--- title: "AI Act 2026: Qué Obligaciones Son Exigibles Hoy para Empresas" description: "Obligaciones del AI Act para empresas españolas en 2026: qué entró el 2 de agosto, qué aplazó el Reglamento Ómnibus a 2027 y los 5 errores más repetidos. Con checklist de 42 puntos." pubDate: "2026-08-13" category: "estrategia" language: "es" tags: ["ai-act", "compliance", "normativa-ia", "reglamento-europeo-ia", "union-europea", "legal", "ia", "empresa", "pymes", "espana"] --- El 2 de agosto se llenó todo de artículos avisando de que entraba en vigor el AI Act. Multas de 35 millones, sistemas de alto riesgo, certificaciones urgentes. Nueve días antes, el 24 de julio, se publicó en el DOUE el **Reglamento (UE) 2026/1744**. Y movió el alto riesgo a diciembre de 2027. Casi nadie lo mencionó. **Aviso que va por delante y no en el pie**: no soy abogado. Soy CTO de una empresa de software que está pasando esto ahora mismo, y lo que sigue cita el articulado para que puedas comprobarlo tú. Para cualquier dictamen, un abogado. ## Lo que es exigible hoy, en una tabla | Bloque | Estado a agosto de 2026 | |---|---| | **Art. 4** — alfabetización en IA | Exigible desde el **2-feb-2025** | | **Art. 5** — prácticas prohibidas | Exigible desde el **2-feb-2025**. Las letras nuevas del Ómnibus, desde el 2-dic-2026 | | **Art. 50** — transparencia | Exigible desde el **2-ago-2026**. No aplazado | | **Arts. 102-110** | Desde el 27-jul-2026 | | Alto riesgo del **Anexo III** | **2-dic-2027** | | Alto riesgo del **Anexo I** | **2-ago-2028** | | Arts. 22 y 25 (representante autorizado, cadena de valor) | Siguen el calendario del alto riesgo | El aplazamiento es quirúrgico, no general. Quien te diga "el AI Act se ha retrasado" te está informando igual de mal que quien te diga "entra entero en agosto". ## Qué hizo exactamente el Ómnibus Tres cosas, y la segunda contradice la lectura extendida de que solo movió fechas: **Movió fechas.** Sustituyó la letra c) del párrafo tercero del art. 113 y añadió una letra d) nueva. **Tocó el propio artículo 2.** Sustituyó los apartados 2 y 7, y añadió un apartado 13. El art. 2 ya no tiene doce apartados, tiene trece. **No tocó el art. 2.1.** Las siete letras que definen a quién se aplica el Reglamento siguen literalmente idénticas. Los criterios territoriales no han cambiado. Y una consecuencia de método para quien vaya a mirarlo por su cuenta: cualquier análisis hecho contra el PDF de 2024 es hoy inexacto en el articulado. Cita el consolidado o no cites. ## Error 1: "El 2 de agosto entra el régimen de alto riesgo" No. Lo que entró el 2 de agosto fue el artículo 50. La peor variante de este error está en artículos escritos entre mayo y junio de 2026, tras el trílogo sin acuerdo del 28 de abril, que dieron por fracasado el Ómnibus y concluyeron que el Anexo III entraba en agosto. Alguno mantiene ese titular aunque el cuerpo ya admite lo contrario. **Qué decisión cambia**: si tienes un módulo que podría caer en Anexo III, la diferencia es gastar en conformidad este trimestre o en 2027. Son cinco cifras de consultoría. ## Error 2: "No vendemos en la UE, así que no va con nosotros" Este es el más caro, y es el que más me he encontrado. El art. 2.1.b) aplica el Reglamento a *"los responsables del despliegue de sistemas de IA que estén establecidos o ubicados en la Unión"*. Es un criterio de **establecimiento**, no de destino comercial. En cuanto usas IA bajo tu propia autoridad (art. 3.4) siendo una sociedad española, eres sujeto obligado. Da igual que vendas solo a Latinoamérica. La confusión viene de leer el apartado c) —*"cuando los resultados de salida generados por el sistema de IA se utilicen en la Unión"*— y concluir que si tus clientes están fuera, quedas fuera. Ese apartado es **una red de seguridad para las empresas de fuera**, no una vía de escape para las de dentro. Existe para que una empresa estadounidense no esquive la norma alojando el sistema en Virginia. **Qué decisión cambia**: convierte un "esto no va con nosotros" en "tenemos dos obligaciones vencidas desde febrero de 2025". ## Error 3: "Usamos la API de OpenAI, el proveedor son ellos" El art. 3.3 define proveedor como quien desarrolla un sistema *"o para el que se desarrolle"* y lo introduce en el mercado **con su propio nombre o marca**. Vender tu producto bajo tu marca te hace proveedor frente a tu cliente, tenga debajo el motor que tenga. Y el art. 25.1 va más lejos. Pasas a ser proveedor de un sistema de alto riesgo si estampas tu marca sobre uno ya comercializado, si lo modificas sustancialmente, o si **modificas la finalidad prevista** —incluida la de un sistema de propósito general— de forma que pase a serlo. Este artículo 25 casi no se cita en español, y es exactamente lo que hacemos todos los SaaS que envolvemos una API de terceros. Si te interesa cómo montar por debajo esa capa de agentes con trazabilidad, lo desarrollé en [graph engineering](/blog/graph-engineering/). **Qué decisión cambia**: el control no está en el contrato con el proveedor del modelo, porque ahí no hay nada que negociar que te salve. Está en cómo defines la finalidad prevista y qué usos prohíbes en tus condiciones. Y en que marketing no venda el producto para usos que legal ha excluido. ## Error 4: "Es una herramienta interna, no cuenta" Dos artículos lo desmontan. El art. 3.11 define puesta en servicio como el suministro de un sistema *"directamente al responsable del despliegue o para uso propio en la Unión"*. Las Guidelines de la Comisión C(2026) 5054, de 20 de julio, lo confirman en su párrafo 11 para el caso de una organización que desarrolla un chatbot interno y lo pone en servicio bajo su nombre: es proveedora. **No existe exención de uso interno.