2 de agosto de 2026: entra lo “gordo” del AI Act — checklist para no comerte sanciones en Europa

GUÍAS & TUTORIALES · AI ACT · CUMPLIMIENTO

Si estás leyendo esto, probablemente estás en una de estas situaciones: usas un chatbot para atención al cliente, automatizas partes del marketing, filtras CVs con una herramienta “inteligente”, haces scoring de leads, o integras una API de IA en tu producto. Y como no “fabricas” el modelo, te dices: “yo solo lo despliego”.

Pues bien: el AI Act también se acuerda de ti. En su idioma, tú eres deployer (la entidad que usa el sistema bajo su autoridad), y tienes obligaciones propias, especialmente si tu caso cae en alto riesgo o si interactúas con personas o generas contenido que puede engañar. Si quieres una guía más general para pymes y autónomos, aquí la tienes: EU AI Act para pymes y autónomos: qué te toca y qué puedes ignorar (de momento).

Nota importante: el calendario “oficial” marca el 2 de agosto de 2026 como fecha de plena aplicabilidad, pero existe una propuesta de simplificación (Digital Omnibus) que podría mover parte del bloque de alto riesgo dependiendo de la disponibilidad de estándares y herramientas de apoyo. Aunque esa negociación cambie meses arriba o abajo, la estrategia ganadora para tu empresa es la misma: llegar con los deberes hechos.

1) Qué pasa realmente el 2 de agosto de 2026 (y por qué te afecta aunque no “hagas IA”)

En el calendario base, el AI Act entra en su fase “de negocio real”: ya no es solo un marco bonito, sino un conjunto de obligaciones que empiezan a pedir pruebas de cumplimiento (y no solo buenas intenciones). La Comisión lo resume así: el reglamento entra en vigor en 2024 y es plenamente aplicable dos años después, con excepciones por fases (2025, 2026 y 2027).

Para ti, como empresa que usa IA, hay dos “zonas calientes” que suelen explotarte en la cara:

Y sí: hay sanciones serias. Para que te hagas una idea, el régimen de multas contempla tramos que llegan hasta 35M€ o 7% del volumen de negocio mundial anual (lo que sea mayor) para prácticas prohibidas; y hasta 15M€ o 3% para incumplimientos de obligaciones (incluidas las de deployers y la transparencia). En pymes, la norma prevé un enfoque más “proporcional” (suele aplicarse el menor entre porcentaje y cantidad fija).

2) Calendario express 2025–2027 (lo mínimo que debes recordar)

Te lo dejo en modo “imán de nevera”, porque memorizar artículos no sirve: sirve saber cuándo te pueden pedir evidencias.

Extra útil: aunque estés fuera de la UE, el AI Act puede aplicarte si pones sistemas en el mercado de la Unión, los usas en la UE o su uso impacta a personas en la UE.

3) “Soy solo deployer”: perfecto… ahora demuéstralo con orden

Esta es la pregunta que separa a las empresas tranquilas de las que entran en pánico a última hora: ¿estás usando IA bajo tu autoridad, o estás “poniendo un sistema en el mercado” como parte de tu producto?

No te obsesiones con la etiqueta. Lo que importa es algo muy práctico: si mañana te piden evidencias, ¿puedes enseñar qué IA usas, para qué, con qué datos, quién la supervisa y qué haces cuando falla?

4) Checklist mínima para llegar vivo al 2 de agosto (sin “compliance theater”)

Vamos a lo práctico: esta es la lista corta que, bien hecha, te cubre el 80% del riesgo real. Si quieres ampliar la parte de documentación interna, te dejo también esta guía: cómo documentar el uso de IA en tu empresa (sin volverte loco).

A) Inventario en 60 minutos: “qué IA usamos y dónde”

• Lista de sistemas: herramientas, APIs, extensiones, bots internos, automatizaciones “no-code”.
• Finalidad: para qué se usa (y qué decisión influye).
• Datos: qué entra (prompts, ficheros, PII, datos sensibles) y qué sale (texto público, decisiones internas, recomendaciones).
• Responsable: un owner por sistema (no “IT en general”).

B) Clasifica el riesgo (sin juristas, pero con sentido común)

Hazte tres preguntas por cada caso:

• ¿Afecta a derechos? (empleo, crédito, educación, salud, biometría, acceso a servicios esenciales).
• ¿Interactúa con personas? (chat, voz, atención al cliente, tutorías, etc.).
• ¿Puede engañar? (contenido sintético que parece real, voz clonada, imágenes, “texto informativo” que se publica).

C) Transparencia visible (la parte que más se olvida)

Si tienes un chatbot, un asistente en web, un bot de WhatsApp o un sistema que genera contenido para el público, la transparencia no es opcional: es la forma más barata de evitar problemas.

