El AI Act ya se aplica. Tus automatizaciones no lo saben.

Desde el 2 de agosto de 2026 aplican las obligaciones de transparencia del artículo 50 del Reglamento (UE) 2024/1689. El régimen de alto riesgo no llega hasta diciembre de 2027 — y en ese hueco es donde la mayoría de las empresas está cometiendo un error de planificación.

Qué aplica hoy

El artículo 50 es corto e incómodo: los sistemas que interactúan con personas, o que generan contenido sintético, deben declararlo. Sin ejercicio de clasificación de riesgo, sin organismo notificado, sin dossier. Solo un deber que alcanza a cada bot de soporte, cada respuesta automática y cada descripción generada con IA de tu catálogo — y alcanza al responsable del despliegue, no solo al proveedor del modelo.

El problema práctico no es redactar la declaración. Es saber dónde ponerla. No puedes etiquetar lo que no has inventariado, y el deber de transparencia es por tanto instrumentalmente dependiente del descubrimiento: un deber que no puedes cumplir en automatizaciones que nadie declaró.

Qué espera hasta diciembre de 2027

El régimen de alto riesgo del Anexo III — supervisión humana del artículo 14, registro de eventos, dossier técnico del artículo 11 — resulta aplicable el 2 de diciembre de 2027. Dieciséis meses parecen margen para respirar. No lo son, por dos razones.

1. 01El registro de eventos es retroactivo en la práctica. Un dossier presentado en 2028 que solo contiene evidencia de 2028 cuenta la historia de un control instalado para la auditoría.
2. 02El AI Act no es la normativa que deberías mirar primero. Otras cuatro ya aplican.

La fecha que ya pasó

Tratar el AI Act como el detonante invita a posponer — y es el argumento más débil disponible, porque las obligaciones que de verdad aprietan hoy no tienen nada que ver con la IA. El RGPD exige registro de actividades de tratamiento desde 2018 (art. 30) y medidas de seguridad apropiadas con verificación regular de su eficacia (art. 32). NIS2 convirtió la gestión de activos en medida obligatoria desde octubre de 2024, con responsabilidad que alcanza al órgano de dirección. DORA exige inventario completo de activos TIC y registro de proveedores terceros desde enero de 2025. Y los regímenes nacionales de registro de facturación llegan en sus propios calendarios.

El AI Act es la frontera, no el detonante. Lo exigible hoy es un workflow determinista que nadie inventarió.

Qué debería hacer este trimestre una empresa de 200 personas

• →Inventaría cada automatización, con IA o sin ella, la haya construido quien sea. Nada más se puede hacer antes de esto.
• →Asigna un responsable por automatización. «Lo lleva el equipo de marketing» no es un nombre.
• →Etiqueta las que interactúan con personas o generan contenido — eso es el artículo 50, exigible ya.
• →Empieza a sellar decisiones y resultados. La evidencia que empiezas a recoger en 2026 vale más en 2028 que cualquier dossier escrito con prisa.