Imagen generada con IA
El 2 de agosto de 2026 pasó. Y si esperas que venga aquí a decirte que tienes 35 millones en multas encima de la mesa, te voy a decepcionar. La realidad es bastante más matizada, y entenderla bien vale más que cualquier titular apocalíptico.
Ayer entró en plena aplicación el bloque más amplio del AI Act (Reglamento UE 2024/1689), la ley europea de inteligencia artificial. La AESIA —Agencia Española de Supervisión de la Inteligencia Artificial— pasa de inspeccionar a poder sancionar formalmente. Eso es real. Pero lo que mucha gente no sabe es que la parte más exigente de la ley se aplazó oficialmente a diciembre de 2027. Y las multas millonarias, en la práctica, no están pensadas para la carnicería del barrio ni para el taller del pueblo.
Veamos con datos qué cambió, qué no, y las tres cosas concretas que sí debes tener en orden.
Qué entró en vigor el 2 de agosto (de verdad)
El artículo 50 —la obligación de avisar a los usuarios cuando hablan con una IA— ya era exigible desde hace meses. Lo que cambia el 2 de agosto es que la AESIA puede imponer sanciones formales por incumplirlo. Antes podía inspeccionar; ahora puede multar.
También entran en vigor las obligaciones para los proveedores de modelos de IA de propósito general (los que crean modelos como GPT, Claude o Gemini). Esto afecta a las grandes tecnológicas, no a las pymes que usan esas herramientas.
En la práctica, el cambio real para la mayoría de pymes españolas es este: si tienes un chatbot sin el aviso de IA, o si tus empleados usan IA sin ningún tipo de formación documentada, ya no es solo un riesgo teórico —es algo que una inspección puede detectar y sancionar.
Imagen generada con IA
Lo que muchos no saben: el Annex III se aplazó a 2027
En mayo de 2026, el Parlamento Europeo aprobó el paquete Digital Omnibus, que aplazó la mayoría de las obligaciones del Anexo III del AI Act —los sistemas de IA de alto riesgo— desde el 2 de agosto de 2026 hasta el 2 de diciembre de 2027 (fuente: Parlamento Europeo, paquete Digital Omnibus, mayo 2026).
El Anexo III incluye los sistemas de IA que más asustan: los que se usan para selección de personal, para conceder préstamos, para diagnósticos médicos, para vigilancia biométrica. Los que tienen mayor impacto sobre las personas.
Lo que significa para una pyme típica: si tu negocio usa ChatGPT para redactar correos, un chatbot para atender clientes o automatizaciones para facturas y citas, no estás en el Anexo III. Esos sistemas son de riesgo limitado o mínimo, y sus obligaciones siguen siendo básicamente las mismas de siempre: avisar de que es IA (art. 50) y documentar formación básica del equipo (art. 4).
Los sectores que sí deben prepararse para 2027 son bancos, aseguradoras, empresas de RRHH que usan IA para filtrar candidatos, clínicas que usan IA para diagnósticos. Si tu pyme no está en ninguno de esos sectores, el grueso de los Anexo III no te toca por ahora.
Las multas reales para una pyme española
Aquí viene lo que nadie explica bien: las multas del AI Act son proporcionales, no absolutas.
La ley establece tres tramos (fuente: AESIA, fichas técnicas del AI Act, 2026):
- Hasta 35 M€ o el 7 % de la facturación global por prácticas prohibidas (IA de manipulación subliminal, reconocimiento facial masivo en espacios públicos).
- Hasta 15 M€ o el 3 % de la facturación por incumplir obligaciones de proveedor o transparencia.
- Hasta 7,5 M€ o el 1,5 % de la facturación por información incorrecta a autoridades.
El criterio es siempre el importe que sea menor. Y para pymes y startups, la ley prevé explícitamente que se tenga en cuenta la viabilidad económica al graduar la sanción.
Imagen generada con IA
Ejemplos concretos: una pyme con 2 millones de euros de facturación anual que incumple el artículo 50 (no avisa de que su chatbot es una IA) se enfrenta como máximo al 3 % de esos 2 M€, es decir, 60.000 euros. No 15 millones. Si su facturación es de 500.000 euros, el techo es 15.000 euros.
¿Son 15.000 o 60.000 euros una cifra que da miedo? Sí. ¿Son los 35 millones que aparecen en los titulares? No. Y lo más importante: la AESIA prioriza las inspecciones por denuncia, por incidente o por riesgo sectorial. No va a llamar puerta por puerta.
Quién está realmente en el punto de mira
La AEPD (Agencia Española de Protección de Datos) abrió 147 expedientes relacionados con IA en los últimos 15 meses, con un crecimiento del 340 % respecto al año anterior (fuente: Digital Perito, análisis de expedientes AEPD IA, 2026). ¿Quién está en esos expedientes?
