EU AI Act: lo que los empresarios realmente deben saber en 2026

Las cuatro clases de riesgo del EU AI Act

El núcleo del EU AI Act es una clasificación basada en el riesgo. Cuanto mayor es el daño potencial que puede causar un sistema de IA, más fuerte es la regulación. Suena lógico. Y en esencia lo es.

La pregunta decisiva para ti como empresario: ¿en qué clase caen las herramientas de IA que usas ahora, o que quieres usar? Eso determina lo que debes hacer.

Dónde aterrizan de verdad la mayoría de los empresarios

La respuesta honesta: la mayoría de los dueños de pymes y autónomos que conozco usan la IA como ayuda para escribir, para textos de marketing, para investigar, para resúmenes. Eso es Clase 3 o Clase 4. Poco o nada regulado. Pero quien usa IA para la selección de personal, para decisiones de crédito o en contextos médicos, está en otro universo.

Sistemas de IA prohibidos: ¿qué rige desde febrero de 2025?

Desde el 2 de febrero de 2025 está activado el artículo 5 del EU AI Act. Son las prohibiciones absolutas, sin zona gris, sin periodos transitorios, sin proporcionalidad. Quien usa estos sistemas arriesga las multas más duras.

Qué está prohibido en concreto

Social scoring: sistemas de IA que evalúan el comportamiento de las personas a lo largo del tiempo y usan esa valoración para imponer desventajas. El ejemplo clásico es el sistema chino de crédito social. Prohibido en la UE, da igual si es estatal o privado.

Reconocimiento de emociones en el lugar de trabajo y en centros educativos: cámaras u otros sistemas que detectan y evalúan las emociones de empleados o alumnos. Quien tenga la idea de monitorizar el estado de ánimo de su plantilla mediante IA, tiene un problema serio.

Vigilancia biométrica masiva en tiempo real: reconocimiento facial y tecnologías similares en el espacio público en tiempo real por parte de autoridades, con excepciones muy estrictas para la persecución penal bajo control judicial.

IA manipuladora: sistemas que explotan debilidades psicológicas o vulnerabilidades para influir en el comportamiento de las personas contra su propia voluntad, sin que sepan que una IA las está influyendo.

Comprobación práctica: como empresario normal no entrarás en contacto con ninguna de estas categorías prohibidas. La mayoría afectan a actores estatales o a proveedores de sistemas muy especializados. Pero quien tenga la idea de introducir IA para el «análisis del estado de ánimo» de sus empleados, debería dejarlo de inmediato.

IA de alto riesgo: ¿quién está afectado y qué debe hacer?

Esta es la parte que se vuelve relevante para la mayoría de los empresarios hasta agosto de 2026. Los sistemas de IA de alto riesgo están definidos en el anexo III del EU AI Act. La lista es concreta y cerrada, sin margen para la interpretación.

Qué áreas cuentan como alto riesgo

• RR. HH. y personal: sistemas de IA para la selección de candidatos, el cribado de currículums, la evaluación del rendimiento de los empleados, decisiones de despido.
• Concesión de créditos y servicios financieros: comprobación de solvencia mediante IA, decisiones de crédito automáticas.
• Medicina: sistemas de IA de diagnóstico, sistemas de triaje, IA en dispositivos médicos.
• Educación: sistemas que evalúan resultados de exámenes, controlan el acceso a centros educativos o evalúan a los alumnos.
• Persecución penal: IA para evaluar riesgos de reincidencia, para analizar a sospechosos.
• Control fronterizo y migración: sistemas de evaluación de riesgos en los cruces de frontera.
• Infraestructura crítica: IA en energía, agua, transporte, sistemas financieros.
• Administración de justicia: sistemas de IA que apoyan a jueces o fiscales en sus decisiones.

