TL;DR: El AI Act europeo entró en vigor parcialmente en febrero 2026. Clasifica sistemas IA en cuatro niveles de riesgo (mínimo, limitado, alto, inaceptable) y prohíbe categorías como scoring social o manipulación conductual. Las obligaciones de alto riesgo incluyen evaluación de conformidad, documentación técnica, supervisión humana y registro en base europea. Multas alcanzan el 7% de la facturación global anual. El cumplimiento exige análisis de clasificación, auditoría técnica, procesos de gestión de riesgo y documentación continua.

EU AI Act: lo que exige a tu empresa desde febrero 2026

El Reglamento de Inteligencia Artificial de la Unión Europea (AI Act) establece el primer marco legal vinculante para sistemas IA a nivel mundial, con entrada en vigor escalonada entre agosto 2024 y agosto 2027 (Comisión Europea, 2024). AutoProcessX es una agencia IA con sede en Barcelona especializada en automatizaciones con n8n, aplicaciones IA corporativas RAG y chatbots empresariales que asesora a empresas en cumplimiento normativo IA. Desde febrero 2026 aplican prohibiciones a sistemas de riesgo inaceptable y exigencias documentales para sistemas de alto riesgo, afectando a cualquier empresa europea que despliegue, comercialice o use IA en procesos críticos. La clasificación correcta de tus sistemas determina obligaciones, costes de cumplimiento y exposición a sanciones de hasta 35 millones de euros o el 7% de facturación global anual, la más alta de ambas cifras (EU AI Act, Artículo 99, 2024).

Línea temporal de aplicación del AI Act

El AI Act sigue un calendario escalonado de entrada en vigor por fases. Prohibiciones a sistemas de riesgo inaceptable rigen desde el 2 de febrero de 2025, códigos de conducta voluntarios para IA general desde agosto 2025, y obligaciones completas para sistemas de alto riesgo desde el 2 de agosto de 2027 (Comisión Europea, Hoja de ruta AI Act, 2024).

La aplicación progresiva permite a empresas prepararse, pero genera confusión sobre qué aplica cuándo. Fases clave:

• 2 agosto 2024: entrada en vigor del Reglamento (sin aplicación inmediata).

• 2 febrero 2025: prohibiciones a prácticas IA inaceptables (scoring social, manipulación subliminal, explotación de vulnerabilidades).

• 2 agosto 2025: código de conducta para modelos IA de propósito general (GPAI) como GPT, Claude, Gemini (compliance voluntario).

• 2 agosto 2026: obligaciones para sistemas de alto riesgo nuevos (evaluación conformidad, registro europeo, documentación técnica).

• 2 agosto 2027: extensión de obligaciones a sistemas de alto riesgo ya en producción antes de la entrada en vigor.

En despliegues de AutoProcessX vemos que empresas con IA en producción antes de 2024 deben auditar sistemas existentes y preparar documentación técnica retroactiva antes de agosto 2027. Las que lancen sistemas nuevos desde agosto 2026 deben cumplir desde el día uno.

Clasificación de riesgo: mínimo, limitado, alto, inaceptable

El AI Act clasifica sistemas IA en cuatro niveles según impacto potencial en derechos fundamentales, seguridad y salud. La clasificación determina obligaciones: riesgo mínimo sin requisitos, limitado con transparencia obligatoria, alto con evaluación conformidad completa, inaceptable prohibido (EU AI Act, Título III, 2024).

Clasificación práctica:

• Riesgo mínimo: filtros spam, chatbots de atención cliente sin decisiones automatizadas críticas, recomendadores de contenido, asistentes de código. Sin obligaciones específicas más allá de legislación general (GDPR, Directiva Responsabilidad Producto).

• Riesgo limitado: sistemas que interactúan con humanos (chatbots conversacionales), generan contenido sintético (deepfakes, audio, vídeo) o categorizan biométricamente (edad, género, emoción). Obligación: transparencia clara al usuario de que interactúa con IA o consume contenido sintético (Artículo 52, AI Act).

• Alto riesgo: sistemas IA usados en infraestructuras críticas, educación/formación profesional, empleo (CV screening, evaluación desempeño), servicios esenciales (scoring crediticio), aplicación de ley, migración/asilo, administración justicia, componentes de seguridad de productos (vehículos autónomos, dispositivos médicos). Definición exhaustiva en Anexo III del AI Act.

