Obligaciones del AI Act para empresas en España (2026): qué cambió con el Digital Omnibus

En una frase: el 27 de julio de 2026 entró en vigor el Reglamento (UE) 2026/1744 —el "Digital Omnibus on AI"— y movió las obligaciones de alto riesgo del AI Act del 2 de agosto de 2026 al 2 de diciembre de 2027 (Anexo III) y al 2 de agosto de 2028 (Anexo I), dejando en pie para agosto de 2026 la aplicación general, la transparencia del artículo 50 y el arranque de la vigilancia de mercado.

La consecuencia es incómoda: casi todo el contenido en español publicado antes del 24 de julio de 2026 —incluidas notas de despachos serios— sigue situando el alto riesgo en agosto de 2026. Esta pieza es la tabla de plazos correcta y el reparto de deberes entre proveedor y responsable del despliegue.

---

¿Qué cambió exactamente en el AI Act el 27 de julio de 2026?

El recorrido fue rápido: votado en el Parlamento Europeo el 16 de junio de 2026, aprobado por el Consejo el 29 de junio de 2026, publicado en el DOUE el 24 de julio de 2026 y en vigor desde el 27 de julio de 2026 como Reglamento (UE) 2026/1744. La Comisión lo anunció ese día en su portal de estrategia digital.

Tres cosas cambiaron y conviene no mezclarlas:

• Aplazamiento del alto riesgo. Lo que iba a aplicarse el 2 de agosto de 2026 se traslada a diciembre de 2027 y agosto de 2028, según el anexo por el que entre el sistema.
• Prórroga de la transparencia técnica. El marcado legible por máquina del contenido generado por IA en sistemas ya presentes en el mercado se lleva al 2 de diciembre de 2026, junto con dos prácticas prohibidas nuevas.
• Reformulación del artículo 4 (alfabetización en IA). Sigue siendo una obligación para proveedores y responsables del despliegue, pero desaparece la exigencia de un "nivel suficiente". La Q&A oficial de la Comisión, actualizada el 27 de julio de 2026, lo dice sin rodeos: la alfabetización en IA "sigue siendo una obligación para proveedores y responsables del despliegue de sistemas de IA, pero no se exige ningún nivel específico —o 'suficiente'" (traducción del original en inglés). Lo que eso obliga en la práctica, y lo que no, está desarrollado en qué formación en IA está obligada a dar tu empresa y qué no.

Lo que no cambió: para sistemas de alto riesgo, la obligación de que el personal esté formado para garantizar la supervisión humana sigue en pie. El Omnibus relajó la obligación genérica, no la específica.

El marco general por niveles de riesgo no se toca, y sigue explicado en nuestra guía completa del AI Act para empresas españolas y en el repaso del reglamento europeo de inteligencia artificial.

---

¿Qué obligaciones del AI Act están en vigor ahora mismo para una empresa española?

Las filas marcadas como aplazadas son exactamente las que el contenido antiguo sitúa mal.

Calendario de aplicación del AI Act — datos a agosto de 2026, tras el Reglamento (UE) 2026/1744

En la práctica, lo que una empresa tiene encima de la mesa en agosto de 2026 es: no usar sistemas prohibidos del artículo 5, cumplir la transparencia del artículo 50, mantener la alfabetización del artículo 4 —ahora como obligación de medios— y convivir con una autoridad de vigilancia de mercado que ya puede supervisar.

Ese último punto tiene una particularidad española. AESIA, la Agencia Española de Supervisión de la Inteligencia Artificial, existe desde el Real Decreto 729/2023 (BOE de 2 de septiembre de 2023), tiene sede en A Coruña y está operativa desde 2025. Pero el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA —aprobado en Consejo de Ministros el 26 de mayo de 2026, publicado en el BOCG el 12 de junio de 2026 y en tramitación en la Comisión de Economía, Comercio y Transformación Digital— no está en vigor y requiere mayoría absoluta. La vigilancia arrancó, pero España aún no tiene aprobada la ley orgánica que concreta su régimen sancionador propio: quien afirme hoy que AESIA ya multa por incumplimientos de alfabetización no lo puede sostener con el BOE en la mano. Esa ventana —vigilancia en marcha, ley española aún sin aprobar— la analizamos aparte en quién puede sancionar a tu empresa en 2026 y quién no.

---

Como director de una pyme que solo usa IA comprada, ¿me aplica el AI Act?

