AI Act: qué establece y qué obligaciones ya se aplican a las empresas
Prohibiciones, alfabetización y transparencia ya están en vigor, mientras que el Digital Omnibus ha aplazado las obligaciones para el alto riesgo. Qué debe hacer hoy una empresa que usa la AI, también a la luz de la ley italiana.
La AI Act, el Reglamento (UE) 2024/1689, clasifica los sistemas de inteligencia artificial según su riesgo y afecta también a las empresas que los usan, no solo a quienes los desarrollan. En octubre de 2026 ya son aplicables las prohibiciones, las medidas de alfabetización en AI y las obligaciones de transparencia. Para los sistemas de alto riesgo, en cambio, el Digital Omnibus ha trasladado los plazos al 2 de diciembre de 2027 y al 2 de agosto de 2028.
Qué establece la AI Act, en resumen
La AI Act es un reglamento europeo, así que se aplica directamente en todos los Estados miembros sin necesidad de transposición. No regula la tecnología en sí, sino sus usos: cuanto más puede afectar un sistema a la salud, la seguridad y los derechos de las personas, más obligaciones conlleva. Es el mismo enfoque basado en el riesgo que las empresas conocen por la gestión de riesgos.
Hay cuatro niveles, más una disciplina aparte para los grandes modelos de uso general:
- Riesgo inaceptable: prácticas prohibidas, como la manipulación que aprovecha las vulnerabilidades de las personas, el social scoring o el reconocimiento de emociones en el lugar de trabajo (salvo por motivos médicos o de seguridad).
- Alto riesgo: sistemas usados en ámbitos sensibles, por ejemplo selección de personal, evaluación de la solvencia crediticia, educación, infraestructuras críticas, o integrados en productos regulados como máquinas y productos sanitarios.
- Riesgo de transparencia: chatbots, contenidos generados o manipulados (deepfakes), sistemas que interactúan con las personas.
- Riesgo mínimo: la mayor parte de los usos empresariales, como filtros antispam, traducciones o extracción de datos de documentos. Ninguna obligación específica más allá de la alfabetización.
- Modelos de AI de uso general (los modelos en los que se basan los asistentes generativos): obligaciones para quien los desarrolla y los introduce en el mercado, no para quien los usa.
A quién se aplica: proveedor o responsable del despliegue
El reglamento distingue los roles. El proveedor desarrolla un sistema de AI, o encarga su desarrollo, y lo introduce en el mercado con su propio nombre. El responsable del despliegue (deployer) es quien usa un sistema de AI bajo su propia autoridad en el marco de una actividad profesional. Además, están los importadores y los distribuidores.
Una pyme que usa un asistente generativo, un software de RR. HH. con funciones de cribado de currículums o un ERP con módulos predictivos es casi siempre responsable del despliegue. Pero atención: si pones tu marca en un sistema de alto riesgo, o lo modificas de forma sustancial, puedes convertirte a tu vez en proveedor, con obligaciones mucho más exigentes. La AI Act se aplica también a proveedores de fuera de la UE cuando los resultados del sistema se usan en Europa.
El calendario actualizado a octubre de 2026
La AI Act entró en vigor el 1 de agosto de 2024 y se aplica de forma gradual. Estas son las fechas que cuentan tras las modificaciones de 2026:
| Fecha | Qué se aplica | Situación en octubre de 2026 |
|---|---|---|
| 2 de febrero de 2025 | Prohibiciones de las prácticas de riesgo inaceptable y alfabetización en AI | En vigor |
| 2 de agosto de 2025 | Obligaciones para los modelos de uso general, gobernanza, sanciones | En vigor |
| 27 de julio de 2026 | Modificaciones del Digital Omnibus, incluido el nuevo texto sobre alfabetización | En vigor |
| 2 de agosto de 2026 | Aplicación general, incluidas las obligaciones de transparencia | En vigor |
| 2 de diciembre de 2026 | Nueva prohibición de los deepfakes íntimos no consentidos; marcado de los contenidos generados para los sistemas ya en el mercado | Inminente |
| 2 de diciembre de 2027 | Obligaciones para los sistemas de alto riesgo del Anexo III (empleo, crédito, educación, biometría) | Aplazado |
| 2 de agosto de 2028 | Obligaciones para la AI de alto riesgo integrada en productos regulados (Anexo I) | Aplazado |
Qué ha cambiado el Digital Omnibus
El paquete de simplificación propuesto por la Comisión en noviembre de 2025 se convirtió en el Reglamento (UE) 2026/1744, publicado en el Diario Oficial de la UE el 24 de julio de 2026 y en vigor desde el 27 de julio, pocos días antes del plazo original del 2 de agosto de 2026 para el alto riesgo.
Las principales modificaciones:
- Aplazamiento del alto riesgo: 2 de diciembre de 2027 para los sistemas del Anexo III, 2 de agosto de 2028 para los integrados en productos. Es un aplazamiento, no una supresión: requisitos y obligaciones siguen siendo los mismos.
- Alfabetización reajustada: proveedores y responsables del despliegue ya no deben «garantizar» un nivel suficiente de competencias, sino adoptar medidas para desarrollarlas entre el personal. La Comisión y los Estados miembros deben apoyar a las empresas, en particular a las pymes.
