Si tu empresa usa inteligencia artificial —aunque solo sea ChatGPT, un chatbot de atención al cliente o un filtro de currículums—, el Reglamento de IA ya te afecta.
El 2 de agosto de 2026 es una fecha clave: a partir de ese día empiezan a aplicarse las obligaciones de transparencia y las autoridades de supervisión comienzan a actuar. La buena noticia es que las obligaciones más exigentes, las de los sistemas de alto riesgo, se han aplazado. La menos buena: el RGPD sigue aplicándose por completo cuando esa IA trata datos personales. Aquí tienes qué revisar y en qué orden.
Qué cambia con el Reglamento de IA y la protección de datos el 2 de agosto de 2026 (y qué se ha aplazado)
Lo que sí aplica desde agosto de 2026
- Obligaciones de transparencia (artículo 50). Debes avisar a las personas cuando interactúan con un sistema de IA (por ejemplo, un chatbot) y señalar el contenido generado o manipulado artificialmente, como los deepfakes.
- Inicio de la supervisión. Las autoridades de vigilancia del mercado empiezan a operar. En España, la autoridad de referencia es la AESIA (Agencia Española de Supervisión de la Inteligencia Artificial).
Además, hay obligaciones que ya estaban en vigor: las prácticas prohibidas (artículo 5) y la alfabetización en IA (artículo 4) se aplican desde febrero de 2025, y las reglas para los modelos de propósito general, desde agosto de 2025.
Lo que se ha aplazado a 2027 (y por qué no es excusa para no hacer nada)
El paquete europeo de simplificación conocido como Digital Omnibus ha movido las obligaciones de los sistemas de IA de alto riesgo: los del Anexo III (por ejemplo, IA para selección de personal, evaluación de solvencia o educación) pasan al 2 de diciembre de 2027, y los integrados en productos ya regulados (Anexo I), al 2 de agosto de 2028. Cuando se redacta este artículo, esta reforma ya ha sido aprobada por el Parlamento y el Consejo europeos y está pendiente de su publicación oficial.
Conviene entenderlo bien: un aplazamiento no es una exención. La obligación no desaparece, solo cambia la fecha. Y preparar un sistema de alto riesgo lleva meses, así que el tiempo ganado es margen para hacerlo bien, no para olvidarse del asunto.
El Reglamento de IA no sustituye al RGPD: cómo se combinan
Este es el punto que más confusión genera. El Reglamento de IA y el RGPD son normas distintas que se suman. Si tu sistema de inteligencia artificial trata datos personales —de clientes, empleados o candidatos—, el RGPD se aplica en su totalidad y desde ya, con independencia del calendario del AI Act.
En la práctica, antes de usar una herramienta de IA con datos personales deberías tener claro:
- Base jurídica. Qué te legitima para ese tratamiento (consentimiento, interés legítimo, ejecución de un contrato…).
- Información y transparencia. Comunicar a las personas que sus datos se tratan con IA y con qué finalidad.
- Minimización. No introducir en la herramienta más datos de los necesarios, ni datos sensibles sin una base sólida.
- Decisiones automatizadas (artículo 22 del RGPD). Si la IA decide sola sobre una persona (una contratación, un crédito), existen garantías adicionales, como el derecho a la intervención humana.
- Evaluación de impacto (EIPD). Muchos usos de IA con datos personales exigen analizar los riesgos antes de empezar.
- Contratos con proveedores. Si un proveedor externo trata datos por ti, necesitas un contrato de encargado del tratamiento y saber dónde se alojan esos datos.
Aquí es donde una consultora de protección de datos aporta más valor: la mayoría de los «problemas de IA» de una pyme son, en realidad, cuestiones de RGPD mal resueltas. Si quieres un caso concreto, explicamos cómo usar ChatGPT en tu empresa sin incumplir el RGPD.
¿Tu empresa es «proveedor» o «desplegador» de IA?
El Reglamento reparte obligaciones según el papel de cada uno. Los dos que interesan a la mayoría de empresas son:
- Proveedor: quien desarrolla un sistema de IA o lo comercializa bajo su marca.
- Desplegador (o usuario profesional): quien utiliza un sistema de IA en su actividad. Aquí encaja la gran mayoría de pymes y autónomos que usan herramientas de terceros.
Si solo usas soluciones como un asistente de texto o un chatbot contratado, normalmente eres desplegador: no cargas con las obligaciones de quien fabrica el modelo, pero sí respondes de cómo lo usas, de la transparencia hacia tus clientes y de no montar sobre esa herramienta un uso prohibido o de alto riesgo. Un detalle importante: si modificas de forma sustancial un sistema o lo comercializas como propio, puedes pasar a ser proveedor y asumir muchas más obligaciones.