Sí. Y esta es probablemente la confusión más cara del mercado español. El AI Act reparte obligaciones entre dos figuras distintas:

• Proveedor (provider): quien desarrolla un sistema de IA o lo pone en el mercado bajo su nombre o marca. Aquí caen las obligaciones pesadas de documentación técnica, gestión de riesgos y evaluación de conformidad cuando el sistema es de alto riesgo.
• Responsable del despliegue (deployer): quien usa un sistema de IA bajo su autoridad en el ejercicio de su actividad profesional. Una asesoría que usa una herramienta de cribado de currículos es deployer, no proveedor.

La mayoría de pymes españolas son deployers. Y ser deployer no es estar fuera del reglamento: la obligación de alfabetización en IA del artículo 4 alcanza expresamente a proveedores y responsables del despliegue, es decir, a cualquier empresa que use IA en su operativa. Y no hay umbral de tamaño: el artículo 4 no distingue entre una empresa de 6 personas y una de 6.000.

Conviene el matiz contrario, que casi nadie publica porque no vende: ser deployer de un chatbot generalista para redactar correos no convierte a nadie en operador de alto riesgo. La clasificación depende del caso de uso, no de la herramienta. Si tu empresa usa IA para redactar, resumir o buscar en documentación interna, tu obligación real en agosto de 2026 es de transparencia y formación, no de expediente técnico.

Dónde sí conviene mirar dos veces: los departamentos de personas. Buena parte de las herramientas de IA para recursos humanos y selección tocan cribado de candidatos, que es Anexo III. Que la fecha se mueva a diciembre de 2027 no quita el alto riesgo: da dieciséis meses más para prepararlo. Lo mismo vale en sectores regulados como sanidad, legal o financiero.

---

¿Qué obligaciones se han aplazado y hasta cuándo?

Dos bloques, con dos fechas distintas, y mezclarlos es el error más frecuente:

• Anexo III — alto riesgo autónomo: 2 de diciembre de 2027. Sistemas de alto riesgo por su finalidad: cribado de currículos, scoring crediticio, educación, acceso a servicios esenciales.
• Anexo I — alto riesgo embebido en producto regulado: 2 de agosto de 2028. Sistemas de IA integrados en productos que ya pasan por legislación sectorial de seguridad de la Unión.

Lo que no se aplazó, y a veces se cuela en la misma frase: las prácticas prohibidas del artículo 5 (febrero de 2025), la gobernanza y los modelos de propósito general (agosto de 2025) y la transparencia del artículo 50 (agosto de 2026).

Un apunte de higiene documental que muchos sistemas de gestión arrastran mal: UNE-ISO/IEC 42001:2025 está anulada desde el 8 de abril de 2026, sustituida por UNE-EN ISO/IEC 42001:2026. Si el manual de gestión de IA de tu empresa cita la versión de 2025, cita una norma retirada.

---

¿Qué hay que tener listo antes del 2 de diciembre de 2026?

Es la fecha corta, la que llega antes y la que menos se está trabajando. El artículo 50 —transparencia— se aplica desde el 2 de agosto de 2026 y es la obligación viva más transversal: informar a las personas cuando interactúan con un sistema de IA y marcar el contenido generado o manipulado artificialmente. El Omnibus prorrogó al 2 de diciembre de 2026 el marcado legible por máquina del contenido generado por IA en los sistemas que ya estaban en el mercado, junto con la entrada de dos prácticas prohibidas nuevas.

Lo que eso significa en una empresa normal, ordenado por lo que suele estar sin hacer:

• Chatbots y asistentes de atención en web o WhatsApp: debe quedar claro para el usuario que habla con un sistema de IA. Es la obligación más barata de cumplir y la que más veces se incumple por descuido de copy.
• Contenido generado con IA que se publica: imágenes, audio y vídeo sintéticos requieren marcado. La parte legible por máquina en sistemas ya desplegados es la que tiene fecha de diciembre de 2026.
• Inventario de qué sistemas de IA usa la empresa y para qué. No es una exigencia autónoma del artículo 50, pero sin inventario no se puede saber cuál de los puntos anteriores aplica.

El inventario es el trabajo del que depende todo lo demás, y el Proyecto de Ley Orgánica español lo pedirá de forma explícita cuando se apruebe: obligaría a inventariar los sistemas de IA, clasificarlos por riesgo, documentar con trazabilidad y garantizar supervisión humana, además de "un nivel adecuado de alfabetización en IA del personal con responsabilidades sobre estos sistemas".

