La fecha vigente del Anexo III del EU AI Act es el 2 de diciembre de 2027: el Ómnibus digital sobre IA (Reglamento (UE) 2026/1744), publicado en el DOUE el 24 de julio de 2026 y en vigor desde el 27 de julio, la trasladó al 2 de diciembre de 2027; la transparencia del artículo 50 sí es exigible el 2 de agosto de 2026. Las multas de alto riesgo llegan a 15 M€ o el 3 % del volumen de negocio, y en pymes se aplica el importe menor.

El EU AI Act es la primera regulación integral de inteligencia artificial del mundo. Entró en vigor en agosto de 2024 y se aplica por fases: las prohibiciones del artículo 5 desde el 2 de febrero de 2025 y las obligaciones de los modelos de IA de uso general desde el 2 de agosto de 2025. El hito que más afecta a las pymes españolas es el 2 de agosto de 2026, y conviene entenderlo con precisión, porque tiene dos mitades que hoy van por caminos distintos:

Si tu empresa usa IA para selección de personal, scoring crediticio, gestión educativa, infraestructuras críticas, control de fronteras o aplicaciones legales — estás en el alcance del Anexo III. Si usas IA solo para marketing (chatbot web, generador de contenido, scoring de leads), probablemente estés en riesgo limitado, y ahí la transparencia del artículo 50 te obliga igualmente el 2 de agosto de 2026, sin prórroga.

¿Qué obligaciones aplica el EU AI Act a una pyme española?

Las obligaciones se distribuyen según la categoría del sistema de IA. La clasificación es vinculante y los criterios están detallados en los anexos del Reglamento:

La mayor parte de las pymes españolas usuarias de IA cae en riesgo limitado (chatbots de atención al cliente, generación de contenido, scoring interno) — pero siguen estando en el alcance, y deben cumplir con la transparencia obligatoria.

¿Cuánto cuesta cumplir el AI Act en una pyme española en 2026?

Para una pyme de 20–200 empleados con 1–3 sistemas de IA en producción (chatbot, scoring, RAG), el coste realista de cumplimiento en formato proyecto llave en mano:

Concepto Pyme 20–50 emp (1–2 sistemas IA) Pyme 50–200 emp (2–4 sistemas IA)
Auditoría inicial e inventario 2.500–4.000 € 4.000–7.000 €
Clasificación por riesgo y gap analysis 3.000–5.500 € 5.500–9.000 €
Remediation plan + políticas + procedimientos 4.500–7.500 € 7.500–13.000 €
Implantación controles técnicos + transparencia 2.500–4.500 € 4.500–8.000 €
Formación en alfabetización en IA al equipo (8 h) 1.500–2.500 € 2.500–4.500 €
ISO 42001 light (gobernanza IA · opcional) 5.000–8.500 € 8.500–14.000 €
Total proyecto 90 días (con ISO 42001) 19.000–32.500 € 32.500–55.500 €
Total proyecto 90 días (sin ISO 42001) 14.000–24.000 € 24.000–41.500 €
Mantenimiento año 2 2.500–5.000 €/año 5.000–9.000 €/año

El bono Kit Consulting de Red.es (Orden TDF/436/2024) financia asesoría estratégica con tres importes según el tamaño de la empresa: 12.000 € en el segmento A (10–49 empleados), 18.000 € en el segmento B (50–99) y 24.000 € en el segmento C (100–249). Si hubiera convocatoria abierta, una pyme podría destinar ese bono a cubrir las fases 1–3 del proyecto (auditoría, clasificación y remediation plan). Antes de contar con él, comprueba en la sede electrónica de Red.es si hay convocatoria vigente: no doy por hecho que hoy se pueda solicitar.

¿Qué sistemas de IA están dentro del Anexo III alto riesgo?

El Anexo III lista 8 ámbitos de alto riesgo. La pyme española debe revisarlos uno a uno y declarar si tiene sistemas en cada uno:

  1. Biometría e identificación: reconocimiento facial, autenticación biométrica, categorización por rasgos biométricos.
  2. Infraestructuras críticas: gestión y operación de tráfico, agua, gas, energía, suministros esenciales.
  3. Educación y formación profesional: admisión, evaluación de resultados, asignación de instituciones.
  4. Empleo, gestión de trabajadores: contratación, screening de CV, asignación de tareas, evaluación de rendimiento, decisiones disciplinarias.
  5. Acceso a servicios esenciales: scoring crediticio, fijación de primas de seguro, evaluación para servicios públicos.
  6. Aplicación de la ley: análisis de riesgo predictivo, evaluación de fiabilidad de pruebas, perfilado.
  7. Migración, asilo y control de fronteras: análisis de fiabilidad de solicitudes, identificación.
  8. Justicia y procesos democráticos: investigación legal, interpretación de hechos, influencia en elecciones o referéndums.

