El 2 de agosto de 2026, el techo de sanciones por desplegar un AI agent sin la documentación adecuada pasa de 20 millones de euros a 55 millones de euros. No es una errata. Las disposiciones de alto riesgo del EU AI Act se suman ahora a las multas existentes del GDPR, creando un régimen de doble aplicación donde un solo AI agent que procese datos personales puede desencadenar infracciones en ambos marcos normativos simultáneamente.
La mayoría de las empresas que despliegan AI agents en Europa no están preparadas. Esta guía cubre exactamente lo que necesitas hacer antes del plazo: las evaluaciones requeridas, la documentación que debes preparar, las sanciones a las que te enfrentas y una hoja de ruta práctica de cumplimiento en 90 días.
Qué significa el EU AI Act para los AI Agents empresariales
El EU AI Act entró en vigor en agosto de 2024, con diferentes disposiciones que se aplican de forma progresiva. El plazo más crítico para las empresas es el 2 de agosto de 2026, cuando los requisitos para los sistemas de IA de alto riesgo del Anexo III serán plenamente exigibles.
¿Qué AI Agents son de alto riesgo?
No todos los AI agents entran en la categoría de alto riesgo. La normativa clasifica los sistemas de IA en función de su contexto de uso, no de la tecnología en sí. Tu AI agent es probablemente de alto riesgo si opera en alguna de estas áreas:
- Empleo y RRHH: Selección de CV, evaluación de candidatos, decisiones de promoción, monitorización del rendimiento de empleados
- Servicios financieros: Scoring crediticio, suscripción de seguros, detección de fraude con decisiones automatizadas
- Sanidad: Triaje de pacientes, soporte diagnóstico, recomendaciones de tratamiento
- Educación: Evaluación de estudiantes, decisiones de admisión, recomendaciones de itinerarios formativos
- Seguridad y migración: Control fronterizo, predicción de delitos (sector público)
Los chatbots de atención al cliente y los agentes de automatización de marketing generalmente no se clasifican como de alto riesgo, salvo que tomen decisiones con consecuencias significativas sobre personas.
El solapamiento con el GDPR
Aquí es donde se complica la situación. Los AI agents que procesan datos personales suelen activar múltiples criterios de alto riesgo simultáneamente: perfilado, toma de decisiones automatizada, uso de tecnología innovadora y procesamiento a gran escala. Esto implica que tienes obligaciones de cumplimiento bajo ambos marcos: GDPR y AI Act.
La buena noticia: la UE diseñó estos marcos para funcionar de forma complementaria. Una FRIA (Evaluación de Impacto en Derechos Fundamentales) bajo el AI Act puede complementar tu DPIA (Evaluación de Impacto en Protección de Datos) existente bajo el GDPR, en lugar de sustituirla.
DPIA y FRIA: las dos evaluaciones que debes completar
Antes de desplegar cualquier AI agent de alto riesgo después del 2 de agosto de 2026, necesitas dos evaluaciones formales:
1. Evaluación de Impacto en Protección de Datos (DPIA) — GDPR Artículo 35
La DPIA es obligatoria bajo el GDPR desde 2018, pero muchas empresas no han realizado una específicamente para sus AI agents. La evaluación debe cubrir:
- Descripción sistemática de las operaciones de tratamiento y sus finalidades
- Evaluación de necesidad y proporcionalidad — por qué se necesita IA frente a métodos más simples
- Riesgos para las personas — qué daños podrían producirse por errores, sesgos o brechas de datos
- Medidas de mitigación — salvaguardas técnicas y organizativas implementadas
Para los AI agents, presta especial atención a la toma de decisiones automatizada (Artículo 22), la minimización de datos (¿estás recopilando más datos de los necesarios?) y el derecho a la revisión humana de decisiones automatizadas.
2. Evaluación de Impacto en Derechos Fundamentales (FRIA) — AI Act Artículo 27
La FRIA es nueva y está dirigida específicamente a sistemas de IA. Extiende el análisis más allá de la protección de datos para evaluar el impacto en derechos fundamentales, incluyendo:
- No discriminación e igualdad
- Libertad de expresión
- Derecho a un recurso efectivo
- Derechos de la infancia (si el sistema afecta a menores)
- Protección del consumidor
Enfoque práctico: Realiza primero tu DPIA y después amplíala para cubrir las dimensiones de derechos fundamentales exigidas por la FRIA. Este enfoque unificado está expresamente respaldado por el AI Act y evita duplicidades.
