EU AI Act agosto 2026: qué aplica realmente a tu pyme (y qué acaba de aplazarse)

La confusión sobre el Reglamento Europeo de Inteligencia Artificial —el llamado AI Act— tiene ahora dos caras, y las dos hacen daño. Una parte de la prensa repite sin matices que «todo empieza el 2 de agosto de 2026». Otra ha pasado al extremo contrario y da por aplazado el Reglamento entero, cuando el aplazamiento solo alcanza al Anexo III. Ambas versiones te llevan a planificar contra una fecha equivocada, y el calendario es precisamente lo primero que hay que tener claro en cumplimiento normativo.

La realidad es más selectiva de lo que sugiere el primer titular y menos cómoda de lo que sugiere el segundo. Lo que entra en vigor el 2 de agosto de 2026 no es el AI Act completo, sino un conjunto específico de obligaciones dirigidas principalmente a tres actores: los operadores de chatbots y sistemas de IA que interactúan con usuarios, los proveedores de modelos de IA de propósito general (GPAI) como OpenAI, Google o Anthropic, y las empresas que ya usaban sistemas prohibidos —que debían haber salido del mercado en febrero de 2025—. Los sistemas de alto riesgo del Anexo III que tanto preocupan a las pymes de recursos humanos, banca o educación, en cambio, ya no: el Reglamento (UE) 2026/1744 trasladó su fecha al 2 de diciembre de 2027.

Este artículo desglosa con precisión qué es real, qué se ha aplazado y, sobre todo, qué debe hacer tu pyme española ahora mismo para no quedar expuesta. Sin alarmismo innecesario, pero sin dar por hecho un derecho que aún no existe.

En corto: el 2 de agosto de 2026 llega la transparencia, no el alto riesgo

La fecha general del Reglamento (UE) 2024/1689 sigue siendo el 2 de agosto de 2026. El Ómnibus digital sobre IA no la tocó: solo modificó el párrafo tercero del artículo 113, que es el de las excepciones.

Lo que empieza ese día y afecta a casi cualquier pyme es la transparencia del artículo 50: si tu web tiene un chatbot, tiene que avisar de que es una IA salvo que resulte evidente; si generas imágenes, audio, vídeo o texto sintéticos, hay que marcarlos en un formato legible por máquina.

Lo que no empieza ese día es el alto riesgo. El Ómnibus lo aplazó: los sistemas del Anexo III pasan al 2 de diciembre de 2027 y los del Anexo I al 2 de agosto de 2028. Con una excepción expresa dentro del aplazamiento: el artículo 6, apartado 5, queda fuera y sigue su propio curso.

Y si tu empresa no tiene chatbot, no genera contenido sintético y no usa IA para decidir sobre personas, es muy posible que el 2 de agosto de 2026 no te traiga ninguna obligación nueva. Sigues teniendo la del artículo 4, que te obliga desde febrero de 2025.

¿Necesitas un diagnóstico rápido de tu situación ante el AI Act? Consulta mis servicios de estrategia.

El calendario real del AI Act: las fechas que debes conocer

El Reglamento escalona su aplicación en varias fechas, y una de ellas se movió hace seis semanas. Desde el 2 de febrero de 2025 rigen los capítulos I y II: las prácticas prohibidas del artículo 5 y la alfabetización del artículo 4. Desde el 2 de agosto de 2025, el capítulo de gobernanza, el de modelos de IA de uso general y el sancionador, salvo el artículo 101. Desde el 2 de agosto de 2026 se aplica el Reglamento con carácter general, y con él la transparencia del artículo 50.

Las fechas del alto riesgo son las que cambiaron. El Ómnibus digital sobre IA, Reglamento (UE) 2026/1744, publicado en el Diario Oficial el 24 de julio de 2026 y en vigor desde el 27 de julio, sustituyó la letra c) del párrafo tercero del artículo 113. Donde antes había una sola fecha, el 2 de agosto de 2027 para el artículo 6, apartado 1, ahora hay dos: el 2 de diciembre de 2027 para los sistemas de alto riesgo del Anexo III y el 2 de agosto de 2028 para los del Anexo I. El artículo 6, apartado 5, queda expresamente fuera de ese aplazamiento.

