EU AI Act · Gobernanza IA · Compliance

Las 7 dudas de un directivo ante el EU AI Act (y las respuestas que necesitas antes de Q4 2026)

24 de julio de 2026 · David M Calduch

El EU AI Act ya no es una norma en el horizonte. Es regulación vigente que clasifica, obliga y sanciona. Estas son las siete preguntas que los directores de Riesgos, Compliance y CFOs me hacen con más frecuencia, respondidas con los plazos y cifras reales del texto legal.

1. ¿Qué es el EU AI Act y a qué empresas obliga realmente?

El Reglamento (UE) 2024/1689, conocido como EU AI Act, entró en vigor el 1 de agosto de 2024. Es la primera regulación horizontal de inteligencia artificial del mundo: no regula un sector concreto, sino cualquier sistema de IA que opere dentro de la Unión Europea o que afecte a personas en su territorio.

Aplica a dos tipos de actores con obligaciones distintas:

Proveedores (providers): empresas que desarrollan o comercializan sistemas de IA. - Responsables del despliegue (deployers): empresas que usan sistemas de IA en sus procesos de negocio, aunque los hayan comprado a un tercero.

Si tu empresa utiliza IA para tomar o apoyar decisiones que afectan a personas -empleados, clientes, candidatos, solicitantes de crédito-, eres un deployer con obligaciones legales exigibles ahora mismo.

La norma aplica independientemente del tamaño de la empresa. No existe exención por facturación ni por número de empleados.

2. ¿Cuáles son los plazos reales? ¿Todavía tenemos tiempo?

Depende de qué parte de la ley te afecte. El calendario es escalonado:

| Fecha | Qué entra en vigor | |—|—| | 01/08/2024 | Reglamento en vigor | | 02/02/2025 | Prohibiciones (Art. 5) y formación en IA (Art. 4) | | 02/08/2025 | Obligaciones para modelos de propósito general (GPAI) | | 02/12/2026 | Transparencia y marcas de agua (Art. 50, pospuesto por el aplazamiento del Anexo III) | | 02/12/2027 | Sistemas de alto riesgo Anexo III (pospuesto por el aplazamiento del Anexo III) | | 02/08/2028 | Sistemas de alto riesgo Anexo I |

El plazo de aplicación de los sistemas de alto riesgo del Anexo III se ha aplazado a 2027. Eso no significa que haya margen para esperar: la formación del Art. 4 es exigible desde el 2 de febrero de 2025 y las sanciones por incumplimiento ya son efectivas.

Quien espere al último trimestre de 2027 para empezar a clasificar sus sistemas llegará tarde y caro.

3. ¿A qué multas me expongo si no cumplo el EU AI Act?

El régimen sancionador del Art. 99 establece tres tramos, aplicables por infracción y acumulables con sanciones del RGPD:

Prácticas prohibidas (Art. 5): hasta 35 millones de euros o el 7% de la facturación mundial anual, la cifra que sea mayor. - Incumplimiento de obligaciones de proveedor o deployer: hasta 15 millones de euros o el 3% de la facturación mundial. - Información engañosa a autoridades: hasta 7,5 millones de euros o el 1% de la facturación.

Para un CFO, el dato relevante es que las multas se calculan sobre facturación mundial, no solo sobre la actividad en España o en la UE. Una empresa con 200 millones de euros de facturación global puede enfrentarse a sanciones de entre 2 y 14 millones de euros por una sola infracción.

En España, la Agencia Española de Protección de Datos (AEPD) registró expedientes relacionados con IA (AEPD, 2025). La Agencia Española de Supervisión de la IA (AESIA) tiene investigaciones preliminares abiertas. La primera sanción formal se estima para el periodo Q4 2026 - Q1 2027.

4. ¿Cómo sé si mis sistemas de IA son de “alto riesgo”?

El EU AI Act define cuatro niveles de riesgo:

Inaceptable: prohibido directamente desde el 2 de febrero de 2025. Incluye manipulación subliminal, scoring social ciudadano y reconocimiento facial en tiempo real en espacios públicos (con excepciones tasadas). 2. Alto riesgo (Anexo III): sujeto a las obligaciones más exigentes. Ocho categorías: infraestructuras críticas, educación y formación profesional, empleo y gestión de trabajadores, acceso a servicios esenciales privados y públicos, aplicación de la ley, gestión de fronteras e inmigración, administración de justicia, y procesos democráticos. 3. Riesgo limitado: obligaciones de transparencia. El usuario debe saber que interactúa con IA. 4. Riesgo mínimo: sin obligaciones específicas más allá de las generales del mercado.

La categoría que afecta a más empresas en el sector privado es la del Anexo III, especialmente en dos ámbitos: el empleo (sistemas de selección, evaluación del rendimiento, asignación de tareas gestionados por IA) y el acceso a servicios financieros (scoring crediticio, seguros, evaluación de solvencia).

