AI Act: lo que tu empresa tiene que hacer antes del 2 de agosto

Esta semana tuve una conversación que me resultó muy familiar. El responsable de operaciones de una asesoría fiscal en Málaga, 18 empleados, me preguntó: "David, he leído algo sobre una ley de IA que entra en vigor en agosto. ¿Nos afecta?"

Le respondí con una pregunta: "¿Usáis ChatGPT, Copilot, alguna herramienta de IA en el trabajo?"

"Sí, claro. Lo usan casi todos para redactar correos, resumir documentos, preparar informes."

"Entonces sí. Os afecta."

Silencio.

El AI Act —el Reglamento Europeo de Inteligencia Artificial— lleva meses en los titulares tecnológicos pero ha pasado prácticamente desapercibido para la mayoría de pymes españolas. El 2 de agosto de 2026 no es una fecha lejana. Es dentro de menos de un mes. Y ese día, varias obligaciones pasan de ser recomendaciones a ser exigibles con multas que pueden llegar a 35 millones de euros o el 7% de la facturación global, según el texto del Reglamento (UE) 2024/1689.

No quiero generarte pánico innecesario. Pero sí quiero que sepas exactamente qué te afecta, qué tienes que hacer y con cuánta urgencia. Porque hay empresas que van a llegar al 3 de agosto sin haber hecho nada, y eso tiene consecuencias reales.

---

Qué es el AI Act y por qué importa ahora

El AI Act (Reglamento (UE) 2024/1689) es la primera regulación integral del mundo sobre inteligencia artificial. Entró en vigor el 1 de agosto de 2024, pero con un calendario escalonado de obligaciones. Algunas ya eran exigibles desde febrero de 2025. Las más relevantes para la mayoría de empresas llegan el 2 de agosto de 2026.

Lo que lo diferencia del RGPD —que muchos recuerdan como un tsunami de cumplimiento en 2018— es que el AI Act no regula datos personales. Regula sistemas de inteligencia artificial. Y eso afecta a cualquier empresa que use IA, no solo a las que la desarrollan.

España es uno de los países más adelantados en Europa en la implementación. Tiene su propia Agencia de Supervisión de Inteligencia Artificial, la AESIA, con sede en A Coruña y operativa desde marzo de 2025. Tiene capacidad inspectora propia y potestad sancionadora. No es un organismo en papel: es una agencia con capacidad real de actuar.

Y la fecha del 2 de agosto de 2026 es real, confirmada y no tiene prórrogas para las obligaciones que voy a describir. El Digital Omnibus aprobado en mayo de 2026 aplazó algunas obligaciones de alto riesgo a 2027-2028, pero dejó intacto lo que entra en vigor en agosto.

---

El mapa de riesgos: dónde está tu empresa

El AI Act clasifica los sistemas de IA en cuatro categorías según el riesgo. Entender en qué categoría caen las herramientas que usa tu empresa es el primer paso.

Riesgo inaceptable — Prohibido desde febrero 2025

Sistemas de puntuación social generalizada, manipulación subliminal, reconocimiento facial masivo en espacios públicos. Si tu empresa no está en estas actividades, no te afecta directamente. Pero si usas herramientas externas que lo hagan, eres responsable de no usarlas.

Riesgo alto — Obligaciones plenas desde agosto 2026

Aquí es donde muchas pymes se van a llevar una sorpresa. Los sistemas de IA de alto riesgo incluyen, según el Anexo III del reglamento: sistemas de selección de personal y evaluación de candidatos, sistemas de scoring crediticio, sistemas de evaluación de seguros, y sistemas que tomen decisiones que afecten a derechos de los trabajadores.

Si usas IA para filtrar CVs, para evaluar la solvencia de clientes, para calcular primas o para tomar decisiones de RRHH, estás en zona de alto riesgo. Esto incluye herramientas de terceros como algunos módulos de RRHH con IA integrada que muchas empresas usan sin saber que tienen ese componente.

Riesgo limitado — Obligaciones de transparencia desde agosto 2026

Esta es la categoría que afecta a la mayoría de pymes. Chatbots de atención al cliente, sistemas de generación de contenido, herramientas que interactúan con personas fingiendo ser humanas. La obligación principal: el usuario debe saber que está interactuando con una IA.

Si tienes un chatbot en tu web y no informa de que es un sistema automático, estás incumpliendo desde el 2 de agosto.

