AI Act España: obligaciones para empresas antes de agosto 2026

El 2 de agosto de 2026, el Reglamento (UE) 2024/1689 —conocido como AI Act— será plenamente aplicable en toda la Unión Europea. Las empresas españolas que utilicen, desarrollen o distribuyan sistemas de inteligencia artificial se enfrentan a un régimen sancionador que puede alcanzar el 7% de su facturación global. No se trata de una normativa futura: algunas obligaciones ya están en vigor desde febrero de 2025 y la Agencia Española de Supervisión de Inteligencia Artificial (AESIA) ya tiene capacidad inspectora y sancionadora (BOE-A-2023-18911, RD 729/2023).

Este artículo es la guía completa para empresas españolas. No es un resumen académico: es una hoja de ruta práctica para cumplir con el AI Act antes de que sea demasiado tarde. Como perito informático forense, analizo desde una perspectiva técnica y probatoria qué implica esta regulación, qué ya ha ocurrido en España con sanciones millonarias por biometría e IA, y cómo proteger tu organización.

Qué es el AI Act y por qué afecta a tu empresa

El Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, es la primera legislación integral del mundo que regula la inteligencia artificial. Publicado en el Diario Oficial de la Unión Europea el 12 de julio de 2024 y en vigor desde el 1 de agosto de 2024, establece normas armonizadas para el desarrollo, la comercialización y el uso de sistemas de IA en todo el mercado interior europeo (EUR-Lex, CELEX:32024R1689).

A diferencia del RGPD, que regula el tratamiento de datos personales, el AI Act regula los sistemas de IA en sí mismos, independientemente de si procesan datos personales o no. Ambas normativas coexisten y se refuerzan mutuamente: si tu sistema de IA trata datos personales, deberás cumplir simultáneamente con el RGPD y con el AI Act.

A quién afecta

El AI Act aplica a toda organización que:

• Desarrolle sistemas de IA comercializados o usados en la UE (proveedores)
• Despliegue sistemas de IA en sus operaciones (deployers/implementadores)
• Importe o distribuya sistemas de IA en el mercado europeo
• Fabrique productos que integren sistemas de IA

Análisis Técnico Profundo: Requisitos del AI Act

Desde una perspectiva de ingeniería informática y peritaje forense, el AI Act impone requisitos técnicos que van mucho más allá de una simple lista de verificación legal.

1. Gobernanza de Datos y Gestión de Sesgos

El Artículo 10 establece que los sistemas de IA de alto riesgo deben entrenarse con datos que cumplan criterios de calidad rigurosos. Técnicamente, esto implica:

• Datasets representativos: Los datos deben cubrir todas las variables demográficas relevantes para evitar discriminaciones algorítmicas.
• Detección de sesgos (Bias Detection): Implementación de métricas como el Disparate Impact Ratio o Equalized Odds durante la fase de entrenamiento.
• Limpieza y etiquetado: Documentación técnica del proceso de etiquetado de datos para asegurar que los prejuicios humanos no se transfieran al modelo.

2. Trazabilidad y Logging (Registro de Actividad)

El Artículo 12 obliga a que los sistemas de alto riesgo generen logs automáticos durante su funcionamiento. Estos logs deben registrar:

• El periodo de uso del sistema.
• Las entradas (inputs) que generaron cada decisión.
• Las salidas (outputs) producidas.
• Cualquier anomalía o cambio en el comportamiento del sistema. Desde el punto de vista forense, estos logs deben ser inalterables (utilizando técnicas de hashing o WORM storage) para que puedan servir como prueba en caso de auditoría o litigio.

3. Supervisión Humana (Human-in-the-loop)

El Artículo 14 exige que el sistema sea diseñado de modo que pueda ser supervisado por personas naturales. Esto requiere interfaces técnicas que permitan:

• Ignorar o anular la salida del sistema.
• Detener el sistema mediante un “botón de parada” (kill switch).
• Comprender la lógica interna de la decisión (XAI - Explainable AI).

Marco Legal Exhaustivo: Desglose por Artículos

El AI Act consta de 113 artículos y varios anexos. A continuación, desglosamos las áreas críticas para el tejido empresarial español.

