Si tu empresa usa IA y le han dicho que se expone a una multa inmediata, esto va para ti. Este artículo existe para equilibrar los otros de su bloque. Lo que sigue trata de lo que el Reglamento no prevé, porque en esta materia circula más miedo que precisión y el miedo se vende mejor.
Nada de lo que viene aquí dice que no haya que hacer nada. Dice qué cosas concretas no van a pasar, y por qué.
No existe una sanción por no tener inventario
Empecemos por la más repetida. El AI Act no obliga a llevar un inventario de sistemas de IA — la palabra no aparece ni una vez en el Reglamento—, de modo que difícilmente puede sancionarse su ausencia.
Lo que sí ocurre es más sutil y menos vendible: sin inventario no se pueden cumplir las obligaciones que sí existen, porque todas están redactadas sobre sistemas concretos. La ausencia de inventario no es una infracción. Es lo que hace imposible demostrar que no la hay.
No hay que registrarse en ninguna base de datos siendo empresa privada
La base de datos de la UE del Art. 71 existe, y el Art. 49 impone inscripciones. Pero al responsable del despliegue solo le alcanza, y solo respecto de los sistemas de alto riesgo del anexo III distintos de los de su punto 2, si está entre los responsables del despliegue «que sean autoridades públicas, instituciones, órganos u organismos de la Unión, o personas que actúen en su nombre».
Una empresa privada que despliega sistemas de alto riesgo no tiene obligación de registrarse, salvo que actúe en nombre de una autoridad pública o de una institución, órgano u organismo de la Unión. Quien registra el sistema es el proveedor o, en su caso, su representante autorizado, y quien registra su uso es el sector público o quien actúa en su nombre.
La multa no se fija automáticamente en el tramo alto
Los tramos existen y son elevados. Pero conviene leer completo el artículo que los establece: el Art. 99(6) permite que, en el caso de las pymes, la multa se fije en la magnitud menor de las dos que resultarían aplicables.
Con dos precisiones que ese artículo desarrolla y que aquí solo se recuerdan: dice «podrá ser», luego es una facultad y no un automatismo; y el tramo más alto, el del Art. 99(3), corresponde a las prácticas prohibidas del Art. 5, no al uso ordinario de IA en una empresa.
El régimen del alto riesgo todavía no se aplica
Esta es la que más se usa como argumento de urgencia, y es sencilla de comprobar: las obligaciones del capítulo III, secciones 1 a 3, empiezan a aplicarse el 2 de diciembre de 2027 para los sistemas de alto riesgo del anexo III y el 2 de agosto de 2028 para los del anexo I (Art. 113, párrafo tercero, letra c), en la redacción del Reglamento (UE) 2026/1744). La fecha que todavía circula en algunas guías —agosto de 2026— no es la aplicable.
El artículo 26 aplica desde el 2 de diciembre de 2027 para los sistemas de alto riesgo del anexo III y desde el 2 de agosto de 2028 para los del anexo I; a los productos del anexo I, sección B, no le alcanza.
De modo que antes de esas fechas no existe incumplimiento posible del Art. 26 para nadie. Quien lo afirme está usando un plazo que no está en la norma.
Y lo que sí pasa, para no dejar la conclusión torcida
Tres cosas, y las tres llevan tiempo siendo exigibles.
El Art. 4 y el Art. 5 se aplican desde el 2 de febrero de 2025, salvo las nuevas prohibiciones de las letras b bis) y b ter) del Art. 5, apartado 1, cuya aplicación empieza el 2 de diciembre de 2026. Medidas para apoyar la alfabetización en IA del personal y de quienes usan los sistemas en nombre de la organización —con la redacción que le dio el Digital Ómnibus, que suavizó el deber sin eliminarlo— y prohibición de determinadas prácticas, con las excepciones que el propio Art. 5 prevé pero sin excepción por tamaño ni por sector.
El RGPD lleva años aplicándose, y no espera al AI Act para nada. Cuando un uso de IA trata datos personales, ahí hay base jurídica, información a los interesados, evaluaciones de impacto cuando procedan y derechos que atender. Parte de lo que se presenta como «cumplimiento del AI Act» puede ser en realidad trabajo de protección de datos pendiente desde antes.
Y la transparencia del Art. 50 se aplica desde el 2 de agosto de 2026: el aviso de que se interactúa con una IA y el marcado del contenido sintético recaen en el proveedor, con un transitorio hasta el 2 de diciembre de 2026 para el marcado de los sistemas introducidos en el mercado antes del 2 de agosto de 2026 (Art. 111(4)); informar sobre el reconocimiento de emociones o la categorización biométrica y divulgar las ultrasuplantaciones y el texto publicado para informar sobre asuntos de interés público recaen en el responsable del despliegue.
Por qué esto importa más que el miedo
Porque una organización que actúa por miedo hace lo que le digan y en el orden que le digan, y lo que suele hacer primero es lo más caro y lo menos exigible.
El orden que sale de leer las fechas es el inverso: primero lo que ya obliga a cualquier organización que use IA y cuesta poco; después, y con calma, lo que obligará a unos pocos desde el 2 de diciembre de 2027 o el 2 de agosto de 2028. En medio, la única tarea que decide en cuál de los dos grupos estás.
Nada de eso necesita una urgencia inventada. Y quien te la ponga delante te está diciendo, sin querer, que no ha leído el artículo que la desmiente.
Contenido con arreglo a los artículos 2, 4, 5, 26, 49, 50, 71, 99, 111 y 113 y a los anexos I y III del Reglamento (UE) 2024/1689, en la redacción dada por el Reglamento (UE) 2026/1744 (DOUE de 24/07/2026).
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.