Cumplimiento del Reglamento Europeo de IA: el 2 de agosto de 2026 empiezan las multas GPAI

El Reglamento Europeo de IA (EU AI Act, Reglamento UE 2024/1689) es la primera regulación integral de inteligencia artificial del mundo. Entró en vigor el 1 de agosto de 2024 y se aplica de forma escalonada: 2 de febrero de 2025 (alfabetización IA y prácticas prohibidas), 2 de agosto de 2025 (obligaciones GPAI y gobernanza), 2 de agosto de 2026 (IA de alto riesgo del Anexo III y multas a proveedores GPAI) y 2 de agosto de 2027 (alto riesgo integrado en productos del Anexo I). Aplica a cualquier organización que provea o utilice IA en el mercado de la UE.

Aplica a cualquier organización que desarrolle, provea o utilice sistemas de IA en el mercado de la UE, tenga o no su sede en Europa. No distingue por sector ni por tamaño: una pyme que usa un chatbot, un banco que hace scoring de crédito o una empresa de EE.UU. con clientes europeos están dentro. Las obligaciones concretas cambian según tu rol (proveedor o deployer) y el nivel de riesgo del sistema, pero la alfabetización en IA (Art. 4) es transversal a casi todas.

Se aplican los requisitos completos para los sistemas de IA de alto riesgo del Anexo III: gestión de riesgos, calidad de datos, documentación técnica, supervisión humana y robustez. Además, ese mismo día pasan a ser aplicables las multas a los proveedores de modelos GPAI, cuyas obligaciones rigen desde el 2 de agosto de 2025. Para la IA de alto riesgo integrada en productos regulados del Anexo I, el plazo llega el 2 de agosto de 2027.

Las multas superan a las del RGPD: hasta 35M€ o el 7% de la facturación anual mundial (la cifra que resulte mayor) por prácticas prohibidas. Para el resto de infracciones, incluidas las obligaciones de alto riesgo y las de proveedores GPAI: hasta 15M€ o el 3%. Por facilitar información incorrecta o engañosa a las autoridades: hasta 7,5M€ o el 1%. Para pymes y startups se aplica el menor de los dos importes.

Es un sistema de IA que, según el Anexo III, puede afectar a la seguridad o a los derechos fundamentales de las personas. Entran ahí la IA en selección y gestión de RRHH (filtrado de CVs, evaluación de desempeño), el scoring de crédito y seguros, la administración de justicia, el control de fronteras, las infraestructuras críticas, la educación (admisiones, evaluaciones) y la salud (diagnóstico, triaje). Si tu IA influye en decisiones que afectan a derechos de personas, probablemente es de alto riesgo.

Un modelo de IA de propósito general (GPAI) es un modelo entrenado a gran escala que sirve para muchas tareas distintas, como GPT, Claude o Gemini. Sus proveedores tienen obligaciones desde el 2 de agosto de 2025 (documentación técnica, transparencia, cumplimiento de copyright) y las multas asociadas pasan a ser aplicables el 2 de agosto de 2026. Si tu empresa integra uno de estos modelos vía API, eres deployer y tienes obligaciones propias, aunque no seas el proveedor del modelo.

Aunque solo uses IA de terceros (ChatGPT, Copilot, un chatbot, una herramienta de RRHH), eres deployer y ya tienes obligaciones. Desde el 2 de febrero de 2025 debes garantizar la alfabetización en IA de tu equipo (Art. 4) y no usar prácticas prohibidas. Si el sistema es de alto riesgo, sumas supervisión humana, transparencia y evaluación de impacto. Estas obligaciones no se pueden delegar en el proveedor del modelo. Comprueba en dos minutos cuáles te afectan con nuestro autodiagnóstico del Reglamento de IA.

Es la obligación, en vigor desde el 2 de febrero de 2025, de que toda organización que use o supervise sistemas de IA garantice que su personal tiene conocimientos suficientes sobre IA: qué es, cómo funciona, sus riesgos y su uso responsable. No basta con una charla genérica: debe adaptarse al rol de cada persona y quedar documentada. Es la primera obligación que afecta a prácticamente cualquier empresa, la desarrolle o no.

Empieza por saber qué tienes: nuestro autodiagnóstico del Reglamento de IA te sitúa en dos minutos, gratis. Para el inventario completo, nuestro Diagnóstico de cumplimiento IA inventaría todos tus sistemas de IA, los clasifica por nivel de riesgo (Anexo III), detecta los gaps frente al reglamento y te entrega un plan de acción priorizado en 2-3 semanas. A partir de ahí sabes exactamente qué hacer y en qué orden, sin gastar antes de tiempo. Si quieres profundizar en la arquitectura, lo acompañamos con consultoría de IA.

Hemos publicado una guía completa del Reglamento Europeo de IA para empresas con el calendario de aplicación, los niveles de riesgo, las obligaciones por rol y los pasos concretos para prepararte. Si prefieres una lectura aplicada a tu caso, el Diagnóstico de cumplimiento IA te da el estado real de tu organización frente al reglamento.