AI Act para empresas en España: guía completa 2026

El Reglamento Europeo de Inteligencia Artificial ya está en marcha y afecta a más empresas de las que creen estar dentro de su alcance. No es una norma solo para grandes tecnológicas: cualquier pyme que use un chatbot con clientes, un sistema de scoring, una herramienta de selección de personal o un modelo de IA generativa tiene obligaciones que cumplir. Y el reto es real: según Eurostat, en 2025 solo el 17% de las pequeñas empresas de la UE usaba IA, frente al 55% de las grandes. Esa brecha significa que muchas pymes están adoptando IA justo cuando llegan los plazos de cumplimiento, sin haberse preparado.

Esta guía reúne en un solo sitio lo que una empresa española necesita entender: qué es el AI Act, a quién obliga, cuándo se aplica cada bloque, qué sanciones contempla y cómo prepararse por fases. Cada apartado enlaza al análisis en detalle cuando quieras profundizar.

¿Qué es el AI Act y a qué empresas obliga?

El AI Act es el Reglamento (UE) 2024/1689, la primera ley integral del mundo que regula la inteligencia artificial. Al ser un reglamento europeo, se aplica de forma directa en España sin necesidad de trasponerlo. Su enfoque es "basado en el riesgo": no regula la tecnología en sí, sino el uso que se le da y el daño potencial que ese uso puede causar a las personas.

Obliga a toda la cadena: proveedores que desarrollan o comercializan sistemas de IA, y también a los "responsables del despliegue", es decir, las empresas que usan esos sistemas en su actividad. Una pyme española que integra un modelo de terceros en su proceso de negocio ya es responsable del despliegue y asume obligaciones. Para saber qué te afecta según tu caso concreto, revisa las obligaciones del AI Act para pymes.

¿Cuándo entra en vigor? Calendario de aplicación del AI Act

El AI Act entró en vigor el 1 de agosto de 2024, pero no se aplica de golpe: los distintos bloques del reglamento van siendo exigibles de forma escalonada. El paquete de simplificación conocido como "AI Omnibus" (adoptado en noviembre de 2025) revisó el calendario de los sistemas de alto riesgo, ampliando algunos plazos. Estas son las fechas vigentes:

La fecha que marca el calendario de la mayoría de las empresas es el 2 de agosto de 2026. Puedes ver el desglose de cada hito y qué preparar antes de cada uno en el calendario del AI Act en España.

¿Cómo se clasifican los sistemas de IA por nivel de riesgo?

El AI Act ordena todos los sistemas de IA en cuatro niveles de riesgo, y las obligaciones crecen con el nivel. Clasificar bien cada sistema es el primer paso del cumplimiento, porque determina qué te exige la norma:

• Riesgo inaceptable (prohibido): usos vetados como el social scoring, la manipulación subliminal o la categorización biométrica por datos sensibles.
• Alto riesgo: sistemas que afectan a derechos o seguridad de las personas (selección de personal, scoring crediticio, biometría, infraestructuras críticas). Concentran la mayor parte de las obligaciones.
• Riesgo limitado: sistemas que interactúan con personas (chatbots) o generan contenido; sujetos a obligaciones de transparencia (avisar de que es IA).
• Riesgo mínimo: la mayoría de aplicaciones (filtros antispam, recomendadores); sin obligaciones específicas más allá de las buenas prácticas.

La mayoría de los usos en una pyme quedan en riesgo limitado o mínimo, pero conviene confirmarlo caso por caso. Aquí tienes cómo evaluar el riesgo de un sistema de IA.

¿Qué sanciones contempla el AI Act?

El régimen sancionador (artículo 99) es exigible desde agosto de 2025 y define tres tramos de multas según la gravedad de la infracción:

El detalle de cada tramo, con ejemplos y cómo se calcula en la práctica, está en el análisis de las sanciones del AI Act.