El motivo lo declara el propio Ómnibus: el retraso en las normas armonizadas, las especificaciones comunes, las orientaciones y el establecimiento de las autoridades nacionales competentes «ponen en peligro la aplicación efectiva de dichas obligaciones». No es un indulto: es un reconocimiento de que la infraestructura de cumplimiento no está lista.

Dicho de otro modo: si eres una pyme que usa ChatGPT internamente para redactar emails o resumir documentos, las obligaciones de agosto de 2026 probablemente te afecten de forma leve. Pero si tienes un chatbot en tu web de atención al cliente, la transparencia es obligatoria desde el 2 de agosto. Y si usas —o estás a punto de usar— una herramienta de cribado de CV para automatizar contrataciones, esa herramienta es un sistema de alto riesgo del Anexo III y su fecha ya no es agosto de 2026, sino el 2 de diciembre de 2027. Ganas tiempo, no la obligación.

¿Quieres que analicemos juntos qué fecha aplica a tu caso concreto? Contáctame aquí.

Qué entra el 2 de agosto de 2026 y qué no

El artículo 113 funciona por defecto y excepción. Su párrafo segundo dice que el Reglamento «será aplicable a partir del 2 de agosto de 2026». Su párrafo tercero saca cuatro bloques de esa regla, y el Ómnibus reescribió dos de esas letras y añadió una nueva. Todo lo que no está en las cuatro letras entra el 2 de agosto de 2026.

Dos detalles de la letra c) que conviene leer despacio, porque cambian lo que se suele contar. El primero: la letra aplaza las secciones 1, 2 y 3 del capítulo III, y solo esas. La sección 5 (normas armonizadas, evaluación de la conformidad, certificados, marcado CE y registro, artículos 40 a 49) no aparece nombrada en ella. El segundo: el artículo 6, apartado 5, sale del aplazamiento por su nombre. Es el que encarga a la Comisión publicar directrices con ejemplos prácticos de sistemas de alto riesgo y de sistemas que no lo son.

El tramo sancionador de cada bloque, con su apartado, está en los tres tramos del artículo 99, y si prefieres verlo ordenado por tu papel en la cadena, el calendario del AI Act por rol lo resuelve sin registro.

Qué aplica a tu pyme el 2 de agosto de 2026

Vayamos a lo concreto. Estas son las tres grandes obligaciones que entran en vigor el 2 de agosto de 2026 y que pueden afectar directamente a una pyme española.

Artículo 50: transparencia obligatoria para chatbots e IA generativa

El artículo 50 del AI Act establece que cualquier sistema de IA diseñado para interactuar con personas físicas debe informar de forma clara, comprensible e inequívoca al usuario de que está interactuando con una inteligencia artificial. Esta obligación aplica desde el momento en que el sistema entra en contacto con el usuario, no al final de la conversación.

En términos prácticos, esto significa:

• Chatbots de atención al cliente: si tienes un asistente virtual en tu web que responde consultas, reservas, reclamaciones o cualquier otro tipo de interacción, debes indicar claramente que es un sistema de IA antes o al inicio de la conversación. Un simple "Soy el asistente virtual de [empresa], una inteligencia artificial" es suficiente para cumplir el requisito básico.
• Contenido generado por IA (deep fakes, vídeos sintéticos, audios generados): cualquier contenido audiovisual o de audio generado o manipulado artificialmente de forma que pueda inducir a error sobre su origen debe estar marcado como tal. Esto aplica especialmente a contenido que reproduzca o simule a personas reales.
• Sistemas de reconocimiento de emociones: si un sistema detecta o infiere estados emocionales de las personas, debe comunicarlo de forma expresa.
• Generadores de texto de propósito general: cuando un sistema produce texto sintético en respuesta a peticiones del usuario, este debe conocer que el contenido es generado por IA, salvo que el texto haya pasado por una revisión y edición humana sustancial.

