EN 30 SEGUNDOS
- ¿Qué ha pasado? Entran en vigor las obligaciones para los sistemas de IA de alto riesgo previstas en el AI Act de la UE, incluida la transparencia en la generación de contenidos sintéticos.
- ¿Quién está detrás? La Comisión Europea, el Parlamento y los Veintisiete han desplegado la normativa tras una tramitación de más de dos años, con especial énfasis en la Comisión y la Eurocámara.
- ¿Qué impacto tiene? Las empresas españolas que utilicen IA en sanidad, RRHH o infraestructuras críticas deberán cumplir con nuevos requisitos o afrontar multas de hasta 35 millones de euros o el 7% de su facturación global.
La activación de las obligaciones para la IA de alto riesgo —las que pueden afectar a la seguridad o los derechos fundamentales de los ciudadanos— supone un salto regulatorio sin precedentes. Desde hoy, hospitales, aseguradoras, empresas de recursos humanos y administraciones públicas tendrán que demostrar que los algoritmos que utilizan son seguros, transparentes y no discriminatorios. Y eso, en España, donde la inteligencia artificial ya se emplea para cribar currículums o para triaje médico, implica un esfuerzo de adaptación que muchas pymes todavía no han completado.
La norma se aplica por capas. En febrero de 2025 se prohibieron los usos inaceptables —manipulación cognitiva, puntuación social— y en agosto de ese año llegaron los deberes para los modelos de propósito general como ChatGPT o Gemini. Pero el 2 de agosto de 2026 marca el verdadero punto de inflexión: desde este domingo, el Artículo 50 obliga a marcar todo contenido sintético y a informar nítidamente al usuario cuando interactúa con una máquina. Nada de avisos escondidos en la letra pequeña.
El etiquetado, sin embargo, tiene sus límites. ‘Puede facilitar que los usuarios se detengan antes de creer o compartir’, explica el emprendedor catalán Pau Garcia-Milà. Pero advierte: ‘una etiqueta puede eliminarse, pasar inadvertida o incluso utilizarse para desacreditar contenidos auténticos’. Por eso, la Comisión insiste en que el diseño de las interfaces no promueva el antropomorfismo.
Más allá de la transparencia, la nueva fase del AI Act alcanza de lleno a sistemas de alto riesgo: los que deciden sobre empleos, diagnósticos médicos, acceso al crédito o control de infraestructuras críticas. A partir de ahora deben someterse a una evaluación de conformidad y a una supervisión humana efectiva. Los desarrolladores tendrán que documentar la calidad de los datos de entrenamiento, mitigar sesgos y garantizar la robustez técnica. La multa por incumplimiento puede ascender a 35 millones de euros o al 7% del volumen de negocio mundial, una cifra que dispara las alarmas en los consejos de administración.
En paralelo, la polémica reforma conocida como Ómnibus Digital —aprobada el pasado junio— ha aplazado algunas obligaciones: las prohibiciones de deepfakes sexuales no consentidos se retrasan a finales de 2026, 2027 y 2028, al igual que los requisitos más gravosos para ciertas IA de alto riesgo. Una moratoria que, según fuentes comunitarias, respondió a la presión de Estados como Francia y Alemania, temerosos de frenar la innovación europea antes de tiempo.
El impacto directo sobre las empresas españolas
En España, el regulador llamado a vigilar el cumplimiento es la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), creada en 2023 pero aún en proceso de despliegue efectivo. Su puesta a punto será crucial: las pymes que usan IA para triaje de currículums o para scoring de clientes deberán someterse a auditorías y reportar incidentes de seguridad. La mayoría de estas empresas no cuenta hoy con los recursos técnicos ni legales para hacer frente a los nuevos trámites.
Según datos del ONTSI, el 38% de las empresas españolas de más de diez empleados ya utiliza algún tipo de inteligencia artificial, pero la tasa de cumplimiento formal con estándares de ciberseguridad y transparencia sigue siendo baja. El AI Act obligará a que todas las de un sector crítico contraten a un delegado de IA y elaboren un plan de gestión de riesgos. La sanción máxima —35 millones o el 7% de la facturación— es más de cuatro veces superior a la multa media que la CNMC impone por infracciones antitrust; un golpe que muchas pymes no podrían asumir.
En sanidad, los hospitales que desplieguen sistemas de diagnóstico por imagen asistido por IA tendrán que certificar que el algoritmo ha sido entrenado con datos representativos de la población española, no solo de cohortes anglosajonas. En recursos humanos, los software que criban candidatos deberán demostrar que no introducen sesgos de género o edad. Y en justicia, donde España ya ha pilotado herramientas de inteligencia artificial para la predicción de reincidencia, el reglamento exige total transparencia y posibilidad de apelación automatizada.
La multa por incumplimiento, 35 millones o el 7% de la facturación, no es un farol: la Comisión ya ha mostrado músculo sancionador con el RGPD y ahora quiere repetir con la IA.
El Eje del Poder Europeo
El despliegue del AI Act no es solo una cuestión técnica; es un pulso geopolítico y regulatorio dentro de la propia Unión. Por un lado, Francia y Alemania han defendido durante la tramitación un enfoque más laxo para no perjudicar a sus emergentes campeones de IA, como Mistral o Aleph Alpha. Por otro, el Parlamento Europeo, con España y los países nórdicos a la cabeza, empujó por una protección robusta de los derechos fundamentales. El resultado es un compromiso que deja intacta la filosofía de ‘riesgo como baremo’ pero concede moratorias selectas que facilitan la adaptación industrial.
El eje franco-alemán logró que la Comisión aceptara el Ómnibus Digital, que retrasa hasta tres años los requisitos más espinosos. A cambio, la Comisión mantuvo intactas las sanciones máximas y la obligación de transparencia para los sistemas de alto riesgo. España, por su parte, ha jugado un doble papel: impulsora del reglamento en su fase legislativa, pero a la vez preocupada por la capacidad de su tejido productivo —muy dependiente de pymes— para asumir los costes de certificación. La vicepresidenta Ribera ha abogado por un período de acompañamiento y por un refuerzo presupuestario de la AESIA, cuya plantilla aún no llega al centenar de técnicos.
Desde una perspectiva estratégica, el AI Act aspira a repetir el ‘efecto Bruselas’ que consiguió con el RGPD en 2018: exportar su estándar al resto del mundo y obligar a las grandes tecnológicas a adaptarse o perder el mercado único. La diferencia es que ahora la competencia con Estados Unidos y China es mucho más intensa. Si la UE se excede en burocracia, corre el riesgo de que la inversión en IA se desplace a otras latitudes. Pero si logra un equilibrio, puede consolidar un modelo de inteligencia artificial fiable que se convierta en marca de calidad global.
El reloj corre: las empresas tienen hasta finales de 2027 para adaptarse a las obligaciones más exigentes, pero las primeras inspecciones de la Comisión comenzarán en pocos meses. Y Bruselas ya ha demostrado con el RGPD que no tiene miedo a expedientar a los gigantes de Silicon Valley ni a los Estados miembros que no doten de recursos a sus autoridades de control. La próxima cita es la reunión del Comité Europeo de IA en octubre, donde se evaluarán los primeros informes de conformidad.