¿Está tu empresa preparada? La brecha de las pymes

El dato que mejor resume el reto: en 2025 cerca del 20% de las empresas de la UE ya usaba tecnologías de IA (Eurostat), pero con una brecha enorme por tamaño. Solo el 17% de las pequeñas empresas usaba IA, frente al 55% de las grandes. Las grandes llevan años con equipos de datos y cumplimiento; muchas pymes están incorporando IA ahora, a la vez que entran en vigor las obligaciones. El riesgo no es tanto la multa inmediata como llegar a 2026-2027 con sistemas en producción sin haberlos clasificado ni documentado. Prepararse pronto es más barato que corregir después.

¿Qué obligaciones tienes según tu caso de uso?

Las obligaciones dependen del nivel de riesgo. Para riesgo limitado, basta con transparencia: avisar de que el usuario interactúa con una IA o de que un contenido es generado por IA. Para alto riesgo, el paquete es más exigente: gestión de calidad de los datos, documentación técnica, supervisión humana, trazabilidad y registro. Un buen punto de partida, aplicable a cualquier tamaño, es levantar el registro o inventario de sistemas de IA y contrastarlo con lo que el AI Act exige a una pyme.

¿Cómo prepararse para el AI Act? Hoja de ruta en 5 pasos

Cumplir el AI Act no exige paralizar los proyectos de IA: exige ordenarlos. Esta es una hoja de ruta pragmática, pensada para una pyme, que se apoya en la gobernanza del dato que probablemente ya necesitas por otros motivos (RGPD incluido):

1. 1Inventaría tus sistemas de IA: qué usas, para qué y con qué datos, incluyendo herramientas de terceros.
2. 2Clasifica cada sistema por nivel de riesgo (inaceptable, alto, limitado, mínimo).
3. 3Retira cualquier uso prohibido y prioriza la documentación de los sistemas de alto riesgo.
4. 4Reúne las evidencias mínimas: registro, calidad de datos, supervisión humana, transparencia y trazabilidad.
5. 5Revisa el inventario y la documentación antes de cada hito del calendario.

Para bajar esto a tierra, tienes el checklist operativo del AI Act, cómo enfocar la auditoría de IA y compliance, y por qué el gobierno del dato es la base para cumplir el AI Act.

Preguntas frecuentes sobre el AI Act para empresas

¿El AI Act afecta a las pymes?

Sí. El AI Act no distingue por tamaño de empresa, sino por el riesgo del sistema de IA y por tu papel (proveedor o responsable del despliegue). Una pyme que usa un chatbot, un sistema de scoring o una herramienta de selección tiene obligaciones. Lo que sí se ajusta al tamaño son las sanciones: a las pymes se les aplica la cuantía menor.

¿Desde cuándo se aplica el AI Act?

Entró en vigor el 1 de agosto de 2024. Las prácticas prohibidas se aplican desde el 2 de febrero de 2025; los modelos de propósito general y las sanciones, desde el 2 de agosto de 2025; y la aplicación general, el 2 de agosto de 2026. Los sistemas de alto riesgo tienen plazos hasta 2027 y 2028 tras la revisión del AI Omnibus.

¿Cuál es la multa máxima del AI Act?

Hasta 35 millones de euros o el 7% de la facturación mundial anual por el uso de sistemas de IA prohibidos. Para las pymes se aplica la menor de las dos cifras. Hay tramos inferiores de 15 M€ (o 3%) y 7,5 M€ (o 1%) para otras infracciones.

¿Qué debo hacer primero para cumplir el AI Act?

Inventariar todos los sistemas de IA que usa la empresa y clasificarlos por nivel de riesgo. Sin ese inventario no se puede saber qué obligaciones aplican ni documentar el cumplimiento. Es un paso barato que se puede hacer en semanas.

¿El AI Act sustituye al RGPD?

No. Son normas complementarias. El RGPD regula el tratamiento de datos personales y el AI Act regula los sistemas de IA por su riesgo. Un sistema de alto riesgo que trata datos personales debe cumplir ambos, y por eso el gobierno del dato es la base común para los dos.