AI Act en 2026: qué normas de inteligencia artificial ya están en vigor y cuáles llegan en 2027 o 2028
El Reglamento europeo de IA ya se aplica de forma general, pero las obligaciones no entran todas a la vez: algunas rigen desde 2025 y otras se retrasan hasta 2027 y 2028.
.jpeg) |
| El AI Act ya se aplica de forma general en la UE, aunque determinadas obligaciones de alto riesgo llegan en 2027 y 2028. |
Desde el 2 de agosto de 2026, el Reglamento Europeo de Inteligencia Artificial, conocido como AI Act, es aplicable con carácter general en la Unión Europea.
Eso no significa, sin embargo, que todas sus obligaciones hayan comenzado el mismo día.
El AI Act fue diseñado con un calendario progresivo. Algunas reglas llevan vigentes desde febrero o agosto de 2025, otras comenzaron en 2026 y determinadas obligaciones especialmente complejas para sistemas considerados de alto riesgo se han desplazado hasta 2027 y 2028.
Para usuarios y empresas en España, entender estas fechas es importante porque evita dos errores frecuentes:
pensar que todo el AI Act empezó en agosto de 2026 o, en el extremo contrario, creer que la mayor parte de la ley todavía no se aplica.
¿Desde cuándo está en vigor el AI Act?
El Reglamento (UE) 2024/1689 entró jurídicamente en vigor en agosto de 2024.
Pero su aplicación se programó por etapas.
La fecha general de aplicación es:
2 de agosto de 2026.
Desde ese día se aplica la mayor parte del Reglamento salvo las disposiciones que cuentan con un calendario específico.
¿Qué normas ya estaban aplicándose antes de agosto de 2026?
Las primeras obligaciones importantes comenzaron el:
2 de febrero de 2025.
Desde entonces son aplicables los capítulos I y II del Reglamento, que incluyen aspectos fundamentales como:
- ámbito de aplicación;
- definiciones;
- alfabetización en inteligencia artificial;
- diversas prácticas de IA prohibidas.
Esto significa que determinadas prohibiciones del AI Act no son nuevas de 2026.
Ya estaban vigentes desde 2025.
¿Qué prácticas de IA están prohibidas?
El AI Act prohíbe determinados usos considerados incompatibles con los derechos fundamentales o con los principios establecidos por la UE.
Entre las categorías reguladas por el artículo 5 aparecen determinados supuestos relacionados con:
- manipulación de personas;
- explotación de vulnerabilidades;
- determinadas formas de puntuación social;
- ciertos usos de identificación biométrica;
- determinadas prácticas de categorización biométrica;
- algunos sistemas que infieren características especialmente sensibles.
No todas las técnicas biométricas están automáticamente prohibidas: el resultado depende del uso concreto, finalidad y excepciones recogidas por la norma.
Además, una modificación introducida en 2026 establece que algunas disposiciones concretas añadidas al artículo 5 empiezan a aplicarse el 2 de diciembre de 2026.
¿Qué empezó a aplicarse en agosto de 2025?
Otra gran fase comenzó el:
2 de agosto de 2025.
Desde entonces se aplican, entre otras materias:
- reglas sobre modelos de IA de propósito general;
- gobernanza del AI Act;
- disposiciones relacionadas con autoridades y supervisión;
- determinadas reglas de confidencialidad;
- una parte del régimen sancionador.
Esta fecha es especialmente importante para empresas que desarrollan grandes modelos generativos.
¿Qué son los modelos de propósito general?
El Reglamento utiliza la categoría GPAI, por las siglas inglesas de general-purpose AI.
Son modelos capaces de realizar una amplia variedad de tareas y que pueden integrarse posteriormente en muchos servicios diferentes.
Grandes modelos utilizados para:
- generar texto;
- escribir código;
- analizar documentos;
- producir imágenes;
- alimentar asistentes;
pueden entrar dentro de este marco dependiendo de sus características.
Los proveedores de estos modelos tienen obligaciones relacionadas con documentación técnica, información para quienes los integran, derechos de autor y transparencia sobre determinados aspectos del entrenamiento.
¿Qué pasa con los modelos que ya existían antes de agosto de 2025?
El Reglamento concede un periodo adicional a los proveedores de modelos de IA de propósito general comercializados antes del 2 de agosto de 2025.
