Ley de Inteligencia Artificial 2026: nuevas obligaciones para empresas y sanciones de hasta 35 millones de euros
Desde el 2 de agosto de 2026, la aplicación del Reglamento Europeo de Inteligencia Artificial, conocido como AI Act o Ley de IA, entra en una nueva fase que afecta directamente a empresas que desarrollan, comercializan o utilizan sistemas de Inteligencia Artificial.
No estamos ante una normativa que únicamente afecte a grandes tecnológicas como OpenAI, Google, Microsoft o Anthropic. Una empresa que utiliza sistemas de IA en sus procesos internos, atención al cliente, marketing, selección de personal, automatizaciones, asistentes virtuales, chatbots o agentes de voz puede encontrarse dentro del ámbito de aplicación del Reglamento.
La Comisión Europea comenzó el 2 de agosto de 2026 a hacer cumplir nuevas disposiciones del AI Act junto con las autoridades nacionales, entrando además en vigor importantes obligaciones de transparencia.
Por este motivo, las empresas deberían revisar desde ahora qué Inteligencia Artificial utilizan, para qué la utilizan y qué medidas han adoptado para garantizar su cumplimiento.
¿Qué es realmente la nueva Ley de Inteligencia Artificial?
El Reglamento (UE) 2024/1689 de Inteligencia Artificial fue aprobado en 2024 y establece el primer gran marco jurídico europeo específico para regular la Inteligencia Artificial.
Su aplicación se ha diseñado de manera progresiva.
Algunas obligaciones, como determinadas prácticas prohibidas y la obligación relacionada con la alfabetización en IA, comenzaron a aplicarse en febrero de 2025. Sin embargo, el 2 de agosto de 2026 representa una fecha especialmente importante para las empresas porque comienzan a aplicarse y supervisarse nuevas disposiciones, entre ellas las relacionadas con la transparencia de determinados sistemas de Inteligencia Artificial.
Una aclaración importante sobre España
España está desarrollando además su propia Ley Orgánica para el buen uso y la gobernanza de la Inteligencia Artificial, destinada a establecer la estructura nacional de supervisión y desarrollar, entre otros aspectos, el régimen sancionador.
A fecha de septiembre de 2026, este proyecto continúa en tramitación parlamentaria, por lo que no debe confundirse con el Reglamento Europeo de Inteligencia Artificial, que sí es directamente aplicable en los Estados miembros de la Unión Europea.
¿Qué empresas están afectadas por la Ley de IA?
El Reglamento diferencia entre distintos participantes: proveedores, responsables del despliegue, importadores, distribuidores y otros operadores de sistemas de Inteligencia Artificial.
Para una pyme o empresa española, lo importante es entender que no es necesario desarrollar una Inteligencia Artificial propia para tener obligaciones.
Una empresa puede estar utilizando IA cuando:
- sus empleados utilizan ChatGPT, Gemini, Copilot u otros asistentes;
- dispone de un chatbot con Inteligencia Artificial en su web;
- utiliza un agente de voz para atender llamadas;
- automatiza correos electrónicos, documentación o atención al cliente mediante IA;
- utiliza Inteligencia Artificial para marketing o creación de contenidos;
- utiliza herramientas de IA en Recursos Humanos;
- utiliza sistemas de reconocimiento, análisis biométrico o reconocimiento de emociones;
- integra IA en un CRM, ERP o software corporativo;
- utiliza IA para analizar clientes, empleados, candidatos o usuarios;
- desarrolla aplicaciones, plataformas o servicios que incorporan Inteligencia Artificial.
Por tanto, la primera obligación práctica para cualquier empresa es saber exactamente dónde está utilizando IA.
1. Formación y alfabetización en Inteligencia Artificial
Este es uno de los aspectos más importantes para las empresas.
El artículo 4 del AI Act establece obligaciones relacionadas con la denominada AI Literacy o alfabetización en Inteligencia Artificial.
Los proveedores y responsables del despliegue de sistemas de IA deben adoptar medidas para favorecer que las personas que utilizan estos sistemas en su nombre dispongan de conocimientos adecuados sobre Inteligencia Artificial, teniendo en cuenta factores como su experiencia, formación, conocimientos técnicos y el contexto en el que se utiliza la tecnología.
Esta obligación se aplica desde el 2 de febrero de 2025, y las autoridades nacionales comenzaron su fase de supervisión y aplicación durante agosto de 2026.
Esto no significa que todos los trabajadores tengan que realizar obligatoriamente el mismo curso ni obtener una determinada certificación.
La propia Comisión Europea ha aclarado que no establece un nivel concreto de conocimientos, pero la empresa debe poder demostrar que ha adoptado medidas razonables para formar y preparar a las personas que utilizan IA.
¿Qué debería hacer una empresa?
Una política adecuada puede incluir:
Formación básica sobre Inteligencia Artificial.
Formación específica según el departamento.
Normas internas sobre qué herramientas pueden utilizarse.
Protocolos sobre información confidencial y datos personales.
Formación sobre errores, alucinaciones y limitaciones de los modelos.
