El EU AI Act ya no es una conversación de futuro. Desde el 2 de agosto de 2026, el Reglamento Europeo de Inteligencia Artificial entra en vigor con nuevas obligaciones para las empresas europeas.
La aplicación del AI Act es progresiva y su despliegue completo se extiende hasta 2028, con hitos diferenciados para transparencia, modelos de uso general y sistemas de alto riesgo.
Las prohibiciones, la alfabetización en IA, la transparencia y las obligaciones sobre modelos de IA de uso general ya forman parte del calendario real de cumplimiento.
El reto ya no consiste solo en interpretar la norma, sino en poder responder a preguntas que hasta hace poco parecían operativas: qué sistemas de IA utiliza la empresa, qué datos los alimentan, qué proveedores intervienen, quién los supervisa, qué riesgos generan y qué evidencias existen para demostrar control.
En este artículo analizamos qué obligaciones del AI Act ya están en aplicación, qué cambia a partir de agosto de 2026, a qué empresas afecta el Reglamento, qué casos de uso deben revisarse con especial atención y qué obligaciones se han aplazado.
El Reglamento Europeo de Inteligencia Artificial entró en vigor en 2024, pero su impacto sobre las empresas se despliega por fases.
Esa aplicación progresiva ha generado cierta confusión: algunas organizaciones interpretan los aplazamientos parciales como margen para esperar, cuando en realidad varias obligaciones ya forman parte del marco operativo de cumplimiento del AI Act en empresas:
La consecuencia es clara: una empresa que utiliza chatbots, asistentes generativos, herramientas de creación de contenido, sistemas de clasificación biométrica, soluciones de reconocimiento de emociones, modelos integrados en procesos internos o IA contratada a terceros ya no puede limitarse a pensar que la responsabilidad pertenece únicamente al proveedor.
El AI Act distribuye obligaciones según el papel que desempeña cada actor: proveedor, responsable del despliegue, importador, distribuidor o proveedor de modelos de IA de uso general.
En la práctica, una misma organización puede asumir roles distintos según el sistema, el proveedor, el contexto de uso y el grado de integración de la IA en sus procesos.
Una empresa no necesita desarrollar modelos de IA propios para verse afectada por el AI Act. Basta con desplegar, integrar o utilizar sistemas de IA en procesos internos, canales de cliente, operaciones, recursos humanos, marketing, atención al usuario, analítica o toma de decisiones para que sea necesario evaluar el rol de la organización, sus obligaciones y las evidencias que puede aportar.
Desde esta perspectiva, el AI Act deja de ser una cuestión abstracta de cumplimiento normativo y se convierte en una pregunta mucho más concreta: ¿sabe la empresa qué IA utiliza, bajo qué responsabilidad, con qué datos, con qué controles y con qué capacidad de demostración?
Para ayudar a ordenar esa conversación, en Bismart hemos preparado una Guía Práctica sobre el AI Act para Empresas. El recurso está pensado para ayudar a las organizaciones a entender qué deben revisar, qué obligaciones pueden afectarles y cómo empezar a estructurar sus sistemas de IA desde una perspectiva de cumplimiento, gobierno y trazabilidad.
Uno de los mayores riesgos para las empresas es confundir el nuevo calendario del AI Act con una prórroga general. El aplazamiento de determinadas obligaciones para los sistemas de IA de alto riesgo no significa que el Reglamento esté en pausa.
El AI Omnibus ha desplazado algunas obligaciones del capítulo III: los sistemas de alto riesgo del artículo 6.2 y el anexo III pasan al 2 de diciembre de 2027, mientras que los sistemas integrados en productos regulados por el artículo 6.1 y el anexo I pasan al 2 de agosto de 2028.
Pero el cumplimiento del AI Act ya ha empezado. Las prácticas prohibidas están en vigor, la alfabetización en IA exige medidas internas, las obligaciones de transparencia empiezan a tener impacto directo y los modelos de IA de uso general ya cuentan con un marco específico para sus proveedores.
Las empresas que esperen a 2027 para inventariar sistemas, clasificar riesgos, revisar contratos, documentar datos o asignar responsables llegarán tarde. No porque les falte una política interna, sino porque les faltará una base de gobierno de IA, trazabilidad y evidencias de cumplimiento del AI Act.
El AI Act no se prepara al final del calendario. Se prepara construyendo desde ahora la capacidad de demostrar qué IA utiliza la organización, con qué datos, bajo qué controles y con qué responsabilidades.
El primer paso para preparar tu empresa para el AI Act no es redactar una política interna. Es saber qué sistemas de IA existen realmente dentro de la organización.
Muchas empresas ya utilizan más inteligencia artificial de la que creen: chatbots, copilots, herramientas de análisis, modelos predictivos, motores de recomendación, automatizaciones de marketing, software de selección, servicios cloud o aplicaciones de terceros que incorporan capacidades de IA de forma poco visible.