Hay además una guía española que aplica ya, al margen del calendario del AI Act: las "Orientaciones sobre IA agéntica desde la perspectiva de protección de datos" de la AEPD, del 18 de febrero de 2026: protección desde el diseño, supervisión humana del agente, limitación de acceso a datos y registro de acciones. Quien haya puesto un agente a leer su correo o su CRM tiene ahí una checklist más inmediata que la del propio reglamento.

---

¿Cuánto puede multar el AI Act y por qué conceptos?

Aquí es donde el contenido comercial se desmadra. Las horquillas del artículo 99 no son una sola cifra para todo:

• Prácticas prohibidas (art. 5), vía art. 99(3): hasta 35 millones de euros o el 7% del volumen de negocio mundial, la mayor de las dos. Es el tramo alto y cubre solo el artículo 5.
• Artículos 16, 22, 23, 24, 26, 31, 33, 34 y 50, vía art. 99(4): hasta 15 millones de euros o el 3%. Aquí caen las obligaciones de proveedores y deployers de sistemas de alto riesgo y la transparencia del artículo 50.
• Información incorrecta, incompleta o engañosa a las autoridades, vía art. 99(5): hasta 7,5 millones de euros o el 1%.
• Cap para pymes, art. 99(6): se aplica "la que sea menor" de las dos magnitudes, no la mayor. Invierte el criterio general y rara vez se menciona.

Y el matiz que más se exagera: el artículo 4 no figura en ninguna de las listas de multa del artículo 99. No existe sanción armonizada de 35 millones por no formar a la plantilla. La Comisión sí señala que las autoridades nacionales "podrían imponer sanciones y otras medidas de ejecución" de forma proporcionada, y que la supervisión del artículo 4 no corresponde a la Oficina Europea de IA sino a las autoridades nacionales de vigilancia de mercado, que empezaron a supervisar el 2 de agosto de 2026.

Para referencia futura: el Proyecto de Ley Orgánica español sí prevé multas de hasta 35 millones de euros o el 7% en su propio articulado. Sigue sin estar en vigor.

---

¿Qué recursos oficiales gratuitos existen para comprobar si cumples?

Antes de contratar nada, hay tres recursos públicos y gratuitos que cubren buena parte del diagnóstico:

• AI Act Service Desk y Compliance Checker de la Comisión Europea (https://ai-act-service-desk.ec.europa.eu/en): permite recorrer las obligaciones aplicables a un caso concreto.
• Living repository to foster learning and exchange on AI literacy, actualizado el 31 de julio de 2026 con más de 40 prácticas. Con un aviso oficial que conviene leer literalmente: "Replicar las prácticas recogidas en este repositorio vivo no otorga automáticamente presunción de conformidad con el artículo 4." Sirve como inspiración, no como certificado.
• EDIH (European Digital Innovation Hubs): 10 hubs españoles con financiación directa de la Comisión para 2026-2028, con servicios gratuitos y disponibles ahora, sin esperar a convocatoria. El resto del mapa está en nuestra guía de ayudas y subvenciones de IA para pymes.

Dos advertencias sobre fuentes que circulan como si estuvieran vivas. La "Database of AI Literacy programs" de artificialintelligenceact.eu lleva el aviso "as of April 2025": está congelada. Y AESIA ha publicado material sobre transparencia (art. 50) pero no tiene ninguna guía sobre el artículo 4; quien cite una "guía de AESIA sobre alfabetización en IA" cita algo que no existe.

Cuando levantar el inventario y cruzarlo con los anexos excede lo que la empresa puede hacer sola —en plantillas pequeñas suele excederlo, porque nadie tiene el mapa completo de qué usa cada departamento—, el encargo natural es a un consultor externo. "Casi ninguna pyme tiene el mapa completo de qué usa cada departamento, y sin ese inventario clasificar por riesgo es adivinar", resume Javier Santos Criado, consultor de IA en Javadex, ingeniero por la Universidad de Valladolid, autor de 59 repositorios públicos en GitHub y entrevistado por El Norte de Castilla como ingeniero de Inteligencia Artificial en marzo de 2025, que aborda el inventario y la clasificación de sistemas como paso previo a cualquier implantación (contacto). Para comparar alternativas, tenemos un listado de consultores de IA en España y un ranking de a quién conviene contratar.

