AI Act: la Comisión Europea concreta cómo será el enforcement real y qué puede ocurrir si una empresa no cumple
El AI Act acaba de entrar en una fase completamente diferente. Durante los últimos años las empresas europeas han hablado principalmente de preparación, clasificación de sistemas, políticas internas y fechas futuras de aplicación. Desde el 2 de agosto de 2026, sin embargo, una parte relevante del Reglamento ya puede ser supervisada y exigida por las autoridades, y la Comisión Europea acaba de concretar cómo funcionará en la práctica ese enforcement. Esto significa que el debate deja progresivamente de ser “qué tendremos que hacer cuando llegue el AI Act” y pasa a ser “qué puede pedirnos una autoridad hoy si quiere comprobar cómo estamos utilizando inteligencia artificial”. La diferencia es enorme. El Reglamento dispone ya de una arquitectura de supervisión formada por la European AI Office, las autoridades nacionales competentes y el Supervisor Europeo de Protección de Datos para los sistemas utilizados por instituciones y organismos de la Unión Europea. Cada uno tiene ámbitos de actuación diferentes, pero el mensaje para las empresas es el mismo: cumplir el AI Act ya no consiste solamente en elaborar políticas internas; será necesario poder demostrar mediante documentación, procesos y evidencias que los sistemas afectados cumplen realmente las obligaciones que les corresponden.
La AI Office puede pedir información, acceder a modelos y exigir cambios
Una de las cuestiones que la Comisión ha dejado especialmente claras es hasta dónde pueden llegar las facultades de la AI Office, que desempeña un papel central en la supervisión de los modelos de inteligencia artificial de propósito general, los denominados GPAI. No estamos hablando simplemente de un organismo encargado de publicar recomendaciones. Puede solicitar información a los proveedores, pedir acceso a modelos para realizar evaluaciones, exigir medidas correctoras y de mitigación cuando detecte incumplimientos y, en situaciones determinadas, llegar a solicitar que un modelo sea restringido, retirado o recuperado del mercado. La Comisión explica además que la AI Office ha venido utilizando diálogos técnicos de cumplimiento con los proveedores como primera vía para aclarar obligaciones y mejorar prácticas, pero desde agosto dispone ya de las estructuras necesarias para utilizar instrumentos de enforcement cuando ese diálogo no resulte suficiente. Para los grandes proveedores de modelos, esto transforma completamente la relación con el regulador: ya no basta con explicar cómo debería funcionar un modelo; puede ser necesario proporcionar información y evidencias que permitan comprobar cómo funciona realmente y cómo se gestionan sus riesgos.
La mayoría de las empresas no serán supervisadas directamente por Bruselas
Esto también requiere una precisión importante. Que exista una AI Office europea no significa que todas las empresas que utilizan inteligencia artificial vayan a recibir una inspección directamente desde Bruselas. La arquitectura del AI Act distribuye las responsabilidades. La AI Office concentra especialmente sus competencias sobre modelos GPAI y determinados sistemas construidos sobre ellos cuando concurren las circunstancias previstas en el Reglamento. Para la mayoría de los sistemas de IA utilizados por empresas serán las autoridades nacionales de vigilancia del mercado las encargadas de supervisar y exigir cumplimiento. Esto significa que una empresa española que utiliza inteligencia artificial para selección de personal, atención al cliente, análisis, marketing, scoring, biometría o cualquier otro proceso afectado puede encontrarse principalmente ante la autoridad nacional competente y no necesariamente ante la Comisión Europea. La regulación es europea, pero una parte muy importante de su enforcement será descentralizada.
Una inspección de IA puede empezar con una pregunta aparentemente sencilla
Para un directivo resulta útil imaginar cómo puede materializarse esta nueva etapa. Una autoridad no necesita comenzar necesariamente examinando el código fuente de un sistema. Puede empezar preguntando algo mucho más sencillo: ¿qué sistemas de inteligencia artificial utiliza su organización? A partir de ahí aparecen otras preguntas inevitables. ¿Quién es el proveedor? ¿Para qué se utiliza? ¿Qué personas se ven afectadas? ¿Qué datos procesa? ¿Qué papel desempeña la empresa bajo el AI Act? ¿Existen sistemas sujetos a obligaciones específicas? ¿Quién supervisa su utilización? ¿Qué documentación proporciona el proveedor? ¿Qué controles internos existen? ¿Cómo se registran incidentes? ¿Qué medidas de transparencia se han implantado? Una organización que no tenga un inventario actualizado de IA puede tener dificultades para responder incluso al comienzo de una revisión. Y ese es uno de los grandes cambios que introduce el enforcement: el cumplimiento deberá ser demostrable.