Principalmente banca (42 expedientes), RRHH y selección de personal (31) y seguros (16). No el taller mecánico, no la clínica dental de tres profesionales, no la agencia de marketing de ocho personas.
La AESIA, por su parte, tiene abiertas 23 investigaciones preliminares a fecha de marzo de 2026 (fuente: AESIA, informe de actividad 2026), concentradas en proveedores de sistemas de IA, no en pymes usuarias.
Esto no significa que puedas ignorar la ley. Significa que el riesgo de sanción para una pyme de servicios que no cumple el art. 50 es bajo si no hay denuncia, pero el riesgo reputacional de que un cliente tuyo presente una queja es real desde hoy.
Lo que sí debes tener en orden ahora mismo
Si ya seguiste el checklist de nuestra guía pre-deadline del AI Act para pymes, probablemente estás bien. Si no lo leíste, aquí van las tres cosas que necesitas hacer esta semana:
1. El aviso de IA en tu chatbot (art. 50): Cualquier chatbot o asistente virtual que tengas —en tu web, en WhatsApp o en cualquier canal— debe avisar al usuario al inicio de la conversación de que está hablando con una IA. No hace falta un texto largo. Un "Hola, soy el asistente virtual de [empresa]" ya cumple. Si tienes un chatbot de atención al cliente, revisa que ese mensaje esté activo.
2. La sesión de formación documentada (art. 4): Este artículo lleva en vigor desde febrero de 2025, pero muchas pymes aún no lo han ejecutado. Necesitas que las personas de tu equipo que usan herramientas de IA —ChatGPT, Copilot, lo que sea— tengan formación básica documentada: qué herramientas usan, para qué, y cuáles son sus limitaciones. Una sesión interna de 30-45 minutos con un correo de resumen al equipo es evidencia suficiente. Si quieres una formación más estructurada con certificado y documentación legal, tenemos una guía completa sobre la obligación de formación en IA y también impartimos esa formación directamente.
3. El inventario de herramientas: Si la AESIA te pide información, lo primero que buscará es que sepas qué herramientas de IA usas y para qué. Una hoja de cálculo simple con nombre de la herramienta, uso principal, nivel de riesgo y si cumple el art. 50 es suficiente. Dedicale 30 minutos hoy y tenlo en algún lugar accesible.
Coste real y qué no merece la pena
Las tres acciones anteriores llevan entre dos y cuatro horas en total. No necesitas contratar a nadie ni pagar ningún software específico.
Lo que NO merece la pena si eres una pyme de servicios:
- Contratar una auditoría de cumplimiento completa que cueste miles de euros (eso es para sistemas de alto riesgo del Anexo III, no para un chatbot de FAQ).
- Registrarte en ningún organismo público (el registro es solo para sistemas de alto riesgo).
- Preocuparte por las obligaciones de los proveedores de modelos (eso lo gestionan OpenAI, Anthropic, Google, no tú).
La limitación honesta: el AI Act está vivo. La Ley de IA española todavía está en el Parlamento y puede añadir obligaciones específicas cuando se apruebe. La AESIA irá publicando guías y criterios de interpretación a lo largo de 2026 y 2027. Tener el inventario actualizado y las dos obligaciones básicas en orden (art. 50 + art. 4) es el suelo desde el que moverse cuando lleguen más novedades.
Si usas automatizaciones con agentes de IA que procesan datos de clientes, ahora también es buen momento para revisar que esos sistemas están documentados en tu inventario, especialmente si procesan datos personales —ahí el RGPD y el AI Act se solapan.
Si tienes dudas sobre si tu negocio entra en alguna categoría de alto riesgo del Anexo III —por ejemplo, si usas IA para evaluar candidatos o para decisiones sobre crédito— consulta con un abogado especializado antes de dar el paso. En Happy Automating realizamos auditorías básicas de cumplimiento para pymes: revisamos qué herramientas de IA usas, las clasificamos y te entregamos el inventario documentado. Pídenos presupuesto y lo preparamos contigo.
En resumen
El 2 de agosto llegó y la AESIA puede multar. Pero el Anexo III —los sistemas de alto riesgo más exigentes— queda aplazado hasta diciembre de 2027. Las multas para pymes son proporcionales a su facturación, no los 35 millones que circulan por Twitter. Y los 147 expedientes de IA en España están concentrados en banca, RRHH y seguros, no en la pyme típica de servicios. Lo que sí es real y exigible ahora: el aviso de IA en tu chatbot (art. 50), la formación básica documentada de tu equipo (art. 4), y saber qué herramientas de IA usas. Tres cosas. Una tarde.