Plazos de ejecución
Si planeas desplegar antes del 2 de agosto de 2026, el requisito de retención de datos de 6 meses implica que deberías haber comenzado a recopilar evidencia de cumplimiento como máximo en febrero de 2026. Si aún no has empezado, comienza de inmediato: una DPIA más FRIA exhaustiva requiere entre 8 y 12 semanas para un sistema de AI agent complejo.
Lista de verificación de cumplimiento previo al despliegue
Para el 2 de agosto de 2026, lo siguiente debe estar completado para cada sistema de IA de alto riesgo:
Documentación técnica (Anexo IV)
- Descripción del sistema incluyendo finalidad prevista, capacidades y limitaciones
- Documentación del proceso de gestión de riesgos con riesgos identificados y medidas de mitigación
- Documentación de gobernanza de datos que cubra datos de entrenamiento, validación y pruebas
- Metodología de diseño y desarrollo incluyendo arquitectura del modelo y enfoque de entrenamiento
- Métricas de rendimiento incluyendo precisión, robustez y medidas de ciberseguridad
- Mecanismos de supervisión humana e instrucciones de uso
Evaluación de conformidad
- Autoevaluación o evaluación por terceros según la categoría del sistema
- Declaración UE de conformidad firmada por un representante autorizado
- Marcado CE aplicado al sistema o a su documentación
- Registro en la base de datos de IA de la UE (para sistemas de alto riesgo destinados al público)
Obligaciones continuas
- Sistema de vigilancia poscomercialización implementado
- Procedimiento de notificación de incidentes para incidentes graves
- Sistema de registro que conserve registros durante al menos 6 meses
- Auditorías periódicas de precisión y sesgo
¿Necesitas ayuda para preparar tu documentación de cumplimiento? Nuestro equipo de ciberseguridad y cumplimiento de IA puede realizar evaluaciones DPIA y FRIA para tus despliegues de AI agents. Conoce nuestros servicios de ciberseguridad o contáctanos.
Sanciones: qué ocurre si no cumples
El EU AI Act introduce una estructura escalonada de sanciones que se acumula con las multas del GDPR:
| Infracción | Multa máxima |
|---|---|
| Prácticas de IA prohibidas (puntuación social, manipulación) | 35 millones de euros o 7 % de la facturación anual global |
| Incumplimiento de alto riesgo (documentación ausente, sin FRIA) | 15 millones de euros o 3 % de la facturación anual global |
| Proporcionar información incorrecta a las autoridades | 7,5 millones de euros o 1,5 % de la facturación anual global |
| Combinación con infracción GDPR | Hasta 55 millones de euros (sanciones acumuladas) |
Acumulación de sanciones explicada
Un solo AI agent que procese datos personales sin la documentación adecuada puede activar:
- Multa GDPR por DPIA ausente: hasta 20 millones de euros (Artículo 83)
- Multa AI Act por FRIA y evaluación de conformidad ausentes: hasta 15 millones de euros
- Multa AI Act por documentación técnica ausente: hasta 15 millones de euros
Estas multas no son alternativas — pueden aplicarse de forma acumulativa para el mismo sistema. Las autoridades nacionales de aplicación ya están operativas, siendo Finlandia el primer Estado miembro en activarse completamente en enero de 2026.
Consideraciones para pymes
El AI Act ofrece cierto alivio para las pymes: las multas se calculan aplicando el menor entre el importe absoluto y el porcentaje de facturación, el que resulte más proporcionado. Sin embargo, las obligaciones de cumplimiento siguen siendo las mismas independientemente del tamaño de la empresa.
Qué preguntar a tu proveedor de AI agents
Si utilizas plataformas de AI agents de terceros, el cumplimiento es una responsabilidad compartida. Antes de firmar o renovar contratos empresariales, verifica estos puntos:
Tratamiento de datos
- ¿Dónde se procesan y almacenan los datos? ¿Existen opciones solo en la UE?
- ¿Quiénes son los subencargados del proveedor y dónde están ubicados?
- ¿Puedes ejercer el derecho de supresión en todas las interacciones del agente y datos de entrenamiento?
- ¿El proveedor ofrece un Acuerdo de Tratamiento de Datos conforme al GDPR?
