Si buscas hoy “obligaciones del AI Act” en Google, casi todo lo que vas a leer está desactualizado: repite que el 2 de agosto de 2026 entraban en vigor las reglas de alto riesgo. Ya no es así. El 27 de julio entró en vigor el Ómnibus Digital sobre IA, que aplazó ese bloque hasta diciembre de 2027 y dejó otras obligaciones intactas. Esta guía separa las dos cosas: lo que tu pyme tiene que cumplir hoy, y lo que puede planificar con calma.
⚡ Lo esencial
- El Reglamento (UE) 2026/1744 (“Ómnibus Digital sobre IA”) aplazó las obligaciones de alto riesgo del anexo III al 2 de diciembre de 2027 y las del anexo I al 2 de agosto de 2028.
- No se aplazó nada de lo que afecta a la pyme media: prácticas prohibidas, alfabetización en IA (art. 4) y transparencia (art. 50) siguen en vigor.
- Si usas ChatGPT, Copilot o un chatbot en tu web, eres “responsable del despliegue”, no proveedor: tus deberes son formar al equipo, avisar de que hay IA y ordenar lo que usas.
- Las multas de 35 millones son reales, pero para pymes y startups se aplica el importe menor entre la cifra fija y el porcentaje de facturación.
- En España supervisa la AESIA; la ley que fija las sanciones nacionales sigue en tramitación en el Congreso, así que el marco todavía puede cambiar.
Qué cambió en julio de 2026 (y por qué medio internet sigue equivocado)
Durante dos años, la fecha marcada en rojo del Reglamento (UE) 2024/1689 —el AI Act— fue el 2 de agosto de 2026: el día en que empezaban a aplicarse las obligaciones para los sistemas de alto riesgo del anexo III. Los que puntúan currículums, conceden créditos, evalúan alumnos o filtran el acceso a servicios esenciales.
Esa fecha se movió. El Reglamento (UE) 2026/1744, aprobado el 8 de julio de 2026, publicado en el Diario Oficial el 24 y en vigor desde el 27, modifica el AI Act para simplificar su aplicación. Es lo que la prensa llamó “Ómnibus Digital”. Entre otras cosas:
- Aplaza las obligaciones de los sistemas de alto riesgo del anexo III al 2 de diciembre de 2027 (dieciséis meses más).
- Aplaza las de los sistemas embebidos en productos ya regulados —maquinaria, juguetes, sanitarios— del anexo I al 2 de agosto de 2028.
- Extiende a las pequeñas empresas de mediana capitalización las facilidades que hasta ahora solo tenían las pymes: documentación técnica simplificada, sistemas de calidad menos prescriptivos y proporcionalidad en las sanciones.
- Añade prohibiciones nuevas, entre ellas la generación de imágenes íntimas no consentidas y de material de abuso sexual infantil.
El Ómnibus aplazó el alto riesgo. No aplazó nada de lo que afecta a la pyme media.
Ese matiz es el que se está perdiendo en la mayoría de artículos y newsletters. Muchas empresas han leído “se retrasa el AI Act” y han archivado el asunto. Lo que se retrasó es el bloque que casi ninguna pyme española tiene encima; lo que sigue plenamente vigente es justo el bloque que sí tienen todas: formación, transparencia y prohibiciones.
Si estás leyendo un artículo, una plantilla o una oferta de consultoría que sitúa el alto riesgo en agosto de 2026, está escrita antes del 24 de julio de 2026 y no se ha revisado. Comprueba la fecha de publicación antes de tomar decisiones o firmar nada.
El calendario real del AI Act, actualizado a hoy
Esta es la foto completa después del Ómnibus. Guárdala: es la tabla que quisieras haber tenido antes de leer diez artículos contradictorios.
| Bloque de obligaciones | Desde cuándo | ¿Te afecta como pyme? |
|---|---|---|
| Prácticas prohibidas (art. 5) | 2 de febrero de 2025 | Sí, aunque casi nunca por accidente |
| Alfabetización en IA (art. 4) | 2 de febrero de 2025 | Sí, a todas |
| Modelos de propósito general (GPAI) | 2 de agosto de 2025 | Solo si entrenas y distribuyes modelos |
| Gobernanza y régimen sancionador | 2 de agosto de 2025 | Sí: es cuando se puede sancionar |
| Transparencia (art. 50): chatbots, deepfakes, contenido sintético | 2 de agosto de 2026 | Sí, si generas contenido o atiendes con bots |
| Marcado de contenido sintético en sistemas ya en el mercado | Periodo transitorio hasta el 2 de diciembre de 2026 | Sí, si tu herramienta ya existía antes de agosto |
| Alto riesgo del anexo III (RR. HH., crédito, educación…) | 2 de diciembre de 2027 (aplazado) | Solo en casos concretos |
| Alto riesgo del anexo I (producto regulado) | 2 de agosto de 2028 (aplazado) | Solo si fabricas producto regulado |
Fíjate en la columna del medio. Tres de los ocho bloques ya llevan más de un año aplicándose. La conversación pública sobre el AI Act ha estado tan pegada a las fechas futuras que se ha pasado por alto que las obligaciones más fáciles de incumplir —y de comprobar en una inspección— llevan vigentes desde febrero de 2025.