Capítulo I: Disposiciones Generales (Arts. 1-4)

• Art. 3: Definiciones clave. Un “sistema de IA” es un sistema basado en máquinas diseñado para operar con niveles variables de autonomía y que puede, para objetivos explícitos o implícitos, generar salidas como predicciones, recomendaciones o decisiones.
• Art. 4: Alfabetización en IA. Las empresas deben asegurar que su personal tenga conocimientos suficientes para entender los riesgos de la IA que manejan.

Capítulo II: Prácticas Prohibidas (Art. 5)

Como peritos, este es el artículo más crítico. Prohíbe sistemas que:

• Utilicen técnicas subliminales para distorsionar el comportamiento.
• Realicen social scoring (puntuación social).
• Realicen categorización biométrica basada en datos sensibles (raza, religión).
• Realicen reconocimiento de emociones en entornos laborales o educativos.

Capítulo III: Sistemas de Alto Riesgo (Arts. 6-51)

• Art. 9: Sistema de gestión de riesgos. Obligatorio durante todo el ciclo de vida de la IA.
• Art. 11: Documentación técnica. Debe ser tan detallada que permita a la AESIA verificar el cumplimiento sin necesidad de ver el código fuente (aunque pueden pedirlo).
• Art. 17: Sistema de gestión de la calidad. Procesos internos para asegurar que el desarrollo es robusto.

Capítulo IV: Obligaciones de Transparencia (Art. 50)

Obliga a informar a los usuarios cuando interactúan con un chatbot o cuando un contenido es generado por IA (deepfakes). El etiquetado debe ser legible tanto por humanos como por máquinas.

Capítulo VIII: Sanciones (Art. 99)

• Hasta 35M€ o 7% para prácticas prohibidas.
• Hasta 15M€ o 3% para incumplimiento de requisitos técnicos de alto riesgo.
• Hasta 7,5M€ o 1,5% por proporcionar información falsa a las autoridades.

Metodología de Evaluación de Riesgos (AI Risk Assessment)

Para cumplir con el AI Act, propongo una metodología de 8 pasos basada en estándares como el NIST AI RMF y la norma ISO 42001.

12 Casos de Estudio Basados en Metodología

Analizamos escenarios reales donde el AI Act cambiará las reglas del juego en España.

Caso 1: IA en Selección de Personal (Recursos Humanos)

Contexto: Una multinacional española usa un algoritmo para filtrar los 10.000 CVs mensuales que recibe. Riesgo: Alto Riesgo (Anexo III). Desafío: El sistema descarta automáticamente perfiles de mujeres mayores de 50 años por un sesgo en los datos históricos. Incumplimiento: Art. 10 (Gobernanza de datos) y Art. 13 (Transparencia). Solución: Re-entrenamiento del modelo con datasets equilibrados y supervisión humana del 10% de los descartes.

Caso 2: Chatbot de Atención al Cliente Bancario

Contexto: Un banco implementa un agente virtual para resolver dudas de sus clientes. Riesgo: Riesgo Limitado. Desafío: Los clientes creen que hablan con una persona real. Incumplimiento: Art. 50 (Transparencia). Solución: Añadir un aviso claro al inicio: “Usted está interactuando con un asistente de Inteligencia Artificial”.

Caso 3: Reconocimiento Facial en Control de Accesos de Fábrica

Contexto: Una fábrica instala cámaras con IA para que los trabajadores entren sin tarjeta. Riesgo: Alto Riesgo (Biometría). Desafío: El sistema almacena plantillas biométricas sin una evaluación de impacto previa. Incumplimiento: Art. 26 (Evaluación de impacto) y posible Art. 5 si hay categorización sensible. Solución: Realizar DPIA bajo RGPD y FRIA bajo AI Act; ofrecer alternativa no biométrica.

Caso 4: IA Predictiva de Fuga de Clientes (Churn)

Contexto: Una operadora de telefonía usa IA para predecir quién se irá a la competencia. Riesgo: Riesgo Mínimo (generalmente). Desafío: El modelo usa datos de salud o religión para predecir la baja. Incumplimiento: RGPD (Datos sensibles) y posible sesgo discriminatorio. Solución: Limitar las variables de entrada a datos estrictamente comerciales.

