Ley de IA 2026: qué debe revisar tu empresa desde el 2 de agosto

La pregunta ya no es si tu empresa utiliza Inteligencia Artificial.

Probablemente la utiliza.

Puede estar en un chatbot de atención al cliente, en Microsoft Copilot, en una campaña de marketing, en una
herramienta de selección de personal, en el CRM o incluso en funcionalidades de software que el equipo utiliza sin
considerarlas específicamente “IA”.

La pregunta relevante desde el 2 de agosto de 2026 es otra:

¿Para qué utilizamos IA, qué papel tenemos en cada caso y qué obligaciones puede generar ese uso?

El Reglamento Europeo de Inteligencia Artificial —Reglamento (UE) 2024/1689, conocido como AI Act— se aplica con carácter general desde esa fecha, aunque varias de sus obligaciones comenzaron antes y otras se aplicarán más adelante.
Además, el calendario original cambió en julio de 2026 con la aprobación del Reglamento (UE) 2026/1744.

Por eso, antes de actuar a partir de un artículo o checklist antiguo, conviene comprobar que siga vigente.

Antes de empezar: no existe una única obligación por “usar IA”

Uno de los errores más fáciles de cometer es pensar que el AI Act divide a las empresas entre las que utilizan Inteligencia Artificial y las que no.

No funciona así.

Las obligaciones dependen, entre otros factores, de:

• qué sistema de IA se utiliza.
• para qué se utiliza.
• a quién puede afectar.
• si la empresa desarrolla, comercializa o simplemente utiliza el sistema.
• y qué papel ocupa dentro de la cadena de valor.

Esto hace que dos empresas que utilizan exactamente el mismo modelo de IA puedan tener situaciones
diferentes.
Una empresa que utiliza ChatGPT para preparar un primer borrador de una newsletter no está en la misma
situación que otra que incorpora IA para filtrar automáticamente candidatos en un proceso de selección.
Y ninguna de las dos está necesariamente en la misma situación que una compañía que desarrolla un producto propio basado en IA y lo comercializa.

Qué cambia realmente desde el 2 de agosto de 2026

El AI Act entró en vigor en agosto de 2024, pero su aplicación se ha desplegado progresivamente.
Las prohibiciones iniciales y las disposiciones de alfabetización en IA comenzaron a aplicarse el 2 de febrero de
2025. Las reglas de gobernanza y determinadas obligaciones sobre modelos de IA de uso general se aplican
desde el 2 de agosto de 2025.
Desde el 2 de agosto de 2026, el Reglamento es aplicable con carácter general y también son aplicables las
obligaciones de transparencia del artículo 50.
El calendario para determinados sistemas de alto riesgo, sin embargo, se modificó en julio de 2026:

Para una empresa, por tanto, la prioridad no debería ser intentar “cumplir con la IA” de forma genérica.
Debería ser identificar sus casos de uso y determinar qué situación corresponde a cada uno.

Tengo un chatbot con IA en mi web: ¿tengo que avisar?

¿Qué pasa si el chatbot es de un proveedor externo?

Aquí aparece una distinción importante.
La obligación del artículo 50.1 recae específicamente sobre el proveedor del sistema. Eso no significa que una empresa que incorpora una solución de terceros deba olvidarse del asunto.

Si integras un chatbot en tu web, deberías comprobar al menos:

• quién es jurídicamente el proveedor del sistema.
• qué obligaciones asume.
• cómo se ha implementado la información al usuario.
• si la configuración o personalización realizada modifica el papel de tu empresa.
• y si la experiencia final sigue siendo transparente.

Comprar tecnología a un tercero no elimina la necesidad de entender qué se ha instalado en tus propios canales digitales.

¿Todo el contenido generado con IA tiene que llevar una etiqueta?

No.
Y esta es probablemente una de las ideas que más conviene aclarar.

Utilizar ChatGPT para buscar enfoques para una campaña, preparar un borrador, resumir documentación o mejorar el título de una newsletter no implica que todas esas piezas tengan que publicarse automáticamente con una etiqueta visible de “generado por IA”.

