Desde el 2 de agosto de 2026 el Reglamento Europeo de Inteligencia Artificial está en aplicación general y la AESIA tiene plenas facultades de inspección y sanción en España. Si su organización usa IA — aunque sea un chatbot de atención al cliente o un asistente interno — ya tiene obligaciones exigibles hoy.
Qué es exigible hoy y qué se ha aplazado
El Reglamento no entró de golpe: se aplica por fases. Conviene distinguir con precisión lo que ya vence de lo que aún tiene margen, porque el aplazamiento reciente ha generado bastante confusión.
1
Prácticas prohibidas y alfabetización en IA
Prohibición de determinados usos y obligación de que el personal que utiliza o despliega IA tenga formación suficiente. Exigible desde hace más de un año.
Febrero 2025
2
Modelos de propósito general
Obligaciones para los proveedores de modelos fundacionales: documentación técnica, política de derechos de autor y resumen del contenido de entrenamiento.
Agosto 2025
3
Aplicación general y transparencia
Entran en vigor las obligaciones de transparencia y AESIA asume plenas facultades sancionadoras en España. Es la fecha que cambia el escenario para la mayoría de las empresas.
2 agosto 2026
4
Alto riesgo del Anexo III
Empleo, educación, biometría, infraestructuras críticas y servicios esenciales. Aplazado por el Ómnibus Digital desde su fecha original.
Diciembre 2027
5
Alto riesgo del Anexo I
Sistemas de IA integrados en productos ya regulados, como los sanitarios. También aplazado.
Agosto 2028
El aplazamiento del alto riesgo no toca las prohibiciones ni la transparencia. Lo que ya es exigible sigue siéndolo. Si su proveedor le ha dicho que «hay tiempo hasta 2027», le ha contado la mitad.
Las obligaciones que ya le aplican
Informar de que se está hablando con una IA en el primer punto de interacción: chatbots, asistentes virtuales, agentes de voz.
Marcar el contenido sintético — texto, imagen, audio y vídeo generados por IA — con marcadores técnicos legibles por máquina.
Etiquetar los deepfakes con un indicador visible de que el contenido ha sido creado o manipulado artificialmente.
Informar previamente a las personas afectadas del uso de reconocimiento de emociones o categorización biométrica.
Alfabetización en IA del personal que la utiliza o la despliega. Es una obligación de resultado, no de intención: hay que poder demostrarla.
No incurrir en prácticas prohibidas, que son el tramo sancionador más severo del Reglamento.
Lo que hay en juego
Tramo superior
Hasta 35 M€ o el 7 %
Por incurrir en las prácticas de IA prohibidas del artículo 5. Se aplica la cifra mayor sobre la facturación anual mundial.
Tramo general
Hasta 15 M€ o el 3 %
Por el incumplimiento del resto de obligaciones del Reglamento, incluidas las de transparencia.
Información
Hasta 7,5 M€ o el 1 %
Por facilitar información incorrecta, incompleta o engañosa a las autoridades u organismos notificados.
Para pymes y empresas emergentes el Reglamento aplica la menor de las dos cifras, no la mayor. Sigue siendo material.
El punto ciego: la IA que nadie declaró
En la práctica, la primera brecha de casi todas las organizaciones no está en el sistema de IA que compraron con contrato y factura. Está en el que nadie aprobó: empleados pegando documentación confidencial, código propietario o datos personales en chatbots públicos porque les resuelve el día.
Eso genera dos problemas simultáneos. Uno de cumplimiento, porque no se puede gobernar lo que no se sabe que existe. Y otro de protección de datos, porque en muchos casos hay una transferencia internacional y un encargado de tratamiento sin contrato del artículo 28 del RGPD.
La respuesta habitual — prohibirlo por circular interna — no funciona: el uso se vuelve invisible en lugar de desaparecer, y usted pierde la productividad sin ganar el control. Lo que funciona es dar una alternativa aprobada y medirla.
Cómo lo abordamos
El mismo esquema con el que trabajamos ENS, NIS2, DORA o ISO 27001: primero saber dónde está, después qué falta, después cerrarlo.
1
Inventario y clasificación
Qué sistemas de IA usa realmente la organización, incluidos los que nadie declaró. Para cada uno, su rol jurídico: proveedor o responsable del despliegue. Sin esto, todo lo demás es especulación.
2
Análisis de brecha (GAP)
Contraste de la situación real contra lo que ya es exigible, no contra lo que vencerá en 2027. Con evidencias documentadas, no con una lista de buenas intenciones.
3
Plan de acción
Priorizado por riesgo y por plazo, con responsable, esfuerzo y coste por cada punto. Lo que se puede cerrar en semanas, separado de lo que exige proyecto.
4
Adecuación
Implantación real: avisos de transparencia, marcado de contenido, registros, gobernanza, formación acreditable del personal y control técnico sobre dónde acaba el dato.
Dónde se cruza con lo que usted ya tiene
Si ya está trabajando otro marco, buena parte del esfuerzo se reaprovecha. La gobernanza, el análisis de riesgos y el control de proveedores son los mismos activos.
RGPD — base de licitud, transferencias internacionales, contratos de encargo y evaluación de impacto cuando proceda.
NIS2 — la seguridad de la cadena de suministro cubre también a los proveedores de IA.
DORA — una API de IA externa es un proveedor tercero de servicios TIC: entra en el registro de información y exige estrategia de salida.
ISO/IEC 27001 — el sistema de gestión existente absorbe los controles de IA sin duplicar estructura.
ENS — si es administración pública o le presta servicio, el uso de IA hereda las exigencias del esquema.
Preguntas frecuentes
¿Me aplica si solo usamos herramientas de terceros y no desarrollamos nada?
Sí. En ese caso su organización es responsable del despliegue, no proveedor, pero sigue teniendo obligaciones propias: transparencia frente a los usuarios, alfabetización del personal y no incurrir en usos prohibidos. La mayoría de las empresas españolas están exactamente en ese supuesto.
¿El aplazamiento hasta 2027 no me da margen?
Solo para los sistemas de alto riesgo. Las prácticas prohibidas, la alfabetización y las obligaciones de transparencia ya son exigibles y AESIA ya puede inspeccionar. Confundir ambas cosas es el error más común que estamos viendo.
¿Basta con aprobar una política interna de uso de IA?
No. Una política es el punto de partida, pero ante una inspección lo que se pide son evidencias: qué sistemas hay, quién los aprobó, qué formación se impartió y a quién, cómo se informa al usuario. Un documento sin trazas detrás no sostiene una revisión.
¿Quién inspecciona y sanciona en España?
La Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), que desde agosto de 2026 ejerce con plenas facultades. En materia de datos personales concurre además la AEPD.
¿Ustedes son abogados?
No. Somos un equipo técnico de ciberseguridad con certificaciones de gobierno y auditoría, y trabajamos la parte de inventario, análisis de brecha, evidencias y control técnico. La calificación jurídica final la validamos siempre con los asesores legales del cliente, o le ponemos en contacto con especialistas si no los tiene.
Sepa qué le es exigible hoy, no en 2027
Media hora con un auditor para revisar qué sistemas de IA usa realmente su organización, qué rol tiene en cada uno y cuál sería el alcance razonable de un análisis de brecha. Sin compromiso y sin formularios.
Teléfono: 686 250 244 · Correo: info@jaymonsecurity.com
También le puede interesar
