← Noticias  ·  7 de septiembre de 2026

El AI Act no se ha aplazado para ti: lo que obliga a una pyme desde hace un mes

En julio, Bruselas retrasó parte del reglamento europeo de inteligencia artificial y medio sector empresarial archivó el asunto hasta 2027. Merece la pena mirar qué se aplazó: las obligaciones de los sistemas de alto riesgo, que casi ninguna pyme tiene. Lo que entró en vigor el 2 de agosto de 2026 lo tienen casi todas: un chatbot en la web, un texto escrito con IA, una imagen generada.

Qué se aplazó y qué no

El Digital Omnibus —el paquete de simplificación digital que el Parlamento Europeo aprobó en junio y que está en vigor desde el 27 de julio de 2026— movió las fechas de una parte concreta del reglamento: los sistemas de alto riesgo. Son los del Anexo III (biometría, infraestructuras críticas, educación, selección de personal, scoring crediticio, sanidad, justicia, migración) y los del Anexo I (IA embebida en productos ya regulados por normativa sectorial de seguridad).

Esos van ahora a diciembre de 2027 y agosto de 2028. Todo lo demás siguió su calendario.

Dicho de otra forma: lo que se retrasó es lo que casi nadie tiene, y lo que ya está en vigor es lo que tiene casi todo el mundo. El titular del aplazamiento hizo justo el efecto contrario al que convenía.

Las tres cosas que sí obligan hoy

• Si un cliente habla con una máquina, tiene que saberlo. Cualquier chatbot o asistente de la web debe informar de que se está interactuando con un sistema de IA, salvo que resulte evidente. Es una línea de texto, y llevarla puesta o no es la diferencia entre cumplir y no cumplir.
• Lo que genera una IA se marca. Texto, imagen, audio o vídeo sintéticos deben llevar marcado en dos planos: uno visible para la persona (mención, marca de agua, icono) y otro legible por máquina, en los metadatos, para que se pueda detectar automáticamente. Este segundo es el que casi nadie tiene puesto.
• La gente que la usa tiene que saber usarla. El artículo 4 exige un nivel suficiente de alfabetización en IA en quienes la manejan dentro de la empresa. Obliga desde febrero de 2025, no depende del tamaño y no hace falta un máster: hace falta que quede constancia de que la plantilla sabe qué puede y qué no puede meter en un chat.

Hay una fecha con nombre y apellidos que conviene apuntar: los sistemas que ya estaban en el mercado antes de agosto de este año tienen hasta el 2 de diciembre de 2026 para llevar el marcado técnico. Son menos de tres meses, y cae justo encima de la campaña de Navidad de medio Burgos.

Y en España, ¿quién vigila esto?

El reglamento europeo se aplica solo: no necesita que España apruebe nada para obligar. Lo que sí depende de la ley española es la maquinaria de supervisión y multas, y ahí el estado real a día de hoy es este: el Consejo de Ministros aprobó el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA el 26 de mayo de 2026, se publicó en el Boletín Oficial de las Cortes el 12 de junio, y sigue en tramitación parlamentaria. Al ser ley orgánica necesita mayoría absoluta.

Ese texto designa a las autoridades —AESIA con carácter general, la AEPD en su ámbito y el CGPJ en el suyo—, crea entornos controlados de pruebas y aterriza el régimen sancionador, con los tramos del reglamento europeo: hasta 35 M€ o el 7 % de la facturación para las prácticas prohibidas, 15 M€ o el 3 % para el grueso de incumplimientos y 7,5 M€ o el 1 % por dar información engañosa a las autoridades.

Antes de que nadie se ponga nervioso con las cifras: esos son los máximos del reglamento, pensados para grandes proveedores de IA. El propio texto obliga a graduar la sanción atendiendo a la viabilidad económica de las pymes. No es una exención, es un criterio. Y en la práctica, la primera oleada real de expedientes llegará cuando la ley española esté aprobada y AESIA rodada, no la semana que viene.

Lo que de verdad cuesta

Nada de lo que obliga hoy exige un proyecto ni un presupuesto. El aviso del chatbot es una frase. La alfabetización es una sesión y un registro de asistencia. El marcado visible, una plantilla. Lo único con algo de trabajo técnico es el marcado legible por máquina, y son metadatos.

Lo caro es lo de siempre: enterarse tarde. Una empresa que en diciembre descubra que lleva un año publicando contenido sin marcar no tiene un problema de multa, tiene un problema de rehacer. Igual que ocurre con las convocatorias de ayudas, donde llegar tarde no se arregla con dinero.

Aquí lo tenemos resuelto de la única forma que aguanta: un vigilante que mira todos los días y avisa, en lugar de un calendario que alguien tiene que acordarse de consultar. El de las ayudas revisa a diario las convocatorias que se publican y avisa cuando abre una que encaja. Con la normativa, la lógica es la misma —y la lección que nos llevamos este mes fue que un vigilante que no dice nada no se distingue de uno que no tiene nada que decir: por eso el nuestro manda un latido semanal aunque no haya novedades.

Pedir la auditoría gratuita → Ver cómo trabajan los agentes de IA →

Este artículo explica el estado de la norma a 7 de septiembre de 2026 y no es asesoramiento jurídico. Para un caso concreto —sobre todo si su empresa selecciona personal, concede financiación o trata datos biométricos con ayuda de IA— la clasificación del sistema la tiene que revisar un profesional.

Fuentes: Reglamento (UE) 2024/1689, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial · Calendario de aplicación del AI Act, EU Artificial Intelligence Act (consultado el 6 de septiembre de 2026) · Digital Omnibus sobre IA, en vigor desde el 27 de julio de 2026 tras su publicación en el DOUE · Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, BOCG A-97-1, 12 de junio de 2026 · Nota del Consejo de Ministros, 26 de mayo de 2026.