AI Act para empresas en España:
lo que tienes que cumplir
antes de agosto de 2026
El Reglamento (UE) 2024/1689 ya es ley vigente. Las sanciones alcanzan los 35 millones de euros. Esta guía explica qué obliga, a quién, en qué plazo y qué ocurre si tu empresa no actúa a tiempo.
En menos de 90 días entran en vigor las obligaciones completas para sistemas de IA de alto riesgo. La AESIA ya tiene competencias sancionadoras. No es una advertencia futura; es ley vigente con plazo inminente.
Qué es el AI Act y por qué afecta a tu empresa ahora
El Reglamento (UE) 2024/1689, conocido como AI Act, entró en vigor el 1 de agosto de 2024. No es una norma en tramitación ni una propuesta; es derecho europeo directamente aplicable en España. Su lógica es distinta a la del RGPD, que dio dos años de margen. El AI Act despliega obligaciones en oleadas, y la más importante está a punto de activarse.
Afecta a cualquier empresa que desarrolle, importe, distribuya o utilice sistemas de IA en la Unión Europea, con independencia de dónde tenga su sede. Una startup americana que vende software de IA a empresas españolas está obligada. Una empresa de Madrid que usa un CRM con scoring automático está obligada. El criterio es el mercado europeo, no el domicilio social.
Ser usuario de un sistema de IA de un tercero no exime del cumplimiento. El operador tiene obligaciones propias, distintas e independientes de las del proveedor.
Los plazos: lo que ya aplica y lo que está por vencer
| Fecha | Qué entra en vigor | Estado |
|---|---|---|
| 1 ago 2024 | Entrada en vigor del Reglamento. Inicio del período de adaptación. | Superado |
| 2 feb 2025 | Prohibición de prácticas inaceptables; manipulación subliminal, scoring social, biometría masiva en espacios públicos. | En vigor |
| 2 ago 2025 | Obligaciones para proveedores de modelos GPAI; documentación técnica, transparencia, gestión de riesgos sistémicos. | Activo |
| 2 ago 2026 | Aplicación completa para sistemas de alto riesgo (Anexo III). Régimen sancionador pleno. AESIA con competencias completas. | Menos de 90 días |
| 2 ago 2027 | Sistemas de IA integrados en productos regulados; dispositivos médicos, vehículos, juguetes (Anexo I). | Próximo |
← Desliza para ver la tabla completa
Los cuatro niveles de riesgo: dónde cae tu sistema
El AI Act organiza todos los sistemas de IA en cuatro categorías. La clasificación determina las obligaciones y no es negociable; la AESIA puede reclasificar un sistema si considera que el proveedor ha minimizado deliberadamente su nivel de riesgo.
Scoring social, manipulación subliminal, biometría masiva. Multa máxima de 35M€ o el 7% de la facturación global.
Selección de personal, scoring crediticio, sistemas de salud e infraestructuras críticas. Requieren evaluación de conformidad y registro.
Chatbots y generadores de contenido. Deben informar al usuario de que interactúa con IA. Ya exigible.
Filtros de spam, IA en videojuegos, recomendadores simples sin impacto en derechos fundamentales.
Qué empresa tech española está en el punto de mira
La pregunta no es si usas IA. La mayoría de empresas tecnológicas ya la usan. La clave está en el caso de uso y el impacto sobre las personas. Estas son las tipologías que la AESIA va a revisar primero.
Fintech e Insurtech
El scoring crediticio automatizado, la evaluación de riesgo para seguros y las decisiones sobre acceso a productos financieros están clasificados directamente como alto riesgo en el Anexo III. Si tu plataforma toma o informa decisiones sobre crédito, estás dentro del perímetro de agosto 2026.
Healthtech y telemedicina
Los sistemas de diagnóstico asistido, triaje automatizado y recomendación de tratamientos son alto riesgo por definición. Si tu IA incide en decisiones clínicas, la conformidad es obligatoria antes del plazo.
SaaS con funciones de RRHH
Las herramientas de selección de personal, análisis de rendimiento y evaluación de candidatos caen en la categoría de alto riesgo aunque el cliente final sea quien tome la decisión formal. El proveedor del software tiene obligaciones propias.