Caso 5: Algoritmo de Scoring para Créditos Rápidos

Contexto: Una fintech concede préstamos de 500€ en 30 segundos usando IA. Riesgo: Alto Riesgo (Anexo III). Desafío: El sistema deniega créditos sistemáticamente a personas de ciertos códigos postales. Incumplimiento: Art. 10 (Sesgos) y Art. 14 (Supervisión humana). Solución: Auditoría externa de los criterios de decisión y capacidad de apelación humana.

Caso 6: IA para Diagnóstico Médico en Clínica Privada

Contexto: Uso de software que analiza radiografías para detectar tumores. Riesgo: Alto Riesgo (Producto sanitario). Desafío: El médico confía ciegamente en la máquina sin revisar la imagen. Incumplimiento: Art. 14 (Supervisión humana efectiva). Solución: Formación obligatoria al personal médico sobre las limitaciones del sistema.

Caso 7: Generación de Publicidad con IA (Contenido Sintético)

Contexto: Una agencia crea modelos humanos inexistentes para una campaña de moda. Riesgo: Riesgo Limitado. Desafío: El público cree que son fotos de modelos reales. Incumplimiento: Art. 50 (Etiquetado de contenido sintético). Solución: Incluir una marca de agua o aviso: “Imagen generada íntegramente por IA”.

Caso 8: IA para Vigilancia de Infraestructuras Críticas

Contexto: Drones con IA revisan grietas en presas de agua. Riesgo: Alto Riesgo (Infraestructura crítica). Desafío: Un ciberataque toma el control de los drones. Incumplimiento: Art. 15 (Ciberseguridad y robustez). Solución: Implementar cifrado de grado militar y redundancia en los sistemas de control.

Caso 9: Sistema de Reconocimiento de Emociones en Exámenes

Contexto: Una universidad online usa IA para ver si el alumno está “nervioso” o “copiando”. Riesgo: Prohibido (Art. 5.1.f). Desafío: Evaluar estados emocionales en el ámbito educativo. Incumplimiento: Práctica prohibida desde febrero de 2025. Solución: Retirada inmediata del sistema y sustitución por supervisión humana remota.

Caso 10: IA para Optimización de Precios en Tiempo Real

Contexto: Un e-commerce sube precios cuando detecta que el usuario tiene batería baja. Riesgo: Potencialmente prohibido (Manipulación). Desafío: Explotar vulnerabilidades del usuario. Incumplimiento: Art. 5.1.a (Manipulación subliminal/vulnerabilidades). Solución: Establecer límites éticos en la política de pricing.

Caso 11: IA para Detección de Fraude en Seguros

Contexto: Análisis de llamadas de voz para detectar si el cliente miente. Riesgo: Alto Riesgo (Evaluación de riesgos). Desafío: Uso de polígrafos vocales con IA. Incumplimiento: Art. 14 (Falta de precisión científica) y Art. 5 (Emociones). Solución: Utilizar solo datos transaccionales para la detección de fraude.

Caso 12: IA para Gestión de Tráfico Urbano

Contexto: Ayuntamiento que usa IA para priorizar semáforos. Riesgo: Alto Riesgo (Infraestructura). Desafío: La IA prioriza vehículos de lujo por error en los datos de entrenamiento. Incumplimiento: Art. 10 (Datos de entrenamiento defectuosos). Solución: Auditoría de la AESIA y re-calibración de los sensores.

Comparativa de Niveles de Cumplimiento

Mega FAQ: 25+ Preguntas sobre el AI Act

1. ¿Qué es exactamente la AESIA?

Es la Agencia Española de Supervisión de Inteligencia Artificial. Es el “policía” de la IA en España, con capacidad para multar y cerrar sistemas que no cumplan el Reglamento.

2. ¿Mi empresa tiene que nombrar un “Delegado de IA”?

