El AI Act ya está en marcha: qué cambia desde el 2 de agosto de 2026 y por qué todas las empresas europeas deben actuar

Durante los últimos años, muchas empresas han considerado el AI Act como una normativa lejana, cuyo cumplimiento podía aplazarse mientras se experimentaba con herramientas de inteligencia artificial. Esa etapa ha terminado. Desde el 2 de agosto de 2026 han comenzado a aplicarse nuevas obligaciones del Reglamento Europeo de Inteligencia Artificial, especialmente las relacionadas con la transparencia, la identificación de contenidos generados mediante IA y la información que debe recibir una persona cuando interactúa con un sistema automatizado.

El cambio afecta directamente a miles de organizaciones que utilizan chatbots, asistentes virtuales, generadores de imágenes, herramientas de creación de vídeo, sistemas de clonación de voz, agentes comerciales, soluciones de atención al cliente o aplicaciones capaces de redactar y publicar contenidos. La inteligencia artificial deja de ser únicamente una cuestión tecnológica para convertirse también en una responsabilidad jurídica, reputacional y de gobierno corporativo.

Europa establece un nuevo estándar mundial para la inteligencia artificial

La Unión Europea vuelve a situarse a la cabeza de la regulación tecnológica internacional. De la misma manera que el Reglamento General de Protección de Datos transformó la gestión de la información personal, el AI Act pretende establecer un modelo global para el desarrollo y la utilización responsable de la inteligencia artificial.

El principio central de esta regulación es que las personas deben saber cuándo están interactuando con una máquina y cuándo un contenido que parece auténtico ha sido creado o alterado artificialmente. Europa no prohíbe la utilización generalizada de la IA, pero exige que se utilice de forma transparente, trazable, supervisada y proporcional a los riesgos que puede generar.

Esto supone un cambio profundo para las empresas. Hasta ahora, muchas organizaciones incorporaban herramientas de IA sin informar expresamente a clientes, empleados o proveedores. Un chatbot podía responder como si fuese una persona, un anuncio podía contener una imagen artificial sin identificarla y un vídeo corporativo podía utilizar una voz sintética sin ninguna advertencia. A partir de ahora, estas prácticas deberán revisarse para comprobar si cumplen las exigencias europeas.

Los usuarios deben saber cuándo están interactuando con una IA

Una de las obligaciones más visibles afecta a los sistemas diseñados para relacionarse directamente con personas. Cuando una empresa utiliza un chatbot, un agente conversacional, un asistente comercial o un sistema automatizado de atención al cliente, deberá informar de forma clara de que el usuario está interactuando con una inteligencia artificial, salvo que esta circunstancia resulte evidente por el contexto.

La obligación puede afectar a chatbots incorporados en páginas web, asistentes de comercio electrónico, agentes de reservas, sistemas de soporte técnico, herramientas de captación de clientes, asistentes telefónicos con voz artificial y aplicaciones internas utilizadas por empleados. No bastará con incluir una referencia escondida en las condiciones legales. La información deberá facilitarse de forma comprensible y en el momento adecuado.

En la práctica, muchas empresas tendrán que incorporar mensajes como “Estás interactuando con un asistente basado en inteligencia artificial” o “Esta conversación puede ser atendida inicialmente por un sistema automatizado”. La redacción concreta dependerá del servicio, pero el usuario no deberá ser inducido a pensar que está hablando con una persona cuando en realidad se encuentra ante una máquina.

Este requisito obligará a revisar numerosos procesos comerciales y de atención al cliente. Muchas organizaciones han diseñado sus asistentes para parecer completamente humanos, ocultando deliberadamente su naturaleza tecnológica con el objetivo de aumentar la confianza o la conversión. Con el nuevo marco europeo, la transparencia deberá prevalecer sobre esa estrategia.

Los contenidos generados mediante IA deberán poder identificarse

Otro de los grandes cambios afecta a la creación de contenidos sintéticos. Los proveedores de determinados sistemas generativos deberán incorporar mecanismos técnicos que permitan detectar que un contenido ha sido creado o manipulado mediante inteligencia artificial. Estos mecanismos pueden incluir metadatos, marcas digitales, sistemas de procedencia o identificadores legibles por máquinas.

La medida afecta especialmente a imágenes hiperrealistas, vídeos sintéticos, audios creados artificialmente, voces clonadas y textos generados automáticamente. El objetivo es facilitar que plataformas, autoridades, medios de comunicación, empresas y usuarios puedan determinar el origen de un contenido y diferenciarlo de una creación humana o de una grabación auténtica.

