AI Act: qué cambia para las empresas que usan agentes de IA

Desde el 2 de agosto de 2026, el AI Act, el reglamento europeo de inteligencia artificial, se aplica en la mayor parte de sus disposiciones. Pocos días antes, sin embargo, una modificación movió la parte más exigente: el alto riesgo pasa al 2 de diciembre de 2027, y al 2 de agosto de 2028 para los sistemas integrados en productos.

Las empresas que usan agentes de IA para datos, documentos, informes o soporte son casi siempre responsables del despliegue, no proveedores. Esto es lo que les pide hoy el reglamento.

01Quien usa un agente de IA es responsable del despliegue

El AI Act distingue los roles (art. 3). El proveedor desarrolla un sistema de IA, o encarga su desarrollo, y lo introduce en el mercado o lo pone en servicio con su propio nombre. El responsable del despliegue utiliza un sistema de IA bajo su propia autoridad, en una actividad profesional.

Si adoptas un agente de un tercero, eres por tanto, por lo general, responsable del despliegue; si desarrollas un sistema y lo pones en servicio para uso propio, con tu nombre, puedes ser también proveedor. La Comisión Europea aclaró qué es un sistema de IA en sus directrices sobre la definición de febrero de 2025.

02El calendario tras el Ómnibus digital

El Reglamento (UE) 2026/1744, llamado Ómnibus digital sobre IA, está en vigor desde el 27 de julio de 2026 y modifica el Reglamento (UE) 2024/1689, es decir, el AI Act. Estas son las fechas que importan si usas agentes de IA.

prohibiciones y alfabetización en materia de IA

2 feb. 2025

aplicación general y obligaciones de transparencia

2 ago. 2026

alto riesgo, usos enumerados en el anexo III

2 dic. 2027

alto riesgo, sistemas en productos del anexo I

2 ago. 2028

Las obligaciones sobre los modelos de IA de uso general, en vigor desde el 2 de agosto de 2025, afectan a los proveedores de esos modelos, no a quien los usa a través de un agente. Las mismas fechas aparecen en la página de la Comisión Europea.

03Alfabetización en materia de IA: ya es una obligación

El artículo 4 se aplica a proveedores y responsables del despliegue: la alfabetización en materia de IA ya es obligatoria, desde el 2 de febrero de 2025. El Ómnibus lo reescribió: pide adoptar medidas para promoverla entre tu personal y quienes usan los sistemas en tu nombre, sin tener que garantizar un nivel concreto a cada persona.

Según las preguntas y respuestas de la Comisión, las autoridades nacionales de vigilancia del mercado supervisan el cumplimiento de estas normas desde el 2 de agosto de 2026.

04Las prácticas prohibidas

Desde el 2 de febrero de 2025, el artículo 5 prohíbe determinadas prácticas de IA, también a quien solo las utiliza. Entre las que pueden afectar a una empresa:

• Manipulación: técnicas subliminales, manipuladoras o engañosas que causan, o pueden causar, perjuicios considerables.
• Vulnerabilidades: aprovechar la edad, la discapacidad o la situación social o económica de las personas.
• Puntuación ciudadana: clasificar a las personas por su comportamiento o sus características personales, con un trato perjudicial injustificado.
• Emociones en el trabajo: inferirlas en los lugares de trabajo y en los centros educativos, salvo por motivos médicos o de seguridad.
• Categorización biométrica: deducir de los datos biométricos, por ejemplo, opiniones políticas u orientación sexual.

Desde el 2 de diciembre de 2026, el Ómnibus prohíbe también usar sistemas de IA para generar material íntimo no consentido de personas identificables y material de abusos sexuales de menores. Por las prácticas prohibidas, las multas llegan a 35 millones de euros o al 7 % del volumen de negocios mundial total, si esta cuantía es superior; para las pymes se aplica el importe menor (art. 99). Los detalles están en las directrices sobre prácticas prohibidas.

05Cuándo un agente pasa a ser de alto riesgo

En el AI Act, el riesgo depende del uso, no de la tecnología. El anexo III enumera los usos de alto riesgo; entre los que más afectan a las empresas:

• Empleo: selección, filtrado de candidaturas, decisiones sobre ascensos y despidos, asignación de tareas según el comportamiento o rasgos personales, supervisión del rendimiento.
• Crédito y seguros: solvencia de personas físicas, salvo la detección de fraudes financieros, y evaluación de riesgos y fijación de precios en seguros de vida y de salud.
• Otros ámbitos: biometría, infraestructuras críticas, educación, servicios públicos esenciales.

