Imagen generada con IA
Actualizado el 7 de octubre de 2026 con el texto publicado del Digital Omnibus (Reglamento UE 2026/1744) y la situación de la ley española de IA.
El 2 de agosto de 2026 pasó. Y si esperas que venga aquí a decirte que tienes 35 millones en multas encima de la mesa, te voy a decepcionar. La realidad es bastante más matizada, y entenderla bien vale más que cualquier titular apocalíptico.
El 2 de agosto empezó a aplicarse el bloque más amplio del AI Act (Reglamento UE 2024/1689, art. 113), la ley europea de inteligencia artificial. La AESIA —Agencia Española de Supervisión de la Inteligencia Artificial— será la autoridad que vigile su cumplimiento en España. Pero la ley española que la designa y le da el poder de multar todavía está en el Congreso. Y lo que mucha gente no sabe es que la parte más exigente de la ley se aplazó oficialmente a diciembre de 2027. Y las multas millonarias, en la práctica, no están pensadas para la carnicería del barrio ni para el taller del pueblo.
Veamos con datos qué cambió, qué no, y las tres cosas concretas que sí debes tener en orden.
Qué entró en vigor el 2 de agosto (de verdad)
El artículo 50 —la obligación de avisar a los usuarios cuando hablan con una IA— empieza a aplicarse el 2 de agosto de 2026. El art. 113 del Reglamento lo dice así: «Será aplicable a partir del 2 de agosto de 2026», y el art. 50 no está entre las excepciones con fecha anterior.
Las obligaciones de los proveedores de modelos de IA de propósito general (los que crean modelos como GPT, Claude o Gemini) se aplican desde el 2 de agosto de 2025. Lo que empieza ahora es el poder de la Comisión Europea para multarlos (art. 101). Esto afecta a las grandes tecnológicas, no a las pymes que usan esas herramientas.
En la práctica, el cambio real para la mayoría de pymes españolas es este: el aviso de IA en los chatbots ya es una obligación exigible, y no una recomendación. El art. 50.1 la pone sobre el proveedor del chatbot, pero el chatbot está en tu web y la queja de un cliente te llegará a ti.
Lo que muchos no saben: el Annex III se aplazó a 2027
El Parlamento Europeo votó el Digital Omnibus sobre IA el 16 de junio de 2026 y el Consejo lo adoptó el 29 de junio. Es el Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026. Aplaza las obligaciones de los sistemas de IA de alto riesgo del Anexo III desde el 2 de agosto de 2026 hasta el 2 de diciembre de 2027 (Reglamento UE 2026/1744, DOUE de 24-jul-2026).
El Anexo III incluye los sistemas de IA que más asustan: los que se usan para selección de personal, para evaluar la solvencia antes de conceder un préstamo, para fijar el precio de un seguro de vida o de salud, o para la identificación biométrica. Los que tienen mayor impacto sobre las personas.
Lo que significa para una pyme típica: si tu negocio usa ChatGPT para redactar correos, un chatbot para atender clientes o automatizaciones para facturas y citas, no estás en el Anexo III. Esos sistemas son de riesgo limitado o mínimo, y sus obligaciones siguen siendo básicamente las mismas de siempre: avisar de que es IA (art. 50) y tomar medidas para formar al equipo (art. 4).
Los que sí deben prepararse para diciembre de 2027 son, entre otros, bancos, aseguradoras, empresas que usan IA para filtrar candidatos o para evaluar el rendimiento de sus trabajadores, y centros que usan IA para evaluar a sus alumnos. La lista completa está en el Anexo III del Reglamento. La IA que forma parte de un producto sanitario, como un software de diagnóstico, sigue otro calendario: el Anexo I, aplazado al 2 de agosto de 2028. Si tu pyme no usa la IA para ninguno de los fines del Anexo III, el grueso de esas obligaciones no te toca por ahora.
Las multas reales para una pyme española
Aquí viene lo que nadie explica bien: las multas del AI Act son proporcionales, no absolutas.
El artículo 99 del Reglamento establece tres tramos:
- Hasta 35 M€ o el 7 % de la facturación global por prácticas prohibidas (por ejemplo, técnicas subliminales que manipulan a las personas).
- Hasta 15 M€ o el 3 % de la facturación por incumplir obligaciones de proveedor o de transparencia, entre ellas las del art. 50.
- Hasta 7,5 M€ o el 1 % de la facturación por dar información incorrecta a las autoridades.
Para una empresa grande se aplica el importe que sea mayor. Para pymes y empresas emergentes, el art. 99.6 dice lo contrario: se aplica el porcentaje o el importe «según cuál de ellos sea menor». Y el art. 99.1 obliga a tener en cuenta los intereses de las pymes y su viabilidad económica al fijar la sanción.
Imagina una pyme con 2 millones de euros de facturación anual que incumple el artículo 50 (no avisa de que su chatbot es una IA). Su techo es el 3 % de esos 2 M€, es decir, 60.000 euros. No 15 millones. Si su facturación fuera de 500.000 euros, el techo sería de 15.000 euros. Son máximos: la multa concreta la gradúa la autoridad.
¿Son 15.000 o 60.000 euros una cifra que da miedo? Sí. ¿Son los 35 millones que aparecen en los titulares? No.
Quién está realmente en el punto de mira
En España, quién multa y con cuánto lo decide el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial. El Congreso lo publicó el 12 de junio de 2026 y sigue en tramitación (BOCG, serie A, núm. 97-1). El texto dice: «Se confiere la potestad sancionadora a las autoridades competentes designadas por la presente ley». La AESIA es una de ellas.