** Ahora el matiz que evita el pánico, porque está en el mismo documento: su sección 3.2.1 lista como *obvio* —y por tanto exento del art. 50.1— el asistente interno para personal formado y con alfabetización en IA, y los asistentes de código para desarrolladores profesionales. La condición es justo esa formación, que enlaza con el art. 4. Pero **el art. 50.2 no tiene excepción de obviedad**. Si tu herramienta interna genera contenido sintético, hay que marcarlo en formato legible por máquina. Para lo puesto en servicio antes del 2 de agosto, el plazo es el 2 de diciembre de 2026. Y ojo con un atajo que no funciona: **la marca legible por máquina no basta por sí sola**. La AESIA es explícita en que hace falta también información clara y accesible para la persona. Una marca de agua técnica que el usuario no percibe en el punto de interacción no cumple, igual que no cumple esconder el aviso en los términos de servicio o en una URL. Y el art. 2.8 cierra la puerta de la beta. Excluye la I+D previa a la comercialización, pero su tercera frase es literal: *"las pruebas en condiciones reales no estarán cubiertas por esa exclusión"*. ## Error 5: "Es open source, y el AI Act exime al código abierto" El art. 2.12 excluye los sistemas con licencia libre **salvo** que se introduzcan como alto riesgo o *"como sistemas de IA que entren en el ámbito de aplicación del artículo 5 o del artículo 50"*. Como el art. 50 abarca chatbots, reconocimiento de emociones, categorización biométrica y contenido sintético, casi cualquier IA generativa abierta queda fuera de la exención en cuanto la pones en servicio con esas funciones. El Ómnibus además estrechó el art. 25.4: ya no exime a los terceros que publican modelos de propósito general bajo licencia libre. **Qué decisión cambia**: desplegar Llama o Mistral self-hosted creyendo que sales del Reglamento es el error en la dirección más común. Self-hosted más open source no es una estrategia de cumplimiento. Como mucho lo es de RGPD. ## Dos cosas más que se cuentan mal **Las multas.** El titular de los 15 millones o el 3% existe, pero el art. 99.6 impone a las pymes el importe **menor** entre la cifra fija y el porcentaje. Para una empresa de seis personas la exposición realista es el porcentaje de su facturación, no los millones. Y hoy el riesgo inmediato en España no es ese, porque **el régimen sancionador nacional aún no está en vigor**. Lo que te puede morder ahora mismo es el RGPD y el art. 64.4.d) del Estatuto de los Trabajadores. **Quién puede denunciarte.** El art. 85 permite reclamar a *"cualquier persona física o jurídica que tenga motivos para considerar"* que se ha infringido el Reglamento. No exige ser afectado ni estar en la Unión. Puede ser un competidor. Modela la amenaza pensando en el art. 85, no en el 86 —que solo cubre decisiones de alto riesgo, es subsidiario del RGPD y hoy carece de objeto por el aplazamiento. ## Lo que yo haría esta semana Por orden, y ninguno lleva más de una tarde: 1. **Inventario.** Una lista de qué IA usáis dentro y qué IA ofrecéis fuera. Sin esto lo demás no se puede decidir. 2. **Rol por sistema.** Para cada línea, si sois usuarios o proveedores. La respuesta correcta no es un dictamen de empresa, es una matriz sistema por sistema. 3. **El registro del artículo 4.** No hace falta un curso: hace falta que quede escrito quién recibió formación, cuándo y sobre qué. En los equipos técnicos rara vez falta la formación. Falta el papel. Y si tu equipo ya trabaja con agentes a diario, buena parte de ese contenido lo tienes escrito en cómo usáis las herramientas — algo de eso conté en [context engineering](/blog/context-engineering-claude-5/). 4. **El aviso del artículo 50.** Una frase en la primera interacción de cada bot. Y quitarle el disfraz humano: sin foto de persona ni nombre propio. ## Checklist He montado un [checklist de 42 puntos](/recursos/checklist-ai-act/) agrupados en nueve bloques, con las obligaciones vivas separadas de la preparación para 2027. Responde sí o no; cada no es una tarea, y cada punto te dice **qué documento genera** al resolverlo. Está pensado para que sirva igual a una empresa de seis personas que a una de doscientas, porque lo que determina qué te obliga es el rol y la finalidad del sistema, no la facturación. ## Fuentes, para que lo compruebes tú - **Reglamento (UE) 2024/1689** (AI Act) — el texto base. - **Reglamento (UE) 2026/1744**, de 8 de julio de 2026, publicado en el DOUE el 24 de julio y en vigor desde el 27. Texto oficial accesible en el [BOE](https://www.boe.es/buscar/doc.php?id=DOUE-L-2026-81147). - **Guidelines de la Comisión C(2026) 5054**, de 20 de julio de 2026, sobre el artículo 50. Un apunte de método que te ahorra un rato: al preparar esto, EUR-Lex me devolvió error en todas las variantes. El BOE publica el texto íntegro del DOUE y sí es accesible. Si vas a verificar algo, empieza por ahí. Y si lees esto pasado octubre de 2026, comprueba que no haya cambiado nada. Esta materia se mueve: el Ómnibus salió nueve días antes del hito que todo el mundo tenía en el calendario. --- **P.D.** Escribo cada quince días sobre cómo se usa la IA en producción de verdad, con sus costes y sus fallos. Si te interesa, estoy en [@lm_martinbar](https://x.com/lm_martinbar).