La obligación de transparencia tiene una excepción importante: no aplica cuando el uso sea obvio para el usuario razonablemente informado (por ejemplo, un buscador de FAQs claramente automatizado con una experiencia de chatbot evidente). Sin embargo, la interpretación de "obviedad" es conservadora: ante la duda, mejor identificar el sistema.

Para una pyme, el cumplimiento del artículo 50 es técnicamente sencillo pero requiere revisar todos los puntos de contacto digital donde se use IA conversacional. Una auditoría rápida de tus canales digitales —web, WhatsApp Business, plataformas de soporte— debería ser el primer paso.

¿Tienes dudas sobre si tu chatbot cumple el artículo 50? Escríbeme y lo revisamos en una sesión de diagnóstico.

Si estas obligaciones le afectan y no sabe por dónde entrar, aquí tiene reunido el cumplimiento del AI Act: lo que hay que hacer y cómo lo acompaño.

Proveedores de IA de propósito general (GPAI): nuevas obligaciones para la cadena de valor

Los modelos de IA de propósito general —también llamados modelos fundacionales o, en la terminología del AI Act, GPAI (General Purpose AI)— son sistemas como GPT-4o, Gemini, Claude, Llama o Mistral: modelos entrenados con grandes volúmenes de datos que pueden realizar múltiples tareas distintas.

El AI Act distingue entre los proveedores de estos modelos (las empresas que los desarrollan y distribuyen, como OpenAI o Google) y los operadores downstream que los integran en sus productos o servicios. Para agosto de 2026, las obligaciones principales recaen sobre los proveedores de GPAI, no directamente sobre la pyme que usa la API de OpenAI para potenciar su producto.

Sin embargo, hay matices importantes para las pymes:

• Si eres proveedor de un sistema que integra un modelo GPAI y lo distribuyes a terceros (es decir, si construyes un producto de software basado en IA que vendes a otras empresas o consumidores), pasas a ser operador downstream y tienes obligaciones de transparencia, documentación y diligencia debida respecto al modelo GPAI subyacente.
• Si integras un modelo GPAI de alto impacto sistémico (modelos entrenados con más de 10^25 FLOPs, actualmente solo los modelos más grandes de OpenAI, Google DeepMind y Anthropic), las obligaciones de evaluación de riesgos y mitigación son más estrictas.
• Si eres mero usuario final de herramientas como ChatGPT, Copilot o Gemini para uso interno de tu equipo, las obligaciones de GPAI no te alcanzan directamente: recaen sobre Microsoft, Google u OpenAI como proveedores.

Lo que sí aplica a todas las empresas que usan IA, independientemente de su rol en la cadena de valor, es la obligación de formación (artículo 4): asegurarse de que el personal que usa sistemas de IA tiene la alfabetización digital suficiente para entender las capacidades y limitaciones de esos sistemas. Esto no exige cursos de doctorado, pero sí que no puedas delegar decisiones críticas en una IA sin que nadie entienda qué está haciendo.

El régimen sancionador ya está activo

Quizás el cambio más relevante de agosto de 2026 no sea una obligación técnica nueva, sino la activación del régimen sancionador completo del AI Act. Desde esa fecha, los estados miembros tienen competencia para imponer multas por incumplimiento del reglamento.

El AI Act establece tres tramos de sanciones:

• Multa de hasta 35 millones de euros o el 7 % de la facturación global anual (la cifra mayor de ambas) por el uso de sistemas de IA prohibidos por el artículo 5.
• Multa de hasta 15 millones de euros o el 3 % de la facturación global por incumplir las obligaciones de los operadores, incluidas las aplicables a los sistemas de IA de alto riesgo.
• Multa de hasta 7,5 millones de euros o el 1 % de la facturación global por suministrar información incorrecta, incompleta o engañosa a las autoridades de supervisión.