El inventario de IA se convierte en un documento fundamental
Durante los últimos años muchas empresas han permitido que diferentes departamentos adopten herramientas generativas de manera relativamente independiente. Marketing utiliza varias plataformas, Tecnología integra APIs, Recursos Humanos prueba soluciones de selección, Comercial incorpora asistentes, Finanzas automatiza documentos y empleados individuales utilizan herramientas que quizá ni siquiera han sido contratadas centralmente. Esta dispersión crea un problema regulatorio evidente: es imposible gobernar aquello cuya existencia desconocemos. El inventario corporativo de IA debería identificar como mínimo qué sistema se utiliza, quién lo proporciona, qué departamento es responsable, cuál es su finalidad, qué datos procesa, qué personas pueden verse afectadas, cuándo comenzó a utilizarse y qué clasificación regulatoria puede corresponderle. No todas estas variables tendrán idéntica relevancia jurídica en todos los casos, pero disponer de esa fotografía permite iniciar cualquier análisis posterior. El inventario dejará progresivamente de ser una buena práctica para convertirse en una pieza central de AI Governance.
El artículo 50 ya puede generar actuaciones de enforcement
Uno de los ámbitos más inmediatos es la transparencia. Desde el 2 de agosto de 2026 se aplican las obligaciones correspondientes del artículo 50 para determinados sistemas. Cuando una persona interactúa directamente con determinados sistemas de inteligencia artificial debe ser informada de que está tratando con una IA cuando no resulte evidente por las circunstancias. Existen también obligaciones relacionadas con reconocimiento de emociones y categorización biométrica, deepfakes, determinados textos destinados a informar al público sobre asuntos de interés público y contenido sintético generado mediante IA. Los proveedores de determinados sistemas generativos tienen que conseguir además que sus outputs puedan identificarse en un formato legible por máquina y sean detectables como generados o manipulados artificialmente. Esta última obligación técnica dispone de una excepción transitoria concreta: los sistemas generativos introducidos en el mercado antes del 2 de agosto de 2026 tienen hasta el 2 de diciembre de 2026 para adaptarse específicamente al marcado y detección contemplados en el artículo 50.2. No se trata de una prórroga general del artículo 50.
Una empresa no puede defenderse simplemente diciendo que utiliza un modelo de terceros
Esta cuestión será especialmente importante con la expansión de ChatGPT, Claude, Gemini, Copilot y cientos de plataformas construidas sobre grandes modelos. Utilizar tecnología de un tercero no elimina automáticamente las responsabilidades de la organización que la despliega. El AI Act diferencia entre proveedores, deployers, importadores, distribuidores y otros operadores, y las obligaciones dependen del papel desempeñado y del caso de uso. Una empresa puede no ser responsable de entrenar el modelo que utiliza, pero sí puede tener obligaciones relacionadas con cómo lo despliega, qué información proporciona a las personas, cómo utiliza determinados outputs o qué controles aplica. Por eso la gestión de proveedores de IA se convertirá en una parte fundamental del cumplimiento. Compras, Tecnología y Legal tendrán que saber qué documentación exigir, qué garantías contractuales solicitar y qué ocurre cuando un proveedor modifica el modelo que está detrás de una aplicación empresarial.
El enforcement también afecta a los modelos de propósito general
La situación es especialmente avanzada para los proveedores de modelos GPAI. Las correspondientes obligaciones comenzaron a aplicarse el 2 de agosto de 2025 para los nuevos modelos afectados y desde el 2 de agosto de 2026 la Comisión puede exigir plenamente el cumplimiento mediante sus poderes de enforcement. Entre las obligaciones aparecen cuestiones relacionadas con documentación técnica, información destinada a proveedores que integran el modelo en sistemas posteriores, políticas sobre copyright y, en determinados modelos con riesgo sistémico, evaluaciones y mitigaciones adicionales. Los modelos que ya estaban en el mercado antes del 2 de agosto de 2025 disponen de su propio periodo transitorio hasta el 2 de agosto de 2027. Esto vuelve a demostrar por qué hablar simplemente de “la fecha del AI Act” induce a error: cada obligación tiene su propio calendario.