No hay cifras oficiales de cuántas empresas investiga la AESIA ni de en qué sectores. Tampoco las hay de la AEPD: la cifra de «147 expedientes de IA» que circula en algunos artículos no la publica la Agencia, que no clasifica sus procedimientos por la tecnología empleada (Digital Perito).
Esto no significa que puedas ignorar la ley. El art. 50 ya obliga, y la queja de un cliente puede llevar tu chatbot ante la autoridad.
Lo que sí debes tener en orden ahora mismo
Si ya seguiste el checklist de nuestra guía pre-deadline del AI Act para pymes, probablemente estás bien. Si no lo leíste, aquí van las tres cosas que necesitas hacer esta semana:
1. El aviso de IA en tu chatbot (art. 50): Cualquier chatbot o asistente virtual que tengas —en tu web, en WhatsApp o en cualquier canal— debe avisar al usuario de que está hablando con una IA, como tarde en la primera interacción (art. 50.5), salvo que resulte evidente. No hace falta un texto largo, pero sí que diga que es una IA: «Hola, soy el asistente virtual de [empresa], una inteligencia artificial». Si tienes un chatbot de atención al cliente, revisa que ese mensaje esté activo.
2. La sesión de formación documentada (art. 4): Este artículo se aplica desde febrero de 2025, y el Digital Omnibus lo reescribió el 27 de julio de 2026. Ahora la empresa debe adoptar «medidas para apoyar la promoción de la alfabetización en materia de IA» de su personal, y el texto aclara que no tiene que garantizar un nivel concreto (Reglamento UE 2026/1744). La Comisión Europea indica que no hace falta certificado y que las empresas pueden «keep an internal record of trainings» (llevar un registro interno de las formaciones) (preguntas y respuestas sobre alfabetización en IA). Nuestra recomendación: una sesión interna de 30-45 minutos sobre qué herramientas de IA usáis —ChatGPT, Copilot, lo que sea—, para qué y con qué limitaciones, y un correo de resumen al equipo que la deje registrada. Si quieres una formación más estructurada con certificado y documentación legal, tenemos una guía completa sobre la obligación de formación en IA y también impartimos esa formación directamente.
3. El inventario de herramientas: Si la AESIA te pide información, lo primero que buscará es que sepas qué herramientas de IA usas y para qué. Una hoja de cálculo simple con nombre de la herramienta, uso principal, nivel de riesgo y si cumple el art. 50 es suficiente. Dedícale 30 minutos hoy y tenlo en algún lugar accesible.
Coste real y qué no merece la pena
Según nuestra estimación, las tres acciones anteriores llevan entre dos y cuatro horas en total. No necesitas contratar a nadie ni pagar ningún software específico.
Lo que NO merece la pena si eres una pyme de servicios:
- Contratar una auditoría de cumplimiento completa que cueste miles de euros (eso es para sistemas de alto riesgo del Anexo III, no para un chatbot de FAQ).
- Registrarte en ningún organismo público (el registro es solo para sistemas de alto riesgo).
- Preocuparte por las obligaciones de los proveedores de modelos (eso lo gestionan OpenAI, Anthropic, Google, no tú).
La limitación honesta: el AI Act está vivo. La Ley de IA española todavía está en el Parlamento y puede añadir obligaciones específicas cuando se apruebe. La AESIA irá publicando guías y criterios de interpretación a lo largo de 2026 y 2027. Tener el inventario actualizado y las dos obligaciones básicas en orden (art. 50 + art. 4) es el suelo desde el que moverse cuando lleguen más novedades.
Una dificultad práctica con el inventario: el 82 % de los empleados españoles que usan IA ha usado alguna vez herramientas que su empresa no le da, sin informar, según el estudio de Cegid y OpinionWay que recoge Revista Byte (1-sep-2026). Si no tienes una política de uso de IA, es probable que ya haya datos de clientes en herramientas como ChatGPT gratuito sin que lo sepas: ese es el riesgo RGPD que llega antes que la AESIA.
Si usas automatizaciones con agentes de IA que procesan datos de clientes, ahora también es buen momento para revisar que esos sistemas están documentados en tu inventario, especialmente si procesan datos personales —ahí el RGPD y el AI Act se solapan.
Si el inventario revela que algún SaaS retiene datos tuyos sin entregarlos fácilmente, el Reglamento de Datos UE —aplicable desde el 12 de septiembre de 2025 (Reglamento UE 2023/2854, art. 50)— te da derechos de portabilidad exigibles: el post Data Act: cómo reclamar tus datos al SaaS que no los suelta explica el procedimiento.
Si tienes dudas sobre si tu negocio entra en alguna categoría de alto riesgo del Anexo III —por ejemplo, si usas IA para evaluar candidatos o para decisiones sobre crédito— consulta con un abogado especializado antes de dar el paso. En Happy Automating realizamos auditorías básicas de cumplimiento para pymes: revisamos qué herramientas de IA usas, las clasificamos y te entregamos el inventario documentado. Pídenos presupuesto y lo preparamos contigo.
En resumen
El 2 de agosto llegó y el AI Act se aplica casi entero. La ley española que reparte las multas sigue en el Congreso. El Anexo III —los sistemas de alto riesgo más exigentes— queda aplazado hasta diciembre de 2027. Para una pyme, el techo de la multa es el porcentaje de su facturación o el importe fijo, el que sea menor: no los 35 millones que circulan por Twitter. Lo que sí es real y exigible ahora: el aviso de IA en tu chatbot (art. 50), medidas para formar a tu equipo en IA (art. 4) y saber qué herramientas de IA usas. Tres cosas. Una tarde.