El primer paso obligatorio no es contratar un consultor: es inventariar todos los sistemas de IA en uso, incluyendo los que vienen integrados en software de terceros como ERPs o plataformas de RRHH.

5. ¿Qué obligaciones concretas tengo como empresa que despliega IA?

El Art. 26 establece las obligaciones específicas del deployer para sistemas de alto riesgo:

Supervisión humana cualificada: la persona que supervise el sistema debe tener la formación y la autoridad para intervenir, parar o revertir una decisión de la IA (Art. 14, principio de “cuatro ojos”). - Logs de actividad: conservar registros de operación durante un mínimo de seis meses. - Informar a los trabajadores: cuando los sistemas de IA afecten a empleados, la empresa está obligada a comunicarlo antes del despliegue. - Evaluación de impacto de derechos fundamentales (FRIA): obligatoria antes de desplegar cualquier sistema de alto riesgo. No es opcional. - Notificación de incidentes graves: si un sistema de alto riesgo provoca un daño significativo, se notifica a la autoridad competente. - Formación (Art. 4): toda la organización, no solo el equipo técnico, debe tener el nivel de alfabetización en IA adecuado para su función. Esta obligación es exigible desde el 2 de febrero de 2025. El incumplimiento puede implicar sanciones de hasta 15 millones de euros o el 3% de la facturación.

Implementar ISO/IEC 42001:2023, el estándar internacional de gestión de sistemas de IA, cubre entre el 55% y el 65% de estas obligaciones para sistemas de alto riesgo (ISO, 2023). El coste realista para una empresa mediana española oscila entre 12.000 y 40.000 euros en tres años.

6. ¿Quién en la organización tiene que gestionar el cumplimiento del EU AI Act?

Esta es la pregunta que más incomoda, porque la respuesta no es “el departamento de IT”.

Solo el 8% de los directivos europeos tiene expertise sólida en IA, y el 29% de las empresas cuenta con planes de gobernanza integrales. La responsabilidad personal de los directivos por supervisión deficiente ya es un riesgo legal real, no teórico.

El EU AI Act no define un cargo obligatorio equivalente al DPO del RGPD, pero la práctica regulatoria española y europea señala que la responsabilidad recae en quien tiene autoridad sobre los procesos afectados: la dirección general, el CFO si el sistema afecta a riesgo financiero, el director de RRHH si afecta a gestión de personas.

Un marco operativo de siete pasos para asignar responsabilidad con claridad:

Inventariar todos los sistemas de IA en uso (incluidos los de proveedores). 2. Clasificar el riesgo de cada sistema conforme al Anexo III. 3. Asignar un responsable con autoridad real, no solo nominal. 4. Establecer supervisión humana cualificada con protocolo documentado. 5. Revisar contratos con proveedores e incluir cláusulas EU AI Act. 6. Ejecutar el plan de formación en IA para toda la organización (Art. 4), exigible desde febrero de 2025. 7. Implantar un dashboard trimestral al consejo con logs, incidentes y estado de cumplimiento.

La persona a cargo no necesita ser un experto técnico. Necesita autoridad para parar un sistema si detecta un problema, y acceso directo al consejo para reportar.

7. ¿El retraso del el aplazamiento del Anexo III nos da margen real o solo retrasa lo inevitable?

El acuerdo el aplazamiento del Anexo III del 7 de mayo de 2026 amplió el plazo para los sistemas de alto riesgo del Anexo III desde agosto de 2026 hasta diciembre de 2027. Para las empresas que aún no han empezado, esto parece una oportunidad.

No lo es. Por tres razones:

Primera: La formación del Art. 4 no se retrasó. Es exigible desde el 2 de febrero de 2025. Una empresa que no tenga su programa de alfabetización en IA operativo incumple desde hace más de un año.

Segunda: El inventario y la clasificación de sistemas de IA no se hacen en un trimestre. Las empresas que empiezan a trabajar en 2027 llegan a diciembre sin margen para corregir.

Tercera: La actividad supervisora de la AEPD y la AESIA no espera a ningún aplazamiento. Los expedientes de 2024 y las investigaciones preliminares de AESIA utilizan el marco del RGPD y las prohibiciones vigentes desde febrero de 2025. El enforcement no está en pausa.

Como señala el considerando 9 del propio Reglamento, el objetivo no es penalizar sino generar confianza en los mercados y proteger derechos fundamentales. Pero la confianza que exige el regulador se construye con documentación, procesos y supervisión verificable, no con declaraciones de intención.

Preguntas frecuentes (FAQ)

¿El EU AI Act aplica a una empresa española que usa ChatGPT o herramientas de IA de terceros? Sí. Si esa herramienta se usa en procesos que afectan a personas en la UE, la empresa es deployer con obligaciones propias, independientemente de que el proveedor sea extranjero. Los contratos con proveedores deben incluir cláusulas específicas de cumplimiento.

