EU AI Act para empresas: qué exige, cuándo aplica y cómo prepararte

El Reglamento clasifica los usos de la IA por nivel de riesgo y reparte obligaciones entre los actores de la cadena: quien desarrolla y comercializa un sistema, quien lo importa o distribuye, y quien lo utiliza en su actividad. No es una norma de protección de datos —eso sigue siendo el RGPD, que se aplica en paralelo— ni exige «certificar la IA» de tu empresa: exige, según el caso, documentar, informar, supervisar y poder demostrar lo que haces.

Las dos figuras centrales son el proveedor —quien desarrolla un sistema de IA y lo introduce en el mercado o lo pone en servicio bajo su propio nombre o marca— y el responsable del despliegue (deployer): quien utiliza un sistema de IA «bajo su propia autoridad», salvo que el uso sea una actividad personal no profesional (Art. 3, punto 4). Eso cubre a casi cualquier empresa que contrata software con IA.

La pregunta «¿somos proveedor o deployer?» está mal formulada: el Reglamento asigna el rol por sistema, no por empresa. En el mismo inventario puedes ser responsable del despliegue de doce herramientas y proveedor de una.

Y el rol puede cambiar. El Art. 25.1 recoge tres circunstancias en las que un responsable del despliegue pasa a considerarse proveedor, y las tres están acotadas al alto riesgo: poner tu nombre o marca en un sistema de alto riesgo ya comercializado; modificar sustancialmente uno de alto riesgo de forma que siga siéndolo; o cambiar la finalidad de un sistema que no era de alto riesgo de forma que pase a serlo. Estos tres supuestos del artículo 25 se refieren a sistemas de alto riesgo. En otros sistemas, poner tu nombre o marca no activa por sí solo el artículo 25(1), aunque la condición de proveedor debe analizarse igualmente conforme a la definición general del artículo 3, punto 3.

• Prácticas prohibidas (Art. 5): usos vetados con independencia de quién los haga, en aplicación desde el 2 de febrero de 2025.
• Alto riesgo (Art. 6 y anexos I y III): permitidos con requisitos estrictos para el proveedor y obligaciones propias para el responsable del despliegue.
• Obligaciones de transparencia (Art. 50): no son un nivel de riesgo, sino obligaciones que se activan por la naturaleza del sistema —chatbots, generación de contenido sintético, entre otros— y que obligan a informar o marcar, sea cual sea su clasificación.
• Riesgo mínimo: el resto. Sin obligaciones específicas de esta clasificación, aunque el Art. 4 (alfabetización) y el RGPD siguen aplicando.

La clasificación se hace sistema a sistema, con el criterio documentado: es la pieza sobre la que descansa todo lo demás.

Proveedores y responsables del despliegue deben adoptar medidas de alfabetización en IA que alcanzan a su personal «y demás personas que se encarguen en su nombre del funcionamiento y la utilización de sistemas de IA». Tras la redacción dada por el Reglamento (UE) 2026/1744 es expresamente una obligación de medios: el propio artículo dice que no exige garantizar un nivel específico de alfabetización de ninguna persona en particular. Se cumple documentando qué medidas adoptaste y con qué criterio las dimensionaste — no acumulando diplomas.

Guía del Art. 4: qué exige de verdad la alfabetización en IA →

La lista del Art. 5 está en aplicación desde el 2 de febrero de 2025: manipulación subliminal dañina, explotación de vulnerabilidades, puntuación social, y determinados usos de identificación biométrica, entre otros. El Reglamento (UE) 2026/1744 añadió dos prohibiciones nuevas —Art. 5.1, letras b bis) y b ter), sobre contenido íntimo no consentido y material de abuso sexual infantil generados con IA— aplicables desde el 2 de diciembre de 2026. Es la parte del Reglamento donde el riesgo no se gestiona: se elimina.

Los apartados 1, 3 y 4 del Art. 50 aplican desde el 2 de agosto de 2026: informar de que se interactúa con una IA, e informar de determinados usos como los deepfakes. El deber de información del Art. 50.1 es del proveedor; para quien despliega, la diligencia razonable es verificar que sus herramientas lo cumplen. El marcado de contenido sintético del Art. 50.2 aplica también desde el 2 de agosto de 2026, con un régimen transitorio: los sistemas introducidos en el mercado antes de esa fecha tienen hasta el 2 de diciembre de 2026 (Art. 111.4).

