Qué ha cambiado con el Reglamento 2026/1744
El Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026, aplaza las obligaciones de alto riesgo del Anexo III al 2 de diciembre de 2027. Los sistemas integrados en productos con marcado CE tienen plazo hasta el 2 de agosto de 2028. Las obligaciones del artículo 4 (alfabetización) y del artículo 50 (transparencia) no se han aplazado.
Paso 1: Identifica qué IA usa tu empresa
Haz un inventario de todos los sistemas de IA que tu empresa utiliza, desarrolla o distribuye. Incluye herramientas como ChatGPT, Microsoft Copilot, sistemas de selección de personal, chatbots de atención al cliente, herramientas de análisis predictivo y cualquier software que tome decisiones automatizadas.
Para cada sistema, anota el proveedor, la versión, el uso que se le da y quién tiene acceso. Este inventario es el punto de partida de todo el cumplimiento.
Paso 2: Clasifica el riesgo de cada sistema
El AI Act clasifica los sistemas de IA en cuatro niveles de riesgo:
- Riesgo inaceptable: sistemas prohibidos. Incluye la manipulación subliminal, la puntuación social ciudadana y determinados usos de reconocimiento biométrico en tiempo real
- Alto riesgo: sistemas que afectan a derechos fundamentales o a sectores críticos. El Anexo III lista los usos: selección de personal, crédito, educación, infraestructuras críticas, aplicación de la ley, entre otros
- Riesgo limitado: sistemas con obligaciones de transparencia específicas, como chatbots o generadores de contenido sintético
- Riesgo mínimo: la mayoría de las herramientas de IA de uso general. No tienen obligaciones específicas del AI Act, aunque el artículo 4 aplica en todos los casos
Clasifica cada sistema de tu inventario en uno de estos niveles. La clasificación determina qué obligaciones tienes.
Paso 3: Forma a tu equipo (artículo 4, ya exigible)
El artículo 4 del AI Act obliga a las empresas a garantizar que las personas que trabajan con sistemas de IA tengan un nivel suficiente de alfabetización en inteligencia artificial. Esta obligación aplica desde febrero de 2025 y no está aplazada.
La formación tiene que ser adecuada al rol de cada persona. No es lo mismo la formación para quien toma decisiones sobre qué sistemas adquirir que para quien los usa en su trabajo diario. Documenta qué formación has proporcionado, a quién y cuándo.
Paso 4: Cumple con la transparencia (artículo 50, ya exigible)
El artículo 50 obliga a informar cuando las personas interactúan con sistemas de IA o cuando el contenido que reciben ha sido generado por IA. Las obligaciones concretas dependen del tipo de sistema:
- Los chatbots tienen que identificarse como sistemas automatizados al inicio de la interacción
- El contenido generado por IA que pueda confundirse con contenido real (deepfakes, audio sintético, texto) tiene que estar marcado
- Los sistemas de reconocimiento de emociones y los sistemas de categorización biométrica tienen que informar a las personas afectadas
Si usas IA generativa para crear contenido que publicas o distribuyes, revisa si necesitas añadir avisos de transparencia.
Paso 5: Cumple con las obligaciones de alto riesgo (plazo: diciembre 2027)
Si alguno de tus sistemas es de alto riesgo según el Anexo III, tienes hasta el 2 de diciembre de 2027 para cumplir con las obligaciones completas. Pero empezar antes es una ventaja: los requisitos son exigentes y la preparación lleva tiempo.
Las obligaciones como desplegador de un sistema de alto riesgo incluyen:
- Verificar que el proveedor ha cumplido con sus obligaciones (documentación técnica, declaración de conformidad, registro)
- Implementar los mecanismos de supervisión humana que el proveedor ha especificado
- Designar a las personas responsables de supervisar el sistema con formación adecuada
- Mantener registros de uso durante al menos seis meses
- En determinados casos (uso en el sector público o sistemas que afectan a grupos vulnerables), realizar una evaluación de impacto en derechos fundamentales (FRIA)
Paso 6: Documenta todo
El AI Act funciona sobre la base de la documentación: tienes que poder demostrar que cumples, no solo decir que cumples. Esto incluye el inventario de sistemas, la clasificación de riesgo con el razonamiento que la sustenta, los registros de formación, los contratos con proveedores que incluyan las cláusulas necesarias, y los registros de uso para los sistemas de alto riesgo.
La documentación tiene que estar actualizada. Si cambias de sistema, añades nuevas herramientas o cambias el uso de las existentes, actualiza el inventario y la clasificación.
Resumen de plazos
- Febrero 2025: Artículo 4 (alfabetización en IA) — ya exigible
- 2 de agosto de 2026: Artículo 50 (transparencia) — ya exigible
- 2 de diciembre de 2027: Obligaciones de alto riesgo del Anexo III
- 2 de agosto de 2028: Obligaciones de alto riesgo para IA integrada en productos con marcado CE
¿Necesitas ayuda para cumplir con el AI Act? En Adapta RGPD gestionamos el cumplimiento desde la clasificación hasta la documentación técnica, con las 193 medidas AESIA y seguimiento continuo. Consulta nuestra consultoría de AI Act o empieza con el test gratuito.