Estos proveedores deben adaptar esos modelos a las obligaciones correspondientes antes del:
2 de agosto de 2027.
Por tanto, encontrar hoy un modelo antiguo que todavía se encuentre en periodo de adaptación no significa automáticamente que el proveedor esté incumpliendo la ley.
¿Qué cambió el 2 de agosto de 2026?
Esta es la fecha que marca la aplicación general del AI Act.
A partir del 2 de agosto de 2026, una gran parte de las disposiciones restantes del Reglamento entra plenamente en funcionamiento.
Entre las áreas especialmente relevantes para usuarios y empresas están las reglas de transparencia del artículo 50.
¿Un chatbot debe decirte que estás hablando con una IA?
En determinados casos, sí.
El artículo 50 establece obligaciones para sistemas diseñados para interactuar directamente con personas.
La idea es que el usuario pueda saber que está interactuando con una inteligencia artificial cuando esa circunstancia no resulte evidente por el contexto.
Estas obligaciones de transparencia forman parte de las reglas aplicables desde agosto de 2026.
¿Hay que identificar los contenidos generados por IA?
El AI Act introduce también obligaciones para determinados sistemas que generan:
- texto;
- imágenes;
- audio;
- vídeo.
Los proveedores de sistemas generativos deben facilitar que determinados contenidos sintéticos puedan ser identificados como generados o manipulados por IA.
La Comisión Europea ha publicado directrices específicas sobre estas obligaciones de transparencia.
¿Qué ocurre con los sistemas generativos antiguos?
Aquí existe otra fecha relevante.
Los sistemas que generan contenido sintético y que fueron comercializados antes del 2 de agosto de 2026 tienen hasta el:
2 de diciembre de 2026
para adaptarse a determinadas obligaciones técnicas del artículo 50.2.
Esto crea un periodo de transición de cuatro meses para determinados sistemas que ya estaban en el mercado.
¿Los deepfakes deben llevar una advertencia?
El AI Act establece obligaciones de transparencia para determinados contenidos considerados deepfakes.
Quien utilice un sistema para crear o manipular imágenes, audio o vídeo que puedan parecer auténticos debe, en determinados supuestos, revelar que ese contenido ha sido generado o alterado artificialmente.
Hay excepciones y reglas específicas, por ejemplo, cuando el contenido forma parte de una obra artística, creativa, satírica o similar.
Por eso no puede resumirse simplemente como:
“todo contenido generado con IA debe llevar una etiqueta”.
La obligación depende del tipo de contenido y del uso que se haga de él.
¿Qué obligaciones se han retrasado hasta 2027?
Aquí se encuentra uno de los cambios más importantes del calendario.
Las principales obligaciones de las secciones 1, 2 y 3 del capítulo III para sistemas considerados de alto riesgo según el artículo 6.2 y el anexo III pasan a aplicarse desde:
2 de diciembre de 2027.
Entre los ámbitos que puede abarcar el anexo III están determinados sistemas utilizados en:
- biometría;
- infraestructuras críticas;
- educación;
- formación profesional;
- empleo;
- gestión de trabajadores;
- acceso a servicios esenciales;
- migración;
- asilo;
- control fronterizo;
- administración de justicia.
No significa que cualquier IA utilizada en estos sectores sea automáticamente de alto riesgo.
Hay que analizar si el sistema encaja realmente en las categorías definidas por el Reglamento.
¿Por qué se retrasaron estas obligaciones?
Según las instituciones europeas, la aplicación práctica dependía de elementos que todavía necesitaban más desarrollo, como:
- estándares armonizados;
- especificaciones comunes;
- guías técnicas;
- estructuras nacionales de supervisión.
La UE decidió ampliar el plazo para reducir incertidumbre jurídica y dar más tiempo a empresas y administraciones para cumplir los requisitos.
¿Qué sistemas tendrán hasta agosto de 2028?
Existe un segundo grupo de sistemas de alto riesgo.
Son los clasificados mediante el artículo 6.1 y el anexo I.
Se trata, de forma general, de sistemas de IA utilizados como componentes de seguridad de productos o integrados en productos sujetos a normativa europea específica.
