Qué es el AI Act y cómo afecta a las empresas

Última actualización: julio de 2026

El AI Act es el reglamento de la Unión Europea que regula el desarrollo y el uso de la inteligencia artificial. Afecta tanto a las empresas que crean sistemas de IA como a las que los utilizan, incluidas las que trabajan con herramientas de terceros como Microsoft 365 Copilot, ChatGPT, Claude o agentes de IA.

Ahora bien, no todas las aplicaciones de IA tienen las mismas obligaciones. El Reglamento sigue un enfoque basado en el riesgo: lo que exige a tu empresa depende de para qué usas la IA, a quién afecta y qué papel juegas en cada caso. En este artículo te explicamos cómo funciona y qué conviene hacer ahora.

¿Qué es el AI Act?

El AI Act es el Reglamento (UE) 2024/1689, la primera norma integral del mundo que regula la inteligencia artificial. Establece normas armonizadas para toda la Unión Europea: las mismas reglas aplican en España que en cualquier otro Estado miembro, sin necesidad de leyes nacionales que lo traspongan.

Su objetivo, recogido en el artículo 1, es doble:

• Proteger la salud, la seguridad y los derechos fundamentales de las personas frente a los riesgos de la IA
• Favorecer una IA confiable y centrada en el ser humano, y con ella la innovación y la libre circulación de estos sistemas en el mercado europeo.

Conviene desmontar dos ideas erróneas frecuentes. El AI Act no es una prohibición general de la inteligencia artificial: la inmensa mayoría de usos empresariales están permitidos. Y no es una norma solo para empresas tecnológicas: cualquier organización que utilice IA en la UE puede tener responsabilidades.

La clave está aquí: el Reglamento Europeo de Inteligencia Artificial establece exigencias diferentes según el riesgo y el contexto de utilización. No regula la IA en abstracto; regula usos concretos.

¿A quién afecta el AI Act?

El AI Act afecta a toda la cadena de valor de la IA. El artículo 2 define su ámbito de aplicación en torno a cuatro roles, definidos en el artículo 3: Proveedor, Responsable del despliegue, Importador y distribuidor y Fabricante de producto.

Este segundo rol, Responsable del despliegue, es el que más interesa a la mayoría de las empresas.

Si tu organización utiliza Copilot, ChatGPT, agentes de Copilot Studio o cualquier solución de IA de terceros, puede ser responsable del despliegue de esos sistemas, aunque no haya desarrollado ni una línea de código.

Además, una misma organización puede asumir más de un rol a la vez: por ejemplo, desplegar Copilot internamente y, al mismo tiempo, ser proveedora de una solución de IA propia que vende a sus clientes.

El mensaje clave: utilizar una solución de terceros no elimina las responsabilidades de tu empresa sobre el uso que hace de ella.

Cómo clasifica el AI Act los sistemas y usos de IA

El AI Act clasifica los sistemas de IA en función del riesgo que suponen para las personas, en cuatro grandes niveles regulatorios:

Estas categorías no funcionan como cuatro cajas cerradas y excluyentes: un mismo sistema puede estar sujeto a obligaciones de transparencia y, según su finalidad, ser además de alto riesgo.

Por ejemplo: Usar Copilot para resumir una reunión interna es un uso de bajo riesgo regulatorio. Usar un sistema de IA para clasificar y filtrar candidatos en un proceso de selección puede ser un uso de alto riesgo. La misma tecnología de base, obligaciones muy distintas.

Esa es la idea que debes retener: no es la herramienta, es el uso.

Tres ejemplos por sector: el riesgo depende del uso

Dentro de una misma industria conviven usos de IA con niveles de riesgo muy diferentes. El sector no determina por sí solo la clasificación; importan la finalidad del sistema y sus consecuencias sobre las personas. Tres ejemplos:

RRHH y selección de personal

Utilizar IA para redactar una oferta de empleo o preparar la descripción de un puesto es, con carácter general, un uso de bajo riesgo regulatorio.

