AI Act: del calendario europeo a la futura gobernanza española

La preparación para el AI Act entra en una etapa de mayor concreción. Durante los últimos meses han coincidido tres movimientos relevantes: el acuerdo político europeo sobre el Ómnibus Digital de IA, la publicación de nuevos instrumentos de apoyo por parte de la Comisión Europea y la presentación en España del Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial.

Este escenario requiere una lectura actualizada. Las fechas han evolucionado, las obligaciones de transparencia mantienen un horizonte inmediato y el proyecto español empieza a dibujar cómo se organizarán la supervisión, las sanciones y determinadas actuaciones del sector público en nuestro país.

La preparación operativa puede estructurarse, por tanto, sobre tres capas complementarias:

El AI Act, que define las obligaciones europeas aplicables a proveedores, responsables del despliegue y otros operadores.
Los códigos, directrices y herramientas de la Comisión Europea, que ayudan a interpretar y aplicar esas obligaciones.
El futuro marco español, actualmente en tramitación parlamentaria, que desarrolla la gobernanza nacional, las autoridades competentes, el régimen sancionador y los espacios controlados de pruebas.

Un calendario europeo que ha evolucionado

El AI Act entró en vigor el 1 de agosto de 2024 y estableció una aplicación progresiva. Desde el 2 de febrero de 2025 se aplican las disposiciones generales, las obligaciones relacionadas con la alfabetización en IA y las prohibiciones previstas por el Reglamento. Las normas de gobernanza europea y las obligaciones para proveedores de modelos de IA de uso general comenzaron a aplicarse el 2 de agosto de 2025.

El 2 de agosto de 2026 mantiene su relevancia. En esa fecha comienzan a aplicarse las obligaciones de transparencia del artículo 50, junto con otras disposiciones del Reglamento y el inicio de su aplicación por las autoridades nacionales y europeas. Estas obligaciones alcanzan, entre otros supuestos, a los sistemas que interactúan directamente con personas, los contenidos generados o manipulados mediante IA, los contenidos falsos y determinados textos destinados a informar sobre asuntos de interés público.

El calendario de los sistemas de alto riesgo ha experimentado una modificación sustancial. El 7 de mayo de 2026, la Comisión Europea comunicó el acuerdo político alcanzado entre el Parlamento Europeo y el Consejo sobre el Ómnibus Digital de IA. Según la información oficial publicada tras ese acuerdo, las reglas aplicables a sistemas utilizados en determinados ámbitos de alto riesgo (como biometría, infraestructuras críticas, educación, empleo, migración, asilo o control fronterizo) pasarán a aplicarse desde el 2 de diciembre de 2027. Para los sistemas integrados en productos regulados, la fecha prevista será el 2 de agosto de 2028.

Este nuevo calendario persigue acompasar la aplicación de las obligaciones con la disponibilidad de normas armonizadas, directrices y herramientas de apoyo. El acuerdo también contempla simplificaciones documentales para pymes y empresas de mediano tamaño, una ampliación del acceso a espacios controlados de pruebas, la centralización de determinadas funciones de supervisión en la Oficina de IA y aclaraciones sobre la relación del AI Act con la legislación europea de producto.

La planificación empresarial debería reflejar el estado jurídico de cada elemento. El acuerdo político muestra la dirección del cambio y el texto modificativo definitivo determinará su alcance exacto cuando complete el procedimiento legislativo europeo.

La transparencia concentra las actuaciones más inmediatas

Las organizaciones que utilizan asistentes, chatbots, generadores de contenido o soluciones integradas con IA generativa tienen ante sí un trabajo concreto: identificar qué sistemas quedan afectados por el artículo 50 y cómo se materializarán las obligaciones de información, marcado y etiquetado.

La revisión debería alcanzar las interfaces de usuario, los avisos, los metadatos, los mecanismos de marcado, los procesos editoriales y las responsabilidades de cada participante en la cadena de valor. También conviene determinar el papel que ocupa la organización en cada iniciativa, ya que puede actuar como proveedora en unas soluciones y como responsable del despliegue en otras.

El Código de Buenas Prácticas sobre transparencia de los contenidos generados por IA, publicado por la Comisión el 10 de junio de 2026, aporta una referencia práctica para aplicar estas medidas. Su adhesión es voluntaria y permite a los firmantes utilizar sus compromisos como vía reconocida para demostrar el cumplimiento de las obligaciones de marcado y etiquetado del artículo 50.

El Código se organiza en dos secciones. La primera se dirige a proveedores y aborda el marcado y la detección de contenido generado o manipulado mediante IA. La segunda se orienta a responsables del despliegue y desarrolla el etiquetado de falsos o deepfakes y de determinados textos generados o manipulados mediante IA. También contempla soluciones legibles por máquina y criterios de eficacia, interoperabilidad, robustez y fiabilidad.

