Checklist AI Act: qué te obliga hoy, qué llega en diciembre y qué espera a 2027

Actualizado: 16 de octubre de 2026

El Reglamento europeo de inteligencia artificial se aplica con carácter general desde el 2 de agosto de 2026, y una parte de sus obligaciones rige desde 2025. En España, sin embargo, ninguna autoridad puede todavía multar a una empresa por incumplirlo. El Reglamento deja en manos de cada Estado el régimen de sanciones y la autoridad que lo aplica, y la ley española que debía ocuparse de ambas cosas caducó con la disolución de las Cortes en octubre de 2026.

Cuando publicamos este checklist en julio, escribimos con el reloj de agosto en la mano, como casi todo el sector, y fuimos más deprisa que la realidad. Esta versión corrige el tono. Separa lo que te obliga de lo que alguien puede sancionarte hoy, repasa qué Estados ya tienen su ley y cuál es la única vía de multa que funciona, y termina con doce preguntas acompañadas del documento que prueba cada respuesta afirmativa. Nada de eso exige correr. Sí conviene hacerlo antes de que llegue la ley.

¿Prefieres hacerlo en modo interactivo? Haz el test de autoevaluación: las mismas doce preguntas, dos minutos y resultado inmediato.

En España las obligaciones corren y nadie puede multar

El Reglamento encarga a cada Estado miembro dos piezas: el régimen de sanciones y la autoridad que lo aplica. Sin ellas, la norma europea obliga igual, porque es de aplicación directa, pero nadie tiene competencia para abrir un expediente sancionador por incumplirla, ya que en España solo una ley puede tipificar infracciones administrativas. El plazo europeo para tener ambas piezas listas venció el 2 de agosto de 2025.

España las había metido en un proyecto de ley orgánica que designaba a la AESIA autoridad de vigilancia del mercado y regulaba el procedimiento sancionador. Seguía en comisión cuando el Real Decreto 806/2026 disolvió las Cortes y convocó elecciones para el 29 de noviembre, y con la disolución caducan todos los asuntos pendientes del Congreso. Las nuevas Cámaras se constituyen el 23 de diciembre y la ley tendrá que tramitarse desde el principio. Mientras tanto, la AESIA puede supervisar y pedir información, y la AEPD sigue actuando con el RGPD cuando el sistema trata datos personales. El reparto completo está en quién supervisa la IA en España mientras la ley no llega.

El retraso no es exclusivo de España. A mediados de octubre de 2026, solo unos pocos Estados han aprobado la ley que permite a su autoridad multar:

• Eslovenia publicó la suya el 6 de noviembre de 2025.
• Hungría la tiene en vigor desde el 1 de diciembre de 2025.
• Finlandia, desde el 1 de enero de 2026, con una regla expresa: la multa por prácticas prohibidas no alcanza a hechos anteriores a esa fecha.
• Polonia publicó la suya el 27 de julio de 2026.
• Alemania, desde el 29 de julio de 2026, con la Agencia Federal de Redes como autoridad general.
• Irlanda, desde el 31 de julio de 2026, con un sistema en el que cada multa necesita la confirmación del High Court para surtir efecto.
• Italia, desde el 23 de octubre de 2026.

Que nadie pueda multarte hoy deja la obligación intacta y te regala tiempo para cumplirla con calma.

La única vía sancionadora que ya funciona es europea. Desde el 2 de agosto de 2026, la Comisión puede multar a los proveedores de modelos de propósito general con hasta el 3 % de su facturación mundial o 15 millones de euros, la cifra mayor, y la Oficina de IA supervisa directamente los sistemas que esos mismos proveedores construyen sobre su propio modelo. Si tu empresa compra IA en lugar de fabricar modelos, esta vía no te alcanza. Sí mejora la disposición de tu proveedor a contestar cuando le pidas documentación.