Las obligaciones para los sistemas de alto riesgo del Anexo III —incluidas las del responsable del despliegue del Art. 26: uso conforme a instrucciones, supervisión humana encomendada a personas con la competencia, la formación y la autoridad necesarias, vigilancia y registros— aplican desde el 2 de diciembre de 2027. Para los sistemas que son de alto riesgo por ser productos regulados del Anexo I (Art. 6.1), el Art. 26 aplica desde el 2 de agosto de 2028.

Dos reglas transitorias que conviene conocer: los sistemas de alto riesgo ya introducidos en el mercado antes de la fecha de aplicación solo quedan cubiertos si sufren cambios significativos en sus diseños (Art. 111.2); y los desplegados por autoridades públicas antes del 2 de diciembre de 2027 tienen como horizonte el 2 de agosto de 2030.

Ejemplos del Anexo III con impacto directo en pymes: selección y evaluación de personal, acceso a servicios esenciales, scoring crediticio, educación.

Antes de desplegar determinados sistemas de alto riesgo del Anexo III, algunos responsables del despliegue deben evaluar el impacto sobre los derechos fundamentales. El perímetro es más estrecho de lo que suele contarse: obliga a organismos de Derecho público, a entidades privadas que prestan servicios públicos, y a los responsables del despliegue de los sistemas del Anexo III, punto 5, letras b) y c). Su única fecha de aplicación es el 2 de diciembre de 2027 — el Art. 27 solo alcanza los sistemas de alto riesgo del Anexo III, así que la fecha de 2028 del Anexo I no opera sobre él.

Para la mayoría de las empresas privadas, la FRIA no será una obligación propia. Lo honesto es decirlo — y aun así conviene saber qué es, porque los clientes y licitaciones la mencionarán.

La FRIA no es la DPIA del Art. 35 del RGPD: son instrumentos independientes, cada uno con su norma. Desde el Reglamento (UE) 2026/1744, el Art. 27.4 permite expresamente que la FRIA incluya referencias cruzadas a las secciones pertinentes de la DPIA, o partes de ella, cuando una obligación ya esté cubierta ahí — reutilizar material está habilitado; la FRIA hay que hacerla igualmente, y confundir los instrumentos no está permitido.

Las obligaciones de los capítulos sobre modelos de uso general (Arts. 53–55) aplican desde el 2 de agosto de 2025 y corresponden a los proveedores de esos modelos. Si tu empresa los usa a través de herramientas comerciales, tu trabajo es de diligencia: saber qué modelos hay detrás de tus herramientas y qué documentación ofrece cada proveedor. Los modelos ya comercializados antes de la fecha tienen un régimen transitorio hasta el 2 de agosto de 2027 (Art. 111.3).

En aplicación: Art. 4 y Art. 5 (02/02/2025) · GPAI y gobernanza (02/08/2025) · Art. 50.1/.3/.4 y 50.2 (02/08/2026, con transitorio del 50.2 hasta 02/12/2026 para sistemas anteriores). Próximas: nuevas prohibiciones del Art. 5.1 b bis) y b ter) (02/12/2026) · transitorio GPAI y sandboxes (02/08/2027) · Anexo III, Art. 26 y Art. 27 (02/12/2027) · Anexo I (02/08/2028) · alto riesgo de autoridades públicas preexistente (02/08/2030).

Calendario completo del EU AI Act, con fuentes →

1. Inventaría lo que ya se usa — también lo que llegó sin contrato. Plantilla de inventario →
2. Asigna el rol por sistema: proveedor o responsable del despliegue, fila a fila.
3. Clasifica el riesgo de cada uso con el criterio escrito, la fecha y el autor.
4. Documenta las medidas del Art. 4 ya en vigor. Checklist de alfabetización →
5. Deja evidencia trazable de todo lo anterior: es lo que te pedirán clientes, auditores y autoridades — y llegará antes por correo de un cliente grande que por la fecha legal.