Para las pymes, el reglamento invierte expresamente la regla: en lugar del importe mayor de los dos, se aplica el menor (artículo 99.6). Una microempresa con 500.000 euros de facturación no recibirá la misma multa que una gran corporación. Sin embargo, la proporcionalidad no equivale a impunidad: los reguladores europeos han enviado señales claras de que el cumplimiento del AI Act se supervisará activamente desde el primer día.

En España, el organismo competente para aplicar el AI Act es la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en La Coruña. Aunque la AESIA está en fase de constitución plena, tiene capacidad sancionadora desde agosto de 2026.

¿Quieres saber cuál sería tu exposición sancionadora en caso de auditoría? Solicita un análisis de riesgo.

Sistemas prohibidos: ocho usos de IA que son ilegales en la UE desde febrero de 2025

Aunque técnicamente los sistemas prohibidos entraron en vigor en febrero de 2025, agosto de 2026 activa el régimen sancionador que los hace plenamente ejecutables. Por eso conviene repasar qué está absolutamente vetado, sin excepciones posibles para empresas privadas:

1. Sistemas de puntuación social: cualquier sistema que evalúe a personas físicas en función de su comportamiento social, características personales o condición económica para otorgarles o denegarles derechos o servicios. El ejemplo clásico es el sistema de crédito social chino, pero aplica a cualquier versión privada equivalente.
2. Manipulación subliminal: sistemas que exploten mecanismos subconscientes para influir en el comportamiento de las personas sin que estas sean conscientes de ello, causando un daño significativo.
3. Explotación de vulnerabilidades: sistemas que aprovechen vulnerabilidades específicas de personas por razón de edad, discapacidad o situación económica para manipular su comportamiento.
4. Reconocimiento de emociones en el trabajo y la educación: sistemas que infieran emociones de empleados o estudiantes en sus entornos laborales o educativos, con excepciones médicas o de seguridad muy acotadas.
5. Identificación biométrica en tiempo real en espacios públicos: reconocimiento facial u otras formas de identificación biométrica remota en espacios públicos. Las excepciones son muy estrechas: amenazas terroristas inminentes, búsqueda de víctimas concretas de delitos graves o identificación de sospechosos de delitos punibles con más de cuatro años de prisión, siempre con autorización judicial previa.
6. Categorización biométrica por características sensibles: sistemas que clasifiquen a personas según su raza, orientación sexual, opiniones políticas, religión o condición migratoria a partir de datos biométricos.
7. Scraping facial no consentido: creación de bases de datos faciales mediante extracción masiva de imágenes de internet o cámaras de videovigilancia sin consentimiento informado.
8. Predicción criminal por perfilado: sistemas que predigan la probabilidad de que una persona cometa un delito basándose únicamente en su perfil o características personales, sin relación con una actividad criminal previa verificable.

Si tu empresa usa cualquiera de estos sistemas, debes eliminarlo inmediatamente. No hay periodo de gracia adicional ni excepción para pymes.

El Anexo III y el Ómnibus digital sobre IA: qué está aplazado de verdad (y qué no)

Aquí es donde más gente se está equivocando ahora mismo, y en las dos direcciones. El Anexo III del AI Act —que lista los sistemas de IA clasificados como de alto riesgo por sus implicaciones en decisiones que afectan directamente a los derechos e intereses de las personas— ya no se aplica el 2 de agosto de 2026, sino el 2 de diciembre de 2027. Lo dice el artículo 113 del Reglamento (UE) 2024/1689 en la redacción que le dio el Reglamento (UE) 2026/1744.

La norma que lo cambió es el Reglamento (UE) 2026/1744, de 8 de julio de 2026 —el Ómnibus digital sobre IA—, publicado en el DOUE de 24 de julio de 2026 y en vigor desde el 27 de julio. Su artículo 113, párrafo tercero, letra c), fija la aplicación del capítulo III, secciones 1, 2 y 3, en el 2 de diciembre de 2027 para el alto riesgo del artículo 6, apartado 2, y el Anexo III, y en el 2 de agosto de 2028 para el del artículo 6, apartado 1, y el Anexo I.