Esto no significa necesariamente que todos los textos redactados con ayuda de una IA deban incorporar una etiqueta visible. Las obligaciones dependen del tipo de contenido, del sistema utilizado, de quién lo distribuye y del contexto en el que se publica. Sin embargo, las empresas deberán abandonar la idea de que cualquier contenido generado por IA puede utilizarse sin evaluar sus implicaciones legales.

Los departamentos de marketing y comunicación serán algunos de los más afectados. Una campaña publicitaria puede incluir imágenes creadas mediante IA, un vídeo con presentadores virtuales, testimonios artificiales o voces sintéticas. Cada uno de estos elementos deberá analizarse para comprobar si necesita una identificación técnica, una advertencia visible o ambas medidas.

Las agencias, productoras y proveedores externos también deberán ofrecer información suficiente sobre las herramientas utilizadas. Una empresa no podrá justificar un incumplimiento alegando que el contenido fue creado por una agencia si no estableció previamente controles, instrucciones y requisitos contractuales.

Los deepfakes deberán etiquetarse claramente

El AI Act presta una atención especial a los deepfakes, es decir, contenidos de imagen, audio o vídeo generados o manipulados mediante IA que pueden hacer creer que una persona dijo o hizo algo que nunca ocurrió. La capacidad de crear este tipo de materiales ha mejorado de forma extraordinaria, hasta el punto de que en muchos casos resulta difícil distinguirlos de una grabación real.

Estos contenidos deberán identificarse de forma clara cuando puedan ser percibidos como auténticos. La obligación pretende reducir los riesgos de desinformación, fraude, suplantación de identidad, manipulación política, extorsión, daño reputacional y engaño comercial.

Para las empresas, el problema no se limita a la creación deliberada de deepfakes. También deberán vigilar los contenidos producidos por proveedores, empleados, colaboradores, influencers o agencias contratadas. Un vídeo promocional que utilice la imagen artificial de una persona conocida, un avatar que imite a un directivo o una voz clonada que reproduzca declaraciones inexistentes puede generar responsabilidades importantes.

Existen excepciones y tratamientos específicos para contenidos artísticos, creativos, satíricos o de ficción, pero incluso en esos casos puede ser necesario informar de que el material ha sido generado o manipulado artificialmente. La regulación intenta equilibrar la libertad creativa con el derecho de los ciudadanos a no ser engañados.

Proveedores y empresas usuarias tendrán responsabilidades diferentes

El AI Act distingue entre diferentes participantes de la cadena de valor. El proveedor es quien desarrolla un sistema de IA o lo comercializa bajo su nombre o marca. El desplegador es la empresa, administración u organización que utiliza ese sistema dentro de su actividad profesional.

Esta diferencia es fundamental porque una empresa puede pensar que, al utilizar una herramienta desarrollada por un tercero, toda la responsabilidad corresponde al fabricante. No es así. El proveedor deberá cumplir determinadas obligaciones técnicas y documentales, pero la organización que utiliza la herramienta también tendrá que asegurarse de que su aplicación concreta es adecuada, transparente y conforme a la normativa.

Una compañía que utiliza una plataforma de inteligencia artificial para responder a clientes, seleccionar candidatos, analizar trabajadores, aprobar operaciones financieras o generar comunicaciones comerciales no queda liberada de responsabilidad por haber contratado una solución externa. Deberá conocer el uso que realiza, evaluar sus riesgos, proporcionar información a las personas afectadas y establecer supervisión humana cuando proceda.

Además, algunas empresas pueden convertirse en proveedoras sin ser plenamente conscientes de ello. Esto puede ocurrir cuando modifican de forma sustancial un sistema, lo comercializan con su propia marca, desarrollan una aplicación sobre un modelo existente o integran varias tecnologías para ofrecer una nueva solución al mercado. Por tanto, la clasificación jurídica deberá realizarse caso por caso.

El AI Act no afecta únicamente a las grandes tecnológicas

Uno de los errores más frecuentes es pensar que esta regulación solo afecta a empresas como OpenAI, Google, Microsoft, Meta o Anthropic. En realidad, sus obligaciones alcanzan a organizaciones de todos los tamaños que desarrollen, comercialicen o utilicen sistemas de inteligencia artificial dentro de la Unión Europea.

Un despacho profesional que emplea IA para redactar contratos, una clínica que utiliza un sistema para apoyar diagnósticos, una universidad que supervisa exámenes mediante algoritmos, una empresa de selección que filtra currículums automáticamente o un comercio electrónico que utiliza un chatbot pueden quedar dentro del ámbito del Reglamento.