Preparación para el AI Act
- ¿Ha completado o iniciado el proveedor la evaluación de conformidad de su sistema?
- ¿Está disponible la documentación técnica conforme al Anexo IV?
- ¿La plataforma proporciona trazas de auditoría de todas las decisiones impulsadas por IA?
- ¿Ha preparado el proveedor la documentación de marcado CE para despliegues de alto riesgo?
- ¿Qué medidas de transparencia existen para las personas que interactúan con el AI agent?
Señales de alerta
Desconfía si un proveedor no puede responder a estas preguntas con claridad, afirma que su sistema no es de alto riesgo sin un análisis de clasificación documentado, o se basa exclusivamente en el cumplimiento contractual sin demostrar medidas técnicas.
Hoja de ruta de cumplimiento en 90 días
Para empresas que necesitan alcanzar el cumplimiento antes del 2 de agosto de 2026:
Semanas 1-2: Inventario y clasificación
- Catalogar todos los AI agents de tu organización (incluida la IA en la sombra)
- Clasificar cada sistema según las categorías de riesgo del AI Act
- Identificar qué sistemas procesan datos personales (activando la doble obligación GDPR + AI Act)
- Asignar responsables de cumplimiento para cada sistema de alto riesgo
Semanas 3-6: Fase de evaluación
- Realizar la DPIA para cada AI agent de alto riesgo que procese datos personales
- Ampliar cada DPIA en una FRIA que cubra las dimensiones de derechos fundamentales
- Documentar las medidas de mitigación de riesgos identificados
- Contar con asesoría legal para revisar la calidad de las evaluaciones
Semanas 7-10: Documentación y medidas técnicas
- Preparar la documentación técnica del Anexo IV para cada sistema de alto riesgo
- Implementar los sistemas de registro y monitorización requeridos
- Establecer procedimientos de supervisión humana
- Crear flujos de trabajo de notificación de incidentes
Semanas 11-12: Conformidad y registro
- Completar los procedimientos de evaluación de conformidad
- Preparar la declaración UE de conformidad
- Registrar los sistemas en la base de datos de IA de la UE (cuando proceda)
- Realizar la revisión final con los equipos jurídico y de cumplimiento
Actividades continuas tras el lanzamiento
- Programar auditorías trimestrales de sesgo y precisión
- Monitorizar las actualizaciones de orientación regulatoria de las autoridades nacionales
- Mantener la documentación actualizada tras cualquier modificación significativa del sistema
- Formar a los equipos en los procedimientos de notificación de incidentes
Estado actual de la aplicación en Europa
La aplicación ya no es teórica. Las autoridades nacionales competentes se están activando a lo largo del primer semestre de 2026:
- Finlandia: Primer Estado miembro con aplicación plenamente operativa (enero de 2026)
- Francia: La CNIL lidera la aplicación del AI Act junto con la protección de datos
- Alemania: Coordinación de la aplicación a nivel federal y estatal
- España: La AEPD integra la aplicación del AI Act con el marco GDPR existente
- Italia: El Garante per la protezione dei dati desarrolla orientaciones específicas sobre IA
Las empresas que operan en varios Estados miembros de la UE deben prepararse para acciones de aplicación de cualquier autoridad nacional, no solo de su país de establecimiento.
Conclusión
El plazo del 2 de agosto de 2026 está a menos de cuatro meses. La doble carga de cumplimiento del GDPR y el EU AI Act es real, las sanciones son sustanciales (hasta 55 millones de euros por un solo sistema) y las autoridades de aplicación están operativas. Las empresas que actúen ahora — realizando evaluaciones, preparando documentación y estableciendo monitorización continua — no solo evitarán sanciones sino que generarán confianza con clientes y socios en un panorama de IA cada vez más regulado.
Las acciones clave son claras:
- Clasifica tus AI agents según el marco de riesgo del AI Act de inmediato
- Inicia las evaluaciones DPIA y FRIA ahora si aún no lo has hecho
- Verifica que tus contratos con proveedores incluyan cláusulas de cumplimiento del AI Act
- Establece sistemas de registro, monitorización y notificación de incidentes antes del plazo
¿Necesitas apoyo en cumplimiento para tus despliegues de AI agents? Contacta con nuestro equipo para una evaluación de preparación GDPR y AI Act. Ayudamos a las empresas a navegar el doble marco de cumplimiento con orientación práctica y plazos definidos.
