AI Act · Actualizado a 12 de agosto de 2026
Lo que te toca depende del papel que ocupas y del riesgo del uso, no del tamaño de la empresa ni del sector.
Respuesta rápida
¿Qué obligaciones tiene mi empresa con el AI Act?
Si solo usas herramientas de IA de terceros eres responsable del despliegue, y te obligan el artículo 4 (formar a tu personal, desde febrero de 2025) y el artículo 50 (avisar de que hay IA y marcar el contenido sintético, desde agosto de 2026). Si desarrollas o comercializas sistemas bajo tu marca eres proveedor, con obligaciones de documentación, gestión de riesgos y gobernanza de datos.
Tu equipo trabaja con ChatGPT, Copilot, Gemini o Claude. No desarrolláis nada.
Eres responsable del despliegue. Te obliga el artículo 4 desde febrero de 2025, y el artículo 50 si publicáis contenido generado con IA o tenéis un asistente de cara al público.
Vuestro software llama a un modelo de un tercero y lo ofrecéis a vuestros clientes bajo vuestra marca.
Actúas como proveedor de ese sistema, aunque el modelo sea de otro. Se suman las obligaciones de documentación y transparencia, y las de alto riesgo si el uso cae en el Anexo III.
Entrenáis o ajustáis modelos, o construís sistemas de IA desde cero.
Proveedor a todos los efectos: gestión de riesgos, gobernanza de datos, documentación técnica y registro, con el calendario del Anexo III o del Anexo I según el caso.
Comercializáis herramientas de IA de otros sin modificarlas ni ponerles vuestra marca.
Distribuidor o importador. Debes verificar que el sistema cumple antes de ponerlo en el mercado y retirarlo si detectas que no.
Una misma empresa puede ocupar varios roles a la vez: usar Copilot internamente y, al mismo tiempo, vender un producto con IA incorporada.
Desarrolla un sistema de IA, o lo comercializa bajo su propia marca. Si contratas un desarrollo a medida y lo pones en el mercado con tu nombre, eres proveedor aunque no hayas escrito el código.
| Obligación | Exigible desde | Artículo |
|---|---|---|
| Garantizar competencia en IA en la plantilla El personal que usa o supervisa sistemas de IA debe tener formación suficiente para entender qué hace la herramienta, dónde falla y cuándo hay que revisar su salida. El nivel exigible depende del puesto y del riesgo del sistema. | 2 de febrero de 2025 | Art. 4 |
| No emplear prácticas prohibidas Revisar que ninguna herramienta en uso caiga en los supuestos del artículo 5, incluidas las funciones que un proveedor añade en una actualización sin que nadie las haya pedido. | 2 de febrero de 2025 | Art. 5 |
| Avisar de que se interactúa con una IA En el primer contacto y de forma clara. No hace falta si resulta evidente por el contexto para una persona razonablemente informada, pero la carga de justificar esa evidencia recae en quien despliega el sistema. | 2 de agosto de 2026 | Art. 50 |
| Marcar el contenido generado con IA El texto, la imagen, el audio y el vídeo sintéticos deben llevar un marcado legible por máquina. En las ultrafalsificaciones, además, hay que informar de forma visible para la persona que lo consume. | 2 de agosto de 2026 | Art. 50 |
| Mantener un sistema de gestión de riesgos Proceso continuo durante todo el ciclo de vida: identificar riesgos previsibles, estimar su impacto, adoptar medidas y volver a evaluar tras cada cambio relevante. | 2 de diciembre de 2027 | Art. 9 |
| Documentar la gobernanza de los datos de entrenamiento Origen, criterios de selección, tratamiento de sesgos y representatividad respecto a las personas sobre las que el sistema decide. | 2 de diciembre de 2027 | Art. 10 |
| Conservar los registros de funcionamiento Los sistemas de alto riesgo generan trazas automáticas, y quien los despliega debe conservarlas durante el periodo que fije la norma para poder reconstruir una decisión concreta. | 2 de diciembre de 2027 | Arts. 12 y 26 |
Usa un sistema de IA bajo su autoridad en una actividad profesional. Es el papel que ocupa la mayoría de las empresas: usan herramientas de terceros sin desarrollar nada.
| Obligación | Exigible desde | Artículo |
|---|---|---|
| Garantizar competencia en IA en la plantilla El personal que usa o supervisa sistemas de IA debe tener formación suficiente para entender qué hace la herramienta, dónde falla y cuándo hay que revisar su salida. El nivel exigible depende del puesto y del riesgo del sistema. | 2 de febrero de 2025 | Art. 4 |
| No emplear prácticas prohibidas Revisar que ninguna herramienta en uso caiga en los supuestos del artículo 5, incluidas las funciones que un proveedor añade en una actualización sin que nadie las haya pedido. | 2 de febrero de 2025 | Art. 5 |
| Avisar de que se interactúa con una IA En el primer contacto y de forma clara. No hace falta si resulta evidente por el contexto para una persona razonablemente informada, pero la carga de justificar esa evidencia recae en quien despliega el sistema. | 2 de agosto de 2026 | Art. 50 |
| Marcar el contenido generado con IA El texto, la imagen, el audio y el vídeo sintéticos deben llevar un marcado legible por máquina. En las ultrafalsificaciones, además, hay que informar de forma visible para la persona que lo consume. | 2 de agosto de 2026 | Art. 50 |
| Asignar supervisión humana con competencia real En sistemas de alto riesgo, la persona que supervisa necesita formación, autoridad para detener el sistema y medios para entender su salida. Una casilla de revisión que nadie mira no cumple el requisito. | 2 de diciembre de 2027 | Art. 26 |
| Conservar los registros de funcionamiento Los sistemas de alto riesgo generan trazas automáticas, y quien los despliega debe conservarlas durante el periodo que fije la norma para poder reconstruir una decisión concreta. | 2 de diciembre de 2027 | Arts. 12 y 26 |
| Informar a las personas afectadas por una decisión Cuando un sistema de alto riesgo interviene en una decisión que afecta a una persona, esta puede pedir una explicación del papel que tuvo el sistema. | 2 de diciembre de 2027 | Art. 86 |
Introduce en el mercado de la Unión un sistema de IA de una empresa establecida fuera.
| Obligación | Exigible desde | Artículo |
|---|---|---|
| No emplear prácticas prohibidas Revisar que ninguna herramienta en uso caiga en los supuestos del artículo 5, incluidas las funciones que un proveedor añade en una actualización sin que nadie las haya pedido. | 2 de febrero de 2025 | Art. 5 |
Comercializa un sistema de IA en la cadena de suministro sin ser proveedor ni importador.
| Obligación | Exigible desde | Artículo |
|---|---|---|
| No emplear prácticas prohibidas Revisar que ninguna herramienta en uso caiga en los supuestos del artículo 5, incluidas las funciones que un proveedor añade en una actualización sin que nadie las haya pedido. | 2 de febrero de 2025 | Art. 5 |
De todas las obligaciones de la tabla, solo dos afectan hoy a la mayoría de empresas españolas: formar a quien usa IA y declarar cuándo hay IA de por medio. El resto llega con el alto riesgo, y buena parte de las empresas nunca entrará en esa categoría.
Un inventario de qué herramientas usa cada equipo, para qué, y con qué datos, resuelve la pregunta de si estás en alto riesgo y sirve como base del registro que pide el artículo 4. Puedes empezar midiendo el nivel actual de tu equipo con la evaluación gratuita de competencias en IA.