Ley de IA europea en 2026: qué deben revisar las empresas españolas antes de agosto

La Ley de IA europea, conocida como AI Act, entra en 2026 en una fase que ya no permite tratar la inteligencia artificial como un experimento aislado. La Comisión Europea explica que el reglamento entró en vigor el 1 de agosto de 2024 y que será plenamente aplicable dos años después, el 2 de agosto de 2026, con excepciones y fases para determinados tipos de sistemas. Comisión Europea

Para una empresa española, la pregunta práctica no es “¿me afecta la ley?” sino “¿qué usos de IA tengo ya dentro y cuáles pueden crear obligaciones?”. Muchas compañías usan asistentes para redactar, chatbots, herramientas de análisis comercial, filtros de candidatos, scoring de leads, automatización documental o generación de imágenes. Algunas no se perciben a sí mismas como empresas de IA, pero sí están tomando decisiones o prestando servicios apoyados en IA.

Por qué importa ahora

Importa porque agosto de 2026 ya está dentro del ciclo de planificación de muchas empresas. Los contratos de software, la selección de proveedores, los procesos de RRHH, la atención al cliente y las automatizaciones no se cambian en una semana. Si una compañía descubre tarde que un uso de IA necesita documentación, supervisión o transparencia, tendrá que corregir con el sistema ya funcionando.

La Comisión Europea y el AI Act Service Desk sitúan el 2 de agosto de 2026 como fecha en la que empieza la aplicación de la mayoría de reglas, incluidas normas de transparencia y parte de las reglas sobre sistemas de alto riesgo, dentro de un calendario más amplio. AI Act Service Desk La lectura prudente es sencilla: no esperes a que cada detalle esté cerrado para hacer inventario y gobierno interno.

También importa por reputación. Un cliente puede aceptar que una empresa use IA para resumir tickets o ayudar a redactar respuestas. Pero reaccionará distinto si descubre que una decisión sensible se tomó automáticamente sin explicación, sin supervisión o con datos que no esperaba que se usaran.

Lo primero: inventario real de IA

El inventario debe ser concreto. No basta con decir “usamos IA en marketing”. Hay que listar herramienta, proveedor, finalidad, datos utilizados, usuarios internos, salida generada, revisión humana, contratos, ubicación de datos y responsable. Es mejor empezar con una hoja sencilla que esperar a una plataforma de gobierno perfecta.

Incluye herramientas oficiales y usos informales. La shadow AI suele aparecer cuando un empleado copia datos en una herramienta externa para ahorrar tiempo. Puede haber intención legítima, pero el riesgo está en los datos: clientes, contratos, salarios, currículos, incidencias, código o información comercial.

El inventario debe distinguir tres escenarios. Primero, IA usada como ayuda interna sin tomar decisiones por sí sola. Segundo, IA integrada en procesos que afectan a clientes, empleados o proveedores. Tercero, IA ofrecida como parte de un producto o servicio. Cada escenario exige un nivel distinto de control.

Clasificación de riesgos sin dramatizar

No todo sistema de IA es alto riesgo. Un asistente para resumir actas internas no es lo mismo que una herramienta que clasifica candidatos, concede acceso a servicios o evalúa rendimiento laboral. La AI Act trabaja con categorías de riesgo y obligaciones para proveedores y desplegadores. Por eso la clasificación debe partir del uso real, no del nombre comercial de la herramienta.

Una empresa debería preguntar: ¿la IA influye en derechos, oportunidades, empleo, crédito, educación, salud o acceso a servicios? ¿La persona puede impugnar o pedir revisión? ¿Hay supervisión humana efectiva o solo una firma simbólica? ¿Se informa al usuario de que interactúa con IA cuando corresponde?

El objetivo no es meter miedo, sino evitar sorpresas. Si el uso es de bajo impacto, bastará con buenas prácticas, seguridad, contratos y transparencia razonable. Si el uso puede afectar a personas, necesita más documentación, pruebas, control de sesgos, explicabilidad y revisión.

Transparencia y contenido generado

Las obligaciones de transparencia serán una de las zonas más visibles. Si una persona conversa con un chatbot, si se genera contenido sintético o si se automatiza una interacción relevante, la empresa debe pensar cómo avisar de forma clara. No basta con esconder una frase legal al final de una política de privacidad.

La transparencia también protege al negocio. Un chatbot que se presenta como ayuda automatizada genera expectativas distintas a uno que simula ser una persona. Una imagen generada para marketing tiene un riesgo distinto a una imagen generada para acreditar un hecho. El contexto manda.

En comunicación, la regla práctica es simple: informa cuando el usuario pueda confundirse, cuando el resultado pueda influir en una decisión o cuando el contenido sintético pueda parecer real. Cuanto más sensible sea el contexto, más clara debe ser la explicación.

Proveedores, contratos y datos

Muchas empresas no construirán modelos propios. Comprarán herramientas. Eso no elimina responsabilidad. Antes de contratar, pide documentación sobre uso de datos, entrenamiento, seguridad, registros, subencargados, ubicación, retención, opciones de borrado y soporte ante incidencias. Si el proveedor no puede explicar cómo maneja tus datos, quizá no es proveedor para un uso sensible.

También conviene revisar contratos existentes. Herramientas que antes eran simples SaaS han añadido funciones de IA sin que nadie revise condiciones. Un CRM, una suite de oficina o una plataforma de soporte puede incorporar resúmenes, scoring o generación automática. No asumas que todo está cubierto por el contrato antiguo.

Qué hacer en los próximos 60 días

Crea un responsable interno de IA, aunque sea parcial. Haz inventario. Clasifica usos por impacto. Prohíbe temporalmente meter datos sensibles en herramientas no aprobadas. Revisa los tres proveedores más críticos. Prepara una política de uso de una página. Define quién aprueba nuevos casos. Y forma al equipo con ejemplos, no con teoría.