El proyecto de Ley completa la arquitectura institucional

El 12 de junio de 2026, el Boletín Oficial de las Cortes Generales publicó el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, identificado como iniciativa 121/000096. El texto había sido presentado el 28 de mayo y calificado el 8 de junio. La información oficial del Congreso sitúa actualmente su tramitación en la Comisión de Economía, Comercio y Transformación Digital, en fase de enmiendas. Su contenido puede experimentar modificaciones durante la tramitación parlamentaria.

Este proyecto desarrolla aspectos que el AI Act encomienda a los Estados miembros. Su objeto comprende cuatro materias principales:

La gobernanza nacional de la IA.
El régimen sancionador aplicable en España.
La gobernanza de los espacios controlados de pruebas.
Las actuaciones para el buen uso de la ia en el sector público estatal.

La futura ley actuaría como pieza nacional de ejecución del Reglamento europeo. El AI Act seguiría proporcionando el marco sustantivo sobre clasificación de riesgo, prohibiciones y obligaciones de los operadores. La norma española organizaría la supervisión, distribuiría competencias entre autoridades y articularía el ejercicio de la potestad sancionadora dentro del ámbito nacional.

Un sistema de supervisión distribuido por ámbitos

El proyecto plantea un modelo de gobernanza en el que intervienen la Agencia Española de Supervisión de Inteligencia Artificial (AESIA) y distintas autoridades sectoriales. La AESIA ocuparía una posición central, mientras que organismos ya competentes en ámbitos regulados asumirían funciones de vigilancia relacionadas con su sector. La información oficial del Gobierno cita, entre otros ejemplos, al Banco de España para el ámbito financiero, a la Agencia Española de Protección de Datos para las materias vinculadas a datos personales y al Consejo General del Poder Judicial para los sistemas relacionados con la Administración de Justicia.

Este diseño tiene una consecuencia práctica para las organizaciones: la preparación deberá contemplar el sector, la finalidad del sistema, los datos tratados y la autoridad potencialmente competente. Un mismo grupo empresarial puede operar sistemas sujetos a distintas autoridades de vigilancia.

El inventario corporativo debería incorporar, como mínimo:

Finalidad y contexto de utilización.
Clasificación de riesgo y criticidad.
Papel de la organización en la cadena de valor.
Sector y proceso afectado.
Personas o colectivos expuestos.
Datos tratados.
Responsable interno.
Proveedor y componentes externos.
Autoridad de vigilancia potencialmente competente.
Controles, evidencias e incidencias asociadas.

Este enriquecimiento del inventario facilita la gestión de solicitudes de información, auditorías, inspecciones y posibles comunicaciones con autoridades.

El régimen sancionador refuerza la importancia de las evidencias

El proyecto español desarrolla el régimen de sanciones y otras medidas de ejecución exigido por el capítulo XII del AI Act. Su ámbito alcanza a proveedores, responsables del despliegue, fabricantes de productos, representantes autorizados, importadores, distribuidores y organismos notificados, de acuerdo con las funciones que cada operador desempeñe.

La propuesta oficial del Gobierno recoge como referencias máximas sanciones de hasta 35 millones de euros o el 7 % del volumen de negocio para determinadas infracciones vinculadas a prácticas prohibidas, y de hasta 15 millones de euros o el 3 % del volumen de negocio para ciertas infracciones asociadas a sistemas de alto riesgo. La aplicación concreta dependerá del tipo de infracción, el sujeto responsable y los criterios previstos en el marco europeo y nacional.

Este contexto eleva el valor de la trazabilidad.

La evidencia adquiere así una función operativa, regulatoria y defensiva. Su calidad dependerá de la conexión entre inventario, evaluaciones, controles, registros técnicos, actas, aprobaciones y seguimiento de incidencias.

Supervisión humana, información de uso y control del ciclo de vida

La documentación oficial del Gobierno destaca la supervisión humana de los sistemas de alto riesgo que puedan afectar a derechos fundamentales. También recoge que estos sistemas deberán disponer de información comprensible e instrucciones de uso que faciliten su utilización adecuada.

Estas previsiones aconsejan revisar la supervisión humana con criterios concretos. La supervisión debería integrarse en el diseño del proceso y mantenerse durante la operación. Los cambios de modelo, datos, instrucciones, proveedores o contexto de uso pueden alterar la eficacia del control humano y requerir una nueva evaluación.

Espacios controlados de pruebas y preparación antes del escalado

El proyecto regula la gobernanza de los espacios controlados de pruebas previstos por el artículo 57 del AI Act. La información oficial del Gobierno presenta estos entornos como mecanismos para que empresas y organizaciones puedan validar sistemas de IA antes de su comercialización o despliegue a mayor escala, con apoyo para el cumplimiento regulatorio.