En cambio, utilizar IA para puntuar, filtrar o clasificar candidatos entra en otro terreno. El anexo III del Reglamento contempla como potencialmente de alto riesgo determinados usos en selección, promoción, evaluación del desempeño o gestión de trabajadores, porque condicionan el acceso al empleo y las condiciones laborales de personas concretas.

Sector farmacéutico

Usar IA para buscar, resumir o comparar literatura científica no convierte el sistema en alto riesgo: trabajar con información científica no es, por sí mismo, un uso regulado de forma especial.

La situación cambia cuando la IA se integra en un producto sanitario o tiene una finalidad diagnóstica o terapéutica. Ahí el sistema puede quedar sujeto a los requisitos de alto riesgo por su conexión con la legislación de productos regulados, según las directrices sobre sistemas de alto riesgo.

Automoción

Aplicar IA a la predicción de demanda, la logística o la gestión documental es un uso empresarial de bajo riesgo regulatorio, igual que en cualquier otro sector.

Integrar IA como componente de seguridad en un vehículo regulado es otra historia: ese tipo de integraciones se conecta con la normativa sectorial de homologación y puede activar requisitos de alto riesgo.

La conclusión es común a los tres casos: dos usos de IA en la misma empresa pueden tener obligaciones completamente distintas.

¿Cuándo se aplica el AI Act? Calendario de fechas clave

El AI Act entró en vigor el 1 de agosto de 2024, pero sus obligaciones se aplican de forma escalonada a lo largo de varios años, según el calendario del artículo 113, posteriormente ajustado por el paquete de simplificación conocido como Digital Omnibus, aprobado definitivamente por el Consejo de la UE el 29 de junio de 2026.

Un matiz importante:

• No es cierto que «todo entre en vigor en agosto de 2026»: algunas obligaciones aplican desde 2025 y otras llegarán en 2027 y 2028.

Qué obligaciones pueden afectar a tu empresa

No existe una checklist universal de obligaciones del AI Act: lo que debe hacer cada empresa depende de su rol y de sus casos de uso concretos.

Dicho esto, la mayoría de las organizaciones que utilizan IA deberían revisar estas áreas:

• Evitar prácticas prohibidas: ningún uso de la empresa puede caer en las categorías del artículo 5.
• Adoptar medidas de alfabetización en IA: el artículo 4 exige un nivel suficiente de conocimiento en las personas que operan y utilizan sistemas de IA.
• Informar cuando corresponda: las personas deben saber que interactúan con determinados sistemas de IA, como chatbots.
• Aplicar transparencia sobre ciertos contenidos sintéticos: especialmente deepfakes y determinados contenidos generados por IA.
• Establecer supervisión humana cuando el tipo de sistema y de uso lo requiera.
• Utilizar los sistemas conforme a las instrucciones del proveedor, una de las obligaciones de los responsables del despliegue del artículo 26.
• Monitorizar y documentar determinados usos, para poder demostrar cómo se utilizan los sistemas.
• Cumplir requisitos adicionales si se utilizan sistemas de alto riesgo, que concentran las exigencias más estrictas.

El Reglamento también prevé sanciones, reguladas en el artículo 99, graduadas según el tipo de infracción: las más elevadas se reservan para las prácticas prohibidas.

Porque esa es la realidad: no todas las empresas tienen las mismas obligaciones, pero prácticamente todas necesitan entender qué IA utilizan y para qué.

¿Hay que etiquetar todo el contenido creado con IA?

No. No existe una obligación general de etiquetar cualquier texto redactado con ayuda de Copilot o de otra herramienta de IA. Las obligaciones de transparencia del artículo 50 se aplican a supuestos concretos, y conviene distinguirlos:

• Chatbots: las personas deben saber que interactúan con una IA, salvo que resulte evidente por el contexto.
• Contenido sintético: los proveedores de sistemas que generan audio, imagen, vídeo o texto deben marcar esos contenidos con una señal técnica invisible (metadatos o marca de agua digital). Una señal oculta que el software puede detectar, pero las personas no ven.
• Deepfakes: quien los difunde debe hacer público que el contenido ha sido generado o manipulado artificialmente.
• Textos de interés público: los textos generados por IA que se publican para informar sobre asuntos de interés público deben identificarse como tales, con una excepción relevante: cuando existe revisión humana y una persona o entidad asume la responsabilidad editorial del contenido.