Antes de nada: averigua tu papel
El AI Act no reparte obligaciones por tamaño de empresa, sino por el papel que juegas con cada sistema. Y casi todo el mundo se equivoca aquí, porque asume que “usar IA” es una sola cosa.
| Papel | Qué significa | Ejemplo típico en una pyme |
|---|---|---|
| Responsable del despliegue | Usas un sistema de IA de un tercero bajo tu propia autoridad | Pagas ChatGPT Business, usas Copilot, tienes un chatbot en la web |
| Proveedor | Desarrollas un sistema de IA y lo pones en el mercado con tu nombre | Vendes un SaaS con IA dentro, aunque el modelo sea de OpenAI |
| Distribuidor / importador | Comercializas en la UE un sistema de otro | Revendes una herramienta de IA de un fabricante de fuera |
El 95 % de los autónomos y pymes españolas son responsables del despliegue y nada más. Es la categoría más liviana del reglamento, pero no es una categoría vacía: la formación del equipo y los deberes de transparencia caen justo ahí.
Puedes cambiar de papel sin darte cuenta. Si coges un modelo de un tercero, lo integras en tu producto y lo vendes bajo tu marca, para tus clientes eres el proveedor. Ocurre más de lo que parece en agencias y estudios de desarrollo que empaquetan automatizaciones para sus clientes.
Lo que sí te toca hoy si eres una pyme española
Aquí está la parte accionable. Cuatro cosas, ninguna cara, todas verificables por un inspector con dos preguntas.
-
Formar a quien usa IA (art. 4)
Es obligatorio desde febrero de 2025 y no depende de tu tamaño. No hay certificado oficial ni horas mínimas: hay que demostrar que las personas que operan sistemas de IA en tu nombre entienden qué hacen, qué límites tienen y cómo detectar un resultado erróneo. Lo desarrollamos entero, con plan y plantilla de registro, en la guía de la formación obligatoria en IA.
-
Avisar de que hay IA (art. 50)
Si un cliente habla con un chatbot, tiene que saberlo. Si publicas un vídeo o un audio hiperrealista de una persona, hay que identificarlo como generado artificialmente. Si generas textos que se publican para informar sobre asuntos de interés público sin revisión editorial humana, también. Un aviso en la primera respuesta del bot y una línea en el pie de las piezas generadas cubren la mayoría de casos de una pyme.
-
Tener un inventario de lo que usas
Una hoja de cálculo con cinco columnas: herramienta, para qué, quién la usa, qué datos entran y qué proveedor la presta. Suena burocrático hasta que descubres que en tu empresa hay tres suscripciones de IA que no habías aprobado. El inventario no es solo cumplimiento: es lo que te permite decidir cuánto estás gastando de verdad, algo que ya tratamos en cuánto cuesta implantar IA en una pyme.
-
Revisar que no estás en zona prohibida
Las prohibiciones parecen cosa de gobiernos, pero dos afectan a empresas normales: el reconocimiento de emociones en el trabajo (nada de analizar la cara o la voz de tus empleados para medir productividad o estrés) y las técnicas manipuladoras que empujan a decisiones perjudiciales. Si alguien te ofrece un software de “análisis de sentimiento del equipo” por cámara, la respuesta es no.
¿Y si mi caso sí es de alto riesgo?
Hay pymes que sí entran. Los supuestos del anexo III más frecuentes en el tejido español son tres:
- Selección de personal. Software que criba, puntúa u ordena candidatos. Afecta a consultoras de RR. HH., ETT y a cualquier empresa que haya activado el cribado automático de su ATS.
- Acceso al crédito. Scoring de solvencia de personas físicas. Financieras, fintech, comercios con financiación propia.
- Educación y formación. Sistemas que evalúan resultados de aprendizaje o vigilan exámenes. Academias y plataformas de e-learning.
Si estás ahí, el aplazamiento a diciembre de 2027 es una noticia excelente, pero solo si lo usas. Las obligaciones que llegan —evaluación de conformidad, documentación técnica, registro en la base de datos europea, supervisión humana documentada— no se improvisan en el último trimestre. Dieciséis meses son justo el tiempo que necesita una empresa pequeña para pedir a su proveedor la documentación de conformidad, comprobar que existe y cambiar de proveedor si no existe.
La pregunta que más ahorra: escribe hoy a tu proveedor de software de RR. HH. o de scoring y pregúntale por escrito si su sistema está clasificado como de alto riesgo bajo el anexo III y cuándo tendrá disponible la documentación de conformidad. La respuesta —o el silencio— te dice todo lo que necesitas saber sobre con quién estás trabajando.