Riesgo mínimo — Sin obligaciones específicas adicionales al Artículo 4

Filtros de spam, recomendadores de contenido, asistentes de productividad como ChatGPT usado para redactar correos. La mayoría de los usos cotidianos de IA en oficina caen aquí. Pero ojo: el Artículo 4 aplica igualmente.

---

El Artículo 4: la obligación que ya deberías tener cumplida

El Artículo 4 del AI Act establece la obligación de competencia en IA para todas las empresas que usen sistemas de IA. No importa el tamaño, no importa el sector. Si usas IA, tus empleados tienen que tener formación suficiente para entender qué es, cómo funciona y cuáles son sus limitaciones y riesgos.

Esta obligación lleva en vigor desde febrero de 2025. No es nueva. Pero cuando pregunto a mis clientes si tienen documentación de haber formado a su equipo en IA, la respuesta habitual es que no.

Eso es un incumplimiento actual, no futuro.

La formación no tiene que ser un máster. Puede ser un curso breve adaptado al puesto de trabajo. Lo que sí tiene que existir es documentación de que se ha realizado, adaptada al tipo de IA que usa cada empleado. El "hemos hablado de esto en una reunión" no es suficiente si la AESIA te inspecciona.

(Y esto es algo que la mayoría de empresas está ignorando porque nadie ha hecho ruido sobre el Artículo 4. El ruido lo está generando agosto, pero el incumplimiento ya está ocurriendo.)

---

Lo que entra en vigor el 2 de agosto: explicado sin tecnicismos

Hay dos bloques de obligaciones que llegan el 2 de agosto de 2026.

Bloque 1: Transparencia (Artículo 50)

Todo sistema de IA que interactúe con personas de forma que puedan confundirlo con un humano debe informar de que es una IA. Esto incluye:

• Chatbots de atención al cliente: deben decir que son un asistente automático al inicio de la conversación.
• Contenido generado con IA que se publique como contenido de interés público: debe indicar que ha sido generado con IA.
• Deepfakes y contenido manipulado: deben revelar que han sido generados o manipulados con IA.

Para la mayoría de pymes, la implicación práctica es sencilla: si tienes un chatbot en tu web, en WhatsApp o en cualquier canal, añade un mensaje al inicio que diga algo como "Hola, soy un asistente virtual. ¿En qué puedo ayudarte?". No tiene que ser complicado. Tiene que ser claro.

La multa por no hacerlo puede llegar a 15 millones de euros o el 3% de la facturación global anual. Para pymes, se aplica la cantidad menor entre ambas, pero sigue siendo significativa.

Bloque 2: Obligaciones para sistemas de alto riesgo (Artículo 6 + Anexo III)

Si tu empresa usa o despliega sistemas de IA clasificados como de alto riesgo, las obligaciones son más exigentes:

• Documentación técnica del sistema
• Evaluación de conformidad
• Registro de incidentes y sistema de notificación
• Supervisión humana efectiva de las decisiones del sistema
• Gestión de riesgos documentada

El Digital Omnibus de mayo de 2026 ha aplazado parte de estas obligaciones al régimen de alto riesgo a diciembre de 2027 y agosto de 2028 en algunos casos específicos. Pero el Artículo 50 de transparencia y el Artículo 4 de competencia no se han aplazado.

---

Qué tienes que hacer esta semana

No te voy a pedir que montes un departamento de compliance de IA. Te voy a pedir que hagas cuatro cosas concretas antes del 2 de agosto.

Paso 1: Inventaría las herramientas de IA que usa tu empresa

Haz una lista de todas las herramientas con componente de IA que se usan en tu empresa, oficiales y no oficiales. ChatGPT, Copilot, Gemini, herramientas de RRHH con IA, sistemas de atención al cliente automáticos, plugins de IA en el CRM, generadores de contenido.

El "shadow AI" —el uso no autorizado de herramientas de IA por parte de empleados— afecta al 50-70% de las empresas, según el dato que manejan los consultores de cumplimiento y que citan informes del sector como los de Cyberhaven. No puedes cumplir lo que no conoces.

