Hoja de ruta para cumplir el AI Act en 2026: plazos, fases y qué hacer primero

El AI Act no es una fecha única de cumplimiento. Es un calendario escalonado con hitos que ya han pasado y otros que llegan en los próximos meses. Saber exactamente en qué punto está tu empresa —y qué tienes que hacer antes de qué fecha— es lo que separa una estrategia de cumplimiento eficiente de una carrera de última hora.

Y el calendario se movió hace poco. El Reglamento (UE) 2026/1744, el ómnibus digital sobre IA publicado el 24 de julio de 2026, aplazó el bloque de alto riesgo que estaba previsto para agosto de 2026. Esta guía trabaja ya con las fechas nuevas: qué es exigible hoy, qué llega en 2027 y 2028, y cómo estructurar el trabajo según el tipo de sistema de IA que desarrollas o usas.

Los plazos que ya han pasado: lo que es exigible ahora mismo

Fecha	Qué entra en vigor	A quién afecta
Agosto 2024	El AI Act como norma — base legal establecida	Todos
Febrero 2025	Prohibiciones de riesgo inaceptable y obligación de alfabetización en IA	Todos los que desarrollen o usen IA en Europa
Agosto 2025	Obligaciones para modelos GPAI (General Purpose AI): GPT, Gemini, Claude, etc.	Proveedores de modelos con >10^25 FLOPs de entrenamiento
Agosto 2026	Obligaciones de transparencia del artículo 50 y régimen sancionador de los modelos GPAI	Cualquier empresa cuyo software hable con personas o genere contenido

Si tu empresa usa o integra modelos de propósito general para ofrecerlos como servicio o integrarlos en productos, las obligaciones de agosto 2025 ya te afectan: documentación técnica del modelo, política de uso aceptable y resumen de los datos de entrenamiento.

Lo que ya es exigible desde agosto de 2026: transparencia

Desde el 2 de agosto de 2026 se aplican las obligaciones de transparencia del artículo 50: avisar a la persona de que está hablando con un sistema de IA y marcar el contenido generado o manipulado por IA para que sea identificable como tal. Afecta a cualquier empresa con un chatbot, un asistente de voz o un flujo que produzca texto, imagen o audio sintético, sin importar el sector.

Los sistemas de IA generativa que ya estaban en el mercado antes de esa fecha tienen hasta el 2 de diciembre de 2026 para adaptar el marcado. Ese mismo día entran también las dos prohibiciones nuevas que añadió el ómnibus, sobre contenido sexual no consentido y material de abuso infantil.

Lo que no entró en agosto de 2026, aunque así estaba previsto, es el bloque de alto riesgo.

Diciembre de 2027 y agosto de 2028: el bloque de alto riesgo

El ómnibus parte el alto riesgo en dos fechas. Los sistemas del anexo III —los que deciden o asisten decisiones sobre personas en RRHH, crédito y servicios financieros, educación, biometría o acceso a servicios esenciales— cumplen desde el 2 de diciembre de 2027. Los del anexo I, que son los integrados en productos con normativa de seguridad propia (maquinaria, sanitarios, automóvil), desde el 2 de agosto de 2028.

La Comisión justificó el aplazamiento en que las normas armonizadas, las especificaciones comunes y las autoridades nacionales de supervisión no estaban listas a tiempo. No cambia ni un requisito: cambia cuándo te lo pueden exigir.

Los requisitos para sistemas de alto riesgo siguen siendo seis:

• Sistema de gestión de riesgos: identificación, análisis y mitigación de riesgos a lo largo de todo el ciclo de vida del sistema
• Gobernanza del dato: prácticas documentadas de calidad, representatividad y sesgo en los datos de entrenamiento, validación y prueba
• Documentación técnica: descripción completa del sistema, su propósito, los datos usados, las métricas de rendimiento y las limitaciones conocidas
• Registro de eventos (logging): capacidad de generar logs automáticos que permitan reconstruir el comportamiento del sistema
• Transparencia hacia el desplegador: instrucciones de uso claras, limitaciones del sistema y condiciones de mantenimiento
• Supervisión humana: mecanismos técnicos que permitan a las personas que usan el sistema intervenir, pausarlo o rechazar sus salidas