Y ojo con lo que NO se aplaza. La letra c) reformada del artículo 113 nombra solo las secciones 1, 2 y 3 del capítulo III. Los artículos 47, 48 y 49 —declaración UE de conformidad, marcado CE y registro en la base de datos de la UE— viven en la sección 5, así que conservan la fecha general del 2 de agosto de 2026. Dicho de otro modo: habrá que declarar la conformidad de un sistema y registrarlo dieciséis meses antes de que sean exigibles las obligaciones cuyo cumplimiento se declara.

El aplazamiento tampoco es un capricho legislativo, y el motivo lo declara el propio Reglamento (UE) 2026/1744: el retraso en la disponibilidad de normas, especificaciones comunes y orientaciones, y en el establecimiento de las autoridades nacionales competentes, «ponen en peligro la aplicación efectiva de dichas obligaciones» y encarecen su ejecución hasta el punto de no justificar el mantenimiento de la fecha inicial. No es un indulto: es un reconocimiento de que la infraestructura de cumplimiento no está lista.

Los sistemas incluidos en el Anexo III incluyen:

Y que el aplazamiento sea derecho vigente no significa que puedas olvidarte de estos sistemas. Las obligaciones del Anexo III son sustanciales: registro en la base de datos de sistemas de IA de la UE, evaluación de conformidad, documentación técnica exhaustiva, sistemas de monitorización y reporte post-mercado, y en algunos casos auditoría independiente previa a la puesta en servicio. Preparar todo esto lleva entre 12 y 24 meses en una organización mediana. Si tu empresa usa alguno de estos sistemas, el momento de empezar la hoja de ruta de cumplimiento es ahora, y la fecha con la que hay que trabajar es el 2 de diciembre de 2027.

¿Tienes un sistema que podría caer en el Anexo III? Podemos hacer juntos la clasificación de riesgo antes de que llegue el plazo.

Y si ya tenías el sistema funcionando

El Reglamento trata distinto a los sistemas que ya estaban funcionando, y el Ómnibus retocó también esa parte.

• Sistemas de alto riesgo introducidos antes de la fecha de aplicación del capítulo III: solo quedan sujetos si a partir de esa fecha sufren cambios significativos en su diseño. Antes del Ómnibus, la fecha de corte era el 2 de agosto de 2026 fijo; ahora el artículo 111, apartado 2, remite a «la fecha de aplicación del capítulo III a que se refiere el artículo 113», que es 2027 o 2028 según el anexo.
• Sistemas de alto riesgo destinados a autoridades públicas: sus proveedores y responsables del despliegue tienen hasta el 2 de agosto de 2030. Esta fecha no cambió.
• Modelos de IA de uso general introducidos antes del 2 de agosto de 2025: sus proveedores tienen hasta el 2 de agosto de 2027. Lo que se les exige está en la guía de modelos de IA de uso general.
• La única fecha que adelanta trabajo. El Ómnibus añadió un apartado 4 al artículo 111: los proveedores de sistemas de IA, «incluidos los sistemas de IA de uso general», que generen contenido sintético de audio, imagen, vídeo o texto y se hayan introducido en el mercado antes del 2 de agosto de 2026 deben cumplir el artículo 50, apartado 2, a más tardar el 2 de diciembre de 2026.

Esa última fila es la que conviene apuntar en el calendario si tu producto genera contenido y lleva tiempo en el mercado: no entras el 2 de agosto de 2026, pero tienes cuatro meses de margen y no más.

Cómo saber si tu pyme tiene obligaciones en agosto de 2026

La pregunta más frecuente que recibo de pymes españolas sobre el AI Act es: "¿a mí me afecta esto?". La respuesta honesta es: depende de qué haces con la IA. Este árbol de decisión simplificado te ayuda a identificar tu posición:

¿Tu empresa ofrece un chatbot, asistente virtual o sistema de IA conversacional a usuarios externos?
→ Sí: tienes obligaciones del artículo 50 desde el 2 de agosto. Debes identificar claramente que el sistema es IA.
→ No: pasa a la siguiente pregunta.