Qué deben hacer los proveedores de IA de alto riesgo

La lista de obligaciones para los proveedores (es decir, los que desarrollan y comercializan estos sistemas) es extensa. Los artículos 9 a 17 y el artículo 43 del EU AI Act establecen:

• Sistema de gestión de riesgos (art. 9), continuo, no único
• Gobernanza de datos y calidad de los datos de entrenamiento (art. 10)
• Documentación técnica según el anexo IV (art. 11)
• Obligaciones de registro / logging (art. 12)
• Supervisión humana: el sistema debe poder anularse (art. 14)
• Sistema de gestión de calidad (art. 17)
• Evaluación de conformidad (art. 43)
• Registro en la base de datos de la UE (art. 71)

Los operadores, es decir, los que usan sistemas de IA de alto riesgo terminados sin desarrollarlos ellos mismos, tienen según el artículo 26 sus propias obligaciones, pero más reducidas. En ciertos casos esto incluye una evaluación de impacto sobre los derechos fundamentales (art. 27).

Riesgo limitado: chatbots y la obligación de transparencia

La Clase 3 es la categoría que afecta directamente a la mayoría de los empresarios. Aquí cae todo lo relacionado con la interacción usuario-IA: chatbots en la web, textos e imágenes generados por IA, voz sintética.

Qué exige en concreto el artículo 50

Desde el 2 de agosto de 2026 se aplica el artículo 50. La obligación central es sencilla: quien opera un chatbot debe asegurarse de que los usuarios sepan que interactúan con una IA, y no con una persona. Suena trivial, pero no lo es si te tomas en serio la redacción.

A eso se suma la obligación de etiquetar de forma legible por máquina los contenidos generados por IA. Las imágenes, vídeos y audios que ha generado una IA deben llevar una marca de agua legible por máquina, salvo que se trate de sátira evidente u obras de arte. Esto afecta en principio también a las imágenes de marketing generadas por IA.

En la práctica significa: si tienes un chatbot de IA en tu web, el usuario debe saber que es una IA. Si usas imágenes generadas por IA en tu publicidad, eso necesita una etiqueta.

¿Quién es proveedor, quién es operador?

Esta distinción es lo más importante para tu necesidad concreta de actuar. El EU AI Act distingue claramente entre dos roles principales.

Proveedores (providers) son quienes desarrollan un sistema de IA y lo lanzan al mercado bajo su propio nombre o marca. OpenAI es proveedor. Anthropic es proveedor. Una startup que desarrolla y vende su propio software de IA para la evaluación de crédito es proveedor. Los proveedores cargan con la mayor carga de obligaciones.

Operadores (deployers) usan sistemas de IA terminados en el marco de su propia actividad empresarial. ¿Usas ChatGPT para tu marketing? Operador. ¿Tienes un chatbot de un tercero en tu web? Operador. ¿Usas una herramienta de IA para la selección de candidatos? Operador, y en este caso con obligaciones serias.

Por qué el rol es decisivo

Como simple operador de herramientas de riesgo mínimo o limitado, lo que sobre todo necesitas hasta agosto de 2026 es una cosa: un aviso de transparencia cuando los usuarios interactúan con tu chatbot y, en su caso, el etiquetado de contenidos generados por IA. Eso es manejable.

Como operador de un sistema de alto riesgo se te exige más, pero todavía menos que al proveedor. El artículo 26 enumera las obligaciones del operador. En resumen: usa el sistema según lo previsto, no lo modifiques, lleva registros, coopera con las autoridades.

Como proveedor estás dentro de todo el espectro de obligaciones. Y ese es el trabajo de abogados especializados en derecho de TI, no de este artículo.

Los plazos más importantes del EU AI Act 2025-2027

Cuatro fechas. Cubren el 95 por ciento de todos los empresarios.

¿El EU AI Act se aplica también a las pequeñas empresas y pymes?

Sí, pero con diferencias claras frente a las grandes corporaciones. El EU AI Act tiene en cuenta la proporcionalidad de forma explícita. Tres puntos decisivos para las pymes:

Multas proporcionales

Las multas pueden limitarse porcentualmente. Para las pequeñas empresas rigen los umbrales más bajos cuando son menores que los importes máximos absolutos. Una startup con 500.000 euros de facturación anual paga, con un tope del 3 %, como máximo 15.000 euros, no 15 millones. Eso es humano, no pone en peligro la existencia.