¿Qué es exactamente la supervisión humana cualificada que exige el Art. 14? Es el principio de “cuatro ojos”: una persona con formación adecuada y autoridad real debe revisar, validar o poder revertir cualquier decisión de alto riesgo producida por un sistema de IA. No basta con que exista un humano en el proceso si no tiene la capacidad efectiva de intervenir.

¿Las sanciones del EU AI Act se acumulan con las del RGPD? Sí. El Art. 99 del Reglamento establece expresamente que las multas son acumulativas con las del RGPD cuando la misma conducta infringe ambas normas. Una brecha de datos causada por un sistema de IA puede generar dos expedientes sancionadores simultáneos.

¿ISO/IEC 42001 es suficiente para cumplir el EU AI Act? No de forma completa. ISO/IEC 42001 cubre entre el 55% y el 65% de las obligaciones para sistemas de alto riesgo, con alta cobertura en gobernanza. Los gaps principales son la evaluación de impacto de derechos fundamentales (FRIA), el registro europeo de sistemas de alto riesgo (Art. 49) y los protocolos de notificación de incidentes.

¿Cuándo es obligatorio notificar a AESIA? La notificación de incidentes graves es exigible desde agosto de 2026 para sistemas afectados por esas obligaciones. Un incidente grave es cualquier evento en que un sistema de alto riesgo cause o contribuya a daño físico significativo, violación grave de derechos fundamentales o daño material relevante.

El siguiente paso concreto

Si llegas a este artículo como director de Riesgos, de Compliance o como CFO, la pregunta que te deberías hacer no es si el EU AI Act aplica a tu empresa. Ya aplica. La pregunta es cuántos de los siete pasos del marco anterior tienes documentados y verificables.

El inventario de sistemas de IA es el primero, el más urgente y el que más empresas tienen sin hacer. Sin él, no puedes clasificar riesgo, no puedes asignar responsabilidad y no puedes defender tu posición ante un inspector.

Si quieres un punto de partida estructurado, el AI Maturity Score te permite saber en menos de 20 minutos dónde está tu empresa respecto al marco regulatorio y qué priorizar antes de que la supervisión se active.

Por David M. Calduch. Arquitecto de Gobernanza de IA. Asesor de comités de dirección.

Referencias

Agencia Española de Protección de Datos. (2025). Memoria de actividades 2024. AEPD. https://www.aepd.es

Deloitte. (2025). 2025 Global AI Leadership Study. Deloitte Insights. https://www.deloitte.com/insights

International Organization for Standardization. (2023). ISO/IEC 42001:2023. Information technology - Artificial intelligence - Management system. ISO.

National Association of Corporate Directors. (2025). 2025 NACD Governance Outlook: Priorities for the Year Ahead. NACD. https://www.nacdonline.org/

Parlamento Europeo y del Consejo de la Unión Europea. (2024). Reglamento (UE) 2024/1689, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial. Diario Oficial de la Unión Europea, L 2024/1689.

Consejo de la Unión Europea. (2026, 7 de mayo). Artificial intelligence: Council and Parliament agree to simplify and streamline rules. Consilium. https://www.consilium.europa.eu/en/press/press-releases/2026/05/07/artificial-intelligence-council-and-parliament-agree-to-simplify-and-streamline-rules/

META: title SEO: EU AI Act: 7 dudas de directivos con respuestas reales (2026) meta description: Plazos, multas y obligaciones del EU AI Act explicadas para directores de Riesgos y CFOs. Datos verificables y framework de 7 pasos para cumplir antes de agosto de 2026. slug: eu-ai-act-dudas-directivos-cumplimiento keywords: eu ai act obligaciones empresa, eu ai act multas sanciones, eu ai act alto riesgo clasificacion, eu ai act plazos 2026 2027, gobernanza ia cumplimiento normativo

Fuentes:

Parlamento Europeo y del Consejo de la Unión Europea. (2024). Reglamento (UE) 2024/1689 por el que se establecen normas armonizadas en materia de inteligencia artificial. Diario Oficial de la Unión Europea. https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:32024R1689

European Artificial Intelligence Act. (2024). Article 4: AI literacy. https://artificialintelligenceact.eu/article/4/

European Artificial Intelligence Act. (2024). Article 26: Obligations of deployers of high-risk AI systems. https://artificialintelligenceact.eu/article/26/

European Artificial Intelligence Act. (2024). Article 99: Penalties. https://artificialintelligenceact.eu/article/99/

Agencia Española de Protección de Datos. (2025). Memoria de actividades 2024. AEPD. https://www.aepd.es

Deloitte. (2025). 2025 Global AI Leadership Study. Deloitte Insights. https://www.deloitte.com/insights

International Organization for Standardization. (2023). ISO/IEC 42001:2023. Information technology - Artificial intelligence - Management system. ISO.

National Association of Corporate Directors. (2025). 2025 NACD Governance Outlook: Priorities for the Year Ahead. NACD. https://www.nacdonline.org/