¿Qué es el AI Act? Definición y retos para la empresa

Entrada en vigor jurídica el 1 de agosto de 2024, aplicación progresiva, con un calendario ajustado por el Ómnibus digital (reglamento 2026/1744, en vigor el 27 de julio de 2026). Las prohibiciones (riesgo inaceptable) y la obligación de alfabetización en IA (artículo 4) se aplican desde el 2 de febrero de 2025. Las obligaciones de los modelos de fundación (GPAI) desde el 2 de agosto de 2025. Las obligaciones de transparencia (artículo 50) desde el 2 de agosto de 2026, con un marcado de los contenidos generados exigible el 2 de diciembre de 2026 para los sistemas ya comercializados. Los sistemas de alto riesgo del anexo III (contratación, educación, crédito…) a partir del 2 de diciembre de 2027. Los sistemas de alto riesgo integrados en productos ya regulados (dispositivos médicos, juguetes…) a partir del 2 de agosto de 2028.

Tres niveles, cada uno expresado como el importe mayor entre una suma fija y un porcentaje del volumen de negocio mundial: 35 M€ o 7 % por el uso de sistemas prohibidos, 15 M€ o 3 % por incumplimientos de obligaciones sobre sistemas de alto riesgo o GPAI, 7,5 M€ o 1 % por facilitar información inexacta a las autoridades. Para las pymes y start-ups se aplica el menor de los dos importes. El Ómnibus digital de 2026 extiende esta regla a las pequeñas empresas de mediana capitalización (small mid-caps), salvo para las prácticas prohibidas, así como la documentación técnica simplificada.

Sí. La AI Act se aplica en cuanto un sistema de IA se comercializa o se usa en la UE, sea cual sea el país del proveedor. Como empresa europea « responsable del despliegue », usted debe cumplir las obligaciones que le corresponden (transparencia, supervisión humana, información a las personas) aunque la IA venga de OpenAI, Google o Alibaba. Sus contratos deben prever las garantías necesarias.

El RGPD regula el tratamiento de datos personales (finalidad, base legal, información a las personas). La AI Act regula los propios sistemas de IA (clasificación por riesgo, obligaciones de diseño, transparencia sobre la IA). Ambas normas se aplican en paralelo: un sistema de IA que trata datos personales debe cumplir con las dos. En la práctica se complementan: el RGPD nunca bastó para responder a los riesgos específicos de la IA generativa.

El anexo III de la AI Act enumera los usos de alto riesgo: biometría, infraestructuras críticas, educación, empleo y RRHH (incluido el filtrado de CV, evaluación de empleados), acceso a servicios esenciales (crédito, seguros, ayudas sociales), fuerzas del orden, migración y asilo, justicia, procesos democráticos. Si su caso de uso entra en una de estas categorías, o si su sistema de IA es un componente de seguridad de un producto ya regulado, está en alto riesgo.

Sí, el artículo 5 del texto inicial prohíbe ocho prácticas, y el Ómnibus digital añadió dos: puntuación social por las autoridades públicas, manipulación subliminal, explotación de vulnerabilidades de las personas, reconocimiento de emociones en el lugar de trabajo o en centros educativos, categorización biométrica por rasgos sensibles (origen, orientación), extracción no dirigida de rostros desde internet o videovigilancia, predicción de delitos basada únicamente en el perfilado, biometría en tiempo real en espacios públicos (con excepciones estrictas para las fuerzas del orden) y, a partir del 2 de diciembre de 2026, los sistemas diseñados para generar imágenes sexuales o íntimas no consentidas o material de abuso sexual infantil.