Regulación IA en España 2026: Guía del AI Act para Empresas

El 2 de agosto de 2026 entran en vigor las obligaciones principales del Reglamento Europeo de Inteligencia Artificial (AI Act), la primera legislación integral sobre IA del mundo. Para las empresas españolas que ya utilizan o planean implementar sistemas de inteligencia artificial, el cumplimiento normativo pasa de ser una recomendación a una obligación legal con sanciones de hasta 35 millones de euros o el 7 % de la facturación global.

Sin embargo, la mayoría de pymes y empresas medianas todavía no tienen claro qué obligaciones les afectan, qué plazos deben cumplir ni cómo prepararse. Esta guía traduce el Reglamento a un lenguaje práctico y ofrece un plan de acción concreto.

Qué Es el AI Act y Por Qué Afecta a tu Empresa

El Reglamento Europeo de Inteligencia Artificial (Reglamento UE 2024/1689), conocido como AI Act, es el marco legal que regula el desarrollo, comercialización y uso de sistemas de IA en la Unión Europea. Fue aprobado en junio de 2024 y se aplica de forma progresiva entre 2025 y 2027.

A quién afecta:

• Proveedores de IA: Empresas que desarrollan o comercializan sistemas de IA.
• Implantadores de IA: Empresas que utilizan sistemas de IA en sus operaciones (la mayoría de pymes que usan ChatGPT, agentes IA, etc.).
• Importadores y distribuidores: Empresas que comercializan en la UE sistemas de IA desarrollados fuera de Europa.

Si tu empresa usa ChatGPT, un chatbot de atención al cliente, un sistema de scoring de candidatos o cualquier herramienta basada en IA, el AI Act te afecta como implantador. No es solo para empresas tecnológicas.

Los 4 Niveles de Riesgo del AI Act

El AI Act clasifica los sistemas de IA en cuatro niveles de riesgo, con obligaciones crecientes:

Riesgo Inaceptable (Prohibido)

Sistemas prohibidos desde febrero de 2025:

• Scoring social por parte de gobiernos o empresas.
• Manipulación subliminal que cause daño.
• Explotación de vulnerabilidades (edad, discapacidad).
• Identificación biométrica remota en tiempo real en espacios públicos (con excepciones para seguridad).
• Categorización biométrica basada en datos sensibles (raza, orientación política).

Riesgo Alto

Sistemas con obligaciones significativas desde agosto de 2026:

Área	Ejemplos
Selección de personal	Screening de CVs con IA, scoring de candidatos
Scoring crediticio	Evaluación automatizada de solvencia
Educación	Sistemas de evaluación automatizada, admisiones
Infraestructuras críticas	Gestión de redes, transporte, energía
Acceso a servicios públicos	Priorización de servicios, prestaciones
Aplicación de la ley	Evaluación de riesgos, detección de delitos

Obligaciones para sistemas de alto riesgo:

1. Sistema de gestión de riesgos documentado.
2. Gobernanza de datos (calidad, representatividad, minimización de sesgos).
3. Documentación técnica completa.
4. Registro de actividades (logging).
5. Transparencia y provisión de información a los usuarios.
6. Supervisión humana efectiva.
7. Precisión, robustez y ciberseguridad.
8. Monitorización post-comercialización.

Riesgo Limitado

Sistemas con obligaciones de transparencia:

• Chatbots y asistentes virtuales: El usuario debe saber que habla con una IA.
• Deepfakes y contenido generado por IA: Debe etiquetarse como generado artificialmente.
• Sistemas de reconocimiento de emociones: Deben informar al usuario.

La mayoría de usos empresariales de IA generativa (ChatGPT, Claude, chatbots) caen en esta categoría. La obligación principal es transparencia: informar al usuario de que interactúa con un sistema de IA.

Riesgo Mínimo

La gran mayoría de sistemas de IA:

• Filtros de spam.
• Recomendadores de contenido.
• Herramientas de productividad con IA.
• Generación de contenido interno.

Sin obligaciones específicas, aunque se recomiendan buenas prácticas y códigos de conducta voluntarios.

¿Qué Obligaciones Tiene tu Empresa? Checklist Práctico

La mayoría de pymes españolas que utilizan IA generativa estarán en las categorías de riesgo limitado o mínimo. Este checklist te ayuda a determinar tus obligaciones:

Si Usas Chatbots o Asistentes IA para Clientes (Riesgo Limitado)

• Informar al usuario de que está interactuando con un sistema de IA.
• Etiquetar contenido generado por IA que se publique como información de interés público.
• Documentar el uso internamente (qué sistema, para qué, quién lo supervisa).

Si Usas IA para Selección de Personal (Riesgo Alto)

• Realizar una evaluación de impacto sobre derechos fundamentales.
• Documentar el sistema de gestión de riesgos.
• Garantizar supervisión humana en todas las decisiones automatizadas.
• Auditar sesgos del sistema de forma periódica.
• Mantener registros de actividad durante al menos 6 meses.
• Informar al candidato de que se utiliza IA en el proceso.

Si Usas IA Generativa Internamente (Riesgo Mínimo)

• Establecer una política de uso interno de IA.
• Formar al equipo sobre uso responsable.
• No compartir datos confidenciales con herramientas sin garantías de no entrenamiento.
• Verificar el contenido generado antes de publicar o enviar a clientes.