• Riesgo inaceptable: prácticas prohibidas que manipulan, engañan o explotan vulnerabilidades. Detalle en sección siguiente.

AutoProcessX asesora a clientes en clasificación inicial: un chatbot de soporte estándar cae en riesgo mínimo, pero si ese chatbot decide automáticamente elegibilidad para crédito o filtra candidatos en RRHH, salta a alto riesgo con obligaciones multiplicadas por diez.

Sistemas de IA prohibidos bajo el AI Act

El AI Act prohíbe absolutamente sistemas IA que despliegan técnicas subliminales manipuladoras, explotan vulnerabilidades por edad/discapacidad, realizan scoring social gubernamental estilo China, identificación biométrica remota en tiempo real en espacios públicos (salvo excepciones orden público), categorización biométrica sensible indiscriminada, scraping masivo de imágenes faciales o inferencia emocional en trabajo/educación sin justificación médica (Artículo 5, AI Act, 2024).

Prácticas prohibidas con efecto desde febrero 2025:

• Manipulación subliminal: técnicas que distorsionan comportamiento causando daño físico/psicológico (e.g., anuncios con estímulos subliminales IA).

• Explotación de vulnerabilidades: IA que se aprovecha de edad, discapacidad física/mental para manipular decisiones perjudiciales (e.g., asistente que empuja a mayores a compras innecesarias).

• Scoring social: evaluación/clasificación de personas por comportamiento social, estatus socioeconómico o características personales que genere trato desfavorable (modelo chino Social Credit prohibido explícitamente).

• Identificación biométrica remota en tiempo real: reconocimiento facial en vivo en espacios públicos, salvo excepciones tasadas (búsqueda de menores desaparecidos, amenaza terrorista inminente, delitos graves específicos con autorización judicial previa).

• Categorización biométrica sensible: inferencia de raza, opiniones políticas, orientación sexual o creencias religiosas mediante IA biométrica, salvo etiquetado de datasets con consentimiento explícito.

• Reconocimiento de emociones en trabajo/educación: sistemas que detectan estados emocionales de empleados o estudiantes, salvo razones médicas o seguridad justificadas.

Multa por desplegar IA prohibida: hasta 35 millones EUR o 7% facturación global anual (Artículo 99.3, AI Act). AutoProcessX implementa automatizaciones IA con n8n para PYMEs sin tocar estas áreas, pero recomendamos auditoría si tu empresa usa reconocimiento facial, análisis emocional en RRHH o scoring automático de ciudadanos/clientes con impacto en derechos.

Obligaciones para sistemas de alto riesgo

Sistemas IA de alto riesgo deben cumplir evaluación de conformidad previa al despliegue, mantener documentación técnica exhaustiva, implementar supervisión humana efectiva, garantizar calidad y representatividad de datos de entrenamiento, registrarse en base de datos europea, y monitorizar rendimiento post-despliegue con reporte de incidentes graves (EU AI Act, Artículos 8-15, 2024).

Checklist obligatorio para alto riesgo:

1. Sistema de gestión de riesgo: identificación y análisis continuo de riesgos conocidos y previsibles, medidas de mitigación, test y validación iterativa (Artículo 9).

2. Gobernanza de datos: datasets de entrenamiento, validación y test deben ser relevantes, representativos, libres de errores y completos. Examen de sesgos posibles. Documentación de procedimientos data (Artículo 10).

3. Documentación técnica: descripción general del sistema, especificaciones funcionales, arquitectura, datos usados, métricas de rendimiento, proceso de validación, supervisión humana implementada. Debe mantenerse actualizada durante vida útil del sistema (Artículo 11, Anexo IV).

4. Registro automático (logs): trazabilidad de eventos, inputs, outputs y decisiones del sistema IA para permitir auditoría post-incidente (Artículo 12).

5. Transparencia y provisión de información: instrucciones de uso claras, comprensibles, capacidades y limitaciones del sistema, nivel de precisión esperado, supervisión humana necesaria (Artículo 13).

6. Supervisión humana (human oversight): diseño que permita a personas supervisar funcionamiento, intervenir en tiempo real, detener sistema o revertir decisiones. Capacitación adecuada de operadores humanos (Artículo 14).

7. Exactitud, robustez y ciberseguridad: nivel apropiado de precisión, resistencia ante errores/fallas, protección contra intentos de manipulación de terceros (Artículo 15).

8. Evaluación de conformidad: antes de poner en mercado o en servicio, realizar evaluación basada en control interno (autoevaluación) o mediante organismo notificado según criticidad. Obtención de marcado CE (Artículos 43-51).

