AI Act: qué obligaciones son ya aplicables y cuáles llegan después

Un reglamento que se aplica por fases

El Reglamento (UE) 2024/1689, conocido como AI Act o Reglamento de Inteligencia Artificial, no activa todas sus obligaciones el mismo día. Su artículo 113 establece un calendario de aplicación escalonada que arranca en febrero de 2025 y se extiende hasta 2028, de modo que cada bloque de obligaciones tiene su propia fecha de exigibilidad.

Ese calendario ha sido modificado por el Reglamento (UE) 2026/1744, el llamado «Ómnibus digital en IA», publicado en el Diario Oficial de la Unión Europea el 24 de julio de 2026 y en vigor desde el 27 de julio de 2026. El Ómnibus aplaza algunas fechas relevantes —en particular las del alto riesgo— y refina la clasificación de ciertos sistemas, por lo que cualquier resumen del AI Act anterior a esa reforma puede haber quedado desactualizado.

Para una organización, la primera cuestión práctica no es «¿me afecta el AI Act?», sino «¿qué parte del AI Act me afecta ya y qué parte llegará después?».

Exigible desde el 2 de febrero de 2025: prohibiciones y alfabetización

Desde el 2 de febrero de 2025 son de aplicación las prácticas prohibidas del artículo 5: sistemas que emplean técnicas subliminales o manipulativas, que explotan vulnerabilidades de personas, de puntuación social, de evaluación del riesgo de comisión de delitos basada en rasgos de personalidad o de reconocimiento de emociones en el ámbito laboral y educativo, entre otras. No hay período de gracia: estas prácticas están prohibidas en la Unión Europea desde esa fecha.

En la misma fecha comenzó a ser exigible la alfabetización en IA del artículo 4: proveedores y desplegadores deben adoptar medidas para que su personal —y quienes utilicen sistemas de IA en su nombre— disponga de un nivel suficiente de conocimientos sobre inteligencia artificial. Es una de las pocas obligaciones del Reglamento con alcance transversal: afecta a cualquier organización que use sistemas de IA, con independencia de su nivel de riesgo.

Exigible desde el 2 de agosto de 2025: modelos de uso general (GPAI)

Desde el 2 de agosto de 2025 son aplicables las obligaciones de los proveedores de modelos de IA de uso general (arts. 51 a 56), las disposiciones de gobernanza y el régimen sancionador asociado a esos modelos.

Para la mayoría de las empresas, que actúan como desplegadoras y no como proveedoras de modelos, este bloque tiene una lectura práctica: la documentación y la información que los proveedores deben facilitar al amparo del Reglamento es la base sobre la que la organización usuaria puede evaluar y documentar su propio uso de esos sistemas.

Desde el 2 de agosto de 2026: aplicación general y transparencia

El 2 de agosto de 2026 marcó la aplicación general del Reglamento. Entre otras obligaciones, desde esa fecha son exigibles los requisitos de transparencia del artículo 50: los sistemas de IA que interactúan con personas deben informar de que lo hacen, y los contenidos sintéticos —texto, imagen, audio o vídeo generados o manipulados por IA— deben ser identificables como artificiales cuando puedan dar la apariencia de autenticidad.

Con fecha 2 de diciembre de 2026 entran además dos novedades introducidas por el Ómnibus: nuevas prohibiciones relativas a contenido íntimo no consentido o de abuso sexual infantil generado por IA, y la obligación de marcado sintético para los sistemas que ya existían antes de la entrada en vigor de esos requisitos.

Alto riesgo: el aplazamiento del Ómnibus

El grueso de las obligaciones de los sistemas de alto riesgo del Anexo III —entre los que se encuentran muchos sistemas de selección de personal, evaluación de personas trabajadoras o puntuación crediticia— quedó aplazado por el Reglamento (UE) 2026/1744 al 2 de diciembre de 2027. Los sistemas de alto riesgo integrados en productos regulados del Anexo I tienen como horizonte el 2 de agosto de 2028.

Conviene un matiz importante: la excepción del artículo 6.5, reforzada por el Ómnibus, implica que no todo sistema que encaje en un supuesto del Anexo III es automáticamente de alto riesgo. La clasificación exige analizar el caso concreto, y ese análisis documentado es precisamente una de las primeras piezas que una organización debería tener.

Sanciones: máximos legales, no multas automáticas

El régimen sancionador del artículo 99 fija máximos: hasta 35 millones de euros o el 7% de la facturación mundial anual para las prácticas prohibidas; hasta 15 millones o el 3% para el incumplimiento de las obligaciones de alto riesgo y otras obligaciones; hasta 7,5 millones o el 1% por suministrar información engañosa a las autoridades. Para los modelos de uso general, el artículo 101 prevé hasta 15 millones de euros o el 3%.

Son techos legales, no cuantías automáticas, y su aplicación corresponde a las autoridades de supervisión. En España, la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña, fue creada por el Real Decreto 729/2023; la ley española de gobernanza de la IA seguía en tramitación a la fecha de revisión de este artículo.

Qué conviene hacer mientras llegan las siguientes fechas

Que una obligación no sea exigible todavía no significa que no convenga prepararla. El punto de partida razonable es un inventario de los sistemas de IA que la organización usa o desarrolla, una clasificación prudente de su nivel de riesgo y un plan de alfabetización para el personal que trabaja con ellos.

Con esas tres piezas, la organización sabe qué le es exigible hoy —prohibiciones, alfabetización, transparencia y, en su caso, obligaciones GPAI— y puede planificar con margen lo que llegará en diciembre de 2027 y en agosto de 2028.