El AI Act es el Reglamento UE 2024/1689: clasifica los sistemas de IA en cuatro niveles de riesgo — prácticas prohibidas, alto riesgo, transparencia, riesgo mínimo — y asigna obligaciones proporcionadas. La gran mayoría de los sistemas usados hoy en la UE es de riesgo mínimo. Y el Ómnibus aprobado el 29 de junio de 2026 traslada el alto riesgo al 2 de diciembre de 2027. Hace falta un inventario, no pánico.
01¿Qué es el AI Act y por qué el pánico sobra?
El AI Act es el Reglamento (UE) 2024/1689, el primer marco normativo general del mundo sobre inteligencia artificial: publicado en el Diario Oficial el 12 de julio de 2024, en vigor desde el 1 de agosto de 2024, con aplicación escalonada hasta 2027-2028 (EUR-Lex, Reg. UE 2024/1689). Al ser un reglamento, y no una directiva, se aplica directamente en todos los Estados miembros, sin transposición nacional.
El punto que el ruido de fondo hace perder de vista: el AI Act no prohíbe la IA y no impone las mismas obligaciones a todos. Está construido sobre un enfoque basado en el riesgo: cuanto mayor el riesgo para la salud, la seguridad y los derechos fundamentales, más pesadas las obligaciones. Y según la propia Comisión Europea, la gran mayoría de los sistemas de IA usados hoy en la UE cae en la categoría de riesgo mínimo, la que no tiene obligaciones específicas (Comisión Europea, AI Act). Para una pyme la pregunta real no es "¿puedo seguir usando IA?", sino "¿en qué casilla caen los sistemas que uso?".
02¿Cómo funciona la pirámide del riesgo?
Todo el AI Act se apoya en cuatro niveles. No son etiquetas académicas: determinan qué debes hacer, y cuándo.
- Riesgo inaceptable — prohibido. Ocho prácticas prohibidas desde el 2 de febrero de 2025 (Art. 5): manipulación dañina, social scoring, reconocimiento de emociones en el lugar de trabajo, identificación biométrica en tiempo real en espacios públicos con fines policiales salvo excepciones, y otras (Comisión Europea, AI Act).
- Alto riesgo — obligaciones pesadas. Sistemas que son componentes de seguridad de productos regulados (Anexo I) o que operan en las áreas del Anexo III: biometría, infraestructuras críticas, educación, empleo, acceso a servicios esenciales, aplicación de la ley, migración, justicia. Exigen gestión del riesgo, calidad de los datos, logs, documentación, supervisión humana, evaluación de conformidad.
- Riesgo de transparencia — declarar. Art. 50: quien interactúa con un chatbot debe saberlo; los deepfakes y el contenido generado por IA deben etiquetarse.
- Riesgo mínimo — sin obligaciones específicas. Filtros antispam, IA en videojuegos, la mayor parte de las herramientas de oficina con IA dentro.
03¿Tu sistema es realmente de "alto riesgo"?
Aquí nace gran parte del pánico, y aquí conviene leer el texto. Estar en un área del Anexo III no basta para que un sistema sea de alto riesgo. El Artículo 6(3) excluye los sistemas que no plantean un riesgo significativo para la salud, la seguridad o los derechos fundamentales, cuando realizan una tarea procedimental acotada, mejoran el resultado de una actividad humana ya completada, detectan patrones de decisión sin sustituir la evaluación humana, o realizan una tarea preparatoria de una evaluación (EUR-Lex, Reg. UE 2024/1689, Art. 6). Una excepción tajante: la elaboración de perfiles de personas físicas siempre es de alto riesgo. Y la exclusión debe documentarse antes de la puesta en servicio, con registro del sistema (Art. 49).
También cuenta el rol. El AI Act distingue el proveedor (provider: quien desarrolla y comercializa) del deployer (quien usa el sistema bajo su propia autoridad). La mayoría de las pymes es deployer, con obligaciones mucho más ligeras: usar el sistema según las instrucciones, garantizar supervisión humana, datos de entrada pertinentes. Las obligaciones pesadas — evaluación de conformidad, documentación técnica, marcado CE — recaen en el proveedor.