9. Registro en base de datos UE: sistemas de alto riesgo deben registrarse en base europea pública antes de comercialización (Artículo 71).

10. Sistema de vigilancia post-comercialización: monitorización continua de rendimiento, detección de fallos, reporte de incidentes graves a autoridades en 15 días (Artículo 72).

Desde AutoProcessX asesoramos a clientes con sistemas de alto riesgo en implementación de supervisión humana mediante automatizaciones con n8n que alertan a operadores cuando métricas de confianza del modelo bajan de umbrales definidos, permitiendo intervención manual antes de decisión final.

Régimen sancionador: multas hasta 7% de facturación

El AI Act establece multas administrativas proporcionales a la infracción: hasta 35 millones EUR o 7% de facturación global anual por desplegar IA prohibida o suministrar información falsa; hasta 15 millones EUR o 3% facturación por incumplir obligaciones de alto riesgo; hasta 7,5 millones EUR o 1,5% facturación por facilitar información incorrecta a autoridades (Artículo 99, AI Act, 2024).

Escalado de sanciones:

• Infracciones muy graves (hasta 35M EUR o 7% facturación): desplegar sistema IA prohibido, comercializar sistema no conforme con requisitos de alto riesgo, proveer información falsa intencionadamente.

• Infracciones graves (hasta 15M EUR o 3% facturación): incumplimiento de obligaciones de proveedores/desplegadores de sistemas de alto riesgo (falta evaluación conformidad, documentación técnica, supervisión humana, registro UE).

• Infracciones menores (hasta 7,5M EUR o 1,5% facturación): facilitar información incorrecta/incompleta a autoridades de supervisión, incumplir obligaciones de transparencia para sistemas de riesgo limitado.

Para PYMEs con menos de 250 empleados, los límites económicos fijos se reducen (detalle en Artículo 99.4). Sin embargo, el porcentaje sobre facturación se mantiene. AutoProcessX recomienda a clientes evaluar exposición considerando el límite más alto: para una empresa con 100M EUR facturación, una multa del 7% alcanza 7M EUR, muy por encima del límite de 35M EUR para grandes corporaciones, pero proporcionalmente devastador para negocio medio.

Cómo preparar tu empresa para cumplimiento AI Act

Cumplir el AI Act requiere inventario completo de sistemas IA en uso, clasificación de riesgo de cada uno, auditoría técnica de sistemas de alto riesgo, implementación de gestión de riesgo continua, documentación técnica actualizada y formación de equipos en supervisión humana y reporte de incidentes (AEPD, Guía de cumplimiento AI Act, 2025).

Plan de acción recomendado por AutoProcessX:

1. Inventario de sistemas IA: mapear todos los sistemas, herramientas y procesos que usan IA en tu organización (desde chatbots hasta modelos predictivos, pasando por asistentes código, automatizaciones decisión). Incluir IA desarrollada internamente, comprada a terceros y embebida en software SaaS.

2. Clasificación de riesgo: para cada sistema, determinar nivel de riesgo según criterios AI Act. Priorizar revisión de sistemas que afecten derechos fundamentales, seguridad, salud, empleo, crédito, educación o seguridad pública.

3. Auditoría técnica de alto riesgo: evaluar si sistemas clasificados como alto riesgo cumplen requisitos del AI Act (gobernanza datos, exactitud, robustez, supervisión humana, trazabilidad). Identificar gaps de cumplimiento.

4. Implementación de gestión de riesgo: establecer procesos continuos de identificación, análisis, mitigación y monitorización de riesgos IA. Asignar responsables de IA compliance en organización.

5. Documentación técnica: generar documentación exhaustiva de sistemas de alto riesgo según Anexo IV del AI Act (arquitectura, datos, validación, métricas rendimiento, supervisión). Mantener actualizada durante ciclo de vida.

6. Supervisión humana: diseñar e implementar mecanismos que permitan a operadores humanos supervisar, intervenir, detener o revertir decisiones IA en sistemas de alto riesgo. Capacitar equipos en uso de estos mecanismos.

7. Evaluación de conformidad y registro: completar autoevaluación o evaluación por organismo notificado antes de desplegar nuevo sistema de alto riesgo. Registrar en base de datos UE antes de comercialización.

8. Monitorización post-despliegue: establecer vigilancia continua de rendimiento de sistemas IA en producción. Definir métricas, umbrales de alerta y procedimientos de reporte de incidentes graves a autoridades (plazo 15 días).