El artículo 50 contempla obligaciones distintas dependiendo del contenido y del papel que ocupe cada organización.

Una cosa es el marcado técnico y otra avisar públicamente

Los proveedores de sistemas que generan contenido sintético —texto, imagen, audio o vídeo— deben garantizar, con las condiciones y excepciones previstas en la normativa, que sus resultados incorporen un marcado legible por máquina que permita detectar su origen artificial.

Es una obligación dirigida al proveedor de la tecnología.

Otra cuestión diferente es cuándo una empresa que utiliza esa tecnología tiene que informar públicamente de que un contenido ha sido generado o manipulado mediante IA.

Aquí hay dos casos especialmente relevantes.

Deepfakes: cuando lo artificial puede parecer auténtico

Si una empresa utiliza un sistema de IA para generar o manipular imágenes, audio o vídeo que constituyan una ultrasuplantación o deepfake, el responsable del despliegue tiene obligaciones de transparencia específicas.

Pensemos en ejemplos como:

• una persona que aparentemente recomienda un producto aunque nunca haya grabado ese vídeo.
• una voz sintética imitando a una persona real.
• una escena manipulada que parece documentar un acontecimiento auténtico.
• determinados contenidos audiovisuales capaces de confundirse razonablemente con material real.

¿Y un artículo o un texto escrito con ChatGPT?

Tampoco existe una obligación general de etiquetar cualquier texto en cuya elaboración haya intervenido una IA.

El artículo 50 establece una obligación específica para determinados textos generados o manipulados mediante IA que se publiquen con la finalidad de informar al público sobre asuntos de interés público.

Pero contempla una excepción importante cuando el contenido ha pasado por revisión humana o control editorial y una persona física o jurídica asume la responsabilidad editorial de lo publicado. Esto tiene una implicación empresarial bastante más interesante que colocar una etiqueta.

Utilizar IA para producir contenido no elimina la necesidad de tener un responsable del contenido.
Puedes utilizarla para investigar, resumir, estructurar, traducir o generar un primer borrador.

Lo que no conviene externalizar a la herramienta es la responsabilidad sobre lo que finalmente publica la empresa.

Mi equipo utiliza ChatGPT, Copilot o Gemini: ¿también tengo obligaciones?

1. ¿Qué herramientas están autorizadas?
2. ¿Qué información corporativa o de clientes puede introducirse en ellas?
3. ¿Quién debe revisar un resultado antes de utilizarlo?
4. ¿Puede utilizarse una IA para generar código que llegue directamente a producción?
5. ¿Qué hacemos si el sistema inventa información?
6. ¿Cómo gestionamos documentos confidenciales?
7. ¿Qué usos requieren aprobación previa?
8. ¿Quién responde del resultado final?

Atención: algunas prácticas no son “alto riesgo”. Están prohibidas

Utilizamos IA para seleccionar candidatos: ¿qué ocurre?

Seis situaciones habituales que una empresa debería revisar

Checklist: qué debería saber hoy la dirección de una empresa

¿Qué ocurre si una empresa incumple el AI Act?

El Reglamento contempla diferentes niveles máximos de sanción según el tipo de incumplimiento.

El incumplimiento de determinadas obligaciones —entre ellas las obligaciones de transparencia del artículo 50— puede estar sujeto a multas administrativas de hasta 15 millones de euros o el 3 % del volumen de negocio
mundial anual del ejercicio anterior, según las reglas previstas para cada tipo de empresa.

Para las pymes, el Reglamento establece que se aplique como máximo el menor de los importes correspondientes.

Las infracciones vinculadas a prácticas prohibidas pueden tener límites superiores.
Son máximos regulatorios, no multas automáticas: la imposición y cuantía deben valorar las circunstancias concretas y respetar criterios de proporcionalidad.

Pero reducir toda la conversación a “¿cuánto me pueden multar?” sería quedarse en la superficie.