Qué te obliga, desde cuándo y qué puede costarte hoy

La tabla ordena el calendario que deja el Ómnibus digital sobre IA y contesta, fila a fila, la pregunta que importa en España. Proveedor es quien desarrolla el sistema o lo comercializa con su nombre o marca, aunque no haya entrenado el modelo. Responsable del despliegue es quien lo usa en su actividad profesional.

El apartado 5 del artículo 50 completa los cuatro anteriores: la información se da de forma clara y distinguible, como tarde en la primera interacción, y en formato accesible.

El «no» de la última columna tiene dos límites. El primero es temporal. Las sanciones no son retroactivas, de modo que la ley española solo podrá castigar hechos posteriores a su entrada en vigor. Pero un chatbot que sigue sin avisar de que es una IA, o un generador que sigue sin marcar sus salidas, incumple cada día, y ese incumplimiento seguirá vivo cuando llegue la ley. Los techos que entonces se aplicarán ya están escritos en el artículo 99 del Reglamento: hasta 35 millones o el 7 % de la facturación mundial por las prácticas prohibidas, y hasta 15 millones o el 3 % por la transparencia y las obligaciones de los operadores. Para pymes y empresas emergentes cuenta la menor de las dos cifras.

El segundo límite es comercial. Hoy el precio de no cumplir lo pone el mercado antes que la autoridad. Los grandes clientes ya incluyen cláusulas de cumplimiento del AI Act en sus contratos de compra, los inversores preguntan por la clasificación de los sistemas en la due diligence y las aseguradoras la tienen en cuenta al cotizar. Y si el sistema trata datos personales, que es lo habitual, la AEPD puede actuar hoy con el RGPD sobre ese tratamiento.

La lista de verificación: doce preguntas y el documento que prueba cada sí

Respóndelas sistema por sistema. Un sí sin un documento detrás convence poco a un cliente, a un inversor o, cuando llegue, a la autoridad. Las mismas doce preguntas están disponibles en versión interactiva con resultado inmediato, si prefieres no llevar la cuenta.

1. ¿Tienes un inventario completo de los sistemas de IA que usas o comercializas, incluidos los integrados en herramientas de terceros?
Lo prueba un inventario fechado con cada sistema, su proveedor, su finalidad y quién lo usa.

2. ¿Cada sistema está clasificado por nivel de riesgo, con el razonamiento por escrito?
Lo prueba una ficha de clasificación por sistema que explique por qué entra o no en el alto riesgo.

3. ¿Has verificado que ninguno incurre en una práctica prohibida, incluidas las dos que se aplican desde el 2 de diciembre de 2026?
Lo prueba un análisis fechado y, si generas imagen o vídeo de personas, el registro de salvaguardias y de pruebas.

4. ¿Sabes en qué sistemas eres proveedor, en cuáles responsable del despliegue, y dónde podrías haberte convertido en proveedor sin saberlo por marca blanca, modificación sustancial o cambio de finalidad?
Lo prueba una matriz de roles por sistema.

5. ¿Puedes documentar las medidas de alfabetización en IA de tu personal?
Lo prueba el plan de formación, las instrucciones de uso entregadas y el registro de quién las ha recibido.

6. ¿Tus chatbots y asistentes se identifican como IA ante el usuario?
Lo prueban capturas fechadas del aviso en cada canal.

7. ¿Tu contenido generado por IA está marcado en formato legible por máquina, y sabes si te alcanza el transitorio hasta el 2 de diciembre de 2026?
Lo prueba la especificación técnica del marcado y la prueba de la fecha de lanzamiento de cada sistema.

8. ¿Tienes revisados los contratos con tus proveedores de IA en cumplimiento, datos y responsabilidad?
Lo prueban los contratos o adendas firmados, con esas cláusulas localizadas.

9. ¿Has resuelto el encaje con el RGPD: base jurídica, decisiones automatizadas y evaluación de impacto cuando procede?
Lo prueba el registro de actividades de tratamiento actualizado y, cuando haga falta, la evaluación de impacto.

