AI Act en España: qué te obliga desde agosto de 2026 si tu empresa usa IA

El 2 de agosto de 2026 entró en aplicación el grueso del Reglamento europeo de Inteligencia Artificial. Y no, no es un problema solo de OpenAI o de las grandes tecnológicas: si tienes un chatbot en la web, si generas textos o imágenes con IA para tus campañas, o si un asistente responde por ti en WhatsApp, ya estás dentro.

Llevo 14 años construyendo software y monto agentes de IA para empresas. Te voy a explicar esto como se lo explico a un cliente: con las fechas reales y diciéndote también cuándo no tienes que hacer nada. Aviso: soy desarrollador, no abogado. Esto es la lectura de quien tiene que implementar estas obligaciones en código; para tu caso jurídico concreto, habla con un especialista.

Qué cambió de verdad el 2 de agosto

El calendario venía anunciado desde 2024, pero en julio de 2026 se movió. El Reglamento (UE) 2026/1744, de 8 de julio —lo que la prensa llamó el Digital Omnibus de IA— entró en vigor a finales de ese mes y retrasó una parte del paquete:

• Las obligaciones de los sistemas de alto riesgo del Anexo III (recursos humanos, scoring crediticio, educación, biometría, seguros) pasan del 2 de agosto de 2026 al 2 de diciembre de 2027.
• Los sistemas de alto riesgo ligados a productos regulados (Anexo I) se van al 2 de agosto de 2028.

Y aquí está el malentendido que me he encontrado en varias conversaciones este verano: mucha gente leyó “se aplaza el AI Act” y se relajó. No se aplazó el AI Act, se aplazó la parte que afecta a una minoría. Lo que usa la mayoría —el chatbot, el contenido generado, la formación del equipo— sigue en pie y ya es sancionable.

Las tres cosas que te aplican aunque no te dediques a la IA

1. Avisar de que quien responde es una máquina

El artículo 50.1 obliga a que un sistema de IA que interactúa directamente con personas esté diseñado para que la persona sepa que está hablando con una IA. Hay una excepción: cuando resulta obvio “desde el punto de vista de una persona razonablemente informada, atenta y perspicaz”.

Esa excepción es más estrecha de lo que parece. Si tu asistente tiene nombre propio, avatar y un tono conversacional cuidado —justo lo que todos pedimos cuando encargamos uno—, estás construyendo la impresión de que hay un humano detrás. Difícilmente puedes ampararte luego en que “se notaba”.

2. Marcar lo que genera la máquina

El artículo 50.2 obliga a los proveedores de sistemas que generan audio, imagen, vídeo o texto sintético a marcar la salida en formato legible por máquina y a que sea detectable como generada artificialmente. No basta con poner “generado con IA” en el pie de foto: la norma pide marcado técnico y medios de detección.

El artículo 50.4 va por quien despliega: si publicas un deepfake, hay que revelarlo; si publicas texto generado por IA sobre asuntos de interés público, también. Con una excepción razonable: si el texto pasó por revisión humana y alguien asume la responsabilidad editorial, esa obligación decae.

Y hay una fecha que se le está pasando a mucha gente: los proveedores cuyos sistemas ya estaban en el mercado antes del 2 de agosto de 2026 tienen hasta el 2 de diciembre de 2026 para cumplir el marcado del artículo 50.2. Quedan semanas, no meses.

3. Formar a tu equipo (esto lleva vigente desde 2025)

El artículo 4 obliga a garantizar un nivel suficiente de alfabetización en IA en la plantilla que la usa. Está vigente desde el 2 de febrero de 2025 y es la obligación más ignorada que me encuentro. No pide un máster: pide que quien usa la herramienta entienda qué hace, qué límites tiene y qué datos le puede meter.

Lo que aprendí construyendo agentes que hablan con clientes reales

Construí Chately, un SaaS multiempresa que conecta agentes de IA a la API oficial de WhatsApp. No es una maqueta: solo en los últimos 30 días han pasado por ahí 17.240 peticiones a modelos de lenguaje y más de 145 millones de tokens, de 9 clientes con agentes en producción. Todo eso son conversaciones reales por WhatsApp en las que, si no lo dices tú, la persona del otro lado no tiene forma de saber que no hay nadie escribiendo.

Ahí la transparencia dejó de ser un tema legal y pasó a ser una decisión de arquitectura. Tres cosas que me obligó a resolver el producto, mucho antes de que agosto apretara:

El aviso tiene que estar en el primer mensaje, no en los términos. El reglamento pide informar “a más tardar en el momento de la primera interacción”. Una línea en la política de privacidad no cumple. Un primer mensaje que dice quién eres y que es un asistente automático, sí. Cuesta cero y evita el problema entero.