Para el día a día de una empresa, la recomendación práctica no es etiquetarlo todo, sino definir una política interna de transparencia: qué se comunica, cuándo y quién revisa.

¿Es obligatorio formar a los empleados en IA?

Formar sí; el mismo curso estándar para todo el mundo, no. El artículo 4 obliga a garantizar un nivel suficiente de alfabetización en IA, pero no fija un curso estándar, ni una duración mínima, ni un certificado oficial, como aclara la propia Comisión Europea en su FAQ sobre alfabetización.

Lo que exige es proporcionalidad: las medidas deben adaptarse al conocimiento previo de cada persona, a su función, al contexto de uso y al riesgo de los sistemas con los que trabaja.

Un desarrollador que construye agentes necesita una capacitación distinta a la de un equipo comercial que usa Copilot para redactar propuestas.

Por eso, enviar un manual por correo a toda la plantilla difícilmente será suficiente. Y aunque el Reglamento no impone un formato, sí es recomendable conservar evidencias de las medidas adoptadas: qué formación se dio, a quién y con qué criterio.

Qué debería hacer ahora una empresa

Más allá del texto legal, lo operativo es traducir el AI Act en un método de trabajo. En Aglaia utilizamos un marco práctico de cinco pasos, es nuestra forma de ordenar el trabajo, no cinco obligaciones literales recogidas juntas en el Reglamento:

1. Identificar: qué herramientas de IA se usan en la organización y en qué casos de uso, incluidos los que han surgido sin pasar por IT.
2. Clasificar: cada caso de uso según su finalidad, su impacto y las personas a las que afecta. Aquí es donde se detecta si algo roza el alto riesgo.
3. Capacitar: dar a cada perfil los conocimientos y criterios que necesita, en línea con la alfabetización del artículo 4.
4. Gobernar: definir reglas de uso, responsables y mecanismos de supervisión. Gobernar no es controlar cada prompt; es decidir qué se puede hacer, con qué herramientas y con qué límites.
5. Documentar: registrar decisiones, medidas y revisiones. Documentar no es acumular archivos; es poder explicar por qué se decidió lo que se decidió.

El punto de partida no es el mismo para todas las organizaciones:

Si tu empresa está empezando con la IA, el foco está en lo básico: definir qué herramientas están permitidas, identificar los primeros casos de uso, establecer unas reglas mínimas y formar a los usuarios antes de escalar.

Si tu empresa ya tiene Copilot, agentes o soluciones propias, el reto es otro: consolidar el inventario de sistemas y agentes, clasificar los usos que han crecido de forma descentralizada, gobernar el ciclo de vida completo, de la creación a la retirada, y monitorizar y revisar de forma periódica.

Visto así, el AI Act deja de ser un freno y se convierte en infraestructura: las mismas prácticas que pide la regulación son las que permiten adoptar y escalar la IA con criterio. Gobernar la IA no es frenarla; es crear las condiciones para utilizarla más y mejor.

Cómo puede ayudarte Aglaia

En Aglaia ayudamos a las organizaciones a convertir la regulación y los riesgos asociados a la IA en criterios, capacidades y formas de trabajo aplicables.

A través de nuestro Center of Excellence de Inteligencia Artificial y la Adopción de Microsoft 365 Copilot o la Adopción de la AI Workforce, conectamos adopción, capacitación y gobernanza: identificamos y clasificamos tus casos de uso, capacitamos a cada perfil y establecemos el modelo de gobierno que te permite escalar la IA con control.

Este contenido tiene carácter informativo y no sustituye el asesoramiento jurídico profesional.

Preguntas frecuentes sobre AI Act(FAQs)