Durante años, la regulación de la IA fue un tema de conferencias y documentos de consulta. En 2026 eso cambió. El Reglamento Europeo de Inteligencia Artificial —el AI Act— entró en su fase de aplicación más exigente y, con él, muchas empresas descubrieron que sus agentes y automatizaciones ya no son solo una cuestión técnica: también son una cuestión de cumplimiento.
Y no hace falta estar en Europa para que importe. Si vendes a clientes europeos, procesas datos de ciudadanos de la UE o trabajas con proveedores que sí lo están, el AI Act acaba llegando a tu mesa por la vía de los contratos.
Un calendario por etapas
El reglamento no se aplica de golpe. Se ha ido activando por fases:
- Prácticas prohibidas (como la puntuación social o ciertos usos de reconocimiento biométrico): vigentes desde 2025.
- Modelos de propósito general: los proveedores de grandes modelos asumieron obligaciones de documentación y transparencia desde agosto de 2025.
- Transparencia y sistemas de alto riesgo: el gran bloque de obligaciones se activa a partir de agosto de 2026, aunque la Comisión Europea ha planteado flexibilizar algunos plazos de alto riesgo. Conviene seguir de cerca la versión final.
El mensaje práctico es simple: aunque algunas fechas se muevan, la dirección no cambia. Prepararse ahora es más barato que hacerlo con prisa.
Qué significa para quien usa IA
La mayoría de empresas no entrenan modelos: los usan. El AI Act las llama responsables del despliegue, y también tienen deberes:
- Saber qué sistemas de IA tienen en uso y para qué. Sin inventario no hay forma de clasificar el riesgo.
- Informar a las personas cuando interactúan con un sistema de IA (por ejemplo, un asistente de atención al cliente) o cuando un contenido ha sido generado artificialmente.
- Supervisión humana en los casos de alto riesgo: alguien con autoridad y formación debe poder revisar, corregir o detener las decisiones del sistema.
- Conservar registros de funcionamiento para poder reconstruir qué pasó si algo sale mal.
- Alfabetización en IA: garantizar que el personal que opera estos sistemas entiende sus capacidades y límites.
Los casos que suelen ser de alto riesgo
No todo agente es de alto riesgo. Un asistente que resume reuniones difícilmente lo será. Pero hay ámbitos que el reglamento señala expresamente: selección de personal, evaluación crediticia, acceso a servicios esenciales, educación o infraestructuras críticas. Si tus agentes toman o influyen en decisiones sobre personas en estas áreas, el nivel de exigencia sube mucho.
Cómo prepararse sin paralizar proyectos
El error más común es tratar el cumplimiento como un proyecto aparte que llega al final. Funciona mejor integrarlo en la forma en que operas la IA:
- Inventario vivo. Un catálogo central de agentes, con su propósito, su responsable y los datos a los que accede.
- Permisos por rol. Que cada agente herede los permisos de quien lo usa y no acceda a más de lo necesario.
- Trazabilidad por defecto. Cada ejecución registrada con entrada, salida, modelo y coste.
- Puntos de aprobación humana configurables para las acciones sensibles.
Buena parte de esta base es la que construimos en Root: cada empresa es un espacio aislado con roles claros, los runtimes de cada equipo quedan detectados en un solo lugar, cada tool que invoca un agente actúa con los permisos de la persona que lo autorizó, y las políticas de gobernanza se versionan con su historial. Revocar un agente corta su acceso en la siguiente petición. No sustituye a tu equipo legal, pero le da una base ordenada sobre la que trabajar.
En resumen
2026 marca el paso de la IA experimental a la IA regulada. Las empresas que ya tienen sus agentes inventariados, gobernados y trazados viven este cambio como un trámite. Las que no, como una auditoría sorpresa.
¿Quieres revisar cómo está tu organización? Habla con nuestro equipo y hacemos juntos un primer diagnóstico.