Reglamento (UE) 2024/1689 · Calendario tras el Omnibus
Es un reglamento europeo de aplicación directa: no espera a ninguna ley española. Pero no obliga igual a todos. A una empresa que usa ChatGPT o Copilot en su día a día hoy le obliga a poco y muy concreto. Aquí tienes qué, desde cuándo y qué llega después.
Por dónde empezar
El AI Act no solo aplica a quien fabrica sistemas de IA. También a quien los usa en su trabajo: el reglamento lo llama responsable del despliegue. Lo que te toca depende de para qué uses la IA, no del tamaño de tu empresa.
Para la mayoría de pymes, lo que obliga cabe en estas cuatro líneas: tres ya están en vigor y una llega en 2027. El resto (inventario, política, registro) no te lo exige el reglamento por usar ChatGPT, pero es lo que te permite demostrar lo primero y lo que te protege el día que algo sale mal.
Por encima del suelo
La ley es el suelo, no el techo. Poner medios para formar al equipo ya es obligatorio; las demás piezas son las que te permiten demostrar que cumples, saber qué te aplica y reaccionar cuando algo sale mal.
Qué herramientas de IA se usan, quién las usa y para qué, incluidas las que nadie autorizó. Es el punto de partida: no puedes formar, clasificar ni supervisar lo que no sabes que existe.
Buena práctica · ISO/IEC 42001 Base de todo lo demásCada uso, en su escalón: prohibido, alto riesgo, transparencia o mínimo. Es lo que decide si en 2027 te tocan deberes serios o casi ninguno.
Arts. 5, 6 y 50 · Escalones de riesgo Decide qué te aplicaQué herramientas están permitidas, cuáles con aviso y cuáles no, y qué datos no pueden salir nunca. Aprobada, con versión y fecha. Sin ella, cada empleado decide por su cuenta.
Buena práctica · ISO/IEC 42001 RecomendadoLa empresa debe adoptar medidas para que quien usa IA sepa lo que maneja: qué hace, dónde falla y qué datos no debe compartir. No hay que garantizar un nivel concreto, pero sí poder enseñar qué se hizo: por eso, adaptada al puesto y con certificado individual.
Art. 4 · Alfabetización en IA Obligatorio desde feb. 2025Datos personales enviados a un modelo externo, una herramienta no autorizada, una respuesta errónea usada para decidir. Anotarlo es lo que te deja corregir a tiempo, y es la prueba de que supervisas.
Buena práctica · Supervisión RecomendadoInventario, clasificación, política vigente, formación y registro, juntos y fechados. Para que el día que te lo pidan (un cliente, un auditor o la autoridad) la respuesta sea un archivo y no una semana de trabajo.
Buena práctica · Evidencia RecomendadoLa parte técnica
No son formularios que rellenar. Es software que detecta, aplica y registra mientras tu equipo trabaja con normalidad. Y si necesitas la parte jurídica y la de las personas, la pone el resto del equipo de CONFIAR.IA.
La extensión detecta en tiempo real qué herramientas de IA usa cada empleado. El dashboard construye el inventario solo, incluida la shadow AI no autorizada.
Pieza 01Cada herramienta detectada se encuadra en los escalones del AI Act. El responsable revisa y ajusta. Las categorías se actualizan con la normativa.
Pieza 02Define qué está permitido, qué requiere aviso y qué está bloqueado. La política queda registrada con fecha de aprobación, versión y firma. La extensión la aplica en tiempo real.
Pieza 03Envía el curso de alfabetización en IA a cada empleado desde el dashboard. Genera certificados individuales con nombre, fecha y contenido, listos si te los piden.
Pieza 04 · Art. 4Cada envío de datos personales, uso no autorizado o bloqueo de política queda registrado con fecha, empleado y herramienta. No se puede editar ni borrar.
Pieza 05Inventario, clasificación, política vigente, registro de incidentes y certificados de formación, en un PDF fechado y listo para quien te lo pida.
Pieza 06El calendario real
Actualizado con el Reglamento (UE) 2026/1744 (el «Omnibus digital»), en vigor desde el 27 de julio de 2026.
El AI Act es ley europea desde el 1 de agosto de 2024. No es una directiva: no requiere transposición nacional. Se aplica directamente en España y en todos los estados miembros, por fases.
Prohibidos los usos de riesgo inaceptable: puntuación social, manipulación, reconocimiento de emociones en el trabajo o en la escuela, entre otros. Y desde el mismo día, las empresas que usan IA deben adoptar medidas para formar a su personal (art. 4, en la redacción suavizada por el Omnibus).
Prohibiciones: hasta 35 M€ o el 7 % de la facturaciónObligaciones para los proveedores de modelos de propósito general (los que hay detrás de ChatGPT, Gemini o Claude), organismos notificados y estructura de gobernanza. Afecta a quien fabrica esos modelos, no a la empresa que los usa.
El Reglamento (UE) 2026/1744 entra en vigor el 27 de julio de 2026. Retrasa solo el alto riesgo: prohibiciones y transparencia entran en su fecha, con una prórroga de cuatro meses para el marcado legible por máquina, y añade dos prohibiciones nuevas.
Avisar de que se está hablando con una IA, etiquetar los deepfakes y el contenido generado, y avisar si se usa reconocimiento de emociones o categorización biométrica. Desde esta fecha, también la transparencia es sancionable.
Transparencia: hasta 15 M€ o el 3 % de la facturaciónEl 2 de diciembre acaba la prórroga para que los sistemas generativos que ya estaban en el mercado marquen su contenido en formato legible por máquina. Y entran dos prohibiciones que añadió el Omnibus: generar imágenes íntimas no consentidas y material de abuso sexual infantil.
Los modelos que ya estaban en el mercado antes del 2 de agosto de 2025 tienen que estar en regla.
Sistemas que deciden sobre personas: empleo y selección, biometría, educación, crédito y acceso a servicios esenciales. Evaluación de conformidad, documentación técnica, registro de actividad y supervisión humana. El Omnibus lo retrasó 16 meses: las obligaciones no desaparecen, se posponen.
Maquinaria, productos sanitarios y juguetes, entre otros productos ya regulados. El Omnibus lo retrasó 12 meses, desde agosto de 2027.
La ley es el suelo
delfosgov pone en marcha las seis piezas mientras tu equipo trabaja. Y si prefieres empezar por saber dónde estás, el equipo de CONFIAR.IA hace la evaluación.