Si una pyme tiene un sistema de CV-screening automatizado, está dentro del Anexo III (punto 4) y debe cumplir todas las obligaciones de alto riesgo. Si solo usa filtros de spam y chatbots de marketing, está en riesgo limitado.

Ojo al calendario de este bloque concreto. Es precisamente el del Anexo III (artículo 6.2) el que el Ómnibus digital sobre IA (Reglamento (UE) 2026/1744) trasladó al 2 de diciembre de 2027. Esa publicación ocurrió el 24 de julio de 2026 y el Reglamento está en vigor desde el 27, así que la fecha vigente es el 2 de diciembre de 2027.

Caso real: consultora de 18 empleados implanta cumplimiento AI Act en 90 días

Una consultora boutique de 18 empleados con sede en Madrid tenía dos sistemas de IA en producción: (1) un chatbot RAG entrenado con la documentación de cada cliente para respuestas internas, y (2) un scoring de leads comerciales basado en machine learning. Ninguno estaba documentado conforme al AI Act y la dirección no sabía si tenía obligaciones del Anexo III.

Proyecto implantado en 12 semanas (3 meses) con presupuesto cerrado de 18.000 € (8.000 € cubiertos por Kit Consulting). Entregables:

La consultora pasó de una exposición regulatoria sin controlar a estar conforme y con la documentación lista. Conviene dimensionar bien ese riesgo, sin agitar cifras de titular: como ninguno de sus dos sistemas era Anexo III ni práctica prohibida, la horquilla que le aplicaba no era la de los 35 M€ o el 7 % —esa se reserva a las prácticas prohibidas del artículo 5—, sino la del artículo 99.4: hasta 15 M€ o el 3 % del volumen de negocio anual mundial por incumplir las obligaciones de los operadores, incluidas las de transparencia. Y, al tratarse de una pyme, el artículo 99.6 obliga a aplicar el importe menor de los dos, no el mayor. Adicionalmente, la consultora ganó dos contratos nuevos donde el cliente exigía proveedor con compliance IA documentado.

¿Qué pasos sigue un proyecto de compliance AI Act en 90 días?

Los 90 días son la duración del proyecto, no una cuenta atrás. Con el Anexo III en vías de trasladarse al 2 de diciembre de 2027 —en cuanto el Ómnibus digital sobre IA se publique en el DOUE—, la razón para hacerlo ahora no es el susto de la multa, sino llegar con margen: el inventario hecho, la clasificación de riesgo cerrada, la gobernanza funcionando y la transparencia del artículo 50 resuelta, que esa sí vence el 2 de agosto de 2026 y no se aplaza. Y conviene no confundirse: ese traslado, cuando se confirme, no elimina la obligación, la retrasa. Este es el orden de trabajo:

  1. Día 1–10: kickoff, designación de responsable interno IA, inventario completo de sistemas IA en producción y en desarrollo.
  2. Día 10–25: clasificación por riesgo según anexos del Reglamento. Análisis de cada sistema en sus 5 dimensiones (datos, modelo, uso, usuarios, decisiones).
  3. Día 25–40: gap analysis vs requisitos por categoría. Redacción de remediation plan priorizado por riesgo.
  4. Día 40–60: redacción de políticas de uso, procedimientos de supervisión humana, evaluación de impacto sobre derechos fundamentales (FRIA), avisos de transparencia.
  5. Día 60–75: implantación de controles técnicos (logging, registros automáticos, control de versiones de modelos, supervisión humana operativa).
  6. Día 75–85: formación en alfabetización en IA a todo el personal implicado —8 horas en este formato; el Reglamento exige competencia suficiente, no un número concreto de horas— y sesión específica a directivos y desarrolladores.
  7. Día 85–90: cierre, auditoría interna, documentación final, comunicación de cumplimiento a la dirección.

FAQ

¿Se ha aplazado ya el Anexo III al 2 de diciembre de 2027?

Sí. la fecha de aplicación es el 2 de diciembre de 2027, el artículo 113 del Reglamento fue modificado por el Reglamento (UE) 2026/1744. El Ómnibus digital sobre IA (Reglamento (UE) 2026/1744), firmado el 8 de julio de 2026, se publicó en el DOUE el 24 de julio de 2026.; las obligaciones del Anexo III pasan al 2 de diciembre de 2027 y las del Anexo I al 2 de agosto de 2028. Hasta ese momento hay que planificar con las dos fechas delante. Lo que no se aplaza en ningún caso son las prohibiciones del artículo 5 ni las obligaciones de transparencia del artículo 50, exigibles el 2 de agosto de 2026.

¿Mi pyme está obligada por el EU AI Act si solo uso ChatGPT y Copilot?