Sin inventario de IA, no hay cumplimiento posible.
Ese inventario debería recoger, como mínimo, el sistema utilizado, el proveedor, el área usuaria, el caso de uso, los datos tratados, el nivel de autonomía, los usuarios afectados, la documentación disponible, los contratos asociados y la existencia de decisiones automatizadas o asistidas.
No se trata de añadir burocracia, sino de recuperar visibilidad sobre una tecnología que muchas veces ha entrado en la empresa de forma descentralizada.
El inventario de IA es el punto de partida del cumplimiento de AI ACT porque convierte una exposición invisible en un mapa gestionable. Sin inventario, la organización no puede clasificar riesgos, asignar responsabilidades, evaluar proveedores ni demostrar controles.
Este punto conecta directamente con una realidad más amplia: la preparación para el cumplimiento del AI Act depende también de la madurez de datos. Una empresa con sistemas fragmentados, datos sin gobernar, metadatos pobres y baja trazabilidad tendrá más dificultades para cumplir, pero también para escalar IA con seguridad.
El AI Act no asigna las mismas obligaciones a todas las empresas. La responsabilidad depende del papel que asume la organización en cada sistema de IA y en cada caso de uso.
Una empresa puede actuar como responsable del despliegue cuando utiliza una solución de IA de un tercero. Pero también puede convertirse en proveedor si desarrolla un sistema, lo comercializa, lo pone en servicio bajo su nombre o modifica sustancialmente una solución existente. En otros casos, puede intervenir como distribuidor, importador o proveedor posterior.
La implicación es importante:
El cumplimiento del AI Act no puede resolverse con una clasificación corporativa única. Hay que analizar cada sistema por separado.
La pregunta que debe responder la empresa es sencilla, pero crítica: ¿qué papel desempeñamos en este sistema concreto?
Sin esa respuesta, es difícil saber qué obligaciones aplican, qué evidencias deben conservarse y quién debe asumir la responsabilidad interna sobre el uso de la IA.
El AI Act se basa en un principio claro: no toda inteligencia artificial implica el mismo nivel de riesgo. No toda IA está prohibida, ni toda IA es de alto riesgo.
Sin embargo, cualquier sistema de IA relevante para la empresa debería pasar por una clasificación mínima antes de escalar su uso.
Un mapa de riesgos de IA debe permitir identificar si un sistema puede quedar dentro de alguno de los grandes ámbitos del Reglamento: prácticas prohibidas, obligaciones de transparencia, modelos de IA de uso general, posible alto riesgo o riesgo mínimo.
Por eso, la clasificación de riesgos de IA no debería hacerse de forma aislada. Legal puede interpretar la norma, pero negocio conoce el contexto de uso; IT entiende la arquitectura; data conoce la calidad y trazabilidad de los datos; seguridad evalúa accesos y exposición; y compliance debe asegurar que existen evidencias suficientes.
En la práctica, prepararse para el cumplimiento del AI Act exige una conversación transversal entre negocio, tecnología, datos, seguridad, cumplimiento y propietarios del proceso.
Para facilitar esa coordinación, en Bismart hemos preparado una Guía AI Act para Empresas. El recurso reúne fechas clave, obligaciones principales, criterios de revisión, mapa de riesgos y una matriz de responsabilidades para ayudar a las organizaciones a ordenar quién debe intervenir en la preparación del cumplimiento.
Las prácticas prohibidas del AI Act ya forman parte de las obligaciones aplicables desde febrero de 2025. No son una fase futura del Reglamento ni una cuestión que pueda dejarse para más adelante.
El artículo 5 incluye usos como técnicas subliminales o manipuladoras que alteren de forma sustancial el comportamiento de una persona causando perjuicios, explotación de vulnerabilidades, puntuación social y determinados sistemas de evaluación de riesgo delictivo basados únicamente en perfilado.
Para las empresas, la prioridad es revisar los casos de uso sensibles antes de que se consoliden en procesos reales.
Esa revisión no debe limitarse a sistemas desarrollados internamente. También debe cubrir herramientas contratadas, pilotos, pruebas de concepto, automatizaciones departamentales y soluciones de proveedores que incorporan capacidades de IA.
El riesgo más probable no es que una organización despliegue deliberadamente una práctica prohibida. El riesgo es que una funcionalidad se active sin suficiente revisión, que un sistema se utilice fuera de su finalidad inicial o que un proveedor introduzca capacidades de IA que la empresa no ha evaluado.
Por este motivo, en Bismart nos gusta decir que el gobierno del dato debe llegar antes de que se escale la inteligencia artificial.
La alfabetización en IA es una de las obligaciones del AI Act que muchas empresas pueden subestimar.