La introducción de datos, la lectura de documentos, los informes y la primera respuesta a clientes no figuran, por sí solos, en la lista. Un agente puede pasar a ser de alto riesgo si su trabajo sirve a una de esas finalidades: por ejemplo, filtrar currículos. Las directrices de la Comisión sobre la clasificación siguen siendo un borrador.

06Obligaciones del responsable del despliegue en el alto riesgo

Desde el 2 de diciembre de 2027, si usas sistemas de alto riesgo del anexo III, debes cumplir el artículo 26:

• Instrucciones de uso: utilizar el sistema según lo indicado por el proveedor, con medidas técnicas y organizativas adecuadas.
• Supervisión humana: encomendarla a personas con la competencia, la formación y la autoridad necesarias.
• Vigilancia: vigilar el funcionamiento y, si surge un riesgo, informar al proveedor y a las autoridades y suspender el uso.
• Archivos de registro: conservar al menos seis meses los generados automáticamente, si están bajo tu control.
• Información: avisar a los trabajadores y a sus representantes antes del uso en el lugar de trabajo, y a las personas sujetas a decisiones tomadas o asistidas por el sistema.

Los organismos de Derecho público, las entidades privadas que prestan servicios públicos y quienes usan sistemas para la solvencia o para seguros de vida y de salud deben además realizar una evaluación de impacto relativa a los derechos fundamentales (art. 27). Para los sistemas ya en el mercado antes del 2 de diciembre de 2027 se aplican normas transitorias (art. 111).

07Transparencia ante clientes y público

Las obligaciones del artículo 50 no se han aplazado: la transparencia rige desde el 2 de agosto de 2026.

• Interacción: el proveedor diseña los sistemas que dialogan con las personas de forma que sepan que interactúan con un sistema de IA, salvo que resulte evidente.
• Marcado: el proveedor de sistemas generativos marca los contenidos en un formato legible por máquina; para los introducidos en el mercado antes del 2 de agosto de 2026, el plazo es el 2 de diciembre de 2026.
• Ultrasuplantaciones y textos: el responsable del despliegue hace público que son artificiales las ultrasuplantaciones y los textos generados que se publican para informar al público sobre asuntos de interés público, salvo revisión humana y responsabilidad editorial.

Si un agente responde directamente a tus clientes, comprueba con el proveedor cómo se informa de ello; si lo has desarrollado tú, la obligación puede recaer en ti. Los detalles están en las directrices sobre las obligaciones de transparencia.

08AI Act y RGPD

El AI Act no sustituye al RGPD, que sigue aplicándose a los datos personales que tratan los agentes (art. 2, apdo. 7). En los sistemas de alto riesgo, el responsable del despliegue usa la información del proveedor en la evaluación de impacto relativa a la protección de datos (art. 26, apdo. 9), a la que puede remitir la evaluación de impacto relativa a los derechos fundamentales.

09Una lista de control para empezar

1. 01Haz un inventario de tus agentes y herramientas de IA: procesos, datos, proveedores.
2. 02Aclara tu papel: en cada sistema, ¿eres responsable del despliegue, proveedor o ambos?
3. 03Clasifica los usos: ninguna práctica prohibida; después, anexo III y obligaciones de transparencia.
4. 04Forma a las personas que usan los agentes, según su función.
5. 05Define la supervisión humana: quién aprueba qué, con qué autoridad.
6. 06Registra las acciones de los agentes y conserva los archivos de registro.
7. 07Pide la documentación a los proveedores: instrucciones de uso, límites conocidos, tratamiento de los datos.

En nuestros proyectos de agentes de IA y automatización trabajamos con aprobación humana y trazabilidad de cada acción, datos tratados en la Unión Europea y agentes en entornos aislados, con accesos limitados a lo necesario. Son elementos que ayudan a organizar la supervisión humana y el registro exigidos para el alto riesgo; no son una certificación de conformidad. Para elegir por dónde empezar, lee qué procesos automatizar primero.

Fuentes: Reglamento (UE) 2024/1689, Reglamento (UE) 2026/1744, Comisión Europea, AI Act, alfabetización en materia de IA, prácticas prohibidas, definición de sistema de IA, sistemas de alto riesgo, obligaciones de transparencia.