Paso 2: Clasifica cada herramienta por nivel de riesgo

Para cada herramienta del inventario, responde:

Herramienta	¿Interactúa con clientes?	¿Afecta a decisiones de RRHH?	¿Toma decisiones crediticias?	Nivel de riesgo
ChatGPT para emails	No	No	No	Mínimo
Chatbot web	Sí	No	No	Limitado
Software RRHH con IA	No	Sí	No	Alto riesgo
Scoring de clientes	No	No	Sí	Alto riesgo

Paso 3: Aplica las obligaciones de transparencia donde corresponda

Para cada herramienta de riesgo limitado que interactúe con clientes o usuarios, añade el aviso de que es un sistema de IA. Esto es un cambio técnico menor que no requiere semanas de trabajo. En la mayoría de chatbots, es cambiar el mensaje de bienvenida.

Para el contenido generado con IA que publiques en tu web o redes sociales, evalúa si es "de interés público" según el reglamento. Las publicaciones de marketing habitual no suelen estarlo. Las notas de prensa, los informes o el contenido que pretenda parecer periodístico o informativo, sí.

Paso 4: Documenta la formación en IA de tu equipo

Para cumplir el Artículo 4, necesitas evidencia de que has formado a tus empleados en el uso de IA. Esto puede ser tan sencillo como:

• Una sesión interna documentada con fecha y asistentes
• Un curso online con certificado de finalización
• Un documento con las políticas de uso de IA de la empresa firmado por los empleados

Lo que tiene que quedar claro: qué herramientas de IA pueden usar, para qué, cuáles son sus limitaciones, y cómo actuar ante un incidente.

---

Caso práctico: la asesoría fiscal de Málaga

Volvamos a la asesoría de 18 empleados. Después de nuestra conversación, hicimos el inventario. Resultó que usaban:

• ChatGPT: varios empleados para redactar comunicaciones y resumir documentación fiscal
• Copilot en Microsoft 365: integrado en Word y Outlook
• Un software de gestión documental con IA para clasificar documentos de clientes
• Un chatbot en su web que respondía preguntas frecuentes sobre sus servicios

El chatbot era el problema más urgente: no avisaba de que era un sistema automático. Lo corregimos en una tarde.

El software de gestión documental con IA tenía un componente de clasificación automática de expedientes. Evaluamos si caía en alto riesgo y determinamos que no, porque la clasificación era orientativa y siempre revisada por un humano antes de cualquier acción. Documentamos ese proceso de supervisión humana.

Para el Artículo 4, hicimos una sesión interna de dos horas donde explicamos qué es el AI Act, qué herramientas usaban y cuáles eran las políticas de la empresa. Documentamos la sesión con lista de asistentes y contenidos tratados.

Tiempo total para dejar la asesoría en situación razonable de cumplimiento: aproximadamente 12 horas de trabajo, distribuidas entre el inventario, las correcciones técnicas, la documentación y la sesión de formación.

Coste de mi intervención como consultor: 1.800 euros.

Alternativa: esperar a que AESIA inspeccione y pagar la multa mínima por incumplimiento. Para una empresa de su tamaño, podría estar entre 15.000 y 150.000 euros según la infracción.

El cálculo no es complicado.

---

Lo que no tienes que hacer (para que no te compliques la vida)

Hay mucho ruido sobre el AI Act que genera confusión innecesaria. Voy a desmontar algunos mitos.

No tienes que dejar de usar ChatGPT

ChatGPT en sí es un modelo de IA de propósito general. Cuando lo usas para redactar correos o resumir documentos en el contexto de trabajo habitual de oficina, es riesgo mínimo. No tienes que dejarlo de usar, no tienes que añadir avisos especiales, solo asegurarte de que tu equipo entiende sus limitaciones (eso es el Artículo 4).

No tienes que hacer una auditoría técnica exhaustiva

Las auditorías técnicas son para proveedores y desarrolladores de sistemas de IA de alto riesgo, no para la mayoría de usuarios empresariales. Como "deployer" —usuario de herramientas de terceros— tus obligaciones son mucho más limitadas.

No tienes que contratar a un abogado especialista (para la mayoría de casos)

Para la inmensa mayoría de pymes que usan herramientas de IA de terceros en sus procesos habituales, el cumplimiento no requiere asesoría jurídica especializada. Requiere sentido común, un inventario honesto y documentación. Si tienes casos dudosos de alto riesgo, ahí sí puede tener sentido consultar.