También afecta a bancos, aseguradoras, hospitales, agencias de marketing, departamentos de recursos humanos, consultoras, centros educativos, administraciones públicas, compañías industriales, medios de comunicación y plataformas digitales. El tamaño de la organización puede influir en determinadas obligaciones o en el cálculo de las sanciones, pero no elimina la necesidad de cumplimiento.

Muchas pequeñas y medianas empresas utilizan inteligencia artificial sin tener un inventario de herramientas. Los empleados acceden por su cuenta a aplicaciones gratuitas, introducen datos corporativos, generan documentos, analizan contratos o preparan comunicaciones sin que exista una política interna. Este uso descentralizado representa uno de los principales desafíos de cumplimiento.

Las sanciones pueden alcanzar varios millones de euros

El AI Act contempla sanciones económicas muy elevadas. Dependiendo de la infracción, las multas pueden calcularse mediante cantidades fijas o mediante porcentajes de la facturación mundial anual de la empresa. Determinados incumplimientos relacionados con obligaciones del Reglamento pueden alcanzar hasta 15 millones de euros o el 3 % del volumen de negocio mundial anual, mientras que otras infracciones más graves pueden generar sanciones superiores.

No obstante, el riesgo no es únicamente económico. Una investigación regulatoria puede provocar daños reputacionales, pérdida de clientes, conflictos con empleados, reclamaciones, paralización de sistemas y revisión de contratos. Para una empresa que ofrece servicios basados en confianza, ser acusada de utilizar IA de manera opaca puede tener consecuencias comerciales incluso mayores que la propia multa.

Además, las organizaciones deberán estar preparadas para demostrar su cumplimiento. No será suficiente afirmar que utilizan la inteligencia artificial de forma responsable. Tendrán que disponer de evidencias: inventarios, evaluaciones, registros, políticas, contratos, procedimientos de supervisión, documentación técnica y programas de formación.

El cumplimiento comienza por conocer dónde se utiliza la IA

El primer problema que encontrarán muchas empresas es que no saben cuántos sistemas de inteligencia artificial utilizan. La adopción se ha producido de forma rápida y fragmentada. Marketing usa generadores de imágenes, ventas prepara propuestas con asistentes generativos, recursos humanos redacta ofertas de empleo, finanzas resume documentos, atención al cliente automatiza respuestas y dirección analiza información con plataformas externas.

Todo ello deberá identificarse, clasificarse y documentarse. El inventario corporativo de IA se convertirá en una herramienta básica de gobierno. Deberá indicar qué sistema se utiliza, quién es su proveedor, qué finalidad tiene, qué datos procesa, qué decisiones apoya, qué personas pueden verse afectadas y qué nivel de riesgo presenta.

Después será necesario determinar si cada uso está permitido, si requiere una advertencia, si necesita supervisión humana, si implica tratamiento de datos personales o si puede ser considerado de alto riesgo. También deberá revisarse si los contratos con proveedores garantizan acceso a la información necesaria para cumplir la normativa.

El proceso no puede quedar limitado al departamento jurídico. Tecnología deberá analizar las integraciones, seguridad evaluará los accesos y las vulnerabilidades, recursos humanos revisará la utilización laboral, marketing comprobará los contenidos generados y la dirección deberá aprobar el modelo general de gobernanza.

La formación en inteligencia artificial ya es una obligación empresarial

Una de las disposiciones más importantes del AI Act es la relacionada con la alfabetización en inteligencia artificial. Las organizaciones deberán adoptar medidas para garantizar que las personas encargadas de utilizar sistemas de IA dispongan de un nivel adecuado de conocimientos, teniendo en cuenta su experiencia, formación y el contexto concreto de utilización.

Esto implica que no basta con comprar una licencia y permitir que los empleados empiecen a usarla. Las empresas deberán formar a sus equipos para que comprendan las capacidades, limitaciones, riesgos y obligaciones asociadas a la inteligencia artificial.

Un empleado que utiliza IA para redactar un correo no necesita la misma formación que un profesional que la emplea para seleccionar candidatos, valorar operaciones financieras o tomar decisiones que afectan a clientes. La formación deberá adaptarse al puesto, al riesgo y al tipo de sistema utilizado.

Las organizaciones deberían conservar registros de las acciones formativas, los contenidos impartidos, las personas participantes y las competencias evaluadas. La formación deja de ser una actividad voluntaria de innovación y pasa a convertirse en una pieza fundamental del cumplimiento.

La inteligencia artificial entra en la agenda del Consejo de Administración

Hasta ahora, la IA se trataba principalmente como una oportunidad de eficiencia, automatización o crecimiento. Con el AI Act, pasa a formar parte de la gestión del riesgo corporativo. Los consejos de administración y comités de dirección deberán conocer dónde se utiliza, qué impacto puede tener y quién es responsable de supervisarla.

