El 2 de agosto de 2026 empezaron a aplicarse las obligaciones de transparencia del Reglamento Europeo de Inteligencia Artificial —el famoso AI Act—. Llevamos ya tres semanas viviendo en ese nuevo marco regulatorio y, a juzgar por lo que se ve en el mercado, una parte significativa de las empresas españolas sigue operando exactamente igual que en julio. Eso tiene un nombre: incumplimiento.

Aquí va la versión sin rodeos de qué cambió, qué no, y qué tienes que revisar antes de que alguien llame a la puerta.

El AI Act no “entró en vigor” el 2 de agosto. Eso fue en 2024

Antes de nada, conviene aclarar algo que los medios han comunicado fatal: el AI Act entró en vigor oficialmente el 1 de agosto de 2024. Lo que pasó el 2 de agosto de 2026 es diferente: fue la fecha en la que empezaron a aplicarse las obligaciones de transparencia del artículo 50, que llevaban dos años siendo “próximamente obligatorio”.

La distinción importa porque durante estos tres años muchas empresas han vivido en un limbo cómodo. “Nos lo tomaremos en serio cuando sea obligatorio.” Pues ya es obligatorio. Y en concreto, lo que se exige ahora afecta a prácticamente cualquier empresa que use IA para comunicarse con clientes, generar contenido o procesar datos de personas.

Chatbots sin aviso: incumplimiento desde el primer día

Esta es la obligación que más empresas ignoran y la más fácil de incumplir sin darse cuenta. Si tu empresa usa un chatbot —de atención al cliente, de soporte, de ventas, de captación de leads, lo que sea— tienes que informar al usuario de que está hablando con una inteligencia artificial. En el primer contacto. De forma clara y comprensible. Sin letra pequeña.

No es una sugerencia. Es el artículo 50.1 del Reglamento.

La excepción existe: si resulta “evidente para una persona razonablemente informada” que está hablando con una máquina, el aviso no es necesario. Pero “evidente” es una vara alta. Un chatbot que se llama “Laura” y escribe con emojis y frases coloquiales no cumple ese criterio solo porque técnicamente sea un bot.

El texto mínimo que necesitas es algo así: “Estás interactuando con un asistente basado en inteligencia artificial. Para consultas que requieran atención personalizada puedes solicitar hablar con una persona.” No tiene que ser poético. Tiene que estar ahí.

Deepfakes y contenido generado por IA: también hay que marcarlo

La segunda obligación que arrancó el 2 de agosto afecta principalmente a los proveedores de sistemas generativos —empresas que ofrecen herramientas de generación de imagen, vídeo, audio o texto—, que deben incorporar marcas técnicas en sus outputs para identificar que ese contenido ha sido generado o manipulado por IA. Hablamos de metadatos, credenciales de contenido o soluciones equivalentes.

Esto no le aplica directamente a la empresa que usa ChatGPT o Midjourney para crear contenido. Pero sí te afecta si publicas imágenes sintéticas o vídeos modificados con IA en contextos de información pública, si generas deepfakes de cualquier tipo, o si tu empresa desarrolla o comercializa este tipo de herramientas.

Además, los deepfakes —imágenes, vídeos o audios de personas reales generados o alterados artificialmente— deben etiquetarse de forma visible como contenido sintético. Y “de forma visible” significa que el espectador lo vea, no que esté en algún metadato que nadie va a mirar.

El marketing de contenidos con IA generativa no está prohibido. Pero si usas imágenes de personas ficticias para anuncios o vídeos de testimoniales que no son reales, estás en una zona que empieza a tener consecuencias legales claras.

Reconocimiento de emociones y biometría: si lo usas, lo dices

Menos frecuente en pymes, pero más de lo que parece en empresas medias con sistemas de atención o RRHH: si tu sistema de IA analiza emociones, clasifica a personas por características biométricas o hace inferencias sobre su comportamiento, tienes que informar a esas personas. Sin excepciones relevantes.

Esto aplica a herramientas de análisis de llamadas que detectan el “tono emocional” del cliente, a sistemas de selección de personal que evalúan candidatos por vídeo, y a cualquier solución que procese datos biométricos de forma automatizada.

