// guía del ai act
La primera regulación integral de IA del mundo está en vigor desde agosto de 2024 y se aplica con carácter general a los equipos europeos desde el 2 de agosto de 2026. Lo que queda por delante es el tramo de alto riesgo. Esto es lo que exige y cómo prepararte sin correr.
// la ley
El AI Act regula la IA por lo arriesgado del uso, no por la tecnología en sí. Aplica a cualquiera que ponga un sistema de IA en el mercado de la UE o use uno dentro de ella, incluidas empresas que solo integran modelos de terceros.
Si pones IA en producción para usuarios europeos, la pregunta que debes hacerte es qué obligaciones conlleva, y si tu stack puede cumplirlas.
// timeline
El Act entra por fases a lo largo de tres años. La fecha que importa para la mayoría de empresas es la siguiente.
El AI Act de la UE entra en vigor.
Las prácticas de IA prohibidas pasan a ser ilegales en toda la UE.
Empiezan las obligaciones para modelos de IA de propósito general, y el capítulo sancionador pasa a ser aplicable, todo él salvo las multas a proveedores de modelos de propósito general, que esperan al 2 de agosto de 2026.
El reglamento se aplica con carácter general, transparencia y gobernanza incluidas, junto con las potestades de la Comisión sobre los modelos de propósito general.
El plazo extra que el Ómnibus dio al marcado legible por máquina del contenido generado por IA, para los sistemas introducidos en el mercado antes del 2 de agosto de 2026. Las demás obligaciones de transparencia mantienen su fecha. El mismo reglamento añade dos prácticas prohibidas a partir de esta fecha: los sistemas de IA que generan imágenes íntimas no consentidas y los que generan material de abuso sexual infantil.
Obligaciones de los usos de alto riesgo del Anexo III, entre ellos contratación, crédito y educación. Aplazadas por el Reglamento (UE) 2026/1744, en vigor desde julio de 2026.
Las reglas para la IA que es componente de seguridad de un producto regulado por la normativa del Anexo I. Aplazadas por el mismo reglamento.
// niveles de riesgo
Las obligaciones dependen por completo del nivel en el que cae el uso de la IA. La mayoría del tooling enterprise cae en los dos del medio.
Scoring social, sistemas manipulativos o explotadores. Prohibidos de plano desde febrero de 2025. El Ómnibus añade dos más desde diciembre de 2026: generar imágenes íntimas no consentidas y generar material de abuso sexual infantil.
Dos vías de entrada: que tu finalidad encaje en un caso del Anexo III (empleo, crédito, educación, servicios esenciales) o que tu sistema sea componente de seguridad de un producto ya regulado por la normativa del Anexo I (equipos médicos, maquinaria, juguetes). Gestión de riesgos, gobernanza del dato, logging, supervisión humana y documentación.
Chatbots y sistemas generativos. Hay que avisar a los usuarios de que interactúan con IA, y etiquetar el contenido generado por IA.
Filtros de spam, recomendación, la mayoría del tooling interno. Uso libre, con códigos de conducta voluntarios.
// sanciones
Las multas se escalan por gravedad y se calculan sobre la facturación global, lo que sea mayor. Están diseñadas para tener impacto a nivel de consejo.
Las cifras son la mayor entre el importe fijo o el porcentaje de la facturación anual global.
// obligaciones
Para la mayoría de equipos con IA en producción, el compliance se reduce a un puñado de cosas que hay que poder demostrar.
Poder demostrar que la inferencia se ejecuta en la UE, no en un hyperscaler sujeto al Cloud Act.
Prompts y salidas no deben alimentar un set de entrenamiento de terceros sin base legal.
Mantener un rastro auditable de qué sistema procesó qué y dónde se ejecutó.
Declarar las interacciones con IA y etiquetar el contenido generado.
Mantener a una persona en el bucle para decisiones con riesgo real.
Controlar la base legal, la calidad y la residencia de los datos que se procesan.
// modelos abiertos
Las obligaciones de uso general recaen en quien construyó el modelo. Conviene leerlo antes de que alguien te diga que los pesos abiertos son la opción arriesgada.
Documentación técnica, política de derechos de autor y resumen público del contenido de entrenamiento, por los artículos 51 a 56. Con GPT ese paquete es de OpenAI. Con Qwen o GLM es de Alibaba o de Z.ai.
Nada del paquete de modelo. La Comisión define al proveedor como quien desarrolla el modelo y lo introduce en el mercado bajo su propio nombre. Su propio ejemplo: si un actor sube un modelo a un repositorio alojado por otro, el proveedor sigue siendo el desarrollador.
Las obligaciones de sistema que trae tu uso: transparencia, supervisión humana y el régimen de alto riesgo si tu uso está en esa lista. Servir un modelo abierto sin modificarlo, o llamarlo por API, no te traslada ninguna obligación de modelo.
Pasas a ser proveedor del modelo modificado solo si hay un cambio significativo en su generalidad, sus capacidades o su riesgo sistémico. Criterio indicativo de la Comisión: más de un tercio del cómputo de entrenamiento original. Un LoRA queda órdenes de magnitud por debajo, y si lo cruzaras las obligaciones alcanzan a tu modificación y no al modelo entero.