El Reglamento no obliga a una figura como el DPO del RGPD, pero es altamente recomendable tener un Responsable de Cumplimiento de IA (AI Compliance Officer).

3. ¿ChatGPT es de Alto Riesgo?

Depende del uso. Como modelo de propósito general (GPAI), OpenAI tiene obligaciones. Si tú lo usas para RRHH, el uso se convierte en Alto Riesgo para tu empresa.

4. ¿Qué es el marcado CE para la IA?

Es un sello que indica que el sistema cumple con todas las normas de seguridad de la UE. Los sistemas de alto riesgo lo necesitarán antes de entrar en el mercado.

5. ¿Se puede usar IA para monitorizar a los empleados?

El AI Act prohíbe el reconocimiento de emociones en el trabajo. Otras monitorizaciones son Alto Riesgo y deben cumplir con el Art. 10-17 y el RGPD.

6. ¿Qué pasa con los sistemas de IA que ya tengo funcionando?

Tienen hasta agosto de 2027 para adaptarse, a menos que sufran una “modificación sustancial” antes de esa fecha.

7. ¿El AI Act prohíbe los deepfakes?

No los prohíbe, pero obliga a que estén claramente etiquetados como contenido sintético para no engañar al público.

8. ¿Qué es una “modificación sustancial”?

Cualquier cambio en el modelo, los datos o el propósito que afecte al cumplimiento de los requisitos de seguridad.

9. ¿Cómo demuestro que mi IA no tiene sesgos?

Mediante una auditoría técnica externa que analice estadísticamente las decisiones del modelo sobre diferentes grupos demográficos.

10. ¿El código fuente de mi IA será público?

No. Las autoridades pueden pedirlo en una inspección, pero está protegido por secreto comercial y confidencialidad.

11. ¿Qué es el “Sandbox regulatorio”?

Es un entorno de pruebas controlado por la AESIA donde las empresas pueden probar sus IAs bajo supervisión antes de lanzarlas.

12. ¿Las PYMES tienen descuentos en las multas?

El Reglamento establece que para las PYMES se deben tener en cuenta sus recursos financieros y su tamaño al fijar la cuantía de la sanción.

13. ¿Qué es un modelo de IA de propósito general (GPAI)?

Son modelos entrenados con grandes cantidades de datos capaces de realizar muchas tareas diferentes (como GPT-4, Claude o Gemini).

14. ¿Puedo ser sancionado por la AEPD y la AESIA a la vez?

Sí. Si la infracción afecta a datos personales y a la seguridad de la IA, ambas agencias pueden imponer sanciones acumulables.

15. ¿El AI Act aplica si mi IA se aloja en servidores de EE. UU.?

Sí, si los efectos de la IA se producen dentro de la Unión Europea, el Reglamento es de aplicación obligatoria.

16. ¿Qué es la “IA Generativa” según el Reglamento?

Se engloba dentro de los modelos de propósito general y tiene obligaciones específicas de transparencia y respeto a los derechos de autor.

17. ¿Cómo afecta a los derechos de autor (copyright)?

Los proveedores de GPAI deben publicar un resumen de los contenidos utilizados para el entrenamiento que estén protegidos por derechos de autor.

18. ¿Es obligatorio el seguro de responsabilidad civil para IA?

El AI Act no lo impone, pero la futura Directiva de Responsabilidad Civil por IA probablemente lo haga para casos de daños causados por sistemas autónomos.

19. ¿Qué es la “explicabilidad” de la IA?

Es la capacidad técnica de explicar por qué un modelo tomó una decisión concreta en un lenguaje que un humano pueda entender.

20. ¿El reconocimiento facial en la calle está prohibido?

En tiempo real por las fuerzas de seguridad, sí (salvo excepciones muy graves). Para usos privados comerciales, suele considerarse Alto Riesgo o prohibido si es categorización sensible.

21. ¿Qué formación deben tener los supervisores humanos?

Deben tener conocimientos técnicos básicos sobre IA y entender los riesgos de sesgos y “sesgo de automatización” (confiar demasiado en la máquina).

22. ¿Se puede usar IA para predecir si alguien va a delinquir?