Esta línea resulta especialmente útil para iniciativas innovadoras, sistemas de alto riesgo, soluciones con componentes novedosos o casos en los que todavía existen dudas interpretativas. La preparación para un espacio controlado de pruebas requiere una base documental previa: descripción del sistema, finalidad, arquitectura, datos, riesgos, plan de validación, métricas, supervisión humana y evidencias disponibles.

El sandbox puede integrarse en la hoja de ruta como mecanismo de validación regulatoria para casos seleccionados por criticidad, novedad o impacto potencial.

El sector público estatal incorpora exigencias propias

El capítulo IV del proyecto se dirige específicamente al buen uso de la IA en el sector público estatal. La información oficial del Gobierno destaca dos medidas: la figura del delegado de IA y la creación de un inventario de sistemas de IA en la Administración General del Estado. El delegado tendría funciones relacionadas con el impulso de proyectos, la capacitación, las políticas internas, el cumplimiento de estándares, la compra pública y las evaluaciones de impacto sobre sesgo y derechos fundamentales.

Para proveedores que trabajan con organismos públicos, esta evolución puede influir en las condiciones de contratación, la documentación exigida, la trazabilidad de los componentes, las evaluaciones de impacto y los mecanismos de supervisión. También puede incrementar la necesidad de aportar fichas de sistema, evidencias de validación, información sobre datos y modelos, instrucciones de uso y compromisos de monitorización.

Una hoja de ruta operativa ante el marco europeo y español

La combinación del AI Act, el Ómnibus, el Código de Transparencia y el proyecto español permite articular una preparación operativa en ocho líneas:

1. Actualizar el mapa normativo

Cada obligación debe asociarse a su fuente, fecha prevista, estado jurídico y sistemas afectados. El mapa debería distinguir entre Reglamento vigente, acuerdo político europeo, directrices, códigos voluntarios y proyecto legislativo nacional.

2. Completar el inventario de sistemas

El registro debe cubrir sistemas propios, soluciones adquiridas, modelos de uso general, asistentes, agentes, herramientas departamentales y componentes de terceros. La finalidad, el papel jurídico, el sector y la autoridad potencialmente competente deberían formar parte de la ficha.

3. Revisar la clasificación

La clasificación debe contemplar el AI Act, las directrices europeas en elaboración y el contexto operativo de cada sistema. El borrador de directrices sobre alto riesgo publicado por la Comisión permanece en consulta hasta el 23 de julio de 2026 y ofrece ejemplos para facilitar esta valoración.

4. Priorizar la transparencia

Los sistemas afectados por el artículo 50 requieren una revisión inmediata de avisos, etiquetado, marcado técnico, procesos editoriales y evidencias. La adhesión al Código de Buenas Prácticas puede valorarse en función del papel de la organización y de su capacidad para cumplir los compromisos previstos.

5. Traducir obligaciones en controles

Cada obligación necesita un control verificable, un responsable, una evidencia, una periodicidad y un criterio de aceptación. Esta estructura permite integrar el cumplimiento en los procesos de demanda, diseño, validación, despliegue y operación.

6. Preparar la relación con autoridades

La organización debería identificar las autoridades relevantes por sector y establecer un circuito interno para inspecciones, requerimientos, incidentes y comunicaciones regulatorias.

7. Reforzar la validación y la monitorización

La preparación necesita conectar riesgo, calidad y operación. Los sistemas con mayor criticidad requieren métricas, umbrales, alertas, supervisión humana, gestión de incidencias y reevaluación ante cambios relevantes.

8. Mantener una vigilancia regulatoria trazable

Cada cambio europeo o nacional debería generar una valoración documentada: qué sistemas afecta, qué políticas deben actualizarse, qué controles cambian y qué acciones se incorporan a la hoja de ruta.

Prepararse para un marco que gana concreción

El desplazamiento de las fechas de alto riesgo ofrece más margen para construir capacidades con profundidad. Las obligaciones de transparencia mantienen un horizonte inmediato. El proyecto español añade visibilidad sobre las autoridades, las sanciones, los espacios controlados de pruebas y el gobierno de la IA en el sector público estatal.

La preparación operativa adquiere consistencia cuando se apoya en un modelo de Gobierno de IA capaz de conectar inventario, clasificación, riesgos, controles, validación, monitorización, evidencias y decisiones. Esta estructura permite adaptarse a la evolución normativa y mantener una visión común entre negocio, tecnología, datos, calidad, seguridad, cumplimiento y dirección.

Ante la evolución del marco europeo y español, una pregunta útil sería: ¿puede su organización identificar sus sistemas de IA, justificar su clasificación, asignar la autoridad competente, demostrar los controles aplicados y reconstruir las decisiones tomadas durante todo su ciclo de vida?

AI Act y preparación operativa: del calendario europeo a la futura gobernanza española