Qué exige el AI Act a tu negocio desde el 2 de agosto de 2026 (y cómo cumplirlo en un par de horas)
Si usas ChatGPT, Cursor, Copilot o cualquier otra herramienta de IA en tu negocio, ya tienes una obligación legal desde el 2 de febrero de 2025: el artículo 4 del Reglamento europeo de IA (AI Act) exige que tu organización — sí, también si eres autónomo — garantice un nivel adecuado de alfabetización en IA entre las personas que la usan.
Hasta ahora era una obligación sin vigilancia real. Eso cambia el 2 de agosto de 2026, cuando la AESIA (Agencia Española de Supervisión de la IA) adquiere plenas competencias de inspección y sanción.
La buena noticia: cumplir no es complicado ni caro. La mala: casi nadie sabe que tiene que hacerlo, y "no sabía que existía" no es una defensa válida ante una inspección.
Lo primero que hay que desmontar: no existe un certificado
La Comisión Europea lo dice de forma explícita en su FAQ oficial: no hace falta un certificado ni una acreditación externa. Lo que exige la norma es que tu organización pueda demostrar, con algún tipo de registro interno, que ha tomado medidas de formación proporcionales al riesgo de cómo usa la IA.
Esto es importante porque ya han empezado a aparecer academias y consultoras vendiendo cursos "homologables" o "con certificado oficial del AI Act". No existe tal cosa. Un curso de pago puede servirte como evidencia de formación, pero no es obligatorio ni te exime de nada por sí solo — lo que te protege es el registro, no el diploma.
¿A quién afecta esto realmente?
A cualquier organización que use sistemas de IA en su actividad profesional, sea cual sea su tamaño. Si usas herramientas de IA generativa para redactar, programar, analizar datos o automatizar tareas, estás dentro del ámbito del artículo 4 — con independencia de que despliegues o no sistemas de alto riesgo.
El nivel de exigencia sí es proporcional: un negocio que usa IA generativa para tareas de productividad tiene un perfil de riesgo bajo y puede cumplir con una autoformación mínima y bien documentada. Un negocio que use IA para decisiones automatizadas sobre personas (contratación, scoring de crédito, admisión de alumnos) tiene un perfil de riesgo mucho más alto y necesita bastante más que esto.
Cómo cumplir en 4 pasos (perfil de riesgo bajo)
1. Inventario de sistemas de IA en uso (15 min) Un documento simple: qué herramienta, qué proveedor, para qué se usa, si trata datos personales de clientes y qué nivel de riesgo tiene. La mayoría de micropymes tienen aquí 2-3 líneas: ChatGPT para redacción, Copilot o Cursor para código, poco más.
2. Formación proporcional (1-2 horas) No hace falta un máster. Puedes optar por:
- El curso gratuito de la EDIH Academy, "The AI Act and the AI Innovation Ecosystem" — guarda la captura del badge al terminar
- Leer la FAQ oficial de la Comisión Europea y el recurso equivalente de AESIA
- Una sesión estructurada de 60-90 minutos sobre qué es la IA generativa, sus riesgos principales (alucinaciones, filtración de datos personales en prompts, sesgos) y cómo usarla con criterio en tu actividad concreta
3. Registro interno de la formación (15 min) Un documento — PDF o incluso una hoja de cálculo — con: quién se ha formado, cuándo, cuánto ha durado, qué se ha tratado, qué herramientas cubre y por qué ese nivel de formación es proporcional a tu perfil de riesgo. No necesita firma de ningún tercero.
4. Política de uso interna (15 min, opcional pero recomendable) Media página con reglas básicas: no meter datos personales de clientes en IA pública, revisar siempre lo que genera la IA antes de entregarlo, no usarla para decisiones automatizadas sobre personas, actualizar el registro cada año.
En total: menos de dos horas de trabajo real, y quedas con una carpeta de evidencia documentada que te cubre ante cualquier inspección.
Y si tu perfil de riesgo no es bajo: qué cambia
Todo lo anterior vale para el caso más común — IA generativa como herramienta de productividad. Pero hay negocios cuyo uso de IA cae en una categoría distinta y bastante más exigente: el Anexo III del propio AI Act, que clasifica como "alto riesgo" ciertos usos de IA, entre ellos los sistemas que evalúan a personas de forma automatizada en contextos como educación (analítica de rendimiento o admisión de alumnos), empleo (cribado de candidatos), acceso a servicios esenciales o crédito.
Si tu negocio entra aquí, el artículo 4 deja de ser el problema principal — la formación proporcional sigue siendo obligatoria, pero se añade un régimen mucho más amplio: evaluación de conformidad, documentación técnica, supervisión humana efectiva y registro en la base de datos europea de sistemas de alto riesgo, con plena aplicación de sanciones también desde el 2 de agosto de 2026.
La señal de alarma no es "usamos IA", es "usamos IA para tomar o influir en una decisión sobre una persona concreta". Si tienes dudas de si tu caso cae aquí, es el primer punto a aclarar antes de diseñar cualquier plan de cumplimiento — no tiene sentido documentar una autoformación de dos horas si en realidad el negocio necesita una evaluación de conformidad completa.
Por qué esto también te interesa si tienes un negocio, no solo si eres autónomo digital
Esta obligación no es solo un trámite defensivo. Es, además, el molde exacto de un servicio: cualquier pyme que use IA (que hoy son casi todas, aunque sea de forma puntual) tiene la misma obligación y probablemente no lo sabe. Documentar el propio cumplimiento es, al mismo tiempo, la plantilla de lo que se puede ofrecer como diagnóstico a un cliente.
Cómo lo hacemos en Inari
En Inari aplicamos este mismo procedimiento a nuestra propia actividad — inventario, formación documentada y política de uso — como parte de nuestra forma de trabajar con IA de manera responsable. Es, además, uno de los puntos que revisamos en el diagnóstico NDMI: la dimensión de Adopción de IA no solo mide cuánta IA usa un negocio, sino si ese uso está documentado conforme al artículo 4.
Si no tienes claro si tu negocio cumple, o si tu caso puede caer en el régimen de alto riesgo del Anexo III, podemos revisarlo juntos en una conversación breve, sin compromiso.