La Comisión no necesita empezar directamente imponiendo una multa
El concepto de enforcement tampoco significa que cada incumplimiento vaya a producir automáticamente una sanción multimillonaria. El sistema contempla supervisión, solicitudes de información, diálogo con los operadores y medidas correctoras. Una autoridad puede requerir que una compañía adapte determinadas prácticas, proporcione documentación o corrija una situación. En el ámbito de los GPAI, la propia AI Office explica que los diálogos técnicos de cumplimiento constituyen una herramienta importante para evaluar prácticas y resolver cuestiones antes de recurrir a medidas más intensas. Pero que exista esta posibilidad de cooperación no debería interpretarse como tolerancia indefinida. Si el operador no corrige el problema o el riesgo requiere una actuación más contundente, las autoridades disponen de herramientas mucho más fuertes. El enforcement europeo combina supervisión y corrección, pero detrás existe una capacidad sancionadora real.
Las multas pueden alcanzar porcentajes de la facturación mundial
El régimen sancionador explica por qué el AI Act debe llegar al consejo de administración. Las infracciones relacionadas con determinadas prácticas prohibidas pueden alcanzar 35 millones de euros o el 7 % del volumen de negocio mundial anual total del ejercicio anterior, conforme a las reglas previstas por el Reglamento. Otros incumplimientos de obligaciones pueden alcanzar 15 millones de euros o el 3 % de la facturación mundial, mientras proporcionar información incorrecta, incompleta o engañosa a determinadas autoridades puede alcanzar 7,5 millones de euros o el 1 %. Existen reglas específicas para determinar qué importe se aplica y criterios de proporcionalidad para empresas de menor tamaño. Para las obligaciones de transparencia del artículo 50, la Comisión señala igualmente sanciones que pueden alcanzar 15 millones de euros o el 3 % de la facturación mundial anual de una empresa. El riesgo regulatorio de IA puede, por tanto, llegar a una escala comparable a otras grandes áreas de compliance corporativo.
Incluso un sistema que formalmente cumple puede terminar obligado a cambiar
Existe además un elemento especialmente interesante para los directivos. El AI Act contempla situaciones en las que un sistema puede cumplir formalmente las reglas y, aun así, presentar un riesgo para la salud, la seguridad, los derechos fundamentales u otros intereses públicos protegidos. En esos casos, las autoridades de vigilancia pueden exigir al operador correspondiente que adopte medidas para eliminar o reducir ese riesgo. Esto demuestra que el cumplimiento no debería entenderse como una fotografía tomada el día de lanzamiento de un sistema. La IA necesita supervisión durante todo su ciclo de vida. Un modelo puede cambiar, los datos pueden evolucionar, el contexto de utilización puede modificarse y pueden aparecer riesgos que inicialmente no eran evidentes. El gobierno corporativo deberá incorporar monitorización continua y mecanismos para retirar, limitar o modificar sistemas cuando sea necesario.
El CEO debería poder preguntar quién responde ante una autoridad
La consecuencia organizativa es importante. Muchas compañías tienen responsables de protección de datos, ciberseguridad, compliance financiero o prevención de riesgos, pero todavía no han determinado quién tiene responsabilidad ejecutiva sobre la inteligencia artificial. Cuando llegue una solicitud de información, alguien tendrá que coordinar Tecnología, Legal, Compliance, Seguridad, Datos, Recursos Humanos y los departamentos que utilizan los sistemas. Esa persona necesitará saber dónde está la documentación y quién puede proporcionar las evidencias. No significa necesariamente que todas las compañías tengan que crear inmediatamente un nuevo departamento. Sí significa que la responsabilidad no puede estar dispersa hasta el punto de que nadie sea realmente responsable.