¿Tu empresa desarrolla o distribuye software que integra modelos de IA de propósito general (GPAI) y lo vende o cede a terceros?
→ Sí: eres operador downstream con obligaciones de documentación y diligencia debida desde agosto 2026.
→ No: pasa a la siguiente pregunta.

¿Tu empresa usa herramientas de IA como ChatGPT, Copilot o Gemini solo de forma interna, sin ofrecerlas directamente a clientes?
→ Sí: en agosto de 2026 tu obligación principal es la del artículo 4 (alfabetización), que ya estaba en vigor desde febrero de 2025. Debes asegurar que tu equipo entiende qué hace la IA que usa.
→ No: pasa a la siguiente pregunta.

¿Tu empresa usa herramientas de IA para tomar decisiones sobre personas físicas en áreas como contratación, crédito, seguros o educación?
→ Sí: posiblemente estás en el Anexo III, y tu fecha es el 2 de diciembre de 2027 desde que se publicó el Reglamento (UE) 2026/1744. Es margen, no indulto: clasificar el sistema y montar el expediente técnico lleva meses, así que empieza ahora.
→ No: tu exposición al AI Act en agosto de 2026 es mínima. Aun así, hacer un inventario de sistemas IA es una buena práctica.

No tengo chatbot ni genero contenido con IA: esto es lo que me toca el 2 de agosto

Probablemente no, y conviene decirlo sin rodeos. Las obligaciones que empiezan ese día para una empresa que no fabrica IA son las de transparencia del artículo 50, y ese artículo se activa por situaciones concretas, no por usar IA en general.

Si estás en la última fila, el 2 de agosto de 2026 no te trae ninguna obligación nueva. Lo que sí tienes, y lo tienes desde el 2 de febrero de 2025, es la del artículo 4: adoptar medidas para apoyar la promoción de la alfabetización en materia de IA de quien usa esas herramientas en tu nombre. Esa obligación no depende de tener chatbot ni de generar nada.

Y una advertencia sobre el uso interno, que es donde más gente se confía. Si usas IA para decidir sobre personas, como cribar currículos, evaluar a empleados o puntuar solvencia, eso no es transparencia, es alto riesgo del Anexo III. No te obliga el 2 de agosto de 2026 porque el Ómnibus lo aplazó al 2 de diciembre de 2027, pero te va a obligar, y la preparación no se hace en un mes.

Un matiz de plazo que casi nadie cuenta: cuando la información del artículo 50 sea obligatoria, hay que facilitarla «a más tardar con ocasión de la primera interacción o exposición». No vale ponerla en la página de condiciones.

El inventario de sistemas de IA: primer paso obligatorio para cualquier empresa

Antes de poder saber si cumples el AI Act, necesitas saber exactamente qué sistemas de IA usas o distribuyes. Suena obvio, pero en la práctica es sorprendente cuántas empresas no tienen esta información sistematizada.

Un inventario de sistemas de IA para el AI Act debe registrar, como mínimo:

• Identificación del sistema: nombre, proveedor, versión, funcionalidad principal.
• Rol de la empresa: ¿somos proveedor, distribuidor, importador, operador o simple usuario?
• Clasificación de riesgo: ¿está prohibido? ¿Es de alto riesgo (Anexo I o III)? ¿De riesgo limitado (Art. 50)? ¿De riesgo mínimo?
• Datos que procesa: ¿incluye datos personales? ¿Datos de categorías especiales (biométricos, de salud, etc.)?
• Decisiones que apoya: ¿el sistema informa, recomienda o decide de forma autónoma?
• Personas afectadas: ¿a cuántas personas y en qué contextos afectan las decisiones del sistema?

He publicado una guía detallada con la plantilla que uso en mis proyectos de consultoría. Puedes consultarla en mi artículo sobre el inventario de sistemas de IA para el AI Act, donde encontrarás también el método de clasificación de riesgo paso a paso.

El inventario no es solo un requisito del AI Act: es la base de cualquier estrategia de gobernanza de IA. Sin saber qué tienes, no puedes gestionar lo que no controlas.