No hace falta resolver todo en una semana. Pero sí conviene dejar de improvisar. La IA ya forma parte de procesos reales y la regulación empuja a documentar lo que antes quedaba en conversaciones sueltas.

Qué puede pasar después

Durante 2026 veremos más guías, más contratos tipo, más consultoría y más ruido comercial alrededor de la AI Act. Algunas empresas venderán cumplimiento como si fuera un sello rápido. La realidad será más operativa: saber qué IA usas, con qué datos, para qué decisión, con qué revisión y con qué proveedor.

La conclusión es clara: la empresa que llegue a agosto de 2026 con inventario, política, contratos revisados y supervisión humana real estará en mejor posición que la que espere a una alerta legal. La regulación no debería paralizar la innovación, pero sí obliga a dejar de usar IA a ciegas.

Checklist de madurez para no llegar tarde

Una forma práctica de avanzar es puntuar cada uso de IA con cinco preguntas. Primera: qué decisión ayuda a tomar o qué contenido genera. Segunda: qué datos entran. Tercera: quién revisa la salida. Cuarta: qué daño se produciría si falla. Quinta: qué proveedor o equipo puede explicar el funcionamiento. Si alguna respuesta queda en blanco, ese uso no está listo para escalar.

Después conviene separar tareas por urgencia. Los usos con datos personales, empleados, clientes, precios, crédito, salud, educación o evaluación de personas deben revisarse antes que los usos creativos de bajo impacto. Un chatbot público que responde a clientes también merece prioridad porque representa a la empresa y puede inducir a error si improvisa respuestas.

El comité no tiene por qué ser grande. En una pyme basta con alguien de negocio, alguien técnico o proveedor de confianza, y quien lleve legal o privacidad. El objetivo no es frenar cada caso, sino hacer que nadie despliegue IA sin saber qué datos toca, qué promesa hace y cómo se corrige si falla.

Señales de que un proveedor no está listo

Desconfía si el proveedor responde con frases generales cuando preguntas por datos, logs, seguridad, subprocesadores, entrenamiento, borrado, auditoría o ubicación. Una herramienta puede ser excelente para usos públicos y aun así no encajar con información sensible. También desconfía si no permite desactivar funciones de entrenamiento, exportar registros o delimitar permisos.

Pide documentación proporcional al riesgo. Para un asistente de redacción interna, quizá basta con condiciones claras y política de datos. Para un sistema que clasifica candidatos o puntúa clientes, necesitas más: evaluación de impacto, revisión humana, pruebas, trazabilidad y contrato robusto.

Ejemplo práctico de priorización

Una tienda online que usa IA para redactar descripciones de producto tiene un riesgo moderado: debe revisar exactitud, claims y derechos, pero no decide sobre personas. La misma tienda usando IA para bloquear pedidos por sospecha de fraude entra en una zona mucho más sensible, porque puede afectar a clientes legítimos. Una asesoría que usa IA para resumir normativa debe controlar fuentes y revisión profesional; si la usa para enviar recomendaciones fiscales automáticas, el riesgo sube.

La regla es clara: cuanto más se acerque la IA a una decisión relevante, más control necesita. Prepararse para la AI Act no es rellenar papeles, sino entender dónde la automatización puede equivocarse y quién responde.

Cómo decidir hoy sin sobreactuar

Antes de convertir esta guía en una lista de compras, tareas o cambios, conviene hacer una pausa y separar tres niveles: lo urgente, lo importante y lo opcional. Lo urgente es aquello que evita un riesgo claro esta semana: una cuenta sin doble factor, una ruta de viaje sin preparar, una compra incompatible, una web que no convierte o un proveedor que no puede explicar qué hace con tus datos. Lo importante es lo que mejora tu posición en los próximos meses: documentación, medición, procesos, comparativas serias y revisiones periódicas. Lo opcional es lo que puede esperar sin coste real.

La mejor decisión suele salir de una tabla sencilla. En la primera columna escribe el problema. En la segunda, qué pasa si no haces nada durante treinta días. En la tercera, qué solución mínima lo reduce. En la cuarta, cuánto tiempo y dinero requiere. En la quinta, cómo sabrás si funcionó. Si no puedes rellenar la última columna, quizá no estás ante una decisión madura, sino ante una reacción a una tendencia.

También conviene evitar el sesgo de herramienta. En temas digitales, muchas conversaciones saltan demasiado rápido a comprar software, gadget, plataforma, cargador, hosting, app o servicio. A veces es necesario. Otras veces basta con ordenar una política, cambiar un hábito, revisar una configuración, actualizar una página, mejorar una ficha, limpiar datos o formar a una persona. La tecnología multiplica procesos buenos y malos; no arregla por sí sola una decisión mal planteada.

Si hay dinero o datos personales de por medio, añade una revisión extra. Comprueba fuentes, condiciones, privacidad, soporte, exportación, devoluciones, propiedad de cuentas y dependencia futura. Si hay afiliación o recomendación comercial, exige todavía más claridad: qué problema resuelve, para quién no encaja y qué no se está prometiendo. Una recomendación útil debe ayudarte a descartar, no solo a comprar.

Por último, fija una revisión. Muchas decisiones digitales caducan: cambia una norma, una plataforma, una campaña, un algoritmo, un evento o una necesidad familiar. Marca una fecha para volver a mirar si la decisión sigue teniendo sentido. El objetivo no es acertar para siempre, sino tomar una decisión razonable con la información actual y dejar una salida ordenada si el contexto cambia.