Si un modelo concreto cumple las condiciones de la exención de licencia libre, o si tiene riesgo sistémico, lo determina su desarrollador, que además debe notificarlo. Por eso no vas a vernos afirmarlo del catálogo.
Lo que los pesos abiertos te cambian es lo que puedes demostrar: fijas la versión exacta que ejecutas, la auditas y documentas tu stack completo. Nada de eso está a tu alcance con una API cerrada que cambia sin avisarte.
Las directrices de la Comisión no son vinculantes para los proveedores y solo el Tribunal de Justicia de la UE puede dar una interpretación auténtica del AI Act. La propia Comisión sí declara que las directrices recogen la interpretación en la que basará su acción de supervisión. Fuentes: Reglamento (UE) 2024/1689, artículos 51 a 56; Directrices de la Comisión sobre el alcance de las obligaciones de los proveedores de modelos de IA de uso general, publicadas el 18 de julio de 2025, en la versión de la Comunicación C(2025) 7719 final de 19 de noviembre de 2025. Las fechas de aplicación de esta página son el artículo 113; las vías de clasificación de alto riesgo son el artículo 6 con los Anexos I y III; los aplazamientos son el Reglamento (UE) 2026/1744, el Ómnibus digital sobre IA, en vigor desde el 27 de julio de 2026.
// compliance por arquitectura
No clasificamos sistemas ajenos, pero los requisitos más difíciles y estructurales se resuelven en el momento en que la inferencia corre en Helmcode.
La inferencia se procesa exclusivamente en infraestructura de la UE, nunca en un hyperscaler estadounidense.
Sin logs: prompts y completions no se almacenan y no entrenan ningún modelo.
Un único stack auditable con flujos de datos documentados y lista de sub-procesadores.
Propiedad y operación europea, fuera del alcance del Cloud Act.
// faq del ai act
Las preguntas que hacen los equipos europeos según se acerca la fecha límite.
Muy probablemente. El Act cubre a proveedores y desplegadores de sistemas de IA puestos en el mercado de la UE o usados dentro de ella, incluidas empresas que solo integran modelos de terceros. Las obligaciones escalan con el nivel de riesgo del uso que se da a la IA.
El reglamento se aplica con carácter general, con los deberes de transparencia y la gobernanza incluidos, junto con las potestades de la Comisión sobre los modelos de propósito general. Las prácticas prohibidas, las reglas GPAI y el capítulo sancionador ya aplican desde fechas anteriores. La reforma Ómnibus movió las obligaciones de los sistemas de alto riesgo (a diciembre de 2027 el Anexo III y agosto de 2028 el Anexo I) y también una pieza de la transparencia: el marcado legible por máquina del contenido generado por IA obtiene un plazo extra, hasta el 2 de diciembre de 2026, para los sistemas introducidos en el mercado antes del 2 de agosto de 2026. Las demás obligaciones de transparencia, la alfabetización y las prohibiciones mantienen sus fechas.
Hasta 35M€ o el 7% de la facturación anual global por prácticas prohibidas, y 15M€ o el 3% por incumplir otras obligaciones, lo que sea mayor. Sobre las fechas conviene separar dos cosas. Sobre el papel, el capítulo sancionador del reglamento es aplicable desde el 2 de agosto de 2025, y el 2 de agosto de 2026 llega la aplicación general del reglamento junto con las potestades de la Comisión sobre los modelos de propósito general. En la práctica, la mayoría de Estados miembros aún no ha designado autoridades ni aprobado la norma interna que permite tramitar expedientes: Italia fue de los primeros en hacerlo, y España lo tiene en tramitación parlamentaria, entre los países más avanzados. Ese desfase tiene dos lecturas y las dos son verdad: hoy es improbable que te sancionen, y los incumplimientos de hoy serán los expedientes de mañana, porque las obligaciones ya son exigibles. Y recuerda que la sanción rara vez es el primer coste: el contrato del cliente grande y la due diligence llegan antes que cualquier autoridad.
Resolviendo las partes más difíciles desde la propia infraestructura: procesamiento solo en la UE, sin logs, sin entrenamiento con datos de cliente y un stack auditable. El compliance es estructural, no cuestión de configuración. Consulta Seguridad y Compliance para el detalle completo.
No. Es una visión informativa para dimensionar el trabajo. Para obligaciones específicas y clasificación de riesgo, se recomienda consultar a un asesor legal cualificado.
Esta guía es una visión informativa, no asesoría legal. Para obligaciones específicas y clasificación de riesgo, se recomienda consultar a un asesor legal cualificado. Fuentes: Reglamento (UE) 2024/1689 y Reglamento (UE) 2026/1744, el Ómnibus digital sobre IA, en vigor desde el 27 de julio de 2026.
// empezar
Olvídate de la infra de IA. Despliega hoy el primer endpoint de inferencia privada.
Tarifa plana. Datos en la UE. Compatible con la API de OpenAI.
// cookies
Solo usamos cookies estrictamente necesarias para que el sitio funcione. Nada de analítica ni publicidad, nunca — consulta la Política de cookies.
// preferencias