España: AESIA, la ley que está en el Congreso y quién te puede multar
El AI Act es un reglamento: se aplica directamente, sin transposición. Pero deja tres cosas en manos de cada Estado: quién supervisa, cómo se tramita un expediente y cuáles son las sanciones nacionales concretas. De eso se ocupa el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, aprobado por el Consejo de Ministros el 26 de mayo de 2026 y en tramitación parlamentaria desde junio.
Lo que ya se sabe:
- La autoridad central es la AESIA, con sede en A Coruña, como punto de contacto único de supervisión.
- No es la única: la AEPD asume lo relacionado con datos personales y biometría, y las autoridades sectoriales (Banco de España, CNMV, consumo, autoridades de producto) mantienen sus competencias en su terreno.
- El proyecto contempla un sandbox regulatorio para probar sistemas con acompañamiento del supervisor.
- Prevé desarrollos reglamentarios posteriores sobre inventarios de IA y la figura de un responsable interno.
El texto está en tramitación y puede cambiar por enmiendas. Cualquiera que te venda hoy un servicio “para cumplir la ley española de IA” con cifras cerradas está vendiendo un texto que aún no es ley. Lo que sí es exigible ya es el reglamento europeo.
Multas: los 35 millones y la letra pequeña que casi nadie cuenta
El titular que ha circulado todo el verano es “multas de hasta 35 millones”. Es cierto, y es irrelevante para el 99 % de las empresas que están leyendo esto. El artículo 99 del AI Act establece tres tramos:
| Infracción | Tope general | Tope para pymes y startups |
|---|---|---|
| Prácticas prohibidas (art. 5) | 35 M€ o 7 % de la facturación mundial, el mayor | 35 M€ o 7 %, el menor |
| Resto de obligaciones de operadores | 15 M€ o 3 %, el mayor | 15 M€ o 3 %, el menor |
| Información falsa o engañosa a las autoridades | 7,5 M€ o 1 %, el mayor | 7,5 M€ o 1 %, el menor |
La diferencia está en dos palabras. Para una multinacional se aplica el importe mayor de los dos; para pymes y startups, el apartado 6 del mismo artículo invierte la regla y se aplica el menor. Traducido a números reales: una empresa que factura 800.000 € al año no se expone a 15 millones por incumplir una obligación ordinaria, sino a un tope del 3 % de esa facturación, es decir, 24.000 €.
Sigue siendo mucho dinero para una pyme, y ese es el punto: la cifra realista no da titulares, pero sí duele. Y el daño mayor rara vez es la multa. Es el cliente corporativo que te pide en el pliego cómo cumples el AI Act, o el candidato que reclama porque un algoritmo lo descartó.
Tu plan para los próximos 90 días
Si tienes una empresa pequeña, usas IA de terceros y quieres cerrar el asunto sin contratar a un despacho, esto es lo mínimo defendible, en orden:
-
Semana 1: inventario
Pregunta a cada área qué herramientas de IA usa, incluidas las que nadie aprobó. Anota herramienta, finalidad, responsable, datos que entran y proveedor. Una hoja de cálculo basta.
-
Semana 2: clasificación
Marca cada línea del inventario con su papel (¿eres desplegador o proveedor?) y su nivel: prohibido, alto riesgo, transparencia o mínimo. Si aparece algo de alto riesgo, ahí es donde vale la pena gastar dinero en asesoría.
-
Semana 4: transparencia
Revisa el chatbot, las plantillas de correo automatizadas y el contenido publicado. Añade los avisos. Es la tarde de trabajo más barata de todo el proceso.
-
Semana 6: formación y política
Una sesión con el equipo y una política de uso de una página. Guarda temario, fecha y lista de asistentes: eso es la evidencia.
-
Semana 12: proveedores
Escribe a los proveedores de las herramientas críticas pidiendo su posición respecto al AI Act. Archiva las respuestas junto al inventario. Ese archivo es lo que enseñas cuando un cliente grande te lo pregunte.
Ninguno de estos pasos exige un abogado. Exigen dos o tres tardes y la decisión de dejar de tratar la IA de la empresa como algo que cada uno resuelve por su cuenta. Si además quieres que el orden sirva para algo más que cumplir, el mismo inventario es el punto de partida natural para decidir qué automatizar primero en tu negocio.
¿Prefieres que lo montemos contigo?
Hacemos el inventario, la clasificación de riesgo, los avisos de transparencia y la sesión de formación del equipo en una semana, con las evidencias documentadas y listas para enseñar a un cliente o a una autoridad.
Cuéntanos tu casoAviso: este artículo es una guía práctica escrita a 27 de agosto de 2026, no asesoramiento jurídico. Si tu empresa opera sistemas de alto riesgo o toma decisiones automatizadas sobre personas, contrasta con un abogado especializado antes de actuar.