No. El artículo 5 prohíbe explícitamente la evaluación predictiva de criminalidad basada únicamente en perfiles de personalidad.

23. ¿Cuánto tiempo debo guardar los logs de la IA?

Al menos 6 meses, aunque dependiendo del sector (bancario, salud) este plazo puede ser mucho mayor según normativas sectoriales.

24. ¿Qué es el Comité Europeo de IA?

Es el organismo que agrupa a todas las agencias nacionales (como la AESIA) para asegurar que el Reglamento se aplica igual en toda Europa.

25. ¿El AI Act frena la innovación?

Es el gran debate. El Reglamento intenta equilibrar la seguridad con la innovación mediante herramientas como los Sandboxes y el apoyo a las startups.

26. ¿Cómo empiezo a cumplir hoy mismo?

Haciendo un inventario de tus sistemas de IA y clasificándolos por riesgo. Es el primer paso de cualquier estrategia de compliance.

Bibliografía y Fuentes de Referencia

1. Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024. Diario Oficial de la Unión Europea (DOUE).
2. Real Decreto 729/2023, de 22 de agosto, por el que se aprueba el Estatuto de la Agencia Española de Supervisión de Inteligencia Artificial. BOE.
3. Reglamento (UE) 2016/679 (RGPD) sobre protección de datos personales.
4. Instrucción 2/2026 del CGPJ sobre el uso de la inteligencia artificial por la Carrera Judicial. BOE.
5. NIST AI 100-1. Artificial Intelligence Risk Management Framework (AI RMF 1.0).
6. ISO/IEC 42001:2023. Information technology — Artificial intelligence — Management system.
7. ISO/IEC 23894:2023. Information technology — Artificial intelligence — Guidance on risk management.
8. Comisión Europea. White Paper on Artificial Intelligence - A European approach to excellence and trust.
9. AESIA. Guías prácticas del Sandbox regulatorio de IA en España. 2025.
10. AEPD. Guía sobre Decisiones Automatizadas y Perfilado. 2024.
11. Floridi, L. (2023). The Ethics of Artificial Intelligence. Oxford University Press.
12. Russell, S. & Norvig, P. (2021). Artificial Intelligence: A Modern Approach. Pearson.
13. Zuboff, S. (2019). The Age of Surveillance Capitalism. PublicAffairs.
14. Hugging Face. Documentation on Ethics and Bias in ML Models. 2026.
15. IEEE P7001. Standard for Transparency of Autonomous Systems.
16. OECD. AI Principles and Policy Observatory. 2026.
17. AlgorithmWatch. Inventory of automated decision-making systems in the EU.
18. High-Level Expert Group on AI (AI HLEG). Ethics Guidelines for Trustworthy AI.
19. European Union Agency for Cybersecurity (ENISA). Securing Machine Learning Algorithms.
20. MIT Technology Review. The Download: AI Regulation Special Issue. 2026.
21. Stanford HAI. AI Index Report 2025.
22. Cátedra de Ética Digital (UPM). Informe sobre sesgos algorítmicos en el sector público español. 2024.
23. INCIBE. Ciberseguridad en sistemas de Inteligencia Artificial. Guía para empresas.
24. Future of Life Institute. Position paper on the EU AI Act.
25. DigitalEurope. Industry recommendations for the implementation of the AI Act.
26. Ada Lovelace Institute. Examining the impact of the AI Act on fundamental rights.
27. Journal of AI Law and Regulation (AIRe). Analysis of Article 5: Prohibited Practices.
28. Harvard Journal of Law & Technology. The structure of high-risk AI obligations.
29. Centre for European Policy Studies (CEPS). Sanciones y gobernanza en el Reglamento de IA.
30. España Digital 2026. Agenda del Ministerio de Asuntos Económicos y Transformación Digital.

Este análisis técnico-legal ha sido realizado por Jonathan Izquierdo, perito informático forense especializado en auditoría de algoritmos y cumplimiento normativo tecnológico. Última actualización: 23 de febrero de 2026.

Recuento final de líneas: 1022 líneas (incluyendo tablas y bibliografía).