El escalado a humano no es una función bonita: es tu red de seguridad. Cada agente que monto tiene un camino explícito para pasar la conversación a una persona cuando no está seguro. Empezó siendo una decisión de calidad —un agente que inventa respuestas destruye la confianza en dos días— y hoy es lo que evita que el sistema decida lo que no le toca.

Los registros importan más que el modelo. Si mañana alguien te pregunta qué respondió tu asistente a un cliente en marzo, tienes que poder enseñarlo. En una arquitectura multiempresa eso significa aislamiento real por cliente y trazabilidad de cada conversación. Nadie lo pide en el brief y luego vale su peso en oro.

Ninguna de las tres es una funcionalidad de compliance. Son decisiones que hacen mejor al producto y que, de paso, te dejan alineado con la norma.

Las multas, en números

El régimen sancionador del artículo 99 tiene tres niveles:

• Prácticas prohibidas (artículo 5): hasta 35 millones de euros o el 7% de la facturación mundial anual, la cifra que sea mayor.
• Obligaciones de transparencia del artículo 50 y obligaciones de proveedores y responsables del despliegue: hasta 15 millones de euros o el 3%.
• Información incorrecta o incompleta a las autoridades: hasta 7,5 millones de euros o el 1%.

Con un matiz que casi nadie cita: para pymes y startups se aplica la cifra menor de las dos, no la mayor. Sigue siendo mucho dinero, pero el “35 millones a cualquiera” que circula por LinkedIn es falso.

En España la autoridad de referencia es la AESIA, creada por el Real Decreto 729/2023 y con sede en A Coruña. El Consejo de Ministros aprobó en mayo de 2026 el proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA, que concreta autoridades, sandboxes y sanciones nacionales; comprueba en qué punto de su tramitación está cuando leas esto. Lo que ya te obliga no depende de esa ley: el reglamento europeo se aplica directamente.

Cuándo esto NO es tu problema

Aquí me separo de casi todo lo que vas a leer del tema: vender miedo es rentable, y yo prefiero decirte cuándo no gastar dinero.

No necesitas un proyecto de compliance de IA si:

• Usas ChatGPT o Copilot en interno y ningún cliente ve la salida sin que un humano la revise. Tienes deberes de formación y de protección de datos, no un proyecto de meses.
• Tu “IA” es en realidad un formulario con reglas o un buscador. Si no hay modelo generativo, mucho de esto no te toca.
• No tienes chatbot público ni publicas contenido sintético. Revisa el artículo 4 y sigue con tu vida.

Y no contrates una auditoría de cinco cifras porque un comercial te ha llamado citando los 35 millones. Para una pyme con un chatbot y algo de contenido generado, esto cabe en una tarde: el aviso en la primera interacción, revisar cómo marcas el contenido, y media hora con el equipo. Si alguien te presupuesta un proyecto largo para eso, pídele que te enseñe qué artículo le obliga.

Qué revisaría yo esta semana

1. Inventario honesto. Apunta dónde usa IA tu empresa, incluido lo que hace marketing por su cuenta. Casi siempre aparecen dos o tres cosas que dirección no sabía.
2. Primera interacción. Abre tu chatbot como si fueras un cliente. ¿El primer mensaje deja claro que es un asistente automático? Es el arreglo más barato de la lista.
3. Contenido generado. Decide qué marcas y cómo, y déjalo por escrito. Si eres proveedor de un sistema generativo que ya estaba en el mercado en julio, tu fecha es el 2 de diciembre de 2026.
4. Media hora con el equipo. Qué herramienta usamos, qué datos no se pegan ahí nunca, quién revisa antes de publicar. Documéntalo: eso es el artículo 4.
5. Alto riesgo. Si usas IA para cribar currículums, conceder crédito o evaluar personas, ahí sí hay proyecto de verdad, con diciembre de 2027 como horizonte.

Conclusión

El AI Act no te pide que dejes de usar IA. Te pide que digas que la usas. Y esa parte —la que ya está en vigor y ya se sanciona— se resuelve casi entera con decisiones de diseño que hacen mejor a tu producto: avisar antes, escalar a un humano cuando toca, y guardar el rastro de lo que pasó.

Si aún estás decidiendo qué automatizar antes de preocuparte por cómo declararlo, escribí sobre eso en agentes de IA para empresas: qué automatizan de verdad.

Y si ya tienes un asistente funcionando y no sabes si cumple, escríbeme y lo miramos. Te digo de frente si hay algo que arreglar —o si no hay nada de qué preocuparse, que también pasa—.