10. ¿Existe un responsable interno identificable de todo lo anterior?
Lo prueba su designación por escrito, con funciones y medios.

11. ¿Tu documentación aguantaría un requerimiento de información con dos semanas de plazo?
Lo prueba un expediente ordenado por sistema que puedas entregar sin rehacer nada.

12. ¿Sabes qué obligaciones tuyas caen el 2 de diciembre de 2026, cuáles el 2 de diciembre de 2027 y cuáles el 2 de agosto de 2028?
Lo prueba un calendario de cumplimiento por sistema.

Qué hacer mientras llega la ley

El limbo español tiene una ventaja que conviene aprovechar. El inventario, la clasificación y la matriz de roles se hacen igual de bien ahora que con la ley publicada, y mucho mejor que con un requerimiento encima. Lo que sí puede esperar es la documentación técnica completa del alto riesgo, que no se exige hasta diciembre de 2027 o agosto de 2028.

Con doce respuestas afirmativas, no nos necesitas: mantén la documentación viva y revísala antes del 2 de diciembre. Con tres o cuatro noes concentrados en transparencia y contratos, un encargo acotado lo resuelve en semanas. Si los noes están en las preguntas 1 a 4, y no sabes qué sistemas tienes ni qué eres respecto a ellos, el problema es de base y conviene resolverlo con método: es exactamente lo que cubre nuestro encargo de Cumplimiento del AI Act (clasificación, obligaciones y documentación completa, desde 5.000 € + IVA, tres semanas), con encargos propios para la IA que decide sobre personas y para los proveedores de IA. Si prefieres el diagnóstico por escrito antes de decidir, el Diagnóstico AI Act te lo entrega en siete días. Y si solo necesitas saber dónde estás, una videoconsulta de 60 minutos (90 €, descontables del encargo) basta para salir con un diagnóstico honesto: a veces la respuesta es que no nos necesitas, y también te la daremos.

Preguntas frecuentes

¿El AI Act se aplica a autónomos y pymes?

Sí, siempre que usen o comercialicen IA en su actividad profesional.

El Reglamento solo excluye a las personas físicas que usan un sistema en una actividad puramente personal. Un autónomo que prepara con un asistente de IA el trabajo que entrega a sus clientes es responsable del despliegue. Las pymes tienen las mismas obligaciones, con tres alivios: en las multas se aplica la menor de las dos cifras, pueden presentar documentación técnica simplificada si llegan al alto riesgo, y la Comisión y los Estados deben apoyarlas en la alfabetización.

¿Quién sanciona en España mientras no haya ley?

Nadie puede multar todavía por incumplir el AI Act.

La AESIA puede supervisar y pedir información, pero las infracciones y el procedimiento sancionador necesitan una norma con rango de ley que España no tiene. La AEPD sí sanciona, con el RGPD, cuando el sistema trata datos personales. Y la Comisión puede multar directamente a los proveedores de modelos de propósito general desde el 2 de agosto de 2026.

¿Qué pasa si mi proveedor de IA es de fuera de la UE?

El Reglamento le alcanza igual si comercializa su sistema en la Unión o sus resultados se usan aquí.

Para los sistemas de alto riesgo y los modelos de propósito general, además, debe nombrar un representante autorizado establecido en la UE. Tus obligaciones como responsable del despliegue no cambian por su nacionalidad. Lo que conviene vigilar es el contrato: que te dé la información que necesitas para cumplir y que no te deje como proveedor sin saberlo, por ejemplo si integras su sistema en un producto que vendes con tu marca.

¿Tiene sentido adaptarse ya si nadie puede multar?

Sí, sin prisa y por orden.

Las obligaciones ya te vinculan, los incumplimientos que sigan vivos podrán sancionarse cuando llegue la ley, y clientes e inversores lo piden hoy. Empieza por el inventario, la clasificación y los roles, y deja la documentación del alto riesgo para cuando toque.