El AI Act, el Reglamento (UE) 2024/1689, no entró en vigor de golpe. Se aplica por fases, y esas fases cambiaron en julio de 2026 con el Reglamento (UE) 2026/1744, el Digital Omnibus de IA. Si tu empresa usa IA de terceros y quieres saber qué te toca y cuándo, esta es la cronología actualizada a 15 de septiembre de 2026, con lo que ya se aplica, lo que se aplazó y cómo funcionan las multas para una pyme.
Calendario del AI Act en una tabla
| Fecha | Qué se aplica | A quién afecta en una pyme |
|---|---|---|
| 2 de febrero de 2025 | Art. 4 (alfabetización en IA) y art. 5 (prácticas prohibidas) | A cualquier empresa que use un sistema de IA, sea del tamaño que sea. |
| 27 de julio de 2026 | Entrada en vigor del Digital Omnibus; nuevas prohibiciones del art. 5 | A todos. Cambian fechas, redacciones y se añaden prohibiciones. |
| 2 de agosto de 2026 | Art. 50 (transparencia); supervisión nacional del art. 4 desde el 3 de agosto | Quien tenga chatbots o publique contenido generado por IA. |
| 2 de diciembre de 2026 | Fin de la transitoria del marcado técnico del art. 50.2 | Proveedores de sistemas generativos ya comercializados. |
| 2 de febrero de 2027 | Interoperabilidad de la detección de contenido sintético | Proveedores de sistemas generativos. |
| 2 de diciembre de 2027 | Alto riesgo del Anexo III (art. 26 para deployers); FRIA del art. 27 | Quien use IA en RRHH, crédito, educación o servicios esenciales. |
| 2 de agosto de 2028 | Alto riesgo del Anexo I (productos regulados) | Fabricantes de maquinaria, dispositivos médicos, juguetes y similares. |
Qué pasa en cada fecha
2 de febrero de 2025. Arrancan las dos obligaciones que afectan a todo el mundo. El artículo 4 pide medidas de alfabetización en IA para el personal que usa sistemas de IA; lo explicamos en la guía de alfabetización en IA. El artículo 5 prohíbe el reconocimiento de emociones en el trabajo y la educación (salvo razones médicas o de seguridad), el scoring social, la manipulación subliminal o el scraping facial indiscriminado, entre otras. Tienes el detalle en prácticas prohibidas del artículo 5.
27 de julio de 2026. Entra en vigor el Digital Omnibus de IA, adoptado el 8 de julio y publicado en el DOUE el 24 de julio. Desde ese día se aplican las nuevas prohibiciones sobre contenido íntimo no consentido y material de abuso infantil, y cambian las fechas de alto riesgo que verás más abajo.
2 de agosto de 2026. Se aplica el artículo 50: avisar de que se interactúa con una IA, marcar técnicamente el contenido sintético, informar a quien esté expuesto a reconocimiento de emociones o categorización biométrica, y etiquetar deepfakes y textos de interés público generados por IA. Está desarrollado en la guía del artículo 50. Un día después, el 3 de agosto, empieza la supervisión y ejecución nacional del artículo 4.
2 de diciembre de 2026. Termina el periodo transitorio del marcado técnico del artículo 50.2 para los sistemas generativos que ya estaban en el mercado. Es una obligación del proveedor, pero conviene que tu pyme compruebe que las herramientas que usa la cumplen.
2 de febrero de 2027. Interoperabilidad de las soluciones de detección de contenido sintético. De nuevo, cosa de los proveedores.
2 de diciembre de 2027. La fecha grande para las pymes que usan IA en decisiones sobre personas. Empiezan las obligaciones del artículo 26 para deployers de sistemas de alto riesgo del Anexo III: RRHH (selección, filtrado de currículos, evaluación, promoción, despido), scoring de crédito, educación y servicios esenciales. También la FRIA del artículo 27, que solo afecta a organismos públicos, entidades privadas que prestan servicios públicos y banca y seguros.
2 de agosto de 2028. Alto riesgo del Anexo I: IA que es componente de seguridad de productos regulados. Afecta a fabricantes, no al uso ofimático de la IA.
Qué cambió el Digital Omnibus
Tres cosas relevantes para una pyme. La primera, las fechas de alto riesgo: el Anexo III pasó al 2 de diciembre de 2027 y el Anexo I al 2 de agosto de 2028. La segunda, la redacción del artículo 4: de «garantizar un nivel suficiente» de alfabetización a «tomar medidas para apoyar» la alfabetización, una obligación de medios más asumible. La tercera, las nuevas prohibiciones del artículo 5 sobre contenido íntimo no consentido y material de abuso infantil, que se aplican desde el 27 de julio de 2026.