Plataformas de datos e IA generativa
Si tu empresa ofrece modelos GPAI o integra LLMs en servicios B2B, las obligaciones de documentación y transparencia llevan en vigor desde agosto de 2025. Muchas empresas en este segmento están ya en incumplimiento sin saberlo.
Obligaciones concretas para sistemas de alto riesgo
Si tu sistema cae en el Anexo III, estas son las obligaciones que debes tener implementadas antes del 2 de agosto de 2026.
- Sistema de gestión de riesgos. Proceso continuo de identificación, análisis y mitigación durante todo el ciclo de vida del sistema.
- Gobernanza de datos. Documentación de prácticas de gestión de datos de entrenamiento, validación y prueba, coherente con el RGPD.
- Documentación técnica. Ficha técnica completa conforme al Anexo IV del Reglamento.
- Registro de actividad. Capacidad de generar logs automáticos de funcionamiento durante toda la vida útil del sistema.
- Transparencia e información. Instrucciones de uso claras para el operador o deployer.
- Supervisión humana. Medidas técnicas y organizativas que permitan supervisar, comprender e intervenir sobre el sistema.
- Exactitud, robustez y ciberseguridad. Niveles de rendimiento documentados y medidas ante comportamientos inesperados.
- Evaluación de conformidad. Autoevaluación o auditoría por tercero notificado según el caso de uso.
- Declaración UE de conformidad y marcado CE cuando sea aplicable.
- Registro en la base de datos europea de sistemas de IA de alto riesgo (EUAI DB).
El régimen sancionador: qué puede imponerte la AESIA
La AESIA, con sede en A Coruña, ha publicado ya 16 guías de cumplimiento y abierto 23 investigaciones preliminares. Desde agosto de 2026 tiene plenas competencias sancionadoras. El régimen es de los más severos del derecho europeo.
| Tipo de infracción | Sanción máxima |
|---|---|
| Uso de sistemas de IA prohibidos (riesgo inaceptable) | 35 M€ o el 7% de la facturación mundial anual |
| Incumplimiento de obligaciones para sistemas de alto riesgo | 15 M€ o el 3% de la facturación mundial anual |
| Información incorrecta, incompleta o engañosa a la autoridad | 7,5 M€ o el 1% de la facturación mundial anual |
← Desliza para ver la tabla completa
Las sanciones del AI Act y del RGPD son independientes y acumulables. Si tu sistema de IA trata datos personales de forma inadecuada, la AESIA y la AEPD pueden instruir dos expedientes paralelos sobre los mismos hechos.
AI Act y RGPD: marcos distintos que se acumulan
Una confusión frecuente en empresas tech es asumir que cumplir con el RGPD ya cubre el AI Act. No es así.
El RGPD regula qué puedes hacer con los datos personales; bases legales, derechos de los interesados, transferencias internacionales, seguridad del tratamiento.
El AI Act regula cómo diseñas, entrenas, despliegas y supervisas el sistema de IA en sí mismo; arquitectura de riesgos, documentación técnica, supervisión humana y robustez. Esto aplica con independencia de si el sistema trata datos personales.
Si ya tienes implantada la adecuación al RGPD, parte de la base documental del AI Act ya existe. Lo que falta es la capa específica de gobernanza de IA que el Reglamento exige por encima del RGPD.
¿Tu empresa está expuesta antes de agosto de 2026?
Descúbrelo en una llamada de 30 minutos. Sin coste. Sin compromiso. Un análisis real de tu situación, no un cuestionario genérico.
Reservar evaluación gratuitaÁlvaro Ruipérez Candón · Abogado especialista en Derecho Digital, Datos e IA · SCANDO UP Global Legal
Preguntas frecuentes sobre el AI Act en España
Experto en Derecho Digital y negocios tecnológicos. Datos e IA. Abogado estratégico para empresas Tech, IA y SaaS que diseña la infraestructura legal que permite vender, desplegar IA y escalar sin fricción ni sanciones (AIM Integrity™). Colaborador en APTIE, Confilegal y Europapress.