2028. Sistemas de alto riesgo. Se aplazaron con el paquete de simplificación de mayo de 2026, pero llegan.
Que una fase esté aplazada no significa que el AI Act esté aplazado. Las dos que más afectan a una empresa normal ya son exigibles.
Cómo clasifica el AI Act el riesgo: los cuatro niveles
- Riesgo inaceptable. Puntuación social de personas, manipulación del comportamiento, reconocimiento de emociones en el trabajo o en clase. Está prohibido y no hay matices.
- Alto riesgo. Selección de personal, concesión de crédito, educación, servicios esenciales, biometría. Exige documentación técnica, supervisión humana, gestión de riesgos y registro.
- Riesgo de transparencia. Todo lo que conversa con personas o genera contenido. Aquí cae la inmensa mayoría de las pymes: el chat de la web, el agente de WhatsApp, la voz que descuelga el teléfono.
- Riesgo mínimo. El resto: un traductor, un clasificador de correo, una previsión de demanda. Sin obligaciones propias del nivel, aunque la formación del artículo 4 te sigue alcanzando igual.
Clasificar bien es la mitad del trabajo. Casi todo el mundo se sitúa por instinto en el nivel mínimo y luego descubre que tiene una herramienta de alto riesgo funcionando desde hace meses.
Quién vigila el AI Act en España y qué sanciona
La autoridad de vigilancia es la AESIA, la Agencia Española de Supervisión de la Inteligencia Artificial, con sede en A Coruña. Las sanciones van por tramos: hasta 35 millones de euros o el 7 % de la facturación mundial por prácticas prohibidas, y hasta 15 millones de euros o el 3 % por saltarse las obligaciones de transparencia. A las pymes se les aplica la cifra menor de las dos por un criterio de proporcionalidad recogido en el propio reglamento.
En la práctica, lo primero que te va a pedir un cliente grande no es la multa: es tu inventario de sistemas de IA dentro de su cuestionario de proveedores. Ahí es donde el AI Act deja de ser teoría.
Qué te toca de verdad si tienes una empresa normal
Cuatro tareas, y ninguna es un proyecto de meses:
- Saber qué inteligencia artificial usa tu empresa, incluida la que ha entrado por la puerta de atrás en cuentas personales.
- Clasificar cada sistema por su nivel de riesgo y dejarlo escrito.
- Poner los avisos donde toca: chat, WhatsApp, teléfono, contenido generado.
- Formar al equipo y guardar el registro de esa formación.
Es lo que montamos en Cumplimiento AI Act y RGPD, con la formación aparte en Formación IA para equipos. Todo lo que desplegamos sale ya con los avisos activados, como puedes leer en nuestro aviso de uso de inteligencia artificial.
El AI Act no sustituye al RGPD
Son dos capas que se suman. Si tu sistema trata datos personales sigues necesitando base legal, información a las personas afectadas y un acuerdo de tratamiento de datos firmado con cada proveedor. El reglamento añade obligaciones nuevas; no releva de ninguna anterior. Cuando el proyecto es sensible, la respuesta suele ser montarlo en IA privada en servidor propio, donde los datos no salen de tu servidor y el cumplimiento se demuestra en lugar de prometerse.
Un ejemplo
Una empresa de instalaciones con treinta empleados tiene tres cosas funcionando: un chat en la web, un asistente que redacta correos comerciales y una herramienta que ordena candidaturas cuando abre una vacante. Las dos primeras son riesgo de transparencia: basta con avisar de que hay una IA y formar al equipo. La tercera es alto riesgo, porque decide sobre personas, y ahí toca documentar, supervisar con una persona de verdad y guardar registro. De la tercera nadie se acuerda hasta que un candidato pregunta por qué le descartaron.
Con qué se confunde
No es lo mismo que el RGPD
El RGPD protege datos personales; el AI Act regula sistemas de inteligencia artificial, traten datos o no. Un sistema puede cumplir el RGPD de manera impecable y saltarse el AI Act, y al revés. Cumplir uno no te libra del otro: se suman.
No es solo para quien fabrica IA
La confusión más cara. El AI Act reparte obligaciones también al responsable del despliegue: la empresa que usa el sistema en su día a día. Si compras un chatbot hecho por otro y lo pones en tu web, hay deberes que son tuyos.
