El aplazamiento de parte de las obligaciones sobre los sistemas de alto riesgo no debe engañar a las empresas: el AI Act ya se aplica de forma progresiva. A partir del 2 de agosto de 2026, se abre un nuevo plazo importante, en particular para las obligaciones de transparencia. Chatbots, contenidos generados por IA, deepfakes, herramientas de RR. HH., SaaS enriquecidos con IA, agentes conversacionales: IntelligenceArtificielle.com recuerda, en una nota de referencia, que las organizaciones deben pasar ahora de la vigilancia regulatoria al inventario operativo.
En muchas empresas, el AI Act sigue todavía clasificado en los expedientes de “jurídico”, “cumplimiento” o “para tratar más adelante”. Es un mal cálculo.
El reglamento europeo sobre inteligencia artificial ya no es un texto lejano. Entró en vigor el 1 de agosto de 2024 y se aplica de forma progresiva. Las prohibiciones relativas a determinadas prácticas de IA y la obligación de alfabetización en IA son aplicables desde el 2 de febrero de 2025. Las normas de gobernanza y las obligaciones relativas a los modelos de IA de propósito general se aplican desde el 2 de agosto de 2025. La siguiente gran etapa llega el 2 de agosto de 2026, con la entrada en aplicación general de numerosas disposiciones, en particular las obligaciones de transparencia previstas en el artículo 50.
En otras palabras, la cuestión ya no es: “¿Qué prevé el AI Act?” Sino: “¿Sabemos dónde, cómo y por qué ya estamos utilizando IA en la empresa?”
El aplazamiento del alto riesgo no aplaza el AI Act
El Digital Omnibus pudo crear una sensación de respiro. Las normas aplicables a los sistemas de IA de alto riesgo deben ahora reconfigurarse, con una aplicación prevista para el 2 de diciembre de 2027 para los sistemas autónomos incluidos en el anexo III, y para el 2 de agosto de 2028 para los sistemas integrados en productos sujetos a una regulación sectorial. El Parlamento Europeo aprobó estas medidas de simplificación el 16 de junio de 2026, pero el texto aún debe ser adoptado formalmente por el Consejo antes de su entrada en vigor.
Pero este aplazamiento no suspende el resto del reglamento.
No aplaza las prácticas prohibidas ya aplicables. No aplaza la obligación de alfabetización en IA. No aplaza las obligaciones relativas a los modelos de IA de propósito general. Y no debe llevar a las empresas a ignorar el plazo del 2 de agosto de 2026.
Ese es precisamente el riesgo: creer que el AI Act empieza únicamente con los sistemas de alto riesgo. En realidad, la primera ola operativa afecta a muchos usos mucho más habituales: asistentes conversacionales, chatbots de atención al cliente, contenidos generados por IA, textos publicados con ayuda de IA, imágenes sintéticas, voces artificiales, deepfakes, herramientas de generación integradas en software empresarial.
Qué cambia el 2 de agosto de 2026
A partir del 2 de agosto de 2026, las obligaciones de transparencia pasan a ser centrales. Su objetivo es, en particular, evitar que las personas interactúen con una IA sin saberlo, que se difundan contenidos sintéticos sin la señalización adecuada, o que los deepfakes y ciertos contenidos de interés público generados por IA se presenten como si fueran totalmente humanos.
La Comisión Europea publicó el 10 de junio de 2026 un Código de buenas prácticas sobre la transparencia de los contenidos generados por IA. Debe ayudar a los proveedores y a los responsables de despliegue a cumplir con las obligaciones de marcado, etiquetado y detección previstas en el artículo 50. La adhesión al código es voluntaria, pero las obligaciones de transparencia del artículo 50 son obligaciones legales.
Para una empresa, esto puede traducirse en preguntas muy concretas:
- ¿sabe un cliente que está hablando con un chatbot?
- ¿un contenido publicado sobre un asunto de interés público ha sido generado o modificado de forma sustancial por IA?
- ¿una imagen, un vídeo o una voz sintética están señalizados como tales?
- ¿una herramienta interna produce textos, recomendaciones o análisis que influyen en decisiones humanas?
- ¿los equipos de marketing, RR. HH., atención al cliente o producto saben qué deben indicar, archivar o verificar?
