Si tu empresa usa sistemas de IA como responsable del despliegue, habrás visto que del 2 de agosto de 2026 se habla casi siempre en clave de obligaciones: la transparencia del Art. 50 entra en aplicación. Suele venir acompañado de una segunda idea que hay que matizar: que el sistema de supervisión del AI Act se enciende ese día. Se enciende una parte. La gobernanza —con la designación de las autoridades, en el Capítulo VII— y el régimen sancionador —en parte, el Capítulo XII— aplican desde el 2 de agosto de 2025; la vigilancia del mercado del Capítulo IX —para la que el Art. 74(1) aplica a los sistemas de IA el Reglamento (UE) 2019/1020— aplica desde el 2 de agosto de 2026, la fecha general de aplicación del Art. 113. Ese día cambian, por tanto, dos cosas: qué hay que supervisar —desde entonces, además del Art. 4 y el Art. 5, se aplican las obligaciones de transparencia del Art. 50, que para quien despliega están en sus apartados 3 y 4— y los poderes con los que se supervisa.
Qué es (y qué no es) la vigilancia de mercado
La vigilancia de mercado es la arquitectura clásica europea de supervisión de productos, aplicada ahora a la IA: cada Estado miembro designa al menos una autoridad de vigilancia del mercado (Art. 70(1)), y el Art. 74(1) aplica a los sistemas de IA el Reglamento (UE) 2019/1020, que es donde están los poderes concretos de esas autoridades. Cómo y cuándo actúan no lo fija el AI Act. Para una pyme responsable del despliegue, el escenario realista no es «vendrán a verme el día 3», sino «si algo llama la atención sobre mi uso de IA —una queja de un cliente, un conflicto laboral, un incidente— habrá un cauce formal por el que me pedirán explicaciones».
En España, ya dibujamos el mapa de autoridades: AESIA como pieza central, con la AEPD y las autoridades sectoriales conservando sus ámbitos, en el reparto que perfila un proyecto de ley todavía en tramitación parlamentaria. Ese mapa no cambia el 2 de agosto; lo que cambia es que deja de ser organigrama y empieza a ser práctica.
La conversación siempre es la misma
Sea cual sea la autoridad y el motivo, una actuación sobre el uso de IA gira alrededor de un guion muy estable. Las preguntas, en esencia:
- ¿Qué sistemas de IA usas? — el inventario, con su clasificación de riesgo razonada.
- ¿Quién los opera y con qué preparación? — la política de uso y el registro de las medidas de alfabetización — el Art. 4 no exige un registro, pero es tu forma de documentar las medidas adoptadas.
- ¿Qué has evaluado? — las evaluaciones de impacto donde el RGPD las exige, y el criterio escrito de por qué no, donde no.
- ¿Cómo cumples lo que te aplica hoy? — los avisos y la información que te correspondan por el Art. 50, apartados 3 y 4, incluida la divulgación de las ultrasuplantaciones, y, como diligencia propia, la verificación hecha al proveedor.
- ¿Puedes demostrarlo? — la pregunta que subsume todas las anteriores.
Nótese lo que no está en el guion de una pyme responsable del despliegue: expedientes técnicos de producto, evaluaciones de conformidad, documentación de proveedor — salvo que el Art. 25(1) te convierta en proveedor de un sistema de alto riesgo. Cada eslabón de la cadena responde de lo suyo, como vimos con el reparto del Art. 50 — y saber articular «eso corresponde a mi proveedor; esto es lo mío y aquí está» es, en sí mismo, una demostración de competencia que juega a favor.
Las sanciones, leídas con cabeza
Sí: el régimen sancionador del AI Act maneja cifras mayúsculas, con tramos según la gravedad — los máximos se reservan para las prácticas prohibidas del Art. 5 (Art. 99(3)), y por debajo quedan el incumplimiento de las disposiciones que enumera el Art. 99(4) —entre ellas, las obligaciones de transparencia del Art. 50— y la presentación de información inexacta, incompleta o engañosa a las autoridades en respuesta a una solicitud (Art. 99(5)). Cada tramo tiene su apartado y su lógica, y el propio Reglamento gradúa: son techos que el Art. 99(7) obliga a ponderar caso por caso, y que para las pymes el Art. 99(6) permite fijar en la menor de las dos magnitudes. El régimen que los concrete en España es materia de Derecho nacional (Art. 99(1)), y este artículo no dice nada de él.
Pero la lectura útil para una pyme no está en memorizar los importes, sino en lo que el Art. 99(7) manda tener en cuenta al decidir una multa y su cuantía en cada caso: entre otras circunstancias, la naturaleza, la gravedad y la duración de la infracción, el grado de cooperación con las autoridades para subsanarla, el grado de responsabilidad del operador a la vista de las medidas técnicas y organizativas que aplicó, y la intencionalidad o negligencia. La empresa que puede enseñar su inventario, sus evaluaciones, sus registros y su criterio —aunque tenga imperfecciones— tiene con qué responder a esas preguntas. La que no puede enseñar nada convierte cualquier señal menor en un problema mayor, porque a la infracción de fondo se suma la imposibilidad de demostrar diligencia.
La preparación cabe en una carpeta
La conclusión operativa es deliberadamente poco épica. Prepararse para la vigilancia de mercado no es un proyecto nuevo: es tener ordenado y accesible lo que la buena gobernanza ya produce — inventario vivo, clasificaciones razonadas, política y formación con registro, evaluaciones donde tocan, verificaciones de transparencia con fecha. La evidencia, no el checklist: esa carpeta que se abre en una reunión incómoda y la convierte en un trámite.
El 2 de agosto la maquinaria arranca. No viene a por ti; pero a partir de ahí, existe. La única variable que controlas es qué encuentra si algún día pregunta.
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico. El marco institucional español está en tramitación y puede variar.