Para un análisis detallado del cumplimiento GDPR específico para agentes IA, consulta nuestra guía de seguridad y GDPR para AI Agents.

Calendario de Aplicación del AI Act

Fecha	Qué entra en vigor
Febrero 2025	Prohibiciones (riesgo inaceptable)
Agosto 2025	Obligaciones para IA de propósito general (GPAI)
Agosto 2026	Obligaciones principales: alto riesgo, transparencia, gobernanza
Agosto 2027	Obligaciones para sistemas de alto riesgo integrados en productos regulados

Agosto 2026 es la fecha crítica para la mayoría de empresas. Las obligaciones de transparencia (chatbots, contenido generado) y las de alto riesgo (selección de personal, scoring) entran en vigor.

Sanciones: Cuánto Puede Costar No Cumplir

El AI Act establece sanciones proporcionales pero severas:

Infracción	Sanción máxima
Usar un sistema prohibido	35 M€ o 7 % facturación global
Incumplir obligaciones de alto riesgo	15 M€ o 3 % facturación global
Proporcionar información incorrecta	7,5 M€ o 1 % facturación global

Para pymes, las sanciones se ajustan proporcionalmente: el menor de los dos importes (fijo o porcentaje de facturación). Pero incluso una sanción del 1 % puede ser significativa.

AESIA: La Autoridad Española de IA

España ha creado la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña, como autoridad nacional de supervisión del AI Act. AESIA ya ha publicado 16 guías prácticas de cumplimiento para empresas.

Recursos de AESIA para empresas:

• Guías de evaluación de riesgo.
• Plantillas de documentación técnica.
• Sandbox regulatorio para probar sistemas de IA en entorno controlado.
• Canal de consultas para empresas.

Accede a los recursos en aesia.digital.gob.es.

Plan de Acción: Cómo Preparar tu Empresa para Agosto 2026

Fase 1: Auditoría (Junio 2026)

1. Inventario de sistemas de IA: Lista todos los sistemas de IA que utiliza tu empresa (ChatGPT, chatbots, scoring, automatizaciones).
2. Clasificación por riesgo: Determina en qué categoría cae cada sistema usando la tabla del AI Act.
3. Identificación de gaps: Compara tu situación actual con las obligaciones de tu categoría.

Fase 2: Implementación (Junio-Julio 2026)

4. Transparencia: Añade avisos de IA en todos los chatbots y sistemas de atención al cliente.
5. Política interna: Redacta una política de uso de IA para tu organización.
6. Formación: Forma a los equipos relevantes (RRHH, atención al cliente, marketing).
7. Documentación: Para sistemas de alto riesgo, prepara la documentación técnica y el sistema de gestión de riesgos.

Fase 3: Monitorización (Agosto 2026 en adelante)

8. Revisión periódica: Revisa trimestralmente el cumplimiento.
9. Actualización: Mantén la documentación actualizada con cada cambio de sistema.
10. Formación continua: El AI Act y las guías de AESIA evolucionarán — mantén al equipo informado.

Relación entre AI Act y GDPR

El AI Act no sustituye al GDPR: ambas normativas coexisten y se complementan. Si tu sistema de IA procesa datos personales (prácticamente todos lo hacen), debes cumplir con ambas regulaciones:

Aspecto	GDPR	AI Act
Foco	Protección de datos personales	Seguridad y derechos con IA
Aplica a	Cualquier tratamiento de datos	Sistemas de IA específicos
DPIA	Obligatoria para alto riesgo de datos	Evaluación de impacto en derechos fundamentales
Transparencia	Información sobre tratamiento de datos	Información sobre uso de IA
Supervisión	DPO (Delegado de Protección de Datos)	Supervisión humana de decisiones IA

La buena noticia: si ya cumples con el GDPR, tienes una base sólida para el AI Act. Los procesos de gobernanza de datos, documentación y evaluación de impacto son reutilizables.

El artículo 4 de la AI Act obliga además a las empresas a adoptar medidas de alfabetización en IA para el personal que usa estos sistemas o decide sobre ellos. Nuestra formación IA para directivos cubre gobernanza, riesgos y obligaciones regulatorias desde la perspectiva de la dirección.

Conclusión: El Cumplimiento Es una Ventaja, No un Coste

Las empresas que se preparen proactivamente para el AI Act tendrán una ventaja doble: evitarán sanciones y generarán confianza entre clientes y socios que valoran la IA responsable. En un mercado donde el 49 % de las empresas españolas identifican la regulación como la principal barrera para la adopción de IA, demostrar cumplimiento normativo es un diferenciador comercial.

Los tres pasos inmediatos:

1. Haz un inventario de tus sistemas de IA esta semana. No puedes cumplir con lo que no has identificado.
2. Clasifica cada sistema por nivel de riesgo. La mayoría de usos empresariales serán de riesgo limitado o mínimo.
3. Añade avisos de transparencia en todos los chatbots y sistemas orientados al cliente antes de agosto de 2026.

¿Necesitas ayuda para preparar tu empresa para el AI Act? En Technova Partners asesoramos a pymes en cumplimiento normativo de IA y diseñamos estrategias de implementación de IA conformes con el Reglamento Europeo. Solicita una consulta.