El artículo 4 exige que proveedores y responsables del despliegue adopten medidas para garantizar, en la mayor medida posible, un nivel suficiente de conocimiento entre las personas que operan o utilizan sistemas de IA en su nombre.
Esto no significa enviar una guía interna sobre “qué es la IA” ni organizar una sesión genérica sobre herramientas generativas.
En una empresa, la formación en IA debe ayudar a los equipos a entender los límites, riesgos y responsabilidades asociados a los sistemas que realmente utilizan.
Quien trabaja con IA debe comprender cuándo una respuesta puede ser incorrecta, qué riesgos de alucinación de la IA existen, qué datos no deberían introducirse en una herramienta, etc.
La formación, además, debe adaptarse al contexto. No necesita el mismo nivel de profundidad un equipo de marketing que usa IA para crear borradores que un departamento de riesgos que utiliza modelos predictivos, por ejemplo.
Por eso, la alfabetización en IA en empresas debe diseñarse por roles, casos de uso y niveles de exposición al riesgo. Y debe quedar documentada.
Las obligaciones de transparencia del AI Act son uno de los cambios más visibles para las empresas en esta nueva fase del Reglamento. Desde el 2 de agosto de 2026, el artículo 50 empieza a tener un impacto directo sobre muchos usos habituales de IA.
El artículo 50 del AI ACT exige que los sistemas de IA destinados a interactuar directamente con personas físicas informen de que se está interactuando con un sistema de IA, salvo que resulte evidente.
La lógica es sencilla: cuando una persona interactúa con un sistema de IA, debe saberlo, salvo que resulte evidente por el contexto.
Esto afecta especialmente a chatbots, asistentes conversacionales, agentes virtuales, sistemas de atención automatizada, herramientas de soporte interno y cualquier interfaz diseñada para responder, orientar o interactuar con usuarios, clientes, empleados o ciudadanos.
La transparencia en IA exige revisar flujos de interacción, mensajes automáticos, disclaimers, interfaces conversacionales, políticas internas y criterios de excepción. No se trata solo de decir que hay IA.
Se trata de evitar que el usuario sea inducido a error sobre con quién interactúa, qué puede esperar del sistema y qué nivel de supervisión existe.
En otras palabras: la transparencia deja de ser una cuestión formal y se convierte en una condición de confianza. Una empresa que utiliza IA para interactuar con personas debe poder demostrar que esa interacción es clara, comprensible y gobernada.
El contenido generado por IA es uno de los ámbitos donde las obligaciones de transparencia serán más visibles para las empresas.
Desde el 2 de agosto de 2026, el AI Act introduce obligaciones específicas para determinados contenidos generados o manipulados mediante inteligencia artificial.
Cualquier organización que use IA generativa, chatbots, avatares o contenido sintético debe informar al usuario y revisar qué avisos incorpora, qué procesos documenta y qué evidencias conserva.
Esto afecta especialmente a deepfakes, imágenes generadas, vídeos sintéticos, audios manipulados, avatares, textos generados con IA y materiales creados con IA generativa para usos externos.
El problema no es usar IA para producir contenido. El problema es no saber cuándo debe etiquetarse, quién lo revisa, qué herramienta se utiliza, qué datos se introducen, qué proveedor participa, quién valida la publicación y qué evidencias quedan disponibles.
Por eso, las organizaciones necesitarán políticas de uso de IA generativa, pero también flujos reales de aprobación. Una política que nadie aplica no reduce el riesgo.
La transparencia del contenido generado por IA exige criterio editorial, control operativo y trazabilidad.
El AI Act empuja a las empresas hacia un modelo de gobierno de IA. No basta con tener innovación. Hay que tener control.
Ese modelo debería definir quién aprueba nuevos casos de uso, quién clasifica riesgos, quién valida proveedores, quién revisa datos y quién supervisa modelos.
También debe establecer quién registra incidencias, quién decide si un sistema puede pasar de piloto a producción y quién conserva evidencias.
Gobernar la IA significa poder demostrar quién decide, quién supervisa, qué datos se utilizan, qué riesgos se han evaluado y qué evidencias existen. La innovación sin trazabilidad no es una estrategia de IA responsable; es una exposición difícil de defender.
Además, debe aclarar cómo se gestiona la supervisión humana. La supervisión no consiste en poner una persona al final del proceso para aprobar automáticamente lo que dice la IA. Significa diseñar mecanismos para entender, cuestionar, detener o corregir el sistema cuando sea necesario.
Aquí aparece una verdad incómoda: muchas empresas han acelerado la adopción de IA sin haber actualizado su gobierno del dato.
Y sin gobierno del dato, la gobernanza de IA queda incompleta.
El AI Act no opera en aislamiento. Convive con el RGPD, NIS2, DORA, la normativa sectorial, la propiedad intelectual, las obligaciones contractuales, la ciberseguridad y los marcos internos de gestión del riesgo.
