EU AI Act: qué se aplica desde el 2 de agosto de 2026 y qué queda
Desde el 2 de agosto de 2026, buena parte de las obligaciones del AI Act ya se aplican a quien use o desarrolle IA en la UE. Sobre todo, la transparencia del artículo 50, los modelos de propósito general y el régimen de supervisión y sanciones. En cambio, el alto riesgo pasa a 2027 y 2028. Aquí tienes qué rige hoy, qué llega el 2 de diciembre y qué queda.
En 30 segundos: las obligaciones del AI Act sobre transparencia ya son exigibles. Debes avisar cuando alguien habla con un chatbot, marcar el contenido sintético y etiquetar los deepfakes. Además, la Oficina de IA y las autoridades nacionales ya pueden investigar y multar. El 2 de diciembre de 2026 llega una nueva prohibición. Después, el alto riesgo del Anexo III se aplica en diciembre de 2027 y el del Anexo I, en agosto de 2028.
Qué obligaciones del AI Act se aplican desde agosto de 2026
El Reglamento (UE) 2024/1689 se aplica con carácter general desde el 2 de agosto de 2026. Sin embargo, esa fecha no lo activa todo. El Reglamento (UE) 2026/1744 (Digital Omnibus sobre IA) entró en vigor el 27 de julio y retrasó el alto riesgo. Por eso, las obligaciones del AI Act que hoy te pueden exigir se concentran en tres frentes.
Transparencia: las obligaciones del AI Act que tocan a más empresas
El artículo 50 no depende de que el sistema sea de alto riesgo. Además, reparte los deberes entre el proveedor y quien usa el sistema (responsable del despliegue):
- Chatbots: la persona debe saber que habla con una IA, salvo que resulte evidente.
- Contenido sintético: los sistemas generativos deben marcar audio, imagen, vídeo y texto de forma legible por máquina.
- Deepfakes y textos de interés público: quien los publica debe indicar su origen artificial, salvo revisión humana del texto.
- Reconocimiento de emociones: quien lo usa, o aplica categorización biométrica, debe informar a las personas expuestas.
La Comisión publicó el 20 de julio unas directrices sobre el artículo 50 con ejemplos y excepciones. También hay un código de buenas prácticas voluntario y tres iconos opcionales de la UE. Eso sí, los deepfakes anteriores al 2 de agosto no exigen etiquetado retroactivo.
Modelos de IA de propósito general (GPAI)
Sus proveedores cumplen desde agosto de 2025: documentación técnica, información a quien integra el modelo, derechos de autor y resumen de los datos de entrenamiento. Lo nuevo es que la Oficina de IA ya puede evaluar modelos y multar. En cambio, si solo integras un modelo ajeno, no eres su proveedor. Aun así, pide esa documentación.
Gobernanza, supervisión y sanciones
Desde agosto funcionan los poderes de la Oficina de IA y de las autoridades nacionales. Tras el Omnibus, la Oficina supervisa en exclusiva los sistemas basados en un modelo propio del mismo proveedor o grupo. Además, las multas llegan a 35 millones de euros o el 7 % de la facturación mundial por prácticas prohibidas. Si incumples otras obligaciones del AI Act, el tope es de 15 millones o el 3 %. Para las pymes cuenta la cifra más baja.
En España, la Comisión cita a la AESIA como punto de contacto, con la designación aún pendiente. Además, el proyecto de ley orgánica que debía completar el régimen sancionador estaba en el Congreso. Pero el Real Decreto 806/2026 disolvió las Cortes y los proyectos pendientes caducan.
Calendario: qué ya se aplica y qué queda
La tabla resume las obligaciones del AI Act por fecha, a 14 de octubre de 2026. También tienes el detalle en el calendario completo del Reglamento de IA.
| Fecha | Qué se aplica | Situación |
|---|---|---|
| 2 de febrero de 2025 | Prohibiciones y alfabetización en IA. | En vigor. |
| 2 de agosto de 2025 | Modelos de propósito general y gobernanza. | En vigor. |
| 2 de agosto de 2026 | Aplicación general, artículo 50 y poderes sancionadores. | En vigor. |
| 2 de diciembre de 2026 | Nueva prohibición y fin del plazo extra del marcado. | Pendiente. |
| 2 de agosto de 2027 | Modelos anteriores a agosto de 2025 y sandboxes nacionales. | Pendiente. |
| 2 de diciembre de 2027 | Alto riesgo del Anexo III (empleo, crédito, educación…). | Aplazado. |
| 2 de agosto de 2028 | Alto riesgo en productos regulados (Anexo I). | Aplazado. |
Qué cambió el Digital Omnibus sobre IA
El Omnibus no pausó el reglamento, pero reordenó plazos y aligeró cargas. Estos son los cambios con más impacto:
- Alto riesgo aplazado: el Anexo III pasa a diciembre de 2027 y el Anexo I, a agosto de 2028.
