Van desde 7,5 millones de euros o el 1% de la facturación por dar información engañosa, hasta 35 millones de euros o el 7% de la facturación global por usar prácticas de IA prohibidas. Las pymes tienen un régimen proporcional a su capacidad económica.

El AI Act marca las obligaciones legales, la ISO 42001 aporta el sistema de gestión que ordena cómo se cumplen esas obligaciones día a día, y el RGPD entra en juego siempre que la IA trata datos personales. Los tres marcos se solapan y conviene gestionarlos con una sola arquitectura de gobierno, no con tres proyectos aislados.

No es obligatoria, pero facilita mucho demostrar cumplimiento ante una inspección y cada vez se pide más en pliegos públicos y contratos B2B con clientes corporativos.

El Digital Omnibus sobre IA ya no es una propuesta: es el Reglamento (UE) 2026/1744, de 8 de julio de 2026, que modifica el Reglamento (UE) 2024/1689 y está en vigor desde el 27 de julio de 2026.

Qué cambia: los sistemas de alto riesgo del Anexo III pasan al 2 de diciembre de 2027 y los del Anexo I al 2 de agosto de 2028; los espacios controlados de pruebas se trasladan al 2 de agosto de 2027; y el marcado legible por máquina del artículo 50 tiene un periodo de gracia hasta el 2 de diciembre de 2026, solo para sistemas ya comercializados.

Qué no cambia: las prohibiciones del artículo 5 —que además se amplían con las imágenes íntimas no consentidas y el material de abuso sexual infantil—, la alfabetización en IA del artículo 4, las obligaciones de los modelos de propósito general y la transparencia del artículo 50, que se aplica desde el 2 de agosto de 2026.

El objetivo declarado del paquete es reducir la carga administrativa al menos un 25 %, y un 35 % en pymes, antes de 2029 (Comisión Europea). Pero conviene leerlo bien: el aplazamiento no es una exención. Las obligaciones de alto riesgo siguen siendo exigibles; solo cambia el plazo para tenerlas listas.

Sigues siendo responsable de tu parte. El AI Act reparte obligaciones entre el proveedor del sistema y el responsable del despliegue: si integras en tu operativa una herramienta de IA de un tercero, tú respondes del uso que le das, de la supervisión humana, de informar a las personas afectadas y de la trazabilidad, aunque el modelo no sea tuyo.

En la práctica esto se traduce en cláusulas contractuales, evidencias que hay que exigir al proveedor —documentación técnica, instrucciones de uso, declaración de conformidad— y un plan por si deja de cumplir o cambia las condiciones. Si operas en el sector financiero, la gestión del riesgo de proveedores TIC tiene además su propio marco: es el terreno de DORA Ready.

Depende de para qué los uses, no de cuántas herramientas tengas. Si solo se usan para redactar o resumir, tus obligaciones se concentran en la alfabetización en IA del artículo 4, en una política de uso y en controlar qué información sale de la empresa.

Pero en cuanto esas herramientas entran en un proceso que afecta a personas —criba de currículums, evaluación del desempeño, atención a clientes con decisiones automatizadas— el nivel de exigencia cambia por completo. Y si tienes un chatbot de cara al cliente, la transparencia del artículo 50 ya te aplica desde el 2 de agosto de 2026. El AI Act no distingue por tamaño de empresa: distingue por uso.

Un gap analysis (fases 0 a 2) se resuelve en semanas. Un programa de adecuación completo suele llevar entre 12 y 18 meses en una empresa mediana, y esa es la cifra que hay que poner encima del 2 de diciembre de 2027 para decidir cuándo empezar.

El coste depende de tres variables: cuántos sistemas de IA aparecen en el inventario y en qué nivel de riesgo caen, cuántas entidades y geografías entran en el perímetro, y si además hay que implantar —procedimientos, formación, dashboard, integraciones— o solo diagnosticar. Tras una primera sesión de alcance te damos una propuesta cerrada, sin sorpresas a mitad de proyecto.

Es la obligación, vigente desde el 2 de febrero de 2025, de garantizar que las personas que operan o usan sistemas de IA en tu organización tengan un nivel suficiente de conocimiento sobre cómo funcionan, qué riesgos implican y cómo interpretar sus resultados. Aplica tanto a proveedores como a responsables del despliegue, sin umbral de tamaño de empresa.

Se acredita documentándola: plan de formación por perfil, contenidos, asistencia, evaluación y registro de evidencias. Es la obligación más barata de cumplir y la más fácil de demostrar, y en España la formación de empresa suele ser bonificable a través de FUNDAE. Por eso es un buen primer paso: cierra un requisito que ya es exigible y deja montado el registro de evidencias que después usarás para todo lo demás.