Requisitos simplificados

Las pymes deben cumplir las mismas obligaciones centrales que las grandes empresas, pero las autoridades de supervisión aplicarán la proporcionalidad en cuanto a la profundidad de la documentación. Eso no está así en la ley, pero queda claro en los considerandos y en la intención política.

Qué debes hacer como pyme en concreto

• Crear un inventario de IA: enumera todos los sistemas de IA que usas. Qué herramientas, dónde se usan, con qué fin.
• Determinar la clase de riesgo: ¿alguna de tus herramientas cae en la categoría de alto riesgo? Si solo usas ChatGPT para textos de marketing: Clase 4. Si usas una herramienta de IA para la selección de candidatos: alto riesgo.
• Asegurar la transparencia: ¿chatbot en la web? Etiquétalo con claridad como IA.
• Evitar el alto riesgo o estar conforme: quien usa sistemas de alto riesgo debe cumplir las obligaciones del operador según el art. 26.

EU AI Act vs. RGPD: ¿cuál es la diferencia?

La comparación es útil porque casi todo empresario conoce el RGPD, o debería. Aquí están las diferencias esenciales:

El RGPD regula el tratamiento de datos personales. Todo gira en torno a cómo recoges, almacenas, tratas y compartes datos de personas. Base jurídica, limitación de la finalidad, derecho de acceso: ese es el terreno del RGPD.

El EU AI Act regula los sistemas de IA como tecnología, independientemente de si tratan datos personales. Un sistema de IA que solo usa datos públicos puede ser de alto riesgo igualmente. Un sistema de IA que no almacena datos puede activar obligaciones de transparencia igualmente.

Ambos pueden aplicarse a la vez. Un sistema de IA para la selección de personal que trata datos de candidatos es a la vez relevante para el RGPD (datos personales) y para el EU AI Act (IA de alto riesgo). Necesitas ambos.

Dicho en pocas palabras: RGPD = cómo tratas los datos. EU AI Act = qué sistemas de IA usas y cómo los controlas. Dimensión distinta, pueden solaparse.

Alemania: KI-MIG y la Agencia Federal de Redes

El EU AI Act es un reglamento de la UE y se aplica directamente. Pero cada Estado miembro debe designar una autoridad de vigilancia del mercado. Alemania lo reguló en febrero de 2026: el Gabinete Federal aprobó el 11 de febrero de 2026 la Ley de Aplicación de la IA (KI-MIG) y la presentó al Bundestag.

La Agencia Federal de Redes como organismo de coordinación

La Agencia Federal de Redes (Bundesnetzagentur) se designa como oficina de coordinación para la regulación de IA (KoKIVO). Para la IA de alto riesgo en sectores específicos (medicina, banca, seguros) siguen siendo competentes las respectivas autoridades sectoriales. La Agencia Federal de Redes coordina de forma transversal.

Lo que eso significa para ti: si tienes preguntas sobre el EU AI Act y tu sede está en Alemania, la Agencia Federal de Redes es tu primer punto de contacto. La ley nacional KI-MIG crea el marco de cómo se aplica en concreto.

Digital Omnibus: ¿llega la prórroga de los plazos?

Seamos honestos: sí, el Digital Omnibus es real. El proceso legislativo de la UE sigue en marcha y hay debates sobre aplazar las fechas límite principales a diciembre de 2027 o agosto de 2028. Pero, y esto es decisivo, todavía no hay ningún acto jurídico aprobado.

Quien sigue la estrategia de esperar un aplazamiento y orientarse luego a agosto de 2028 como objetivo, asume un riesgo serio. Si el aplazamiento no llega o solo llega en parte, te quedas sin nada. El proceso de trílogo puede alargarse, puede fracasar, puede dar resultados distintos a los esperados.