Procedimientos para revisar resultados generados mediante IA.
Identificación de usos permitidos y usos prohibidos.
Registro de las formaciones realizadas.
No es lo mismo formar a un departamento de Marketing que utiliza ChatGPT para generar contenidos que formar a Recursos Humanos para utilizar un sistema que analiza candidatos.
La formación debería adaptarse al riesgo y al uso real que realiza cada empresa.
2. Los chatbots deben dejar claro que son Inteligencia Artificial
Desde el 2 de agosto de 2026 entran en aplicación las obligaciones de transparencia del artículo 50 del AI Act.
Uno de sus ejemplos más claros son los chatbots y sistemas conversacionales de Inteligencia Artificial.
Cuando una persona interactúa directamente con determinados sistemas de IA, debe poder saber que está interactuando con una máquina y no con una persona.
La Comisión Europea lo resume de forma muy sencilla:
Los usuarios deben saber cuándo están interactuando con Inteligencia Artificial.
Esto afecta especialmente a empresas que están incorporando:
chatbots de atención al cliente,
asistentes virtuales,
agentes conversacionales,
sistemas automatizados de soporte,
y determinadas soluciones de agentes de voz.
Por tanto, ya no basta únicamente con desarrollar un chatbot que funcione correctamente.
También debemos diseñarlo teniendo en cuenta la transparencia y el cumplimiento normativo desde su implementación.
3. Contenido generado mediante Inteligencia Artificial
El Reglamento también establece obligaciones específicas relacionadas con determinados contenidos generados o manipulados mediante IA.
Los proveedores de determinados sistemas generativos deberán incorporar mecanismos que permitan identificar técnicamente contenido generado o modificado artificialmente.
También aparecen obligaciones específicas cuando hablamos de deepfakes o determinados contenidos generados mediante IA sobre cuestiones de interés público.
Desde agosto de 2026 estas obligaciones de transparencia son aplicables, aunque existen algunas disposiciones transitorias para determinados sistemas introducidos en el mercado antes del 2 de agosto de 2026.
Esto no significa que cualquier texto interno escrito con ChatGPT tenga que llevar automáticamente una enorme etiqueta indicando “GENERADO POR IA”.
El Reglamento establece obligaciones diferentes dependiendo del sistema, del contenido, de quién lo genera y de cómo se utiliza.
Por este motivo es importante realizar una clasificación correcta del uso de IA de cada empresa, evitando tanto el incumplimiento como aplicar medidas innecesarias.
4. Existen usos de Inteligencia Artificial directamente prohibidos
El AI Act establece además determinadas prácticas consideradas de riesgo inaceptable.
Entre ellas aparecen determinados sistemas de manipulación, explotación de vulnerabilidades, puntuación social, categorización biométrica o determinadas formas de reconocimiento de emociones y sistemas biométricos.
Especial atención merece el uso de determinadas tecnologías de reconocimiento de emociones en entornos laborales, que puede entrar dentro de las prácticas prohibidas salvo excepciones concretas.
Estas prohibiciones comenzaron a ser aplicables antes de agosto de 2026.
Por eso, antes de incorporar herramientas de Inteligencia Artificial a Recursos Humanos, seguridad, evaluación de trabajadores o selección de candidatos, resulta especialmente importante analizar cómo funciona realmente el sistema.
5. Sistemas de Inteligencia Artificial de alto riesgo
El Reglamento establece una categoría específica para los denominados sistemas de IA de alto riesgo.
Aquí pueden encontrarse determinados usos relacionados con ámbitos como:
empleo y Recursos Humanos,
educación,
infraestructuras críticas,
servicios esenciales,
biometría,
migración y control fronterizo,
determinadas decisiones que puedan afectar significativamente a las personas.
Sin embargo, existe una cuestión importante que muchas publicaciones están explicando incorrectamente.
Tras los últimos cambios introducidos en el calendario europeo, las principales obligaciones correspondientes a determinados sistemas de alto riesgo no comienzan todas el 2 de agosto de 2026.
Para sistemas de alto riesgo incluidos en determinadas categorías del Anexo III, su aplicación se ha desplazado al 2 de diciembre de 2027, mientras que determinados sistemas de alto riesgo integrados en productos regulados tendrán su fecha de aplicación en agosto de 2028.
Por tanto, resulta imprescindible analizar cada caso individualmente.
¿Qué sanciones establece la Ley de Inteligencia Artificial?
Este es probablemente uno de los puntos que más preocupa a las empresas.
El Reglamento Europeo establece sanciones que pueden alcanzar cifras muy elevadas dependiendo del tipo de incumplimiento.
Hasta 35 millones de euros o el 7 % de la facturación mundial
El incumplimiento relacionado con determinadas prácticas de Inteligencia Artificial prohibidas puede alcanzar:
35.000.000 €
o, en el caso de una empresa,
hasta el 7 % de su volumen de negocio mundial anual del ejercicio anterior, si esa cantidad fuese superior.
Hasta 15 millones de euros o el 3 %
Determinados incumplimientos de obligaciones establecidas para proveedores, responsables del despliegue y otros operadores pueden alcanzar:
15.000.000 €
o
hasta el 3 % del volumen de negocio mundial anual.