9. Revisión de contratos con proveedores: si usas IA de terceros, asegurar que contratos especifican responsabilidades de cumplimiento AI Act, acceso a documentación técnica y obligaciones de reporte de cambios en sistema.

10. Formación y concienciación: capacitar a equipos técnicos, jurídicos y de negocio en requisitos AI Act, clasificación de riesgo y procedimientos internos de compliance IA.

En AutoProcessX ofrecemos auditorías de sistemas IA para clasificación de riesgo, evaluación de cumplimiento y diseño de procesos de gestión de riesgo adaptados a tu empresa. Nuestro enfoque combina expertise técnico en IA con conocimiento normativo actualizado.

Preguntas frecuentes

¿El AI Act se aplica a empresas fuera de la UE?

Sí, el AI Act tiene efecto extraterritorial. Se aplica a proveedores que comercializan sistemas IA en la UE, desplegadores que usan IA en la UE, e incluso proveedores/desplegadores de terceros países si los outputs del sistema se usan en la UE (Artículo 2, AI Act). Similar al GDPR, el alcance geográfico es amplio para proteger a ciudadanos europeos.

¿Qué pasa si mi chatbot usa un modelo GPAI como GPT-4 o Claude?

Si integras un modelo de IA de propósito general (GPAI) en tu aplicación, tú eres el "desplegador" bajo el AI Act. Debes clasificar tu sistema completo (chatbot + GPAI) según riesgo y cumplir obligaciones correspondientes. El proveedor del GPAI (OpenAI, Anthropic) tiene obligaciones separadas como proveedor de modelo base, pero eso no te exime de responsabilidad como desplegador (Artículos 4, 25, 28, AI Act).

¿Cómo sé si mi sistema de IA es de alto riesgo?

Consulta el Anexo III del AI Act, que lista áreas de alto riesgo: infraestructura crítica (transporte, agua, gas, electricidad), educación/formación, empleo, servicios privados/públicos esenciales (crédito, seguros, emergencias), aplicación de ley, migración/asilo, justicia, gestión democrática. Si tu sistema IA toma decisiones o asiste en decisiones en estas áreas con impacto significativo en derechos/seguridad de personas, probablemente es alto riesgo.

¿Puedo usar reconocimiento facial en mi empresa?

Depende del uso. Reconocimiento facial en tiempo real en espacios públicos está prohibido salvo excepciones muy limitadas (seguridad nacional, delitos graves con autorización judicial). Reconocimiento facial para control de acceso de empleados en oficina privada no está prohibido per se, pero puede ser alto riesgo si afecta derechos fundamentales y requiere cumplimiento estricto de GDPR y AI Act (evaluación conformidad, supervisión humana, documentación). Reconocimiento emocional de empleados en contexto laboral está prohibido salvo justificación médica/seguridad.

¿Cuándo debo registrar mi sistema IA en la base de datos UE?

Antes de poner en el mercado o en servicio un sistema de alto riesgo nuevo (desde agosto 2026) o existente (antes de agosto 2027). El registro es obligatorio para proveedores de sistemas de alto riesgo y debe incluir información básica del sistema, proveedor, conformidad y uso previsto (Artículo 71, AI Act).

Conclusión: cumplimiento AI Act como ventaja competitiva

El AI Act europeo impone obligaciones exigentes, pero también crea un marco de confianza que diferencia a empresas responsables en el mercado. Cumplir desde 2026 posiciona a tu organización como líder en IA ética, reduce riesgo legal y reputacional, y facilita acceso a clientes corporativos y públicos que priorizan compliance normativo. Ignorar el AI Act expone a sanciones millonarias, pero sobre todo a pérdida de confianza de clientes, empleados y reguladores.

AutoProcessX ayuda a empresas europeas a navegar el cumplimiento AI Act con enfoque práctico: clasificamos tus sistemas IA, auditamos riesgo, diseñamos supervisión humana mediante automatizaciones n8n, generamos documentación técnica y preparamos evaluaciones de conformidad. Nuestro objetivo es que cumplas sin paralizar innovación, convirtiendo compliance en ventaja competitiva.

¿Necesitas auditar tus sistemas IA para cumplir el AI Act? Solicita una consultoría de compliance en AutoProcessX y recibe clasificación de riesgo, análisis de gaps y roadmap de cumplimiento personalizado para tu empresa.