Mi recomendación: planifica con el 2 de agosto de 2026. Si los plazos se aplazan de verdad, mejor aún, tienes margen. Si no, estás conforme.

¿Qué son los modelos GPAI y aplican a mi empresa?

GPAI significa General Purpose AI, es decir, sistemas de IA que no se entrenaron para un caso de uso específico, sino que sirven para una amplia gama de tareas. ChatGPT, Claude, Gemini, LLaMA: todos son modelos GPAI.

Qué rige desde el 2 de agosto de 2025

Para los proveedores de modelos GPAI hay obligaciones extensas activas desde el 2 de agosto de 2025. El Código de buenas prácticas para GPAI se publicó en su versión final el 10 de julio de 2025. Los modelos con un esfuerzo de entrenamiento de más de 10^25 FLOP (operaciones en coma flotante) se consideran modelos con «riesgo sistémico» y están sujetos a una regulación aún más estricta.

Para ti como operador de estos modelos, es decir, como usuario de Claude, ChatGPT, etc., rige: debes poder confiar en que los proveedores cumplen sus obligaciones GPAI. Comprueba si las herramientas que usas son conformes. Los grandes proveedores lo hacen por lo general, porque las multas también les duelen a ellos.

Multas y sanciones: ¿qué te arriesgas si infringes?

El EU AI Act tiene dientes. Tres niveles:

Sistemas prohibidos (art. 5)

Hasta 35 millones de euros o, en empresas, hasta el 7 por ciento de la facturación anual mundial. Rige el mayor de los dos valores. Es el nivel más duro.

Alto riesgo y GPAI: infracciones de obligaciones

Hasta 15 millones de euros o el 3 por ciento de la facturación anual mundial. Por infracciones de las obligaciones de alto riesgo y de los requisitos GPAI.

Declaraciones falsas ante las autoridades

Hasta 7,5 millones de euros o el 1 por ciento de la facturación anual. Quien miente a las autoridades de supervisión o las obstaculiza, es sancionado por separado.

Pymes: rige el menor de los dos límites. Una empresa con 2 millones de euros de facturación paga, al 7 por ciento, como máximo 140.000 euros, no 35 millones. Doloroso, pero no pone en peligro la existencia.

Mi valoración como empresario

Uso la IA a diario, como quizá sepas por mi artículo sobre mi asistente de IA. Claude escribe artículos conmigo, gestiona mi calendario, responde correos. Todas son aplicaciones de Clase 3 o Clase 4. Apenas reguladas.

Mi sede está en Chipre, Estado miembro de la UE. Tengo clientes en la UE. Así que estoy dentro, quiera o no. Y está bien que así sea.

Lo que de verdad me interesa como empresario

La IA está cambiando ahora mismo cómo los buscadores y los sistemas de IA encuentran y ponderan la información. El EU AI Act influye en qué herramientas de IA puedo usar a largo plazo y qué proveedores perdurarán. Los proveedores que ignoran el EU AI Act serán expulsados del mercado europeo, o sancionados muy caro. Eso significa: las herramientas conformes dominarán. Bueno para usuarios como yo.

Lo que me fastidia: la carga burocrática para los sistemas de alto riesgo de verdad es astronómica. Una empresa mediana que quiere usar IA para la selección de candidatos se enfrenta a un esfuerzo de documentación casi disuasorio. Eso es algo políticamente buscado, entiendo la intención, pero encuentro la ejecución desproporcionada en algunos puntos.

Lo que aconsejo a los empresarios: no hagas un drama de ello. Comprueba en qué categoría cae tu uso de IA. Si no usas un sistema de alto riesgo, el esfuerzo es asumible. Si sí lo usas, busca apoyo jurídico.

El EU AI Act no es motivo de pánico, pero tampoco motivo para esperar. Quien hace ahora su inventario de IA y conoce sus clases de riesgo, tiene tiempo suficiente hasta agosto de 2026. Quien lo deja para más adelante, lo tendrá ajustado.