No está todo aplazado
Se aplazó el alto riesgo a 2027 y 2028, y de ahí el rumor. Falso: el AI Act no se ha retrasado. La formación es exigible desde febrero de 2025; el aviso de que hablas con una IA, desde el 2 de agosto de 2026.
Saber qué significa una palabra está bien. Saber si te ahorra horas está mejor: eso es lo que te dice el diagnóstico.
Descubre en 5 minutos cómo automatizar ese proceso que te está haciendo perder tiempo y dinero
Lo que nos preguntan antes de decidirse
¿El AI Act se aplica a una empresa de cinco personas?
Sí. El AI Act no pone umbrales de tamaño ni de facturación para las obligaciones que afectan a quien usa la inteligencia artificial. Lo que sí hace es graduar el esfuerzo: a una empresa pequeña se le pide proporcionalidad, y las sanciones se calculan con la cifra menor de las dos posibles. En la práctica, para una pyme con un chat y unas automatizaciones, cumplir es cuestión de un inventario, unos avisos bien redactados y una formación con registro.
¿Qué pasa si uso ChatGPT o herramientas de terceros?
Con ChatGPT o cualquier herramienta de terceros sigues siendo responsable de cómo se usa dentro de tu empresa. El proveedor del modelo tiene sus propias obligaciones, pero el reglamento te asigna a ti las que corresponden al despliegue: que tu equipo sepa manejar la herramienta, que nadie meta datos que no debe y que quede claro cuándo un texto o una respuesta la ha generado una máquina. Y si esa herramienta trata datos de tus clientes, además necesitas un acuerdo de tratamiento firmado.
¿Tengo que registrar mi chatbot en algún sitio?
No, para un chatbot de riesgo de transparencia no hay registro público en el que darse de alta. Lo que sí tienes que poder enseñar es tu propio inventario interno: qué sistemas de IA usas, para qué, con qué datos, en qué nivel de riesgo los has clasificado y qué avisos lleva cada uno. El registro europeo existe, pero es para sistemas de alto riesgo, que es otro nivel del reglamento y otra liga de obligaciones.
¿Cómo sé si mi sistema es de alto riesgo?
Un sistema es candidato a alto riesgo cuando decide sobre personas: mira a quién afecta la decisión. Si influye en el acceso a un empleo, a un crédito, a una plaza educativa, a un servicio esencial o a una prestación, entra en esa categoría. Si solo informa, resume, traduce o conversa, normalmente no lo es. El caso que más se cuela en una pyme es el cribado de currículos: parece una ayuda inocente y decide sobre personas, que es exactamente lo que el AI Act vigila.
¿Cuánto cuesta ponerse al día con el AI Act?
Ponerse al día con el AI Act es, para una pyme normal, tres pasos cortos: un inventario, una clasificación con sus avisos y una formación con registro. No publicamos tarifas porque el coste depende de cuántos sistemas tengas y de si alguno es de alto riesgo: el precio va en la propuesta, después del diagnóstico. El orden sí te lo adelantamos: el inventario se hace en una sesión, la clasificación y los avisos son cosa de días, y la formación con registro va al final. Casi ninguna pyme necesita más que eso.
¿Quién vigila el cumplimiento en España?
En España vigila el cumplimiento del reglamento europeo de IA la AESIA, la Agencia Española de Supervisión de la Inteligencia Artificial, con sede en A Coruña. Es la autoridad nacional de vigilancia del mercado para este reglamento y trabaja junto a otras autoridades sectoriales, como la de protección de datos cuando hay datos personales de por medio. Antes de que llegue una inspección, sin embargo, lo habitual es que te pregunte por esto un cliente grande en su cuestionario de proveedores o tu aseguradora.
¿Sabes qué IA usa hoy tu empresa?
En el diagnóstico hacemos contigo el primer inventario y te decimos qué nivel de riesgo tiene cada cosa que ya está funcionando, incluida la que entró sin que nadie la aprobara.
Descubre en 5 minutos cómo automatizar ese proceso que te está haciendo perder tiempo y dinero