AI Act: qué tiene que hacer tu empresa (y la obligación de formar a tu equipo)

Si tu empresa usa IA, el AI Act (el Reglamento europeo de IA) ya cambia dos cosas: la empresa tiene que poner medios para que su equipo sepa usarla, sin certificados ni horas obligatorias, y sus clientes deben saber cuándo hablan con una máquina. La IA de alto riesgo, como la que filtra currículos, tendrá obligaciones desde diciembre de 2027.

Lo que he visto

Las noticias de IA las paso por tres preguntas. ¿Cambia una obligación? ¿Cambia mis números? ¿Cambia una decisión? Si las tres respuestas son que no, la noticia se queda fuera. Pasa con casi todas.

El Reglamento europeo de IA pasa a la primera, porque cambia obligaciones de cualquier empresa que use IA en su trabajo, aunque solo sea ChatGPT para redactar un correo o traducir un catálogo.

Para cumplirlo, el primer paso es el mismo que doy cuando empiezo con una empresa, antes de recomendar una sola herramienta: una fotografía de dónde se usa ya la IA, con qué herramienta, quién la usa, para qué y qué sale de ahí.

Comprar tecnología antes de entender cómo trabaja tu empresa es empezar al revés. Con la ley pasa igual, porque sin esa fotografía no sabes qué te toca.

¿Qué es el AI Act y a qué empresas afecta?

El AI Act es el Reglamento (UE) 2024/1689, la norma europea que regula la IA según su riesgo para las personas. Está en vigor desde agosto de 2024 y se aplica directamente en toda la Unión.

Distingue entre quien fabrica la IA, el «proveedor», y quien la usa en su trabajo, el «responsable del despliegue». Si en tu empresa usáis ChatGPT o un asistente en la web, estás en el segundo grupo. A ti te pide mucho menos que al fabricante, pero algo te pide.

Si tu empresa está fuera de la Unión, el Reglamento también te alcanza cuando lo que produce tu IA se usa dentro, como un asistente que atiende desde México a clientes de España. Revísalo con tu asesor.

¿Qué obliga hoy a una empresa que usa IA?

Hoy te tocan tres cosas: formar a tu equipo, ser transparente con quien habla con una máquina y no cruzar las líneas prohibidas.

La transparencia se aplica desde el 2 de agosto de 2026. Quien escribe a un chatbot tiene que saber desde el primer contacto que al otro lado hay una IA, salvo que sea evidente. Nada de hacer pasar una máquina por Laura, del departamento comercial. La ley carga esta obligación sobre el fabricante, pero el cliente cree que habla contigo. Si pones un asistente en tu web o en tu WhatsApp, comprueba que lo dice en el primer mensaje.

Ojo con el titular de que todo lo que hagas con ChatGPT tiene que llevar una etiqueta visible. La marca técnica que delata un contenido hecho con IA le toca al fabricante. A ti, la norma te pide avisar sobre todo en dos casos: los deepfakes, que la ley llama ultrasuplantaciones, y los textos que se publican para informar sobre asuntos de interés público, si nadie los ha revisado ni responde de ellos. Para el Reglamento, el presupuesto que te ayuda a redactar la IA no necesita etiqueta.

Para todo lo que sale con el nombre de la empresa, mi regla es que la IA prepara y una persona responde. Encaja con la norma, que libra del aviso a esos textos cuando alguien los revisa y responde de ellos.

Lo prohibido rige desde el 2 de febrero de 2025 y casi nunca toca a una empresa corriente, con una excepción que conviene conocer: no se puede usar IA para deducir las emociones de las personas en el trabajo, salvo por motivos médicos o de seguridad. Si te ofrecen medir el ánimo de tu equipo en las videollamadas, la respuesta es no.

¿Es obligatorio formar a los empleados en IA?

Sí, aunque con más margen del que se suele pensar. El artículo 4 del Reglamento se aplica desde el 2 de febrero de 2025 y pide a la empresa que ponga medios para que su personal, y quien use la IA en su nombre, sepa usarla con conocimiento, según su experiencia y el uso que haga de ella.

En julio de 2026, el Reglamento (UE) 2026/1744, conocido como Ómnibus digital sobre IA, suavizó esa obligación. Antes, la empresa tenía que garantizar un nivel suficiente de conocimientos. Desde el 27 de julio tiene que adoptar medidas para apoyar la alfabetización en IA de su personal, y el texto aclara que no exige garantizar un nivel concreto a nadie.

La Comisión Europea lo explica en sus preguntas y respuestas sobre alfabetización en IA (en inglés), actualizadas el 27 de julio de 2026. No hace falta ningún certificado ni hay un curso o un número de horas obligatorio, y basta con guardar un registro interno de lo que se ha hecho. Entra también quien usa ChatGPT para redactar o traducir, que tiene que conocer sus riesgos, como que a veces se inventa datos. Y no necesita la misma formación quien traduce fichas de producto que quien usa la IA para decidir sobre clientes.

¿Qué viene ahora y cuándo?

• 2 de febrero de 2025. Prácticas prohibidas y formación del equipo.
• 2 de agosto de 2026. Aplicación general, con las obligaciones de transparencia. Desde entonces, la vigilancia corresponde a las autoridades de cada país.
• 2 de diciembre de 2027. IA de alto riesgo del anexo III, donde entra la que se usa para seleccionar personal, evaluar el rendimiento o decidir ascensos y despidos. Estaba prevista para agosto de 2026 y el Ómnibus la retrasó.
• 2 de agosto de 2028. Alto riesgo en productos que ya regulan otras normas europeas, como la maquinaria o los productos sanitarios.

Si en tu empresa la IA ayuda a elegir candidatos o a evaluar a tu equipo, apúntate la fecha de 2027. Para quien la usa llegan obligaciones serias, como encargar su supervisión a una persona con formación y autoridad o informar antes a los trabajadores y a sus representantes. Conviene sentarse con el asesor bastante antes.

Quién vigila y con qué sanciones lo fija cada país con una ley propia. En España todavía no está aprobada, pero la obligación europea ya se aplica, y yo no esperaría a esa ley para ordenar la casa.

¿Por dónde empiezo para cumplir?

Por una hora y una hoja. Haz el inventario que te contaba al principio, con una línea por cada uso: herramienta, quién la usa, para qué y qué sale de ahí.

Después repasa cada línea. Si esa IA habla con clientes, tiene que decir que es una IA. Si interviene en decisiones sobre personas, márcala como posible alto riesgo y consúltala antes de 2027. Y quien la usa tiene que conocer sus riesgos. Apunta cuándo y cómo se los has explicado: ese es el registro interno del que habla la Comisión.

Esa hoja es también el punto de partida del mapa para decidir por dónde empezar con la IA en tu empresa.

Cuándo no

No pagues un certificado por miedo a una multa, porque el Reglamento no lo pide. Si formas a tu equipo, que sea con las herramientas que usáis cada día y para el trabajo que hacéis.

Tampoco dejes de usar la IA por miedo a la norma. Para el uso corriente de una empresa, lo que pide cabe en una hoja y en una conversación con tu equipo.

Y si la IA va a intervenir en decisiones sobre personas, el veredicto es «todavía no» hasta que tu asesor lo haya revisado contigo.

La mayoría de las noticias de IA no te piden nada, y esta sí. La empresa que mejor usa la IA es la que sabe por qué dice que sí y por qué dice que no.

Cada semana, en El Filtro, paso las novedades de IA por esas tres preguntas y te cuento solo las que cambian algo en tu empresa.