La pregunta concreta que tienes que hacerte: ¿alguno de mis proveedores de software hace esto con los datos de mis clientes o empleados? Si la respuesta es “no lo sé”, ya tienes trabajo pendiente.

Lo que todavía NO aplica: las obligaciones de alto riesgo se van a 2027-2028

Aquí hay una buena noticia para la mayoría de las pymes: las obligaciones más pesadas del AI Act —las que afectan a sistemas de IA clasificados como “alto riesgo” según el Anexo III— han sido aplazadas. El Reglamento (UE) 2026/1744, conocido como Digital Omnibus sobre IA, retrasó esas exigencias a diciembre de 2027 o agosto de 2028, dependiendo del tipo de sistema.

¿Qué entra en “alto riesgo”? Sistemas de IA usados en contratación de personal, concesión de crédito, evaluación educativa, acceso a servicios públicos o infraestructuras críticas. Si tu empresa usa IA en alguno de estos ámbitos, tienes más tiempo para prepararte, pero no indefinidamente.

La próxima fecha importante es el 2 de diciembre de 2026, cuando entran en vigor nuevas prohibiciones relacionadas con ciertos contenidos generativos y se cierra la transición para algunos sistemas de IA generativa preexistentes.

La AESIA existe, tiene recursos y ya ha empezado a moverse

España creó la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña, para supervisar el cumplimiento del AI Act en territorio español. No es un organismo decorativo. Tiene capacidad de inspección, potestad sancionadora y está coordinada con las autoridades europeas.

Las multas del AI Act son considerables: hasta 35 millones de euros o el 7% de la facturación global anual para las infracciones más graves (prácticas prohibidas), y entre 15 y 7,5 millones —o el 3% y el 1% de la facturación— para incumplimientos de obligaciones como las de transparencia.

¿Significa eso que el lunes siguiente al 2 de agosto empezaron a llegar multas? No. La actividad sancionadora real tarda en arrancar y las autoridades regulatorias suelen priorizar casos con daño evidente o empresas grandes. Pero “nadie ha multado a nadie todavía” no es una estrategia de cumplimiento. El riesgo reputacional de que te señalen como incumplidor puede llegar antes que la multa.

Además, estudios recientes apuntan que la automatización con IA avanza más rápido que los protocolos de control de riesgos en la mayoría de las organizaciones. Esa brecha es exactamente lo que la AESIA va a explorar primero.

Qué hacer ahora mismo si todavía no has revisado nada

No hace falta un equipo de abogados para hacer el diagnóstico inicial. Lo que sí hace falta es tener claro qué herramientas de IA usa tu empresa y para qué. Sin ese inventario, cualquier conversación sobre cumplimiento es papel mojado.

Prioridades para esta semana:

• Revisas todos tus chatbots o asistentes virtuales e incluyes un aviso claro de que son IA en el primer mensaje. Si lo tienes en el footer de la web y no en el chat, no cuenta.
• Preguntas a tus proveedores de software si sus sistemas analizan emociones, voz o datos biométricos. Si no saben responderte, considera eso una señal de alarma.
• Revisas tu política de uso de IA generativa en marketing. No el documento en el cajón: la práctica real de tu equipo.
• Documentas todo lo anterior. El AI Act valora que las organizaciones puedan demostrar que han tomado medidas, aunque sean incipientes.

El 50% de las empresas españolas ya usa inteligencia artificial, según datos recientes que muestran un crecimiento interanual del 39%. Muchas de ellas sin saber exactamente qué herramientas tienen activas ni qué datos procesan esas herramientas. El AI Act no pide perfección: pide que sepas lo que haces y lo comuniques cuando corresponde.

En DAVMAC ayudamos a empresas a implementar automatizaciones e IA de forma que tengan sentido operativo y cumplan con los marcos regulatorios que van llegando. Si quieres revisar cómo está tu empresa o qué piezas de tu operativa se pueden mejorar, echa un vistazo a lo que hacemos.