Sí, en parte. ChatGPT y Copilot son modelos de propósito general (GPAI — General Purpose AI), cuyas obligaciones son aplicables desde el 2 de agosto de 2025. Como usuario, no tienes las obligaciones de los proveedores (OpenAI, Microsoft), pero debes documentar el uso, garantizar la transparencia ante tu equipo y aplicar políticas internas si el uso afecta a decisiones laborales o a decisiones que impacten a clientes.

¿Tengo que registrarme en AESIA o en alguna base de datos?

Solo los proveedores y los responsables del despliegue de sistemas de alto riesgo (Anexo III) deben registrarse en la base de datos de la UE prevista en el Reglamento. Una pyme usuaria normal no tiene obligación de registro, pero debe poder demostrar el cumplimiento ante una inspección. AESIA (Agencia Española de Supervisión de la Inteligencia Artificial, con sede en A Coruña) es la autoridad competente en España.

¿Multas reales se han impuesto ya por incumplimiento del AI Act?

No dispongo de datos oficiales de sanciones firmes impuestas al amparo del AI Act, así que no voy a darte una cifra que no pueda sostener. Lo que sí está fijado son los topes del artículo 99: 35 M€ o el 7 % del volumen de negocio anual mundial por las prácticas prohibidas del artículo 5 (art. 99.3); 15 M€ o el 3 % por incumplir las obligaciones de los operadores, incluidas las de los sistemas de alto riesgo del Anexo III y las de transparencia del artículo 50 (art. 99.4); y 7,5 M€ o el 1 % por facilitar información incorrecta o engañosa a las autoridades (art. 99.5). Y un matiz que casi nadie cuenta: cuando el infractor es una pyme, el artículo 99.6 invierte la regla y se aplica el importe menor de los dos, no el mayor.

¿Es compatible con RGPD el AI Act?

Sí, son complementarios. El RGPD protege el dato personal; el AI Act protege la integridad del sistema de decisión automatizada. Un sistema de scoring de empleados puede estar conforme RGPD (base jurídica, transparencia, derechos) y, simultáneamente, ser un sistema Anexo III del AI Act (obligaciones de robustez, supervisión humana). Hay que cumplir ambos.

¿Qué es ISO 42001 y necesito implantarla?

ISO 42001 (2023) es el primer estándar internacional de sistema de gestión de IA. Su objetivo es garantizar gobernanza, ética y mejora continua en el uso de IA en una organización. No es obligatoria, pero sí es la forma más eficiente de demostrar compliance AI Act a terceros (clientes, inversores, auditores). Y es el mejor uso del margen que abriría el traslado del Anexo III, si el Ómnibus digital sobre IA se publica como está firmado: llegar con el sistema de gestión rodado en lugar de improvisarlo contra el plazo.

¿Pueden usar IA generativa los empleados sin que la empresa cumpla AI Act?

No legalmente. Si los empleados usan ChatGPT, Copilot o Gemini en el trabajo, la empresa debe tener una política de uso documentada, formación a empleados, controles de datos confidenciales (no subir información sensible a IA pública) y registro de sistemas IA en uso. Sin esto, un incidente (filtración de datos, decisión discriminatoria) expone a la empresa a sanciones RGPD + AI Act.

Mini-glosario

Fuentes oficiales

Autoría: Ángel Ortega Castro · consultor independiente en estrategia, calidad y digitalización para PYMEs.

Sigue leyendo en Digitalización e IA

Prepararte con margen, no a última hora

Compliance EU AI Act llave en mano

Inventario, clasificación de riesgo, gobernanza y transparencia del artículo 50 en 12 semanas. ISO 42001 light opcional. Si hay convocatoria vigente de Kit Consulting, el bono puede cofinanciar la parte de asesoría.

Agendar sesión →

Para un desglose actualizado de qué obliga exactamente el 2 de agosto de 2026 y qué trasladó el Ómnibus digital sobre IA, consulta: EU AI Act agosto 2026: qué aplica realmente a tu pyme.

Si quiere recorrer ese plan acompañado en lugar de improvisarlo, aquí tiene todo lo que trabajo sobre el AI Act: guías, plantillas y el servicio.

Recursos del cluster AI Act: además de esta guía, tienes disponibles el Anexo III explicado con ejemplos españoles, la transparencia del artículo 50, los modelos GPAI, el régimen sancionador y la AESIA, el clasificador de riesgo gratuito y las plantillas descargables — todo reunido en Recursos AI Act para pymes.

Herramientas gratuitas relacionadas

Sin registro y con fuentes oficiales. Comprueba tu caso en 2 minutos.

Clasificador de riesgo · AI Act →Identifica el nivel de riesgo de tu sistema de IA según el Reglamento europeo.¿Qué normativa me aplica? →Identifica en 2 minutos qué normativas (ENS, NIS2, DORA, AI Act, RGPD) obligan a tu empresa.¿Esencial o importante? · NIS2 →Clasifica tu empresa según los anexos y umbrales de NIS2: obligaciones, plazos y sanciones.