- Alfabetización en IA: el artículo 4 ya no exige garantizar un nivel, sino adoptar medidas para fomentarlo.
- Datos sensibles: el nuevo artículo 4 bis permite tratarlos para corregir sesgos, con condiciones estrictas.
- Empresas medianas: algunas ventajas de las pymes llegan a las pequeñas empresas de mediana capitalización.
- Sandboxes: cada Estado debe tener uno operativo antes del 2 de agosto de 2027.
En cambio, las prohibiciones, los modelos de propósito general y casi todas las obligaciones del AI Act sobre transparencia siguen en su fecha. Si tu IA trata datos personales, revisa también tu checklist de cumplimiento del RGPD para 2026.
Lo que llega el 2 de diciembre de 2026
Faltan siete semanas. Ese día se aplica una prohibición nueva del artículo 5. Afecta a la IA que genera o manipula imágenes, vídeo o audio íntimos y realistas de una persona identificable sin su consentimiento explícito. También cubre el material de abuso sexual infantil. Para el proveedor, alcanza a los sistemas creados para ello y a los que lo permiten de forma previsible sin salvaguardas razonables. Para quien usa el sistema, en cambio, solo cuenta el uso para generar ese material.
Además, ese día termina el plazo extra del marcado legible por máquina. Si lanzaste un sistema generativo antes del 2 de agosto, tienes hasta el 2 de diciembre para cumplir el artículo 50.2. Así que, si tu producto genera contenido, estas son las obligaciones del AI Act que debes cerrar este trimestre.
Qué hacer ahora con las obligaciones del AI Act
Con la transparencia ya exigible, este es un orden razonable para cubrir las obligaciones del AI Act:
- Inventario: lista la IA que desarrollas y la que usan tus equipos, incluida la «shadow AI».
- Clasificación: asigna a cada sistema su nivel de riesgo y tu papel.
- Avisos y marcado: revisa chatbots, contenido generado y deepfakes frente al artículo 50.
- Salvaguardas: si ofreces generación de imagen o vídeo, compruébalas antes de diciembre.
- Formación: mantén un plan de alfabetización proporcional al uso.
- Hoja de ruta: si usas IA en selección de personal, crédito o seguros de vida y salud, prepara ya la documentación de alto riesgo.
Por otro lado, muchas obligaciones del AI Act se apoyan en controles que ya tienes para el RGPD o la ISO 27001. Lo explicamos en cómo cumplir varias normativas con un mapa de controles. Y si trabajas en banca y fintech o en el sector asegurador, el Anexo III te afecta de lleno.
Preguntas frecuentes sobre las obligaciones del AI Act
¿Qué obligaciones del AI Act se aplican ya en octubre de 2026?
Las prohibiciones y la alfabetización en IA, desde febrero de 2025. Los modelos de propósito general, desde agosto de 2025. Y la transparencia del artículo 50, desde el 2 de agosto de 2026, junto con los poderes de supervisión y sanción.
¿Se ha retrasado el AI Act por el Digital Omnibus?
Solo en parte. El Reglamento (UE) 2026/1744 aplazó el alto riesgo a diciembre de 2027 (Anexo III) y agosto de 2028 (Anexo I). Sin embargo, no movió las prohibiciones, los modelos de propósito general ni la transparencia, salvo cuatro meses extra para el marcado.
¿Tienen obligaciones del AI Act las empresas que solo usan IA?
Sí. Debes etiquetar los deepfakes que publiques, informar si usas reconocimiento de emociones y fomentar la alfabetización de tu plantilla. Además, desde diciembre de 2027, si usas sistemas de alto riesgo, tendrás que asignar supervisión humana y conservar registros.
¿Qué multas prevé el AI Act?
Hasta 35 millones de euros o el 7 % de la facturación mundial por prácticas prohibidas. Para otros incumplimientos, incluida la transparencia, hasta 15 millones o el 3 %. Por información incorrecta a las autoridades, hasta 7,5 millones o el 1 %. En las pymes se aplica el importe menor.
¿Quién supervisa el AI Act en España?
La Comisión identifica a la AESIA como punto de contacto de España, aunque la designación formal sigue pendiente. Por su parte, la Oficina de IA supervisa los modelos de propósito general. Y la AEPD mantiene sus competencias cuando la IA trata datos personales.
Revisado el 14 de octubre de 2026. Divulgación informativa, no asesoramiento jurídico.
Cómo ayuda Atalaya GRC con las obligaciones del AI Act
Atalaya GRC mantiene tu inventario de IA y lo clasifica servicio por servicio, con tu papel en cada sistema. Cada requisito se enlaza con controles que ya usas para el RGPD, NIS2 o ISO 27001: un control, varias normas. Además, el reloj regulatorio te avisa antes de cada plazo de las obligaciones del AI Act y guarda las evidencias en un solo sitio. Consulta la ficha del EU AI Act o pide una demo.