Esto significa que el cumplimiento del AI Act no exime a la empresa de revisar cuestiones como datos personales, bases jurídicas, minimización, accesos, proveedores, transferencias, logs, retención de información, controles de identidad, trazabilidad y resiliencia operativa.
La inteligencia artificial amplifica los problemas de datos existentes. Si los datos están duplicados, mal integrados, sin linaje, sin calidad o sin ownership, la IA no los corrige: los escala.
Por eso, la preparación para el AI Act en empresas no puede añadirse como una capa legal al final del proyecto. Debe integrarse en la arquitectura de datos, la plataforma tecnológica, los controles de seguridad y los procesos de negocio.
Gran parte de la IA en empresas no llega a través de desarrollos propios, sino integrada en herramientas de terceros: SaaS, cloud, CRM, ERP, plataformas analíticas, soluciones de productividad, herramientas de marketing, copilotos, APIs y modelos incorporados en software corporativo.
Eso convierte los contratos con proveedores de IA en una pieza crítica del cumplimiento del AI Act.
Las empresas deberían revisar cláusulas sobre uso de datos, entrenamiento de modelos, propiedad intelectual, documentación técnica, transparencia, subprocesadores, auditoría, seguridad, ubicación de los datos, gestión de incidentes, cambios sustanciales y reparto de responsabilidades.
También conviene comprobar si el proveedor informa con claridad de las capacidades de IA incluidas, las limitaciones del sistema y las obligaciones que conserva la empresa como responsable del despliegue.
El riesgo contractual no siempre está en un proveedor desconocido. A veces aparece en herramientas ampliamente adoptadas cuya configuración evoluciona más rápido que los procesos internos de revisión.
En el AI Act, la responsabilidad no desaparece porque la IA venga integrada en una solución de terceros. Las empresas deben saber qué capacidades de inteligencia artificial incorporan sus proveedores, qué datos utilizan, qué evidencias ofrecen y qué obligaciones siguen siendo responsabilidad de la organización que despliega el sistema.
Una empresa que utiliza IA debería tener ya una base operativa de cumplimiento del AI Act. No hace falta resolver todos los escenarios de sistemas de IA de alto riesgo de inmediato, pero sí construir la capacidad para gestionarlos.
Esa base debería incluir:
El objetivo no es crear una carpeta de compliance. Es construir una organización capaz de explicar, demostrar y defender su uso de la IA.
Para revisar estos puntos con más detalle, descarga la Guía AI Act para Empresas, con checklist de preparación, matriz de responsabilidades y evidencias recomendadas.
El AI Act puede leerse como una carga regulatoria. Pero también como una señal de madurez empresarial.
Las organizaciones que aborden el cumplimiento como un proyecto aislado producirán documentos. Las que lo conecten con su estrategia de datos, gobierno de IA y AI readiness construirán una ventaja más duradera: sabrán qué IA utilizan, qué datos la alimentan, qué riesgos asumen, qué controles aplican y qué decisiones pueden automatizar o asistir con confianza.
Esa es la conexión real entre AI Act, gobierno del dato y preparación para la IA.
Una organización preparada para la inteligencia artificial no es la que adopta más herramientas, sino la que puede escalar la IA sin perder control sobre sus datos, sus procesos, sus proveedores y sus responsabilidades.
En este punto, Bismart acompaña a las empresas desde la base que hace posible una IA fiable: integración de datos, gobierno del dato, calidad, plataformas modernas, analítica avanzada y proyectos de inteligencia artificial alineados con negocio.
Porque cumplir el AI Act no consiste solo en responder a una norma. Consiste en crear las condiciones para que la IA funcione con confianza dentro de la organización.
En Bismart ayudamos a las empresas a evaluar su infraestructura tecnológica, la preparación de sus datos y las capacidades de gobierno necesarias para avanzar hacia una IA más segura, trazable y alineada con negocio.
El 2 de agosto de 2026 no debería leerse como una alarma puntual ni como una fecha aislada del calendario regulatorio.
Marca el momento en que muchas organizaciones deben dejar de tratar la inteligencia artificial como una colección de herramientas dispersas y empezar a gestionarla como una capacidad empresarial regulada.
El cumplimiento del AI Act exige visibilidad, criterios de riesgo, alfabetización, transparencia, revisión de proveedores, gobierno del dato y evidencias internas.
La pregunta clave ya no es si la empresa utiliza IA. La pregunta es si puede demostrar qué IA utiliza, para qué, con qué datos, bajo qué responsabilidad, con qué riesgos y con qué controles.
Las empresas que puedan responder con evidencias estarán mucho mejor preparadas para el AI Act y probablemente también para competir en una economía donde la inteligencia artificial dejará de diferenciar por su mera adopción y empezará a diferenciar por la calidad del gobierno de IA que la sostiene.