Hay una idea que conviene enterrar ya: el AI Act no es solo para grandes tecnológicas. Desde el 2 de agosto de 2026, cualquier empresa que use IA en sus interacciones con personas — un chatbot de atención, un agente de ventas, contenido generado, un filtro de CVs — entra en el radar de las obligaciones de transparencia. Este artículo resume qué está vigente, qué se pospuso, cuánto cuesta incumplir y cómo prepararse en 30 días.
Lo que ya está vigente (y lo que llega)
El AI Act europeo se aplica por fases. Este es el estado real en octubre de 2026:
- Desde febrero de 2025: prohibiciones de prácticas inaceptables (artículo 5) y la obligación de alfabetización en IA (artículo 4): el personal que usa sistemas de IA debe tener formación adecuada. Llega una nueva prohibición en diciembre de 2026.
- Desde el 2 de agosto de 2026: las obligaciones de transparencia del artículo 50 y el régimen de supervisión a pleno rendimiento (Oficina de IA y autoridades nacionales).
- Hasta el 2 de diciembre de 2026: plazo transitorio para que los sistemas generativos ya en el mercado antes de agosto cumplan con el marcado legible por máquina del artículo 50.2.
- 2 de diciembre de 2027: obligaciones de alto riesgo del Anexo III (pospuestas por el Digital Omnibus).
- 2 de agosto de 2028: IA de alto riesgo embebida en productos regulados (Anexo I).
Ese "respiro" del Digital Omnibus (Reglamento UE 2026/1744, en vigor desde julio de 2026) no elimina nada de lo demás: chatbots, contenido sintético y agentes siguen sujetos a transparencia hoy.
Las tres obligaciones del artículo 50, en concreto
- Decirlo cuando la IA atiende. Si un sistema interactúa con personas (chatbot, agente de voz, asistente), la persona debe saberlo. No hace falta un cartel enorme: hace falta claridad en el punto de contacto.
- Marcar el contenido sintético. Audio, imagen, video o texto generado por IA debe identificarse como tal — y con marcado legible por máquina cuando corresponda.
- Deepfakes y contenido sensible. Contenido que simula personas o hechos reales requiere divulgación explícita, con reglas reforzadas cuando hay interés público.
"Usar IA de terceros" no te exonera: la obligación recae sobre quien pone el sistema frente al usuario final.
¿Aplica a mi empresa si estoy fuera de Europa?
Muy probablemente sí, en al menos uno de estos casos:
- Ofreces servicios o sistemas que se usan en la UE (aunque tu equipo esté en Latinoamérica).
- Exportas a clientes europeos que te exigen garantías de cumplimiento en contratos.
- Usas proveedores de IA que operan en el mercado europeo y trasladan obligaciones a su cadena.
En paralelo, la región avanza con marcos propios: Brasil discute su marco legal de IA (con votación prevista tras las elecciones de octubre de 2026) y otros países siguen el mismo camino. Prepararse una vez cubre los dos frentes.
Qué no exige el AI Act (para no entrar en pánico)
- No te obliga a publicar tus prompts, tus datos ni tu código: exige transparencia en los puntos de contacto con personas y, cuando corresponda, marcado de contenido sintético.
- No te obliga a certificar "todo": el grueso de las obligaciones de alto riesgo fue pospuesto a diciembre de 2027 y recae sobre usos concretos y sensibles, no sobre cualquier uso de IA.
- No sustituye a tu normativa local: convive con el RGPD en Europa y con la LGPD en Brasil, que ya conoces.
- No multa por anticipado: el régimen sancionador castiga incumplimientos, no la mera tenencia de sistemas de IA.
Preguntas que hará tu equipo (con respuestas cortas)
- "¿Nuestro chatbot necesita un aviso?" Sí. Cualquier sistema que interactúa con personas debe identificarse como IA. Un mensaje claro al inicio de la conversación cubre el requisito.
- "¿Y las imágenes generadas que publicamos?" Deben marcarse como contenido sintético cuando puedan confundirse con reales; el marcado legible por máquina aplica a los sistemas generativos previos a agosto de 2026 hasta diciembre.
- "¿Los filtros de CVs de RR. HH.?" Entran en la zona sensible: documenta criterios, revisión humana y control de sesgos. Es exactamente el tipo de caso que sube de nivel de riesgo.
- "¿Qué pedimos a nuestros proveedores de IA?" Sus garantías de cumplimiento, por escrito, y archivo de la evidencia. En una revisión europea, la cadena completa importa.
- "¿Quién es responsable si algo falla?" Quien pone el sistema frente a la persona usuaria. Por eso importa el inventario: sin mapa de usos, la responsabilidad se diluye — y eso nunca juega a tu favor.
Cuánto cuesta incumplir
Las sanciones son proporcionales a la infracción:
| Tipo de infracción | Multa máxima |
|---|---|
| Prácticas prohibidas | 35 M € o 7 % de la facturación global |
| Incumplimiento de alto riesgo | 15 M € o 3 % |
| Información incorrecta a autoridades | 7,5 M € o 1 % |
Las pymes tienen topes proporcionales menores, pero el riesgo reputacional no escala igual: un cliente europeo que detecta incumplimiento corta el contrato antes que esperar una multa.
Señales de que ya podrías estar incumpliendo (sin saberlo)
- Tu chatbot no avisa en ningún punto de la conversación que es un sistema de IA.
- Publicas imágenes o videos generados que parecen reales, sin ninguna marca ni aviso.
- El equipo usa herramientas de IA con datos de clientes sin una política escrita que lo regule.
- Nadie del equipo recibió formación al respecto — y el artículo 4 la exige desde febrero de 2025.
Si marcaste una o más, el plan de abajo te ordena el trabajo en cuatro semanas.
Plan de 30 días para ponerte al día
No esperes al Anexo III para empezar por lo que ya aplica:
- Semana 1 — Inventario de usos de IA. Lista cada sistema que toca personas: atención, ventas, RR. HH., contenido. Anota: para qué se usa, qué datos toca y quién revisa.
- Semana 2 — Transparencia. Revisa cada punto de contacto: ¿el usuario sabe que habla con IA? ¿El contenido publicado que es sintético está marcado? Corrige lo que falte — es el requisito vigente más visible.
- Semana 3 — Datos y contratos. Confirma bases legales (RGPD o tu normativa local), revisa contratos con proveedores de IA y documenta garantías. Guarda evidencia.
- Semana 4 — Capacitación. El artículo 4 ya exige alfabetización en IA para el personal que la usa. Formación práctica con criterios de verificación es la vía más rápida; una política interna sin formación no se sostiene ante una inspección ni ante un incidente real.
Para los sistemas de alto riesgo del Anexo III, usa 2027 para preparar evaluación de conformidad y documentación con calma — llegas con años de ventaja si empiezas ahora.
Cómo se conecta esto con tu día a día
La transparencia regulatoria es, en el fondo, disciplina de trabajo: saber qué entra en un prompt, revisar resultados, declarar cuándo hay IA de por medio y formar al equipo. Si quieres convertir esa disciplina en ventaja comercial — y responder "sí, cumplimos" en la próxima licitación o contrato europeo —, la ruta completa del catálogo de cursos cubre desde fundamentos hasta automatización con criterios de verificación, y la página de precios y matrícula muestra el acceso a todo el catálogo con cuotas y sin compromiso anual. La ley se acerca; la preparación puede empezar hoy.