Los sistemas que ya estaban en el mercado

Hay dos regímenes transitorios que conviene no confundir con los anteriores. Los modelos GPAI que ya estaban en el mercado antes de agosto de 2025 tienen hasta agosto de 2027 para adaptarse. Y los sistemas de alto riesgo cuyo diseño no cambie después de la fecha que les aplique mantienen el acceso al mercado, siempre que no haya modificaciones sustanciales de diseño o de propósito: en cuanto las hay, se les exige todo.

Para los sistemas de alto riesgo usados por la administración pública el plazo llega hasta agosto de 2030. Ninguno de estos márgenes exime de la obligación, solo retrasa el momento en que se comprueba.

Cómo priorizar: el mapa de acción por tipo de empresa

Perfil	Acción prioritaria	Plazo urgente
Desarrollas IA para terceros (proveedor)	Clasificar cada sistema por riesgo. Preparar documentación técnica para los de alto riesgo	Diciembre 2027 (anexo III) / agosto 2028 (anexo I)
Usas IA de terceros en RRHH, finanzas o salud (desplegador)	Verificar que el proveedor cumple. Implementar supervisión humana y registros de uso	Diciembre 2027
Ofreces o integras modelos de lenguaje (GPAI)	Documentación del modelo, política de uso aceptable, resumen de datos	Ya exigible (ago 2025)
Usas IA solo para automatización interna sin impacto en personas	Verificar que realmente es riesgo mínimo. Avisar si algún sistema habla con personas o genera contenido	Ya exigible (ago 2026, artículo 50)

Los cinco pasos para estructurar el cumplimiento

• 1. Inventario: lista de todos los sistemas de IA que tu empresa desarrolla, usa o contrata. Incluye los modelos de terceros integrados en tus productos
• 2. Clasificación: para cada sistema, determinar la categoría de riesgo según el AI Act. La mayoría serán riesgo mínimo o limitado
• 3. Análisis de gaps: para los sistemas de alto riesgo, identificar qué requisitos no están cubiertos todavía
• 4. Plan de remediación: priorizar por criticidad y plazo, asignar responsables y presupuesto
• 5. Documentación continua: el AI Act no es un proyecto puntual; los requisitos de logging y gestión de riesgos son continuos

Cuánto cuesta cumplir el AI Act

Depende fundamentalmente de cuántos sistemas de alto riesgo tienes y de su complejidad. Para una empresa con un sistema de alto riesgo ya en producción, el coste de cumplimiento —documentación, ajustes técnicos, auditoría inicial— puede estar entre 30.000 y 150.000 €, dependiendo de si el sistema fue diseñado con estos requisitos en mente o hay que adaptarlo desde cero.

Los sistemas diseñados bien desde el principio —con logging, documentación y supervisión humana integrados en la arquitectura— son significativamente más baratos de certificar que los que hay que retroadaptar.

Ahí es donde el aplazamiento a diciembre de 2027 juega a favor de quien lo aprovecha: adaptar un sistema mientras se desarrolla cuesta bastante menos que pararlo después para certificarlo.

Cómo puede ayudarte Yeeply

En Yeeply trabajamos con empresas certificadas especializadas en desarrollo de software que ya incorporan los requisitos del AI Act en sus procesos de diseño y documentación. Si tienes un sistema existente que necesita adaptación o estás empezando un nuevo desarrollo, podemos ayudarte a hacerlo bien desde el principio.

Para la parte normativa tenemos un servicio específico: cumplimiento del AI Act, que localiza la IA que ya usas, la clasifica y deja las obligaciones cubiertas y documentadas. En esa página hay un test que te sitúa en el calendario en cinco minutos.

Usa el botón Pedir presupuesto en yeeply.com o escribe a sales@yeeply.com.