Los consejos de administración tendrán que empezar a pedir evidencias y no presentaciones
Hasta ahora muchos comités de dirección reciben presentaciones sobre proyectos de inteligencia artificial: número de pilotos, herramientas desplegadas, empleados formados o potenciales ahorros. El enforcement introduce otra categoría de preguntas. ¿Tenemos inventariados los sistemas? ¿Sabemos cuáles están afectados por el AI Act? ¿Tenemos identificados proveedor y deployer? ¿Disponemos de documentación? ¿Existen responsables? ¿Cómo registramos incidentes? ¿Qué controles tienen los agentes autónomos? ¿Cumplimos las obligaciones de transparencia? ¿Qué sistemas utilizan datos especialmente sensibles? ¿Qué ocurre si mañana un proveedor cambia el modelo? ¿Podemos demostrar las medidas de alfabetización en IA que nos correspondan? El consejo no necesita convertirse en experto jurídico, pero sí debería exigir evidencias de que existe un sistema de gobierno funcionando.
El verdadero cambio es pasar de “AI compliance” a “AI governance”
Cumplir el AI Act no debería convertirse en un proyecto documental aislado gestionado exclusivamente por abogados. La regulación afecta directamente a cómo se seleccionan proveedores, se diseñan productos, se conceden permisos a agentes, se utilizan datos, se forman empleados y se supervisan sistemas. Esto convierte el cumplimiento en una parte de la arquitectura empresarial de inteligencia artificial. Las compañías más avanzadas terminarán integrando regulación, seguridad, ética, datos y control de costes dentro de una misma estructura de AI Governance. Cada nuevo sistema tendrá un propietario, una finalidad, una clasificación, unos permisos, unos indicadores, una documentación y un procedimiento para retirarlo. El objetivo no será únicamente evitar una sanción. Será conseguir que la organización pueda escalar el uso de IA sin perder control a medida que pase de unas pocas herramientas a cientos de modelos y agentes.
El AI Act ha pasado definitivamente de la teoría a la supervisión
Este es el mensaje fundamental de la nueva información publicada por la Comisión. El AI Act ya no es solamente un Reglamento con fechas futuras. Desde el 2 de agosto de 2026, parte de sus disposiciones están en una fase efectiva de enforcement. La AI Office puede utilizar poderes concretos sobre los operadores que se encuentran bajo su supervisión; las autoridades nacionales tienen competencias sobre la mayoría de los sistemas empresariales; existen mecanismos de seguimiento y canales para comunicar posibles incumplimientos; y determinadas obligaciones ya pueden terminar en medidas correctoras o sanciones.
Para una empresa, esto cambia la pregunta. Ya no basta con preguntar “¿estamos preparándonos para el AI Act?”. La pregunta correcta empieza a ser: “si mañana una autoridad nos pide que expliquemos qué inteligencia artificial utilizamos, para qué la utilizamos, qué obligaciones tenemos y cómo demostramos que las cumplimos, ¿podemos responder?”. Si la respuesta requiere semanas para localizar herramientas, contratos, responsables y documentación, la organización todavía no tiene una gobernanza de IA suficientemente madura.
La buena noticia es que construir ese control no debería frenar la innovación. Puede ocurrir exactamente lo contrario. Una empresa que sabe qué sistemas utiliza, quién responde por ellos, qué datos pueden consultar y cuáles son sus límites puede desplegar inteligencia artificial con mucha mayor velocidad que una organización donde cada nuevo proyecto necesita empezar desde cero una discusión sobre seguridad, Legal y Compliance. El objetivo del gobierno de IA no debería ser utilizar menos inteligencia artificial, sino poder utilizar mucha más sin perder el control.
Para los directivos, esta nueva fase convierte el conocimiento del AI Act en una competencia de gestión. No necesitan memorizar el Reglamento, pero sí comprender cómo afecta a estrategia, tecnología, proveedores, procesos, personas y responsabilidad corporativa. El Curso Superior en Inteligencia Artificial para Directivos (CSIAD) de THE INTELLIGENCE Institute aborda precisamente esta dimensión para que la alta dirección pueda liderar la implantación avanzada de inteligencia artificial manteniendo simultáneamente innovación, control y cumplimiento.
Descubre más desde THE INTELLIGENCE
Suscríbete y recibe las últimas entradas en tu correo electrónico.
