Ley europea de IA (AI Act): qué aplica ya a empresas y startups y qué se ha aplazado hasta 2027

Calendario del Reglamento de Inteligencia Artificial tras el Ómnibus Digital: prohibiciones y alfabetización desde 2025, transparencia desde agosto de 2026 y alto riesgo (como el scoring crediticio) aplazado a diciembre de 2027.

El Reglamento europeo de Inteligencia Artificial (AI Act, Reglamento UE 2024/1689) se aplica por fases. En 2026 ya obliga a cualquier empresa que use IA a formar a su equipo, a no usar prácticas prohibidas y, desde el 2 de agosto de 2026, a avisar cuando alguien habla con un chatbot o ve contenido generado por IA. Las obligaciones más exigentes, las de los sistemas de alto riesgo como el scoring crediticio, se han aplazado al 2 de diciembre de 2027.

En resumen

Desde febrero de 2025: prácticas prohibidas y obligación de alfabetización en IA.

Desde agosto de 2025: obligaciones para los modelos de IA de uso general y régimen de sanciones.

Desde el 2 de agosto de 2026: transparencia (chatbots, deepfakes, contenido generado).

Aplazado por el Ómnibus Digital: alto riesgo del anexo III (por ejemplo, evaluar la solvencia de personas) hasta el 2 de diciembre de 2027; el del anexo I, hasta el 2 de agosto de 2028.

Qué es el AI Act

Es la primera ley general sobre inteligencia artificial del mundo. Clasifica los sistemas de IA por nivel de riesgo y pone más obligaciones cuanto mayor es el riesgo:

Riesgo inaceptable: prohibido (por ejemplo, la puntuación social de personas o la manipulación que explota vulnerabilidades).
Alto riesgo: permitido con requisitos estrictos de datos, documentación, supervisión humana y registro.
Riesgo limitado: obligaciones de transparencia.
Riesgo mínimo: sin obligaciones específicas, más allá de la alfabetización.

Entró en vigor el 1 de agosto de 2024 y se aplica de forma escalonada.

El calendario, tras el Ómnibus Digital

En junio de 2026 la Unión Europea adoptó el Ómnibus Digital, que retrasó parte del calendario. Así queda:

Desde	Qué se aplica
2 de febrero de 2025	Prácticas prohibidas y alfabetización en IA
2 de agosto de 2025	Modelos de IA de uso general y sanciones
2 de agosto de 2026	Transparencia (artículo 50)
2 de diciembre de 2027	Alto riesgo del anexo III (aplazado)
2 de agosto de 2028	Alto riesgo del anexo I, en productos regulados (aplazado)

Qué significa para bancos, fintech y startups financieras

Scoring crediticio y seguros: evaluar la solvencia de personas físicas o fijar precios de seguros de vida y salud con IA son casos de alto riesgo del anexo III. Hay más margen, hasta diciembre de 2027, pero los requisitos (calidad de datos, documentación técnica, supervisión humana) llevan tiempo: conviene empezar ya.
Chatbots de atención al cliente: desde agosto de 2026, el cliente debe saber que habla con una IA.
Contenido generado: las imágenes, audios o vídeos sintéticos que parezcan reales deben marcarse como tales.
Formación: el personal que usa IA debe tener un nivel suficiente de conocimiento. Esta obligación ya está en vigor.

Quién lo supervisa en España

La Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña, es la autoridad de referencia, junto con los supervisores sectoriales (por ejemplo, el Banco de España o la CNMV en sus ámbitos). Las multas por usar prácticas prohibidas pueden llegar a 35 millones de euros o el 7 % de la facturación mundial.

Checklist para empezar

Haz un inventario de los sistemas de IA que usa tu empresa (incluidos los de proveedores).
Clasifica cada uno por nivel de riesgo.
Revisa que ninguno entre en las prácticas prohibidas.
Pon en marcha la formación en IA del equipo y documéntala.
Añade los avisos de transparencia en chatbots y contenido generado.
Si tienes casos de alto riesgo, prepara un plan para cumplir antes de diciembre de 2027.

Preguntas frecuentes

¿El AI Act afecta a una startup pequeña?

Sí, si desarrolla o usa IA en la UE. Las obligaciones dependen del riesgo del sistema, no del tamaño de la empresa, aunque hay medidas de apoyo para pymes como los entornos de pruebas regulatorios.

¿Usar ChatGPT o Claude en la empresa me obliga a algo?

Como usuario, sobre todo a la alfabetización del equipo y a la transparencia si publicas contenido generado o lo usas para atender a clientes.

¿Qué ha cambiado con el Ómnibus Digital?

Ha aplazado las obligaciones de alto riesgo. Las prohibiciones, la alfabetización, las reglas de los modelos de uso general y la transparencia siguen con su calendario.

La IA aplicada a pagos, trading y análisis fue uno de los ejes de DEXT FORCE 2025 (crónica de DF25). En 2027 volverá: apúntate a la lista de espera.

Este artículo es informativo y no constituye asesoramiento legal.