AI Act para empresas: qué obligaciones están ya en vigor en 2026
Puede que en tu empresa nadie haya aprobado formalmente el uso de inteligencia artificial. Aun así, es bastante probable que ya esté presente. Un comercial utiliza ChatGPT para preparar una propuesta, marketing genera imágenes, administración resume documentos o atención al cliente trabaja con un chatbot. El uso empresarial de la IA suele empezar antes que sus normas internas.
Desde agosto de 2026 esa situación merece una revisión más seria. El AI Act europeo ya tiene buena parte de sus disposiciones en aplicación y las autoridades cuentan con competencias de supervisión.
Para muchas organizaciones, la primera tarea consiste simplemente en saber qué herramientas utilizan y para qué. El AI Act para empresas afecta de forma diferente según el uso concreto de la tecnología.
En Audita T, como expertos en certificaciones ayudamos a las organizaciones a revisar procesos, responsabilidades y controles internos. Cuando la inteligencia artificial entra en esos procesos, conviene incorporarla también a esa revisión. Trabajar con IA sin saber dónde se utiliza dificulta cualquier intento posterior de control.
Qué ha cambiado desde agosto de 2026
El Reglamento europeo de inteligencia artificial se ha ido aplicando por fases. Algunas disposiciones llevan vigentes desde 2025 y otras comenzaron a aplicarse el 2 de agosto de 2026. Además, determinados requisitos relacionados con sistemas considerados de alto riesgo cuentan con plazos posteriores. No existe una única fecha a partir de la cual todas las empresas deban hacer exactamente lo mismo.
Desde febrero de 2025 ya se aplican las prohibiciones relativas a determinados usos de IA. Las normas de gobernanza y las obligaciones dirigidas a proveedores de modelos de propósito general comenzaron a aplicarse en agosto de ese mismo año.
En agosto de 2026 han entrado en juego nuevas disposiciones y capacidades de supervisión. La aplicación del AI Act se ha diseñado de manera progresiva.
Esto obliga a mirar el caso concreto. Una empresa que compra una herramienta para redactar textos está en una situación distinta de una compañía que desarrolla un modelo propio, utiliza IA para seleccionar candidatos o introduce sistemas automatizados en procesos sensibles. La función que desempeña la empresa frente al sistema de IA condiciona sus obligaciones.
Lo primero es saber qué inteligencia artificial utiliza tu empresa
Antes de redactar políticas largas merece la pena hacer una comprobación mucho más sencilla. Pregunta a cada departamento qué herramientas está utilizando. Es habitual que aparezcan aplicaciones que dirección, informática o calidad ni siquiera tenían identificadas. Un inventario de usos de IA ofrece un punto de partida bastante útil.
No hace falta complicarlo. Puede recoger la herramienta, el departamento, su finalidad, qué tipo de información recibe y quién supervisa los resultados. Una hoja de cálculo puede ser suficiente en una primera fase. Lo importante es tener una imagen razonablemente completa de los usos actuales.
Audita T ya ha tratado esta cuestión en su artículo sobre gobernanza de inteligencia artificial en empresas. Allí se analizan controles internos como el inventario de herramientas, la revisión humana y las reglas de uso. Ese trabajo previo facilita mucho la adaptación a las obligaciones que correspondan.
Las obligaciones de transparencia ya afectan a determinados usos
Una de las novedades más visibles desde el 2 de agosto de 2026 está relacionada con la transparencia. El artículo 50 establece obligaciones para determinados sistemas y contenidos generados o manipulados mediante inteligencia artificial. En algunos casos la persona debe saber que está interactuando con una máquina.
Un ejemplo claro son ciertos sistemas diseñados para interactuar directamente con personas. Dependiendo de las circunstancias y de cómo se presente el servicio, habrá que informar de que existe esa interacción con IA.
Esto puede afectar a chatbots y otras interfaces automatizadas utilizadas por empresas. Ocultar completamente la intervención de la IA puede dejar de ser una decisión meramente comercial.
También existen obligaciones relacionadas con contenidos sintéticos o manipulados. Los proveedores de determinados sistemas generativos deben facilitar que los contenidos producidos puedan identificarse como generados o manipulados mediante IA.
Para algunos tipos de deepfakes y contenidos de interés público existen además deberes específicos de información. Marketing y comunicación son áreas que conviene revisar con especial atención.