Una organización que no sabe qué IA utiliza tampoco sabe con precisión qué información envía a proveedores, qué decisiones está automatizando, qué riesgos está introduciendo o qué experiencia está ofreciendo a clientes y empleados.

El inventario que exige una buena gobernanza de IA también puede servir para tomar mejores decisiones tecnológicas.

La Ley de IA no significa dejar de utilizar Inteligencia Artificial

El AI Act no convierte la IA en una tecnología que las empresas deban evitar.
Obliga a introducir más criterio en la forma de utilizarla.

En muchos casos, el primer paso no será crear un enorme programa de compliance.

Será mucho más básico:
saber qué IA utilizamos, para qué la utilizamos, quién es responsable y qué impacto puede tener.

A partir de ahí se puede decidir qué necesita cada caso: transparencia, formación, revisión técnica, cambios en el producto, análisis jurídico específico o preparación para futuras obligaciones.

Para las empresas que están desarrollando una web, eCommerce, aplicación o producto digital con Inteligencia Artificial, hay una consecuencia especialmente útil:

la IA ya no debería añadirse como una funcionalidad aislada.

Debe diseñarse teniendo en cuenta desde el principio cómo interactúa con usuarios, datos, procesos internos y
decisiones.

En Pukkas trabajamos en el diseño y desarrollo de soluciones digitales y en la integración de funcionalidades basadas en Inteligencia Artificial.

Si estás planteando incorporar IA a una web, eCommerce, aplicación o proceso digital, podemos ayudarte a aterrizarla en la parte tecnológica y de experiencia de usuario, coordinando desde el diseño los requisitos que defina tu equipo jurídico o de compliance.

Porque la pregunta no es únicamente:
“¿Dónde podemos utilizar Inteligencia Artificial?”

También conviene responder:
“¿Cómo queremos utilizarla dentro de nuestro negocio?”

Preguntas frecuentes sobre el AI Act para empresas

¿La Ley de IA afecta a todas las empresas?

No de la misma manera. Las obligaciones dependen del sistema utilizado, su finalidad, el papel que desempeñe la
organización y los riesgos asociados al caso de uso.

¿Tengo que indicar que un texto ha sido escrito con ChatGPT?

No existe una obligación general de etiquetar cualquier texto en cuya elaboración haya participado ChatGPT u otra
herramienta de IA. Existen obligaciones específicas para determinados contenidos, entre ellos algunos textos
destinados a informar sobre asuntos de interés público, con las excepciones previstas cuando existe revisión
humana o control editorial y responsabilidad sobre la publicación.

¿Tengo que avisar de que mi web utiliza un chatbot con IA?

El artículo 50 obliga al proveedor de un sistema diseñado para interactuar directamente con personas a garantizar
que estas sepan que están interactuando con una IA, salvo cuando resulte evidente por el contexto. Si utilizas una
solución de terceros, conviene revisar tanto el papel de cada organización como la implementación final.

¿Tengo que etiquetar todas las imágenes creadas con IA?

No existe una obligación visible genérica para cualquier imagen generada mediante IA. Hay que diferenciar las
obligaciones técnicas que corresponden a proveedores de sistemas generativos de las obligaciones del
responsable del despliegue cuando, por ejemplo, publica contenidos que constituyen deepfakes.

¿Qué debería hacer primero si mi empresa utiliza IA?

Crear un inventario real de herramientas y casos de uso. Antes de determinar qué obligaciones existen, necesitas
saber qué sistemas utiliza la organización, para qué, quién los controla y a qué personas pueden afectar.

¿Las obligaciones para sistemas de IA de alto riesgo ya se aplican?

No todas. Tras la modificación de julio de 2026, las principales obligaciones correspondientes a los sistemas de
alto riesgo del Anexo III se aplicarán desde el 2 de diciembre de 2027. Para determinados sistemas vinculados a
productos regulados del Anexo I, la fecha es el 2 de agosto de 2028.

Contenido actualizado en septiembre de 2026.

Este artículo tiene carácter informativo y divulgativo. No constituye asesoramiento jurídico ni sustituye el análisis
específico que pueda requerir cada organización.