No tienes que esperar a que la ley española entre en vigor

El AI Act europeo se aplica directamente, sin necesidad de transposición nacional. La ley española de gobernanza de la IA es un proyecto de ley que llegará a finales de 2027. Lo que es exigible en agosto de 2026 viene del reglamento europeo, no de la ley española.

---

Errores que veo en empresas que se están preparando

Error 1: Asumir que "no desarrollamos IA" significa que no aplica

El AI Act afecta tanto a quien desarrolla sistemas de IA como a quien los usa. Si usas herramientas de IA en tus procesos, eres un "deployer" con obligaciones específicas. No hace falta desarrollar nada para estar sujeto al reglamento.

Error 2: Ignorar el shadow AI

Pedir a los empleados que no usen herramientas de IA no autorizadas es razonable. Asumir que lo cumplen sin haberlo verificado es un error. El inventario tiene que incluir una conversación honesta con los equipos sobre qué herramientas usan realmente.

Error 3: Hacer el mínimo sin documentarlo

El cumplimiento que no está documentado es como si no existiera. Si AESIA te inspecciona, lo que importa es lo que puedes demostrar, no lo que crees que estás haciendo. Cada acción de cumplimiento tiene que dejar rastro.

Error 4: Esperar a septiembre para "ver qué pasa"

Esto es lo que hizo una parte significativa de las empresas con el RGPD en 2018. Esperaron a que hubiera sanciones reales para actuar. El problema es que la AESIA tiene capacidad sancionadora desde marzo de 2025 y ya está activa. No es una agencia que espera.

---

Preguntas que me están haciendo estas semanas

¿Qué pasa si tengo un chatbot sin aviso y alguien me denuncia?

La AESIA puede abrir una investigación, requerir que corrijas el incumplimiento inmediatamente, y dependiendo de la gravedad y reincidencia, imponer una sanción. Para una pyme, las primeras actuaciones suelen ser requerimientos de corrección más que sanciones inmediatas. Pero una vez recibido el requerimiento, el plazo de corrección es muy corto.

¿Los sistemas de RRHH con IA que uso son de alto riesgo?

Depende de cómo los uses. Si el sistema de IA hace una recomendación y un humano toma la decisión final siempre, probablemente no es de alto riesgo. Si el sistema filtra automáticamente candidatos y ese filtro determina quién pasa a la siguiente fase sin revisión humana, sí es de alto riesgo. La supervisión humana efectiva es la línea que separa ambos escenarios.

¿Puedo seguir usando herramientas de IA de proveedores que no cumplan el AI Act?

Como deployer, tienes la obligación de asegurarte de que las herramientas que usas son conformes. En la práctica, los grandes proveedores como OpenAI, Google y Microsoft ya están adaptados o en proceso de adaptación. Pero si usas herramientas de proveedores menores, vale la pena preguntarles directamente sobre su cumplimiento.

¿Qué pasa con los empleados que usan IA en casa para trabajo?

Si usan herramientas personales para procesar datos de la empresa o de clientes, hay una intersección con el RGPD además del AI Act. Necesitas una política clara sobre el uso de herramientas de IA no corporativas para trabajo, y formación específica sobre qué datos no deben introducirse en esas herramientas.

¿El contenido de este blog ha sido generado con IA?

Lo escribo yo. Uso IA como herramienta de apoyo en algunos casos, como cualquier profesional. Si alguna vez utilizara IA de forma significativa en la generación de contenido publicado, lo indicaría. Esa es exactamente la transparencia que el Artículo 50 requiere.

---

El 2 de agosto de 2026 no es el apocalipsis regulatorio. Para la mayoría de pymes, los cambios necesarios son manejables y no requieren meses de trabajo. Lo que sí requieren es atención ahora, no después.

La diferencia entre las empresas que van a salir bien paradas y las que van a tener problemas no va a ser el tamaño ni el sector. Va a ser quién hizo el inventario, quién documentó la formación y quién actualizó el mensaje de su chatbot antes del 2 de agosto.

Son decisiones de esta semana, no de este año.

---

En NCR Consulting estoy ayudando a empresas medianas a preparar su cumplimiento del AI Act antes del 2 de agosto: inventario de herramientas, clasificación de riesgos, implementación de obligaciones de transparencia y documentación del Artículo 4. En la mayoría de casos, lo resolvemos en menos de dos semanas. Pide una llamada esta semana y empezamos el lunes.