Usar ChatGPT o una herramienta generativa no convierte automáticamente a tu empresa en proveedor
Aquí suele aparecer bastante confusión. Una compañía que utiliza una aplicación de terceros dentro de su trabajo no tiene necesariamente las mismas responsabilidades que la organización que desarrolla o comercializa el sistema. Proveedor e implementador ocupan posiciones diferentes dentro del AI Act.
Por ejemplo, una agencia puede utilizar un modelo generativo para preparar borradores internos. Otra compañía puede integrar un modelo en una aplicación propia que después ofrece a sus clientes. Aunque ambas utilizan inteligencia artificial, la relación con el sistema cambia considerablemente. Clasificar correctamente el papel de la organización evita aplicar obligaciones que no corresponden o ignorar las que sí.
Esta revisión puede hacerse herramienta por herramienta. Qué se ha contratado, quién controla el sistema, para qué se utiliza y qué decisiones depende de él. La respuesta puede variar incluso dentro de la misma empresa. Una organización puede desempeñar distintos papeles según cada caso de uso.
Hay usos de inteligencia artificial que directamente están prohibidos
El AI Act no se limita a pedir documentación. Determinadas prácticas están prohibidas porque se considera que generan un riesgo inaceptable para derechos y libertades. Estas restricciones comenzaron a aplicarse antes que buena parte del resto del Reglamento. Las prohibiciones deben revisarse antes de analizar medidas de cumplimiento más detalladas.
Entre ellas existen supuestos relacionados con manipulación perjudicial, explotación de vulnerabilidades o determinadas formas de puntuación social y evaluación de personas. La aplicación concreta depende de las características del sistema y de su finalidad. No conviene clasificar un uso únicamente por el nombre de la herramienta.
Una empresa que esté incorporando IA en recursos humanos, evaluación de personas, biometría o decisiones con consecuencias relevantes debería analizar con especial cuidado cómo funciona el sistema. Cuanto mayor sea el impacto de una decisión automatizada sobre una persona, más atención merece el proceso.
Qué ocurre con los sistemas considerados de alto riesgo
Una parte importante de las conversaciones sobre el AI Act gira alrededor de los sistemas de alto riesgo. Sin embargo, en septiembre de 2026 hay que manejar bien las fechas. Tras los cambios introducidos en el calendario europeo, determinadas obligaciones aplicables a estos sistemas llegarán más adelante. No todas las reglas de alto riesgo son exigibles desde agosto de 2026.
Las normas para casos de uso incluidos en determinadas áreas sensibles, como empleo, educación, biometría, infraestructuras críticas, migración o acceso a ciertos servicios, están previstas a partir del 2 de diciembre de 2027. Para sistemas de IA integrados en determinados productos regulados, el calendario se extiende hasta agosto de 2028. Que exista un plazo posterior no significa que sea buena idea ignorar el tema hasta entonces.
Si una empresa sospecha que alguno de sus sistemas puede entrar en estas categorías, puede aprovechar este periodo para identificarlo, revisar proveedores y ordenar su documentación. Esperar a que falten pocas semanas complica bastante cualquier adaptación. Preparar el sistema con tiempo permite repartir el trabajo y entender mejor dónde están los riesgos.
La seguridad de la información entra rápidamente en la conversación
Cuando preguntas cómo utiliza IA una empresa, tarde o temprano aparece otra cuestión: qué datos se están introduciendo en las herramientas.
Contratos, información de clientes, documentos internos, currículums o informes pueden acabar en plataformas externas sin que exista una decisión consciente sobre ello. El control de la información sigue siendo uno de los puntos más delicados del uso empresarial de IA.
Por eso resulta útil conectar la revisión del AI Act con los controles que la organización ya tenga sobre accesos, clasificación de información y proveedores tecnológicos. La consultoría de Seguridad de la información ISO 27001 de Audita T trabaja precisamente sobre este tipo de procesos y controles. La IA suele aprovechar información que ya estaba sujeta a otras responsabilidades dentro de la empresa.
También conviene revisar las condiciones del proveedor de la herramienta. Saber qué ocurre con los datos introducidos, quién puede acceder a ellos o qué configuración utiliza cada cuenta evita depender únicamente de instrucciones informales al equipo. La elección y configuración del proveedor forman parte del control del uso de IA.
La supervisión humana sigue teniendo mucho peso
Un empleado puede utilizar un asistente de IA para resumir un informe de veinte páginas y ahorrar bastante tiempo.