Lo que el Omnibus no cambió. El artículo 4, el artículo 5 y el artículo 50 siguen aplicándose en sus fechas originales. El aplazamiento afecta al alto riesgo, no a las obligaciones básicas que ya tienes. Y tampoco toca el RGPD ni la normativa laboral española, que van por su cuenta.
Sanciones por tramos y la regla del importe menor
El artículo 99 del Reglamento fija tres tramos. Las prácticas prohibidas del artículo 5 llegan hasta 35 millones de euros o el 7 % del volumen de negocio anual mundial. El incumplimiento de las demás obligaciones, incluidas las de transparencia del artículo 50 y las de deployer del artículo 26, hasta 15 millones o el 3 %. Dar información inexacta o incompleta a las autoridades, hasta 7,5 millones o el 1 %.
Para las grandes empresas se aplica la cifra más alta de las dos. Para las pymes y las empresas emergentes, el artículo 99.6 invierte la regla: se aplica el importe menor. Con una facturación de dos millones de euros, el tope por una práctica prohibida sería el 7 % de esa cifra, no 35 millones.
El artículo 4 no aparece en esa lista tasada. Según las respuestas de la Comisión, las autoridades nacionales pueden actuar de forma proporcional, pero no hay una multa directa por falta de alfabetización en el Reglamento. En el proyecto de ley española encaja como infracción leve, con tope de 500.000 euros o el 0,5 %.
Qué falta en España
Las multas del Reglamento las impone cada Estado a través de sus autoridades, y en España la norma que las tipifica es el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA, aprobado en Consejo de Ministros el 26 de mayo de 2026 y en tramitación en la Comisión de Economía del Congreso, con las enmiendas cerradas el 2 de septiembre. Reproduce los tramos europeos (muy graves 35 millones o 7 %, y 15 millones o 3 %; graves 7,5 millones o 1 %; leves 500.000 euros o 0,5 %), mantiene el importe menor para pymes y designa a la AESIA como autoridad de vigilancia y a la AEPD para biometría y prácticas prohibidas con datos personales.
Mientras no se publique en el BOE, la AESIA no tiene régimen sancionador y no constan sanciones ni inspecciones formales en 2026. Lo que sí hace es publicar guías (16, en versión 2.0 desde el 17 de julio de 2026) y gestionar el sandbox. Lo contamos en qué es la AESIA. Entretanto, la AEPD y la Inspección de Trabajo sí sancionan en lo suyo, y el uso de IA con datos personales o en decisiones sobre empleados les cae de lleno.
Checklist por fecha para una pyme
- Ya: comprueba que ninguna herramienta hace reconocimiento de emociones de empleados ni otras prácticas del artículo 5.
- Ya: organiza formación básica en IA por puestos y anótala en un registro interno.
- Ya: pon el aviso de IA en tus chatbots y etiqueta el contenido sintético que publiques.
- Antes del 2 de diciembre de 2026: pregunta a tus proveedores de IA generativa si sus salidas llevan marcado técnico.
- Antes del 2 de diciembre de 2027: identifica los sistemas de RRHH, crédito o educación que serán de alto riesgo y prepara supervisión humana, registros e información a trabajadores.
- Cuando se publique la Ley Orgánica: revisa las autoridades competentes y los plazos de adaptación que fije.
- Usa el Compliance Checker gratuito del AI Act Service Desk de la Comisión para contrastar tu caso.
Si prefieres una respuesta a medida, el diagnóstico gratuito de Gobernaia cruza las herramientas que usas con este calendario y te dice qué fechas te afectan.
Preguntas relacionadas
- ¿Qué pasa si mi empresa no cumple el Reglamento de IA?
- ¿Tengo que etiquetar los textos e imágenes que genero con IA?
- ¿Puedo usar imágenes y vídeos generados con IA en mi marketing?
Fuentes
- Reglamento (UE) 2024/1689 (AI Act)
- Reglamento (UE) 2026/1744 (Digital Omnibus de IA)
- Comisión Europea: AI literacy, questions and answers
- Comisión Europea: Transparency obligations under Article 50
- Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA (BOCG 12-06-2026)
- AESIA: recursos y guías
- AI Act Service Desk y Compliance Checker
Última revisión: 15 de septiembre de 2026. Esta guía es informativa y no sustituye el asesoramiento jurídico.