Las obligaciones correspondientes comenzarán a aplicarse el:
2 de agosto de 2028.
La Comisión menciona como ejemplos determinados sistemas integrados en ámbitos como:
- maquinaria;
- robótica;
- productos regulados;
- determinados equipos sujetos a legislación europea de seguridad.
Calendario resumido del AI Act
.jpeg) |
| El calendario del AI Act distribuye sus obligaciones entre 2025, 2026, 2027 y 2028. |
| Fecha | Qué cambia |
|---|---|
| 2 febrero 2025 | Primeras normas, alfabetización en IA y buena parte de las prácticas prohibidas |
| 2 agosto 2025 | Modelos GPAI, gobernanza y otras obligaciones |
| 27 julio 2026 | Aplicación de los artículos 102 a 110 tras las modificaciones de 2026 |
| 2 agosto 2026 | Aplicación general del AI Act y principales reglas de transparencia |
| 2 diciembre 2026 | Determinadas nuevas prohibiciones y transición técnica para algunos sistemas generativos antiguos |
| 2 agosto 2027 | Fin del periodo transitorio para GPAI comercializados antes de agosto de 2025 |
| 2 diciembre 2027 | Requisitos principales para sistemas de alto riesgo del anexo III |
| 2 agosto 2028 | Requisitos principales para sistemas de alto riesgo del anexo I |
El calendario actualizado deriva de la versión consolidada actualmente vigente del Reglamento.
¿Qué significa esto para una empresa española que utiliza IA?
Depende mucho de cómo utilice la tecnología.
Una empresa que únicamente utiliza un asistente generativo para tareas internas sencillas no tiene necesariamente las mismas obligaciones que una compañía que:
- desarrolla modelos de IA;
- comercializa sistemas;
- utiliza IA para contratar trabajadores;
- toma decisiones de crédito;
- emplea biometría;
- desarrolla un sistema integrado en maquinaria;
- genera contenido sintético dirigido al público.
El AI Act distingue entre diferentes actores.
Entre ellos:
- proveedor;
- responsable del despliegue;
- importador;
- distribuidor;
- fabricante;
- usuario profesional en determinados contextos.
Las obligaciones cambian según la función de cada organización.
¿Una pyme también puede estar afectada?
Sí.
El Reglamento no se limita a grandes empresas tecnológicas.
Una pyme puede verse afectada si desarrolla, vende, integra o utiliza sistemas incluidos en alguna de las categorías reguladas.
Pero el nivel de obligación depende del riesgo y del papel concreto de la empresa.
No todas las empresas que usan ChatGPT, Gemini, Copilot o una herramienta similar pasan automáticamente a estar sometidas a las obligaciones previstas para proveedores de modelos.
¿Usar ChatGPT en una empresa convierte a la empresa en proveedor de IA?
Normalmente no por el simple hecho de utilizarlo.
Una empresa que utiliza una herramienta ofrecida por un tercero suele encontrarse en una posición diferente de quien desarrolla o comercializa el modelo.
Pero pueden aparecer obligaciones adicionales si la organización integra sistemas de IA en procesos regulados o utiliza IA para tomar determinadas decisiones que afectan a personas.
¿Qué pasa con recursos humanos?
El empleo es precisamente una de las áreas especialmente sensibles del AI Act.
Determinados sistemas utilizados para:
- seleccionar candidatos;
- filtrar currículos;
- evaluar trabajadores;
- decidir ascensos;
- controlar rendimiento;
pueden clasificarse como sistemas de alto riesgo.
Las principales obligaciones específicas de estos sistemas del anexo III se aplicarán desde el 2 de diciembre de 2027 tras el cambio del calendario.
Esto no significa que hasta esa fecha pueda hacerse cualquier cosa.
Siguen siendo aplicables otras normas europeas y españolas, como protección de datos, legislación laboral y prohibición de discriminación.
El RGPD sigue aplicándose
El AI Act no sustituye al Reglamento General de Protección de Datos.
Si un sistema de inteligencia artificial trata datos personales, puede estar sujeto simultáneamente a:
- AI Act;
- RGPD;
- normativa laboral;
- legislación de consumo;
- propiedad intelectual;
- otras reglas sectoriales.
Por eso cumplir una obligación del AI Act no implica automáticamente cumplir todas las demás normas.