El problema aparece si nadie comprueba el resumen y después se utiliza para tomar una decisión importante. Automatizar una tarea no elimina la responsabilidad sobre su resultado.
La revisión humana debe adaptarse al riesgo. No requiere el mismo nivel de comprobación una propuesta de título para una publicación que un análisis utilizado en selección de personal o en una decisión que afecta a un cliente. La intensidad del control debería guardar relación con las consecuencias de un posible error.
Integrar esta revisión dentro de los procedimientos habituales evita crear un sistema paralelo dedicado únicamente a la IA. La consultoría de Calidad ISO 9001 puede servir para revisar cómo incorporar nuevos controles a los procesos que la empresa ya utiliza. Cuando una regla encaja en el trabajo cotidiano resulta más probable que se cumpla.
También conviene poder demostrar qué controles existen
Decir que una empresa supervisa el uso de la inteligencia artificial aporta poca información si nadie puede explicar cómo se hace. Conviene conservar evidencias razonables: herramientas autorizadas, responsables, revisiones realizadas, criterios de uso o incidencias detectadas. Un control que puede demostrarse resulta mucho más útil que una norma que nadie aplica.
No hace falta llenar la empresa de formularios nuevos. Parte de estas evidencias puede integrarse en documentación que ya existe. Una política interna, un registro de proveedores o un procedimiento de aprobación pueden adaptarse para recoger los aspectos relacionados con IA. El objetivo debería ser ordenar el funcionamiento, no multiplicar documentos sin necesidad.
Una auditoría interna puede sacar a la luz usos que nadie había previsto
Las herramientas de inteligencia artificial cambian rápido. También cambia la manera de utilizarlas. Un procedimiento escrito hace seis meses puede quedarse corto si los equipos han empezado a incorporar nuevas aplicaciones por su cuenta. Revisar periódicamente los usos ayuda a detectar diferencias entre las reglas y la práctica diaria.
Una auditoría de Calidad puede incorporar estas cuestiones dentro de la revisión de procesos cuando resulten relevantes para el sistema de la empresa. No tiene sentido mirar la IA como algo completamente separado si ya participa en ventas, atención al cliente, documentación o análisis. La utilidad de la auditoría aumenta cuando revisa cómo trabaja realmente el equipo.
Qué debería revisar ahora una empresa que utiliza IA
En septiembre de 2026 ya merece la pena abandonar la pregunta genérica de si el AI Act afectará algún día a la organización. Resulta más útil revisar dónde se utiliza IA, qué función cumple la empresa respecto a cada sistema y qué personas pueden verse afectadas. El análisis debe partir de casos de uso concretos.
Después habrá que comprobar si existe algún uso prohibido, si entran en juego obligaciones de transparencia y si alguno de los sistemas puede encajar en categorías que tendrán requisitos adicionales más adelante. Al mismo tiempo, es razonable revisar datos, proveedores, supervisión humana y documentación. Un mapa sencillo permite detectar qué áreas requieren atención inmediata y cuáles pueden planificarse.
En algunas empresas la revisión será breve porque utilizan herramientas de bajo riesgo para tareas auxiliares. En otras aparecerán aplicaciones mucho más sensibles. Tratar todas de la misma forma genera trabajo innecesario y puede hacer que se preste poca atención a las que realmente importan. El enfoque del AI Act está basado precisamente en el nivel de riesgo.
Prepararse para el AI Act sin convertirlo en otro proyecto aislado
La adaptación resulta más manejable cuando se conecta con procesos que la empresa ya tiene: gestión de proveedores, seguridad de la información, formación, control documental, incidencias o auditoría interna. De esa forma, la IA entra dentro de la organización en lugar de quedar en un manual que se consulta una vez al año. La integración con los sistemas existentes reduce duplicidades y facilita el seguimiento.
Para Audita T, este enfoque encaja especialmente bien con el trabajo de auditoría y consultoría de sistemas de gestión. Se pueden revisar procesos existentes y determinar dónde tiene sentido introducir controles relacionados con IA, sin empezar necesariamente desde cero. Cada empresa necesita ajustar las medidas a sus usos y a su nivel de exposición.
Si quieres revisar cómo se está utilizando la inteligencia artificial en tu organización y detectar qué aspectos deberías ordenar, puedes explicarnos tu situación mediante nuestro formulario de contacto. Una revisión inicial permite separar las obligaciones actuales de las que todavía tienen un plazo posterior.
