Reglamento IA: ya ha pasado el 2 de agosto de 2026, ¿y ahora qué?
El 2 de agosto de 2026 ha llegado. Y con esta fecha, el Reglamento europeo de Inteligencia Artificial (AI Act) entra en su fase general de aplicación.
Pero ¿qué significa realmente esta fecha para las empresas?
La respuesta corta es: ahora toca pasar de la teoría a la práctica.
El Reglamento (UE) 2024/1689 establece un marco basado en el riesgo para regular el uso de la inteligencia artificial en la Unión Europea. Aunque algunas de sus obligaciones ya se aplicaban anteriormente —como las relativas a determinadas prácticas prohibidas y a la alfabetización en IA, desde febrero de 2025—, el 2 de agosto de 2026 marca un hito especialmente importante en la aplicación del Reglamento.
¿Qué ha cambiado el 2 de agosto de 2026?
A partir de esta fecha, la Comisión Europea y las autoridades nacionales competentes comienzan a aplicar y hacer cumplir las normas del AI Act que entran en su fase general de aplicación.
Uno de los aspectos especialmente relevantes es el de las obligaciones de transparencia del artículo 50, aplicables desde el 2 de agosto de 2026 a determinados sistemas de IA.
Estas obligaciones afectan, entre otros, a determinados sistemas de IA generativa e interactiva y a determinados contenidos generados o manipulados artificialmente.
Por ejemplo, en determinadas circunstancias:
- las personas deben ser informadas cuando interactúan directamente con un sistema de IA;
- determinados contenidos generados o manipulados mediante IA deben estar marcados de forma que permita identificarlos;
- los deepfakes y determinados contenidos generados o manipulados artificialmente están sujetos a obligaciones específicas de transparencia.
La Comisión Europea ha publicado, además, directrices específicas para ayudar a las empresas y otros sujetos obligados a interpretar y aplicar estas obligaciones.
Pero la pregunta importante es: ¿qué debe hacer ahora mi empresa?
La entrada en aplicación del Reglamento no significa que todas las empresas tengan que dejar de utilizar ChatGPT, Copilot, Gemini u otras herramientas de inteligencia artificial.
El primer paso es mucho más sencillo —y mucho más importante—: saber qué IA utiliza realmente la empresa y para qué.
En muchas organizaciones, la IA ya se utiliza sin que exista un inventario formal. Un empleado puede utilizar una herramienta generativa para redactar correos electrónicos, analizar documentos, traducir textos o preparar informes sin que la empresa haya valorado previamente los riesgos asociados.
Por ello, recomendamos empezar por cinco preguntas:
1. ¿Qué herramientas de IA utiliza la empresa?
Es necesario identificar las herramientas autorizadas y también aquellas que los trabajadores utilizan por su cuenta.
Esta fotografía inicial es especialmente importante para detectar la denominada shadow AI: el uso de sistemas de inteligencia artificial sin autorización ni supervisión interna.
2. ¿Con qué finalidad se utiliza la IA?
No es lo mismo utilizar una herramienta para corregir un texto que utilizarla para seleccionar candidatos, evaluar trabajadores, tomar decisiones sobre clientes o analizar datos personales.
El Reglamento de IA establece diferentes obligaciones en función del tipo de sistema y del riesgo asociado a su uso.
3. ¿Qué datos se introducen en estas herramientas?
Aquí aparece otra cuestión fundamental: protección de datos, confidencialidad y secretos empresariales.
Que una herramienta de IA esté disponible en Internet no significa que sea adecuada para introducir cualquier tipo de información.
Antes de utilizarla, la empresa debería preguntarse:
- ¿Se introducen datos personales?
- ¿Se introduce información confidencial?
- ¿Se comparten datos de clientes, leads o trabajadores?
- ¿Qué tratamiento realiza el proveedor de estos datos?
- ¿Dónde se procesan?
- ¿Pueden utilizarse para entrenar modelos?
- ¿Qué garantías ofrece el proveedor?
Por tanto, cumplir con el AI Act no sustituye al cumplimiento del RGPD. Ambos marcos normativos pueden resultar aplicables simultáneamente.
4. ¿Existe una política interna de uso de la IA?
Una empresa que permite el uso de la IA sin establecer unas reglas mínimas asume riesgos innecesarios.
Una política interna puede determinar:
- qué herramientas están autorizadas;
- qué datos pueden introducirse;
- qué usos están prohibidos;
- cuándo es obligatoria la supervisión humana;
- quién puede utilizar sistemas de IA;
- cómo deben verificarse los resultados;
- qué debe hacerse ante un incidente;
- y qué responsabilidades corresponden a los trabajadores y a los distintos departamentos.
En este sentido, podéis consultar nuestro artículo sobre la Política de Uso de la IA.
5. ¿Sabe la empresa qué papel desempeña respecto del sistema de IA?
No todas las empresas tienen el mismo papel ante el Reglamento.
Es importante determinar si la empresa actúa como proveedor, responsable del despliegue (deployer), distribuidor, importador o usuario de un sistema de IA, ya que las obligaciones pueden variar considerablemente.
Este análisis es especialmente importante para empresas que desarrollan o integran soluciones de IA en sus propios productos o servicios.
¿Y qué ocurre con los sistemas de alto riesgo?
El 2 de agosto de 2026 no significa que todas las obligaciones relacionadas con cualquier sistema de alto riesgo comiencen necesariamente ese mismo día.
El AI Act establece diferentes fechas de aplicación según el tipo de sistema y el régimen jurídico que le resulte aplicable. En particular, determinados sistemas de IA integrados en productos regulados por la legislación de la Unión Europea tienen plazos específicos posteriores.
Por ello, no basta con preguntar si una empresa utiliza IA. Es necesario determinar qué sistema utiliza, con qué finalidad y dentro de qué categoría regulatoria se encuentra.
El 2 de agosto no es el final: es el momento de revisarlo
La entrada en aplicación del AI Act no debería entenderse como una obligación meramente documental.
Para las empresas, es una oportunidad para ordenar el uso de la inteligencia artificial e integrarlo dentro de los sistemas de cumplimiento normativo, protección de datos, ciberseguridad y gobierno corporativo.
Una buena política de IA no debería limitarse a decir a los trabajadores qué pueden o no pueden hacer con ChatGPT.
Debería estar conectada con:
IA + RGPD + confidencialidad + propiedad intelectual + ciberseguridad + gobernanza + supervisión humana.
La pregunta, por tanto, ya no es “¿cuándo entrará en vigor el Reglamento de IA?”.
La pregunta es:
“¿Está mi empresa preparada para demostrar que utiliza la inteligencia artificial de forma responsable y conforme a la normativa?”
Si la respuesta es “no lo sabemos”, probablemente este sea el momento de empezar.
Autor: Victor Roselló, Abogado, con la colaboración de Aram Roca.
Si necesitas ayuda o asesoramiento ¡contáctanos!
Denominación social:
LEGAL IT GLOBAL 2017, SLP
Finalidad:
Prestar el servicio.
Envío del Boletín informativo.
Legitimización:
Cumplimiento de la prestación del servicio.
Consentimiento.
Destinatarios: Tus datos no serán compartidos con ningún tercero, salvo a aquellos proveedores de servicios con los que disponemos de un contrato de servicios vigente.
Consulta la Política de Protección de datos completa aquí.