04Las fechas y los números que cuentan
Tres datos citables, de fuentes oficiales, encuadran el perímetro sin ruido.
El calendario completo, tras el Ómnibus: prohibiciones y alfabetización en IA desde el 2 de febrero de 2025; reglas sobre modelos GPAI y gobernanza desde el 2 de agosto de 2025; aplicación general y obligaciones de transparencia desde el 2 de agosto de 2026, con el marcado técnico del contenido generado (watermarking) trasladado al 2 de diciembre de 2026; alto riesgo Anexo III desde el 2 de diciembre de 2027; IA integrada en productos regulados desde el 2 de agosto de 2028 (AI Act Service Desk, calendario oficial; Parlamento Europeo, 16 de junio de 2026).
Sobre las multas, el Artículo 99 fija tres franjas: hasta 35 millones de euros o el 7% de la facturación mundial anual por prácticas prohibidas; hasta 15 millones o el 3% por incumplir las demás obligaciones; hasta 7,5 millones o el 1% por información incorrecta a las autoridades. Para las grandes empresas se aplica el importe más alto de los dos; para pymes y start-ups, el más bajo (EUR-Lex, Reg. UE 2024/1689, Art. 99).
05¿Qué cambia con el Ómnibus de junio de 2026?
La implementación del AI Act llevaba un retraso estructural: normas armonizadas sin terminar, autoridades nacionales sin designar. La Comisión propuso en noviembre de 2025 el paquete Ómnibus digital; el acuerdo político llegó el 7 de mayo de 2026, el Parlamento Europeo lo aprobó el 16 de junio de 2026 con 423 votos a favor, y el Consejo dio el visto bueno definitivo el 29 de junio de 2026. El texto entra en vigor el tercer día tras su publicación en el Diario Oficial (Consejo de la UE, 29 de junio de 2026).
Qué cambia en concreto: las obligaciones de los sistemas de alto riesgo se aplazan (Anexo III al 2 de diciembre de 2027, productos del Anexo I al 2 de agosto de 2028); las exenciones pensadas para las pymes se extienden a las small mid-caps; se permite el tratamiento de datos personales para detectar y corregir sesgos, con salvaguardias; y llega una nueva prohibición — los sistemas que generan imágenes íntimas no consentidas ("nudify") o material de abuso de menores, fuera de la ley desde el 2 de diciembre de 2026 (Parlamento Europeo, 16 de junio de 2026).
Lo que el Ómnibus no hace: no toca las prohibiciones ya en vigor, no cancela la transparencia, no deroga el alto riesgo. Es un aplazamiento técnico, motivado por la falta de normas armonizadas, no un cambio de rumbo. Quien lea "aplazamiento" como "archivado" llegará a diciembre de 2027 en el mismo estado en que muchos llegaron al RGPD en mayo de 2018.
06Por dónde empezar, en concreto
Como con DORA y NIS2, se empieza por la fotografía, no por la política. Primero: el inventario de los sistemas de IA en uso — incluidos los escondidos dentro del SaaS que ya usas — con tres preguntas para cada uno: qué datos toca, quién es el proveedor, desde qué jurisdicción se presta. Segundo: la clasificación por nivel de riesgo, con la excepción del Art. 6(3) a mano. Tercero: el rol — ¿eres deployer o te estás convirtiendo en proveedor sin saberlo? Mientras tanto, la alfabetización en IA (Art. 4) ya es exigible: quien usa sistemas de IA en la empresa debe entender qué está usando.
Hay además una decisión de arquitectura que reduce la exposición antes incluso del cumplimiento: la IA soberana. Un modelo que corre sobre infraestructura controlada, on-premise o EU-hosted, hace demostrables la gobernanza de datos, los logs y la supervisión humana — y te quita la dependencia de una API extra-UE que puede cambiar condiciones, modelo o jurisdicción sin preguntarte. Es el mismo principio que defendemos sobre la soberanía digital europea y que aplicamos en nuestros productos de IA soberana: el control se mide por quién toca los datos, no por el folleto del proveedor. Si quieres partir de la fotografía — red, datos, sistemas de IA incluidos — el primer paso es una auditoría on-prem de siete días. Para hablar de tu caso, escríbenos.