Si quieres hacer el inventario con acompañamiento experto, te ayudo a completarlo en menos de una semana. Consulta mis servicios.

AESIA: el organismo de supervisión en España

La Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) es el organismo nacional competente designado por España para aplicar el AI Act. Fue creada por el Real Decreto 729/2023 y tiene su sede en La Coruña, una decisión que formó parte del proceso de descentralización institucional y del impulso a la Galicia tecnológica impulsado por el Gobierno central.

Sus funciones principales en el contexto del AI Act incluyen:

• Supervisión del mercado: vigilar que los sistemas de IA que operan en España cumplen con los requisitos del reglamento europeo.
• Investigación y sanción: abrir expedientes sancionadores y proponer multas a empresas que incumplan el AI Act.
• Registro: gestionar el registro nacional de sistemas de IA de alto riesgo.
• Cooperación europea: coordinar con la Oficina Europea de IA (AI Office) y con las autoridades de otros estados miembros.
• Sandbox regulatorio para pymes: ofrecer un entorno controlado donde las pymes y startups pueden probar sistemas de IA bajo supervisión de la AESIA sin riesgo de sanción durante el periodo de prueba.

El sandbox regulatorio de la AESIA es especialmente relevante para pymes innovadoras. Si estás desarrollando un sistema de IA que podría clasificarse como de alto riesgo y quieres validar su cumplimiento antes de lanzarlo al mercado, el sandbox te permite hacerlo con respaldo institucional y sin el riesgo de recibir una multa si algo no cumple los estándares en la fase de prueba.

Puedes contactar con la AESIA a través de su web oficial (aesia.gob.es) o mediante el registro de consultas previas para empresas que contempla el propio AI Act.

¿Estás considerando acceder al sandbox de la AESIA? Puedo ayudarte a preparar la documentación y el expediente técnico.

Cómo financiar el cumplimiento con el Kit Consulting (hasta 24.000 €)

Una de las preguntas más frecuentes de los empresarios cuando hablamos de cumplimiento del AI Act es: "¿y esto cuánto cuesta?". La respuesta honesta es que depende de la complejidad de tu situación, pero hay una vía de financiación que conviene tener en el radar: el Programa Kit Consulting, gestionado por Red.es, cubre la fase de asesoramiento estratégico en inteligencia artificial, y los proyectos de diagnóstico y planificación para el AI Act encajan en esa categoría.

El Kit Consulting funciona con bonos de ayuda que varían según el tamaño de la empresa. La Orden TDF/436/2024, en su artículo 18.2, define tres segmentos:

• Segmento A (de 10 a 49 empleados): bono de 12.000 euros.
• Segmento B (de 50 a 99 empleados): bono de 18.000 euros.
• Segmento C (de 100 a 249 empleados): bono de 24.000 euros.

¿Qué puede cubrir este bono en el contexto del AI Act?

• Diagnóstico de madurez en IA y análisis de brechas respecto al AI Act.
• Inventario y clasificación de riesgo de los sistemas de IA actuales y planificados.
• Elaboración del plan de acción para el cumplimiento por fases (2 de agosto de 2026 y 2 de diciembre de 2027).
• Diseño del sistema de gobernanza interna de IA (roles, responsabilidades, procedimientos de documentación).
• Formación del equipo directivo y técnico en los requisitos del AI Act.

Un ejemplo concreto: una empresa de software española con 35 empleados —Segmento A— que ofrece una herramienta de CRM con un asistente de IA integrado podría usar un bono de 12.000 euros para financiar el diagnóstico de cumplimiento del AI Act, la clasificación de su asistente como sistema de riesgo limitado (artículo 50), la elaboración de los avisos de transparencia para sus clientes y el diseño de la documentación técnica requerida. El coste residual para la empresa en la fase de diagnóstico sería cero.

