Ley europea de IA (AI Act): qué tiene que hacer tu empresa en 2026

¿A quién se aplica? También si solo usas ChatGPT o Claude

Sí. El reglamento distingue entre proveedores (quien desarrolla el sistema) y responsables del despliegue (quien lo usa en su actividad profesional). Una empresa que usa IA es responsable del despliegue. La mayoría de obligaciones pesadas recaen en los proveedores y en los sistemas de alto riesgo, pero algunas aplican a todos.

Las obligaciones que aplican a casi todas las empresas

1. Alfabetización en IA

   Adoptar medidas para apoyar la alfabetización en IA del personal según su puesto y el contexto. Aplica desde el 2 de febrero de 2025; desde el Ómnibus no se exige un nivel concreto por persona ni certificado. Más en alfabetización en IA.

2. Prácticas prohibidas

   No usar IA para manipular, puntuar socialmente a personas o reconocer emociones en el trabajo, entre otras prácticas prohibidas desde febrero de 2025. El Ómnibus añade dos prohibiciones desde el 2 de diciembre de 2026: generar imágenes íntimas de una persona sin su consentimiento y material de abuso sexual infantil.

3. Transparencia

   Desde el 2 de agosto de 2026: que las personas sepan cuándo hablan con una IA (por ejemplo, el chatbot de tu web) y avisar cuando publiques imágenes, audio o vídeo generados o manipulados que parezcan reales.

4. Inventario

   Saber qué sistemas de IA usáis y para qué. Es la única forma de detectar si alguno entra en alto riesgo (por ejemplo, en selección de personal o en evaluación de crédito).

Calendario actualizado tras el Ómnibus Digital

Las fechas proceden del texto publicado en el Diario Oficial de la UE. Antes de decidir algo importante, compruébalas en la fuente oficial: el reglamento aún puede recibir cambios.

Checklist de cumplimiento del AI Act para una pyme

1. Inventario

   Qué sistemas de IA usáis, para qué y con qué datos, incluida la IA sin registrar.

2. Clasificación

   Para cada uso: ¿está prohibido, es de alto riesgo, tiene obligaciones de transparencia o es de riesgo mínimo?

3. Formación registrada

   Medidas de alfabetización en IA por puesto y registro de quién se ha formado (artículo 4).

4. Política de uso

   Herramientas aprobadas, qué datos se pueden usar y revisión humana de lo que genera la IA.

5. Transparencia

   Avisar cuando alguien habla con una IA y marcar el contenido generado que parezca real (artículo 50).

6. Proveedores y contratos

   Planes de empresa, condiciones de uso de los datos y contrato de encargo de tratamiento cuando haya datos personales.

7. Alto riesgo

   Si algún uso lo es (selección, crédito, educación…), preparar supervisión humana y registros antes del 2 de diciembre de 2027.

8. Responsable y revisión

   Una persona a cargo y una revisión al menos anual, o cuando cambien las herramientas o la ley.

Cómo aplicar la ley de IA en una pyme esta semana

• Haz un inventario de la IA que se usa, incluida la que no está registrada (Shadow AI).
• Identifica si algún uso toca personas de forma sensible (selección, evaluación, acceso a servicios).
• Aprueba una política de uso corta; puedes partir de nuestra plantilla.
• Organiza la formación por puesto y guarda quién la ha recibido.
• Si tienes un chatbot en la web, comprueba que dice claramente que es una IA.
• Nombra a un responsable de IA.

En España

La Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) es la autoridad de referencia y publica guías prácticas. Además, el RGPD y la normativa laboral siguen aplicando cuando la IA trata datos personales o afecta a trabajadores; ahí la referencia es la Agencia Española de Protección de Datos (AEPD).

Cómo te ayuda RuleAI

RuleAI mantiene el inventario de herramientas de IA por departamento, detecta la IA sin registrar, organiza y registra la formación por rol y guarda el historial de normas y aprobaciones. Es la evidencia que necesitas si te preguntan qué has hecho.