• Avisos de interacción: “estás hablando con un asistente de IA” (salvo que sea obvio).
• Etiqueta de contenido: si publicas contenido generado o manipulado (especialmente deepfakes o texto “informativo”), indica origen artificial de forma clara.
• Canal de escalado a humano: en atención al cliente, siempre un “hablar con una persona” cuando el caso lo pida.

Este bloque está directamente alineado con las obligaciones de transparencia para proveedores y deployers en el Artículo 50.

D) Si estás en alto riesgo: lo mínimo innegociable como deployer

Aquí es donde el “yo solo lo uso” deja de servir. Para alto riesgo, como deployer, se espera (entre otras cosas) que:

• Uses según instrucciones del proveedor y lo traduzcas a procesos internos (quién hace qué).
• Asignas supervisión humana competente (con autoridad real, no un nombre en un documento).
• Monitoreas funcionamiento y defines umbrales: cuándo parar, cuándo revisar, cuándo escalar.
• Gestionas datos de entrada si los controlas (calidad, representatividad para el propósito).
• Guardas logs (la norma habla de conservarlos al menos un periodo mínimo en ciertos contextos) y sabes recuperarlos rápido.
• Reportas incidentes/riesgos al proveedor y cooperas con autoridades si toca.
• Informas a trabajadores y representación laboral si el sistema se usa en el lugar de trabajo.

Este resumen viene de las obligaciones del Artículo 26 para deployers de sistemas de alto riesgo.

E) ¿Necesitas una evaluación de impacto en derechos fundamentales (FRIA)?

No siempre, pero cuando toca, toca antes del primer uso. En particular, afecta a ciertos deployers (por ejemplo, cuerpos/entidades públicas o privados que prestan servicios públicos, y algunos casos concretos de Annex III). La FRIA te obliga a describir el proceso, quién puede verse afectado, riesgos, supervisión humana y medidas de mitigación, y se complementa con evaluaciones de impacto de protección de datos cuando existan.

F) AI literacy: formación mínima y evidencia (sí, evidencia)

La obligación de AI literacy pide que tu personal (y cualquiera que opere IA en tu nombre) tenga el nivel de conocimiento adecuado para usarla bien, entender riesgos y aplicar supervisión humana cuando proceda. No se trata de “dar un curso genérico”, sino de ajustar la formación al contexto y al riesgo del sistema… y guardar un registro interno de lo hecho.

5) Diez preguntas que debes hacerle a tu proveedor (para no quedarte con “confía en mí”)

Este bloque te ahorra semanas. Si compras o integras IA, pide respuestas concretas (idealmente por escrito) a estas preguntas:

1. Finalidad prevista: ¿para qué está diseñado y para qué no?
2. Rol y documentación: ¿eres proveedor/importador/distribuidor de cara al AI Act? ¿Qué documentación puedes compartir?
3. Transparencia: ¿qué mecanismos trae para avisos de IA, marcado de contenido, logs?
4. Datos: ¿qué datos se almacenan? ¿cómo se usan? ¿retención? ¿puedo desactivar entrenamiento con mis datos?
5. Seguridad: ¿qué medidas hay contra fugas de prompts, archivos y datos sensibles?
6. Evaluación y límites: ¿qué métricas usan? ¿qué sesgos conocidos existen? ¿qué no recomienda el proveedor?
7. Human-in-the-loop: ¿cómo facilitan revisión humana y trazabilidad?
8. Incidentes: ¿proceso de notificación y soporte si hay malfuncionamiento grave?
9. Subprocesadores: ¿quién más toca los datos? ¿dónde están?
10. Actualizaciones: ¿cómo cambian modelos/funciones y cómo te avisan? (esto importa mucho para mantener controles).

Si además publicas contenido, acuérdate de lo más simple: el usuario no debería tener que adivinar si está viendo IA o humano. Ahí es donde muchas sanciones “tontas” nacen: no por mala fe, sino por no poner un aviso claro.

6) Plan de 30 días (realista) para llegar con los deberes hechos

Si quieres darle un plus a esto (sin complicarte), añade dos cosas: una revisión de riesgos de alucinaciones/privacidad y un cuadro simple de métricas para controlar si el sistema se está degradando con el tiempo. Aquí tienes ambas piezas: errores típicos al usar IA (alucinaciones y privacidad) y KPIs para un proyecto de IA que no sea humo.

Cierre: no se trata de “cumplir”, se trata de no jugar a la ruleta

En 2026, el AI Act deja de ser conversación de conferencias y empieza a ser conversación de operaciones: procesos, evidencia, responsables, avisos y control de riesgos. Si llegas al 2 de agosto con una lista de IA, roles claros, transparencia visible, formación interna y un plan de incidentes, estás en el grupo que duerme mejor.