La alfabetización en IA (artículo 4) ya es obligatoria
Desde el 2 de febrero de 2025, cualquier empresa que utilice sistemas de IA debe garantizar que su personal tenga un nivel adecuado de alfabetización en IA. No se fija un número de horas ni un formato concreto: la formación debe ser proporcional al puesto, al sector y a las herramientas que se usan, y conviene poder demostrarla, por ejemplo con registros de la formación impartida.
Es una obligación sencilla de cumplir y a menudo olvidada. Un plan básico para toda la plantilla, con niveles más avanzados para quienes usan IA en tareas sensibles, suele ser suficiente para empezar.
Qué debe revisar tu empresa antes de agosto de 2026: pasos prácticos
- Haz un inventario de IA. Anota todas las herramientas con inteligencia artificial que usa tu empresa, incluidas las funciones «ocultas» dentro de programas que ya tenías (CRM, correo, atención al cliente).
- Clasifica cada uso por riesgo. La mayoría caerá en riesgo mínimo o limitado; identifica si alguno entra en un uso prohibido o de alto riesgo.
- Resuelve la transparencia. Avisa cuando haya un chatbot y etiqueta el contenido generado por IA.
- Revisa el RGPD de esos usos. Base jurídica, información, minimización, decisiones automatizadas y contratos con proveedores.
- Pon en marcha la alfabetización. Forma a tu equipo y guarda evidencia de ello.
- Define quién supervisa. Asigna responsables y, cuando proceda, apóyate en un delegado de protección de datos.
Errores frecuentes al afrontar el Reglamento de IA
- Creer que «han retrasado el AI Act» y no hacer nada. Solo se ha aplazado el bloque de alto riesgo; la transparencia y la alfabetización siguen su curso.
- Pensar que no aplica por ser pequeño. Ni la alfabetización ni el RGPD tienen umbral de tamaño.
- Introducir datos personales o confidenciales en herramientas de IA sin control. Es el error que más sanciones puede acarrear, y es puro RGPD.
- Confundir el Reglamento de IA con el RGPD. Son normas que se suman, no que se sustituyen.
¿Y la ley española de inteligencia artificial?
El Gobierno aprobó en mayo de 2026 el proyecto de Ley para el buen uso y la gobernanza de la Inteligencia Artificial. Conviene situarlo bien: se trata de un proyecto de ley en tramitación, todavía no de una norma en vigor. Su función será definir el marco español de supervisión y el régimen sancionador. Mientras tanto, el Reglamento europeo ya es de aplicación directa en España, sin necesidad de esperar a esa ley.
Preguntas frecuentes
¿Qué obligaciones del Reglamento de IA se aplican desde el 2 de agosto de 2026?
Principalmente las obligaciones de transparencia del artículo 50 (avisar del uso de IA y etiquetar el contenido generado) y el inicio de la supervisión por parte de las autoridades. Las prohibiciones y la alfabetización ya se aplicaban desde febrero de 2025.
¿Es cierto que se han aplazado las obligaciones de la IA de alto riesgo?
Sí. El Digital Omnibus traslada las obligaciones de los sistemas de alto riesgo del Anexo III al 2 de diciembre de 2027 y las del Anexo I al 2 de agosto de 2028. Es un aplazamiento, no una exención.
Mi empresa solo usa herramientas como ChatGPT o Copilot, ¿me afecta?
Sí, normalmente como desplegador. Debes cumplir la transparencia hacia tus usuarios, la alfabetización de tu personal y, sobre todo, el RGPD si esas herramientas tratan datos personales.
¿El Reglamento de IA sustituye al RGPD?
No. Son normas complementarias. Si hay datos personales de por medio, el RGPD se aplica en su totalidad, con independencia del calendario del Reglamento de IA.
¿Desde cuándo es obligatoria la alfabetización en IA?
Desde el 2 de febrero de 2025. Afecta a empresas de cualquier tamaño que usen IA y exige formar al personal de manera proporcional a su puesto, documentándolo.
¿Ya existe una ley española de inteligencia artificial en vigor?
No. Hay un proyecto de ley aprobado por el Consejo de Ministros en mayo de 2026 y en tramitación. El Reglamento europeo, en cambio, ya es de aplicación directa.
Adáptate con tiempo y sin sobresaltos
El 2 de agosto de 2026 no es un muro, sino el arranque de un calendario que se prolonga hasta 2027 y 2028. Para la mayoría de empresas, el trabajo inmediato es claro: inventariar sus usos de IA, resolver la transparencia, cumplir el RGPD en esos tratamientos y formar a su equipo. Hacerlo con orden evita prisas y sanciones.
En VocemDAT te ayudamos a revisar cómo usa tu empresa la inteligencia artificial y a encajarla con la normativa de protección de datos, dentro de nuestro Servicio Integral de Protección de Datos.
CONTACTA
CON NUESTROs expertos