El Digital Omnibus también prevé un plazo hasta el 2 de diciembre de 2026 para determinadas obligaciones de marcado de contenidos generados por IA relativas a sistemas ya comercializados antes del 2 de agosto de 2026. Pero este periodo transitorio no debe entenderse como un aplazamiento general de la transparencia: se refiere a un perímetro específico.
El verdadero riesgo: la IA invisible
El mayor riesgo para las empresas no siempre es el gran proyecto de IA presentado en el comité de dirección. A menudo está en la IA que ya está ahí.
Funciones de IA activadas en un CRM. Un módulo de scoring añadido a una herramienta de marketing. Un asistente de RR. HH. probado por un equipo de selección. Un generador de contenidos utilizado por el departamento de comunicación. Un agente conversacional conectado a una base documental. Un copiloto ofimático desplegado sin cartografía precisa de los usos. Un proveedor que utiliza IA en sus entregables sin indicarlo explícitamente.
Le Hub France IA insiste precisamente en la necesidad de inventariar los sistemas de IA presentes en la organización, incluidos los integrados en soluciones del mercado, los que están en desarrollo, los que están en producción y los que surgen desde la fase de ideación. Su guía “Premiers pas vers l’IA de Confiance” recomienda alimentar un registro de sistemas de IA con las fuentes de datos, las arquitecturas técnicas, los casos de uso de negocio, las poblaciones afectadas, el contexto de despliegue y el análisis previo de riesgos.
El mismo documento alerta sobre los sistemas suministrados por terceros —editores, proveedores, integradores— que incorporan cada vez más componentes de IA, a veces invisibles para el usuario final. También pone de relieve el fenómeno de la “Shadow AI”: usos informales de herramientas generalistas, opciones de IA añadidas por proveedores, pequeños contratos SaaS suscritos fuera del proceso de compras, experimentos internos fuera del radar de TI.
Ahí es donde el cumplimiento del AI Act se convierte en un asunto de gobernanza, no solo de derecho.
El cumplimiento empieza por un registro
Para muchas organizaciones, la primera acción útil no es lanzar un gran proyecto jurídico. Es construir un registro sencillo de los usos de IA.
Ese registro no tiene que ser perfecto el primer día. Debe permitir responder a unas pocas preguntas esenciales:
- ¿qué herramienta o sistema de IA se utiliza?
- ¿por qué departamento?
- ¿para qué uso de negocio?
- ¿con qué datos?
- ¿sobre qué personas o categorías de personas puede tener efecto el uso?
- ¿la empresa actúa como simple usuaria, responsable de despliegue, integradora o proveedora?
- ¿el uso entra en una obligación de transparencia?
- ¿el uso puede entrar en la categoría de alto riesgo?
- ¿qué pruebas se conservan?
- ¿qué proveedor es responsable de qué?
El objetivo no es frenar la innovación. Es recuperar el control.
Una empresa que no sabe dónde utiliza IA no puede demostrar que la controla. Y una empresa que no sabe quién utiliza qué, con qué datos y con qué objetivo, tendrá muchas dificultades para responder a la solicitud de un cliente, un auditor, una aseguradora, un socio, un comprador público o una autoridad de control.
La checklist que hay que poner en marcha ahora
A pocas semanas del plazo del 2 de agosto de 2026, las empresas ya pueden avanzar con un método pragmático.
1. Nombrar un responsable del AI Act.
No se trata necesariamente de crear un nuevo puesto. Pero hace falta un responsable identificado, capaz de coordinar TI, jurídico, compras, negocio, RR. HH., cumplimiento, seguridad y comunicación.
2. Iniciar el inventario de usos de IA.
Empezar por las herramientas visibles: chatbots, generadores de contenidos, copilotos, agentes internos, API de modelos, soluciones de RR. HH., herramientas de marketing, herramientas de scoring, herramientas de análisis documental.
3. Buscar la IA invisible.
Preguntar a los equipos de negocio, a compras y a los proveedores. Los usos críticos no siempre están en los proyectos oficiales. Pueden estar en opciones SaaS, cuentas individuales o experimentos locales.