Entre las obligaciones que pueden situarse en este ámbito se encuentran determinadas infracciones relacionadas con las obligaciones de transparencia.
Hasta 7,5 millones de euros o el 1 %
Proporcionar determinada información incorrecta, incompleta o engañosa a las autoridades o a organismos notificados puede alcanzar:
7.500.000 €
o
hasta el 1 % del volumen de negocio mundial anual.
¿Una pequeña empresa puede recibir una multa de 35 millones de euros?
El Reglamento introduce criterios específicos de proporcionalidad.
En el caso de pymes y startups, los límites económicos se calculan aplicando el menor de los importes correspondientes entre el porcentaje de facturación y la cantidad fija establecida, además de tenerse en cuenta las circunstancias concretas de cada infracción.
Por tanto, hablar de “35 millones de euros de multa para cualquier empresa que utilice mal ChatGPT” sería incorrecto.
Las sanciones dependen de la gravedad, tipo de obligación, tamaño de la empresa, responsabilidad, intencionalidad, medidas adoptadas para evitar el problema y otras circunstancias.
Pero lo que cambia en 2026 es que la IA deja definitivamente de ser únicamente una cuestión tecnológica y pasa también a ser una cuestión de cumplimiento empresarial.
Checklist AI Act 2026 para empresas
En ANVIXION recomendamos comenzar con un proceso sencillo.
1. Inventario de Inteligencia Artificial
Identificar todas las herramientas y sistemas de IA utilizados actualmente por la empresa.
2. Clasificación
Determinar para qué se utiliza cada sistema y qué nivel de riesgo puede representar.
3. Identificar proveedores
ChatGPT, Microsoft Copilot, Gemini, Claude, CRM, ERP, chatbot, automatizaciones, agentes de voz, software de RRHH, aplicaciones propias, etc.
4. Revisar datos
Analizar qué información se introduce en las herramientas y si existen datos personales, confidenciales, comerciales o sensibles.
5. Crear una política interna de IA
Definir claramente qué puede hacerse, qué herramientas pueden utilizarse y qué información no debe introducirse.
6. Formar a los equipos
Implementar un programa de alfabetización y formación en IA adaptado a los diferentes puestos y departamentos.
7. Revisar chatbots y agentes de IA
Comprobar las obligaciones de transparencia y asegurarse de que el usuario puede identificar correctamente cuándo está interactuando con Inteligencia Artificial.
8. Analizar contenidos generados con IA
Determinar cuándo existen obligaciones de identificación, etiquetado o transparencia.
9. Documentar
Registrar políticas, herramientas utilizadas, responsables, formaciones y medidas adoptadas.
10. Revisar periódicamente
La legislación y las tecnologías de Inteligencia Artificial evolucionan rápidamente. El cumplimiento no debería convertirse en un documento que se crea una vez y se guarda en una carpeta.
¿Está tu empresa preparada para la Ley de Inteligencia Artificial?
En ANVIXION ayudamos a empresas a integrar Inteligencia Artificial de forma práctica, rentable y alineada con el nuevo marco europeo.
Nuestro enfoque no consiste únicamente en revisar la normativa.
Analizamos cómo utiliza realmente la IA cada departamento para identificar qué medidas necesita la empresa y cuáles serían innecesarias.
Podemos trabajar sobre cuatro áreas principales:
Auditoría de uso de Inteligencia Artificial
Identificación y clasificación de herramientas, sistemas, automatizaciones y procesos donde actualmente se utiliza IA.
Plan de adaptación AI Act
Definición de procedimientos internos, responsables, protocolos y medidas de transparencia necesarias.
Formación empresarial en Inteligencia Artificial
Programas de alfabetización en IA adaptados a Dirección, Administración, Marketing, Ventas, Recursos Humanos, Atención al Cliente y otros departamentos.
Implementación tecnológica
Adaptación de chatbots, agentes de voz, asistentes virtuales, automatizaciones e integraciones para incorporar desde el diseño las medidas técnicas y organizativas necesarias.
La regulación de la Inteligencia Artificial no significa que las empresas deban dejar de utilizar IA.
Significa exactamente lo contrario:
las empresas que quieran aprovechar todo su potencial deben empezar a utilizarla de manera profesional, controlada y documentada.
Solicita una Auditoría AI Act para tu empresa
Si tu empresa ya utiliza ChatGPT, Copilot, Gemini, chatbots, agentes de voz, automatizaciones o cualquier otra tecnología basada en Inteligencia Artificial, en ANVIXION podemos realizar una primera evaluación para identificar:
qué sistemas utilizáis, qué obligaciones pueden afectaros, qué riesgos existen y qué medidas deberíais implementar.
La Inteligencia Artificial puede reducir costes, automatizar procesos y multiplicar la capacidad operativa de una empresa.
Ahora, además de implementarla correctamente, es necesario gestionar correctamente su cumplimiento.
ANVIXION | Consultoría, implementación y formación en Inteligencia Artificial para empresas.