Desde el pasado mes de agosto de 2026, el Reglamento Europeo de Inteligencia Artificial ha dejado de ser una promesa regulatoria para convertirse en una realidad exigible. El primer paquete de obligaciones para los proveedores de modelos de IA de propósito general (GPAI, por sus siglas en inglés) ya está en vigor, y afecta directamente a cualquier pyme española que utilice herramientas como ChatGPT, Gemini, Claude, Llama o Mistral en sus procesos de negocio. Ya no se trata solo de una cuestión de buenas prácticas: hablamos de contratos, flujos de datos y responsabilidades legales que pueden traducirse en sanciones de hasta el 3% de la facturación global.
Qué exige el AI Act a los proveedores de modelos GPAI desde agosto de 2026
Los grandes desarrolladores de modelos fundacionales ya están obligados a cumplir con un régimen de transparencia sin precedentes. Entre las exigencias más relevantes para las empresas usuarias destacan:
- Resumen público de los datos de entrenamiento: los proveedores deben publicar información detallada sobre las fuentes utilizadas, incluyendo datos protegidos por derechos de autor.
- Política de derechos de autor: deben explicar cómo respetan la normativa europea sobre propiedad intelectual y qué mecanismos aplican para evitar infracciones.
- Documentación técnica accesible: las pymes integradoras pueden solicitar información sobre capacidades, limitaciones y sesgos conocidos del modelo.
- Consumos energéticos y huella ambiental: se exige transparencia sobre el coste computacional y energético asociado al entrenamiento e inferencia.
Los modelos clasificados como de "riesgo sistémico" —aquellos entrenados con más de 10^25 FLOPs de cómputo— deben someterse a evaluaciones de seguridad obligatorias, notificación de incidentes graves y medidas reforzadas de ciberseguridad. Esto afecta directamente a los modelos más potentes del mercado, que muchas pymes utilizan sin ser conscientes de las implicaciones.
Las pymes pasan a ser "responsables de despliegue": qué significa en la práctica
Aquí está el cambio de paradigma que muchas empresas todavía no han interiorizado. Si tu pyme utiliza un modelo GPAI para atender clientes, generar contenidos, filtrar currículums o automatizar procesos internos, ya no eres un simple usuario: eres un responsable de despliegue con obligaciones concretas.
Trazabilidad: saber qué modelo, qué versión y con qué datos
Debes poder documentar en cualquier momento qué modelo estás utilizando, qué versión concreta, qué datos de entrada y salida se han generado y qué decisiones automatizadas se han tomado. Esto implica revisar contratos con proveedores cloud y establecer registros internos que muchas pymes no tienen.
Supervisión humana efectiva
La norma no se conforma con un "humano en el bucle" simbólico. Se exige supervisión real, con capacidad de intervención, corrección y bloqueo. En la práctica, esto supone definir responsables internos, protocolos de escalado y formación específica para el personal.
Transparencia frente al cliente final
Si un cliente interactúa con un sistema de IA generativa, debe saberlo. Y si se toman decisiones automatizadas con impacto significativo, el afectado tiene derecho a explicación. Las pymes que no adapten sus avisos legales y flujos de consentimiento se exponen a reclamaciones.
"Las empresas que integran modelos de propósito general deben asumir que la carga de la prueba sobre el uso responsable recae ahora sobre ellas, no solo sobre el proveedor del modelo."
— Análisis publicado por Reuters Technology, septiembre de 2026
El calendario de auditorías y el riesgo sancionador
La Comisión Europea publicó en septiembre de 2026 las primeras guías interpretativas y el calendario de auditorías para proveedores GPAI. Aunque las sanciones masivas no comenzarán hasta 2027, el periodo 2026-2027 es clave para prepararse. Las multas pueden alcanzar el 3% de la facturación global anual o 15 millones de euros, lo que sea mayor, para infracciones graves relacionadas con transparencia y obligaciones de los responsables de despliegue.
Según recogió TechCrunch, los primeros requerimientos de información ya se han enviado a varios proveedores, y se espera que las auditorías a empresas usuarias comiencen de forma escalonada a lo largo de 2027. El mensaje es claro: quien no tenga su documentación en orden, estará en el punto de mira.
España reacciona: el programa piloto de acompañamiento a pymes
La Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), junto con el Ministerio para la Transformación Digital, ha lanzado un programa piloto de acompañamiento dirigido a pymes para adaptarse al AI Act antes de 2027. El programa incluye sesiones formativas, herramientas de autoevaluación y acceso a consultoría especializada.
Como recogió El País Tecnología y Cinco Días, el objetivo es que las pequeñas y medianas empresas españolas no lleguen a 2027 sin haber revisado sus contratos, sus flujos de datos y sus protocolos de supervisión. Para consultoras y despachos, esto abre una ventana de oportunidad evidente: auditorías de cumplimiento GPAI, revisión contractual y diseño de sistemas de trazabilidad.
Checklist mínima para tu pyme antes de que acabe 2026: identificar todos los modelos GPAI en uso, revisar contratos con proveedores, documentar flujos de datos, designar responsables de supervisión, actualizar avisos de transparencia al cliente y formar al equipo en obligaciones del AI Act.
Reflexión final: la ventana de oportunidad se cierra en 2027
El AI Act no es una amenaza lejana ni un tema exclusivo de grandes corporaciones. Es una realidad que ya afecta a cualquier pyme española que use IA generativa, y que en menos de un año pasará de la exigencia documental a la sanción efectiva. Las empresas que aprovechen este periodo para auditar sus contratos, ordenar sus flujos de datos y formar a sus equipos no solo evitarán riesgos legales: ganarán confianza frente a clientes, partners y administraciones públicas que ya empiezan a exigir cumplimiento normativo en sus licitaciones. La pregunta ya no es si tu pyme debe adaptarse al AI Act, sino si lo hará a tiempo y con quién.
¿Quieres aplicar esto en tu empresa?
En EnginAI Global Solutions ayudamos a empresas a integrar IA y automatización en sus procesos reales. Sin humo, con resultados medibles.
Automatización con IA Consultoría IA