4. Crear un registro mínimo.
Para cada uso: herramienta, proveedor, finalidad, departamento usuario, datos tratados, personas afectadas, nivel de riesgo previsto, posible obligación de transparencia, supervisión humana, pruebas disponibles.
5. Identificar los usos sensibles.
RR. HH., selección, evaluación de empleados, educación, crédito, seguros, salud, biometría, seguridad, acceso a servicios esenciales: estos ámbitos deben analizarse con prioridad.
6. Preparar la transparencia.
Para chatbots, agentes conversacionales, contenidos generados, imágenes sintéticas, voces artificiales, deepfakes o textos de interés público, la empresa debe decidir qué señalar, dónde, con qué redacción, en qué interfaz y con qué prueba.
7. Revisar los contratos con proveedores.
Los compradores deben solicitar a editores y proveedores la información necesaria: papel en la cadena de valor, documentación disponible, modelo utilizado, datos utilizados, condiciones de entrenamiento, logs, seguridad, cambios de versión, retirada del servicio, subcontratistas.
8. Formar a los equipos.
La cultura de IA no se limita a una formación genérica. Un reclutador, un profesional de marketing, un jurista, un desarrollador, un responsable de compras o un manager no tienen los mismos riesgos ni las mismas necesidades.
9. Establecer una supervisión.
Para los usos más importantes, hay que definir quién controla, en qué momento, con qué umbrales de alerta y qué acciones correctivas. Le Hub France IA recomienda en particular prever supervisión continua, control humano, logs, alertas, monitorización de sesgos, protocolo de notificación de incidentes y actualización de la documentación.
10. Constituir un expediente de pruebas.
El cumplimiento no consiste solo en hacer. También consiste en poder demostrar lo que se ha hecho: registro, decisiones, análisis de riesgo, formaciones, cláusulas con proveedores, capturas de pantalla de la información al usuario, procedimientos internos, logs e informes de revisión.
Checklist compartible en un formato condensado:
Las sanciones son solo una parte del tema
El AI Act prevé sanciones importantes: hasta 35 millones de euros o el 7 % de la facturación anual mundial para las prácticas prohibidas, hasta 15 millones de euros o el 3 % para muchos otros incumplimientos, incluidas las obligaciones de transparencia, y hasta 7,5 millones de euros o el 1 % por proporcionar a las autoridades información incorrecta, incompleta o engañosa.
Pero el riesgo más inmediato para muchas empresas quizá sea menos espectacular: perder una licitación, ser incapaz de responder a un cuestionario de proveedor, descubrir que una herramienta de RR. HH. no ha sido validada, comprobar que un chatbot de cliente no está señalizado, o no poder demostrar que una decisión asistida por IA sigue estando efectivamente supervisada por una persona.
Por tanto, el cumplimiento en IA también se convierte en un asunto de confianza comercial.
En los próximos meses, las grandes empresas, los compradores públicos, las aseguradoras, los inversores y los socios tecnológicos preguntarán cada vez más a menudo: ¿qué sistemas de IA utilizan? ¿Con qué datos? ¿Para qué usos? ¿Con qué supervisión? ¿Con qué garantías de proveedor? ¿Con qué pruebas?
No esperar al cumplimiento perfecto
La trampa sería esperar a la versión definitiva de todas las guías, de todas las normas y de todas las prácticas de mercado para empezar. A estas alturas, el reto no es tener un dispositivo perfecto. Es contar con un primer mapa, un primer registro, un primer análisis de los usos sensibles y una primera capacidad de respuesta.
El cumplimiento del AI Act no empieza con una carpeta jurídica. Empieza con una pregunta operativa: ¿sabemos qué estamos ejecutando, dónde, para qué, con qué datos, bajo qué responsabilidad y con qué pruebas?
Las empresas que sepan responder tendrán ventaja. Las demás descubrirán que la IA, desplegada sin cartografía, se vuelve rápidamente imposible de gobernar.
Este artículo se basa en la nota de referencia dedicada a la cuenta atrás operativa del AI Act en la empresa, con calendario consolidado, obligaciones ya aplicables, puntos de atención sobre los modelos de IA de propósito general, transparencia, alto riesgo, proveedores y registro de IA.
Este artículo constituye información general y no sustituye un asesoramiento jurídico adaptado a la situación de cada organización.