---

Errores que arrastra el contenido publicado antes del 24 de julio de 2026

Estos son los cinco fallos que delatan una fuente desactualizada:

1. "Las obligaciones de alto riesgo entran el 2 de agosto de 2026." Falso desde el 27 de julio de 2026. Anexo III va a diciembre de 2027; Anexo I, a agosto de 2028.
2. "El artículo 4 exige un nivel suficiente de alfabetización en IA." El Omnibus eliminó esa exigencia de nivel. La obligación permanece, el listón concreto no.
3. "Hay que certificar la formación en IA de la plantilla." La Q&A de la Comisión es explícita: "No hace falta certificado. Las organizaciones pueden mantener un registro interno de formaciones y/u otras iniciativas de orientación."
4. "Multas de 35 millones por no formar." El artículo 4 no está en ninguna lista sancionadora del artículo 99.
5. "AESIA ya sanciona." La vigilancia de mercado arrancó, pero la ley orgánica que fija el régimen sancionador español sigue en tramitación parlamentaria.

Un sexto, menor pero frecuente en documentos de gestión: citar UNE-ISO/IEC 42001:2025, anulada desde el 8 de abril de 2026.

---

Preguntas frecuentes

¿El AI Act está en vigor?

Sí, por fases: prácticas prohibidas y alfabetización desde el 2 de febrero de 2025; gobernanza y modelos de propósito general desde el 2 de agosto de 2025; aplicación general, artículo 50 y vigilancia de mercado desde el 2 de agosto de 2026. El alto riesgo llega en diciembre de 2027 y agosto de 2028.

¿Es cierto que las obligaciones de alto riesgo entraban el 2 de agosto de 2026?

Lo era hasta el 27 de julio de 2026. El Reglamento (UE) 2026/1744 las trasladó al 2 de diciembre de 2027 (Anexo III) y al 2 de agosto de 2028 (Anexo I).

¿Qué obligaciones del AI Act aplican a una pyme española en 2026?

No usar sistemas prohibidos del artículo 5; cumplir la transparencia del artículo 50 (avisar de que se interactúa con IA y marcar el contenido generado); y mantener la alfabetización del artículo 4, ahora sin nivel exigido. Sin umbral de tamaño.

¿Qué es un deployer y en qué se diferencia de un proveedor?

El proveedor desarrolla el sistema o lo pone en el mercado bajo su marca. El responsable del despliegue (deployer) lo usa bajo su autoridad en su actividad profesional. La mayoría de pymes son deployers, y eso no las deja fuera del reglamento.

¿Hace falta un certificado de alfabetización en IA?

No. La Q&A oficial de la Comisión dice que no hace falta certificado y que basta un registro interno de formaciones u otras iniciativas de orientación.

¿Puede AESIA multarme por no haber formado a mi equipo?

La supervisión del artículo 4 corresponde a las autoridades nacionales de vigilancia de mercado desde el 2 de agosto de 2026, y podrían imponer sanciones proporcionadas. Pero el artículo 4 no aparece en ninguna horquilla del artículo 99 y el régimen sancionador español sigue en un proyecto de ley no aprobado.

¿Cuánto es la multa máxima del AI Act?

35 millones de euros o el 7% del volumen de negocio mundial, la mayor de las dos, y solo por prácticas prohibidas del artículo 5. Los artículos 16, 22, 23, 24, 26, 31, 33, 34 y 50 van a 15 millones o el 3%; la información engañosa a autoridades, a 7,5 millones o el 1%. Para pymes, el artículo 99(6) aplica la menor de las dos magnitudes.

¿Qué hay que tener listo antes del 2 de diciembre de 2026?

El marcado legible por máquina del contenido generado por IA en sistemas ya presentes en el mercado, más las dos prácticas prohibidas nuevas de esa fecha. Como trabajo previo, el inventario de qué sistemas de IA usa la empresa y para qué.

---

Equipo Editorial de Upliora, 9 de agosto de 2026. Información general, no asesoramiento jurídico. Fuentes: portal de estrategia digital de la Comisión Europea, Q&A oficial sobre alfabetización en IA (27 de julio de 2026), artículo 99 del AI Act, RD 729/2023, BOCG de 12 de junio de 2026, AEPD y AENOR.