¿Qué debe hacer ahora una empresa?
Un primer paso razonable es identificar:
- qué sistemas de IA utiliza;
- para qué los utiliza;
- quién proporciona cada sistema;
- si procesa datos personales;
- si afecta a trabajadores o clientes;
- si puede encajar en una categoría de alto riesgo;
- qué obligaciones ya están vigentes;
- cuáles tienen una fecha futura.
Para empresas con usos sensibles de IA, puede ser necesario realizar un análisis jurídico y técnico más detallado.
¿Qué debería saber un usuario particular?
Para una persona que utiliza herramientas de IA normalmente, los cambios más visibles de 2026 estarán relacionados con la transparencia.
Cada vez será más habitual encontrar:
- avisos de interacción con IA;
- información sobre contenido artificial;
- marcas técnicas en imágenes, audio o vídeo;
- advertencias sobre deepfakes.
El objetivo es que resulte más sencillo distinguir cuándo interviene un sistema automático y cuándo un contenido ha sido creado o manipulado artificialmente.
¿Todo contenido de IA debe etiquetarse públicamente?
No.
Es uno de los puntos que más fácilmente se simplifican de forma incorrecta.
El AI Act distingue entre obligaciones del proveedor del sistema y obligaciones de quien posteriormente utiliza determinados contenidos.
También existen diferencias según se trate de:
- contenido sintético genérico;
- deepfakes;
- textos sobre asuntos de interés público;
- contenido artístico;
- obra satírica;
- contenido creativo.
Por eso hay que analizar cada situación antes de afirmar que existe una obligación concreta de colocar una etiqueta visible.
¿Qué pasa con contenido generado antes de agosto de 2026?
La Comisión Europea ha aclarado que las obligaciones no implican automáticamente que todo el contenido generado antes de la entrada en aplicación del artículo 50 tenga que etiquetarse retroactivamente.
Las obligaciones se aplican conforme al calendario del Reglamento y a las situaciones contempladas en él.
Entonces, ¿el AI Act ya está plenamente en vigor?
La respuesta más precisa es:
sí, el Reglamento ya se aplica de forma general desde el 2 de agosto de 2026, pero algunas de sus obligaciones todavía tienen fechas futuras específicas.
Los grandes hitos pendientes son:
2 de diciembre de 2027: sistemas de alto riesgo del anexo III.
2 de agosto de 2028: sistemas de alto riesgo del anexo I.
El calendario escalonado seguirá siendo relevante durante al menos los próximos dos años.
FUENTES CONSULTADAS
EUR-Lex — Reglamento (UE) 2024/1689, versión consolidada de 27 de julio de 2026. Es la fuente jurídica principal para las fechas actualizadas de aplicación del AI Act, incluidas las modificaciones introducidas en 2026. EUR-Lex
Comisión Europea — Guidelines for providers and deployers of high-risk AI systems. Confirma el nuevo calendario para los sistemas de alto riesgo: diciembre de 2027 para las categorías del anexo III y agosto de 2028 para sistemas integrados en determinados productos regulados. Estratégia Digital Europeia
Consejo de la Unión Europea — modificación del calendario de aplicación de los sistemas de alto riesgo. Explica las razones del aplazamiento, entre ellas la disponibilidad de estándares, especificaciones comunes y orientaciones técnicas. EUR-Lex
EUR-Lex — Disposiciones transitorias. Confirma el plazo hasta agosto de 2027 para determinados modelos GPAI anteriores y hasta diciembre de 2026 para ciertos sistemas generativos comercializados antes de agosto de 2026. EUR-Lex
Aviso sobre regulación: Este contenido es informativo y general. La aplicación concreta del AI Act puede depender del tipo de sistema, el uso, el papel de la organización y otras normas aplicables.
Transparencia publicitaria: Este sitio puede mostrar anuncios proporcionados por Google AdSense, MGID u otras plataformas publicitarias. La publicidad contribuye a financiar el contenido gratuito y se mantiene separada de los criterios editoriales.
.png)
.png)
.png)
Comentarios
Publicar un comentario
Gracias por participar. Mantén un tono respetuoso y evita publicar datos personales, enlaces promocionales o mensajes ofensivos. Los comentarios pueden ser moderados antes de su publicación.