- Nueva prohibición desde el 2 de diciembre de 2026 para los sistemas que generan imágenes íntimas o sexualmente explícitas de personas reconocibles sin su consentimiento.
- Simplificaciones documentales y del sistema de gestión de la calidad para pymes y small mid-caps.
Las obligaciones de transparencia no se han aplazado: se aplican desde el 2 de agosto de 2026. La excepción es el marcado legible por máquina de los contenidos generados, que para los sistemas ya en el mercado antes de esa fecha se traslada al 2 de diciembre de 2026.
Las obligaciones que ya se aplican hoy
Prácticas prohibidas
Comprueba que ninguna herramienta en uso entre en las prácticas prohibidas. El caso más cercano a las empresas es el reconocimiento de las emociones de los empleados, por ejemplo en centros de llamadas o durante las entrevistas: está prohibido salvo por razones médicas o de seguridad.
Alfabetización en AI
Quien usa sistemas de AI debe adoptar medidas para desarrollar competencias adecuadas en las personas que los utilizan, teniendo en cuenta su función y el contexto. No hace falta un certificado ni un número mínimo de horas: bastan una formación específica, instrucciones de uso claras y un registro de lo que has hecho.
Transparencia
Desde el 2 de agosto de 2026, si un chatbot de tu web responde a los clientes, las personas deben saber que están hablando con una máquina. Si publicas imágenes, audio o vídeos realistas generados o manipulados con AI, debes declararlo. Lo mismo vale para los textos generados que se publican para informar al público sobre cuestiones de interés público, salvo revisión humana con responsabilidad editorial.
Las sanciones previstas en el artículo 99 llegan hasta 35 millones de euros o el 7% del volumen de negocios mundial por las prácticas prohibidas y hasta 15 millones o el 3% por las demás obligaciones. Para las pymes se aplica el importe más bajo de los dos.
La ley italiana sobre AI (Ley 132/2025)
Italia ha acompañado la AI Act con una ley marco nacional, la Ley de 23 de septiembre de 2025, n.º 132, en vigor desde el 10 de octubre de 2025. No duplica el reglamento europeo, sino que añade principios y normas en algunos ámbitos. Para las empresas cuentan sobre todo estos puntos:
- Trabajo (art. 11): el empleador debe informar a los trabajadores del uso de la AI en los casos y con las modalidades ya previstos para los sistemas automatizados de toma de decisiones o de supervisión.
- Profesiones intelectuales (art. 13): la AI solo puede realizar actividades instrumentales y de apoyo, y el profesional debe comunicar al cliente qué sistemas usa, de forma clara y sencilla.
- Autoridades (art. 20): AgID y ACN son las autoridades nacionales para la AI, mientras que Banca d’Italia, CONSOB e IVASS supervisan en sus respectivos sectores.
- Menores (art. 4): por debajo de los 14 años, el acceso a sistemas de AI requiere el consentimiento de quien ejerce la patria potestad.
- Delitos (art. 26): nueva agravante para los delitos cometidos con AI y nuevo delito de difusión ilícita de contenidos generados o alterados (deepfakes).
La ley delega en el Gobierno la adopción, en un plazo de doce meses, de los decretos para adaptar el ordenamiento a la AI Act, en particular en materia de facultades de supervisión y sanciones. El Consejo de Ministros trabajó en ello en 2026: antes de definir procedimientos internos, comprueba en la Gazzetta Ufficiale qué decretos se han publicado y desde cuándo se aplican.
Qué hacer en la empresa: una lista de comprobación práctica
- Haz el inventario de las herramientas de AI en uso, incluidas las integradas en software que ya usas (CRM, RR. HH., contabilidad, atención al cliente).
- Clasifica cada uso por nivel de riesgo y aclara tu rol: responsable del despliegue o proveedor.
- Redacta una política interna sobre qué herramientas se pueden usar, con qué datos y con qué supervisión humana.
- Organiza la formación por función y conserva un registro de las actividades realizadas.
- Informa a los trabajadores cuando la AI influye en la selección, la gestión o la supervisión, como exige la ley italiana.
- Comprueba la transparencia de los chatbots y de los contenidos generados que se publican al exterior.
- Pide a los proveedores documentación, instrucciones de uso y compromisos contractuales, sobre todo si los sistemas pueden entrar en el alto riesgo a partir de 2027.
Lo mismo vale para el software que usa AI para leer documentos y preparar datos de sostenibilidad, como Envify: son usos de bajo impacto, pero conviene saber qué datos se procesan y quién verifica los resultados. La gobernanza de la AI está entrando también en los cuestionarios ESG de clientes y bancos (hablamos de ello en cuestionarios ESG de los bancos), y una buena gestión de los datos ESG parte de los mismos principios: saber de dónde viene la información y quién la controla. Sobre los usos de la AI en el reporting puedes leer también AI y reporting de sostenibilidad.
Para la mayoría de las empresas, que usan la AI sin desarrollarla, las obligaciones ya en vigor son tres: evitar las prácticas prohibidas, formar a quien usa la AI y garantizar la transparencia frente a clientes y público. El alto riesgo se aplaza a 2027 y 2028, pero el inventario y la clasificación de las herramientas conviene hacerlos ahora.