La dirección deberá poder responder a cuestiones básicas: qué sistemas de IA utiliza la empresa, qué decisiones apoyan, qué datos reciben, qué controles existen, cómo se informa a los usuarios, quién autoriza nuevos proyectos y cómo se gestionan los incidentes.

También será necesario definir responsabilidades internas. Algunas empresas crearán comités de inteligencia artificial, otras nombrarán responsables de gobernanza, cumplimiento o ética, y otras integrarán estas funciones en departamentos ya existentes. Lo importante será evitar que la responsabilidad quede dispersa y que nadie tenga una visión completa.

La inteligencia artificial ya no puede gestionarse únicamente mediante iniciativas aisladas. Requiere una estrategia corporativa, un modelo de gobierno, criterios de aprobación, controles de proveedores, procedimientos de escalado y mecanismos para detener un sistema cuando genere riesgos inaceptables.

La transparencia puede convertirse en una ventaja competitiva

Aunque el AI Act se percibe inicialmente como una carga regulatoria, también puede convertirse en una oportunidad. Las empresas que expliquen de manera clara cómo utilizan la inteligencia artificial podrán generar mayor confianza entre clientes, empleados, inversores y socios.

En los próximos años, muchas personas elegirán proveedores no solo por el precio o la calidad del servicio, sino también por la forma en que utilizan sus datos y aplican sistemas automatizados. Una organización capaz de demostrar que sus herramientas están supervisadas, documentadas y diseñadas para respetar los derechos de los usuarios tendrá una posición más sólida.

La transparencia puede mejorar además la calidad interna de los sistemas. Cuando una empresa inventaría sus herramientas, analiza sus riesgos y establece responsables, también reduce duplicidades, evita costes innecesarios, mejora la seguridad y detecta aplicaciones que no aportan valor.

Cumplir el AI Act no debería entenderse únicamente como una defensa frente a sanciones, sino como una oportunidad para profesionalizar la adopción de inteligencia artificial y construir una base más segura para su crecimiento.

Qué deberían hacer las empresas desde ahora

Las organizaciones deberían comenzar por crear un inventario completo de los sistemas de inteligencia artificial que utilizan. A continuación, deberán identificar su papel como proveedor o desplegador, clasificar los usos por nivel de riesgo, revisar los mensajes de transparencia y analizar los contenidos generados artificialmente.

También será necesario actualizar contratos con proveedores, aprobar una política corporativa de IA, establecer procedimientos para autorizar nuevas herramientas, formar a los empleados y conservar evidencias de todas las medidas adoptadas. Las empresas que utilicen chatbots deberán revisar cómo informan a los usuarios y las que publiquen contenidos sintéticos tendrán que comprobar si incorporan las marcas o advertencias exigidas.

El objetivo no debe ser bloquear la innovación, sino crear un marco que permita utilizar la IA con seguridad jurídica. La prohibición general suele provocar que los empleados recurran a herramientas no autorizadas. Un modelo de gobierno claro, con soluciones aprobadas y normas comprensibles, suele ser más eficaz que intentar impedir cualquier utilización.

Una nueva etapa para la inteligencia artificial empresarial

El 2 de agosto de 2026 marca una nueva fase en la regulación europea de la inteligencia artificial. La adopción ya no puede medirse únicamente por el número de herramientas implantadas o por el ahorro conseguido. Las empresas deberán demostrar que utilizan la IA de forma transparente, supervisada y compatible con los derechos de las personas.

El AI Act obliga a pasar de la experimentación desordenada a una gestión profesional de la inteligencia artificial. Las organizaciones que comiencen ahora a inventariar sus sistemas, formar a sus equipos y establecer controles estarán mejor preparadas para afrontar las siguientes fases de aplicación del Reglamento.

La pregunta ya no es si una empresa utiliza inteligencia artificial, sino si sabe exactamente dónde la utiliza, qué riesgos genera y cómo puede demostrar que cumple la normativa europea. En el nuevo entorno regulatorio, la confianza será uno de los activos más valiosos y las compañías capaces de combinar innovación, transparencia y control estarán mejor posicionadas para liderar la próxima etapa de la economía digital.

¿Está tu empresa preparada para cumplir el AI Act?

Identifica los riesgos, carencias y obligaciones que afectan al uso de la inteligencia artificial en tu organización. La Auditoría AI Act de THE INTELLIGENCE analiza tus sistemas, procesos, proveedores, políticas internas y nivel de cumplimiento para ayudarte a anticiparte a sanciones, reforzar la gobernanza y utilizar la IA con mayor seguridad jurídica.

Solicita tu Auditoría AI Act: https://theintelligence.es/auditoria/