Ahora bien, conviene ser honesto con el estado del programa: no doy por hecho que hoy haya una convocatoria abierta. El Kit Consulting se articula por convocatorias, así que antes de contar con el bono comprueba en la sede electrónica de Red.es si hay alguna viva, con qué plazos y con qué requisitos. Si la hubiera, la condición sería trabajar con un Agente del Cambio adherido al programa, y podría orientarte para encajar el proyecto de cumplimiento del AI Act dentro de las categorías elegibles y para elegir al asesor adecuado.

¿Quieres explorar si tu empresa podría financiar el cumplimiento del AI Act con el Kit Consulting cuando haya convocatoria? Hablemos sin compromiso.

Plan de acción para pymes: 30 días antes de agosto

Si estás leyendo este artículo en junio o julio de 2026, estás a tiempo de hacer lo esencial antes del 2 de agosto. Estas son las ocho acciones prioritarias, ordenadas por urgencia:

1. Inventario de sistemas de IA (prioridad máxima). Haz una lista de todos los sistemas de IA que tu empresa usa o distribuye. Incluye herramientas de terceros (ChatGPT, Copilot, Gemini, Midjourney, etc.) y sistemas internos. Clasifícalos según el árbol de decisión que expliqué antes.
2. Auditoría de chatbots y sistemas conversacionales. Revisa todos los puntos de contacto con clientes donde uses IA. Asegúrate de que cada uno tiene un aviso claro de que es un sistema de IA antes de que el usuario interactúe. Si necesitas actualizar tu chatbot de web, páginas de soporte o WhatsApp Business, hazlo ahora.
3. Formación del equipo (artículo 4). Aunque el artículo 4 lleva en vigor desde febrero de 2025, muchas empresas no han implementado una formación mínima. Organiza una sesión informativa de 2-3 horas con tu equipo sobre qué es el AI Act, qué sistemas usan en su día a día y cuáles son los límites éticos y legales en el uso de IA.
4. Revisión de contratos con proveedores de IA. Verifica que tus contratos con proveedores de software de IA (CRM, ERP, herramientas de marketing, etc.) contienen cláusulas sobre el cumplimiento del AI Act y la distribución de responsabilidades. Si tu proveedor no puede darte garantías de cumplimiento, es un riesgo que debes evaluar.
5. Política interna de uso de IA. Documenta cómo tu empresa permite y regula el uso de herramientas de IA por parte de los empleados. Qué herramientas están autorizadas, para qué usos, qué datos no se pueden introducir en sistemas de IA externos (datos personales de clientes, información confidencial, propiedad intelectual de clientes).
6. Evaluación de sistemas del Anexo III (con el 2 de diciembre de 2027 como fecha de trabajo). Si usas algún sistema de los listados en el Anexo III, identifícalo ahora y estima el esfuerzo de cumplimiento. El Reglamento (UE) 2026/1744 te dio margen hasta el 2 de diciembre de 2027, pero preparar el expediente técnico y la evaluación de conformidad lleva entre 12 y 24 meses: el plazo nuevo no cambia cuándo hay que empezar.
7. Designación de un responsable interno de cumplimiento de IA. No hace falta contratar a un DPO de IA a tiempo completo, pero sí designar a alguien —puede ser el responsable de tecnología, el DPO existente o un directivo con perfil jurídico-técnico— como punto de referencia interno para cuestiones del AI Act.
8. Registro en el sandbox de la AESIA si procede. Si estás desarrollando un sistema de IA innovador y tienes dudas sobre su clasificación de riesgo, considera acudir al sandbox regulatorio antes del lanzamiento comercial.

Ninguna de estas acciones requiere inversiones millonarias ni equipos de abogados especializados. La mayoría las puede ejecutar internamente una pyme bien organizada en cuatro a seis semanas. Lo que sí requieren es que alguien en tu empresa las ponga en la agenda como prioridad y no las deje para después del verano.

Si necesitas ayuda para implementar este plan de acción antes del 2 de agosto, escríbeme. Podemos tener un diagnóstico listo en menos de diez días.

Preguntas frecuentes sobre el EU AI Act

Si quieres saber cómo financiar el proyecto de cumplimiento, consulta la guía sobre cómo financiar el AI Act con el Kit Consulting.