EU AI Act 2025: Tu Guía Completa de Cumplimiento

La Cuenta Regresiva Ha Comenzado

Si tu organización utiliza IA en la Unión Europea, el EU AI Act ya no es una preocupación futura—es la realidad de hoy.

La ley es aplicable desde el 2 de agosto de 2026, y la Oficina de IA y las autoridades nacionales son ahora responsables de hacerla cumplir. El Ómnibus de IA, en vigor desde el 27 de julio de 2026, aplazó los plazos del alto riesgo al 2 de diciembre de 2027 para los sistemas del Anexo III y al 2 de agosto de 2028 para la IA integrada en productos regulados. Es más tiempo, no un indulto.

Cronograma de Implementación: Lo Que Ya Está en Vigor

Fase 1: 2 de Febrero 2025 (Activa)

La primera ola de obligaciones ya está en efecto:

• Requisitos de Alfabetización IA: Las organizaciones deben asegurar que el personal tenga suficiente alfabetización en IA para desplegar y usar sistemas de IA responsablemente
• Prácticas de IA Prohibidas: Ciertas prácticas de IA están ahora prohibidas, incluyendo sistemas de puntuación social e identificación biométrica remota en tiempo real en espacios de acceso público con fines policiales (con excepciones limitadas)

Fase 2: 2 de Agosto 2025 (Activa)

El marco de gobernanza ya está operativo:

• Oficina de IA: La autoridad central de la UE para la aplicación del AI Act está operativa
• Consejo de IA: El órgano de coordinación de estados miembros está activo
• Autoridades Nacionales Competentes: Los estados miembros debían designar sus organismos de aplicación y adoptar sus normas nacionales sobre sanciones
• Obligaciones de Modelos GPAI: Los proveedores de modelos de IA de propósito general deben cumplir ahora con requisitos de documentación técnica y derechos de autor
• Marco de Sanciones: Los artículos 99 y 100 sobre multas y aplicación ya son aplicables

Fase 3: 2 de Agosto 2026 (Activa)

La ley pasó a ser aplicable, con las excepciones indicadas en la fase 4:

• Reglas de Transparencia: Se aplican los requisitos del Artículo 50 sobre divulgación de sistemas de IA
• Aplicación: La Oficina de IA y las autoridades nacionales son responsables de supervisar y hacer cumplir la ley, incluso para los modelos de IA de uso general, las prohibiciones, las reglas de transparencia y la alfabetización IA
• Sistemas de IA de Alto Riesgo: Todavía no — el Ómnibus de IA aplazó estas fechas (ver fase 4)

Fase 4: De Diciembre 2026 a Agosto 2028 (Próximamente, según el Ómnibus de IA)

• 2 de diciembre de 2026: Una nueva prohibición afecta a los sistemas de IA que generan deepfakes sexuales no consentidos y material de abuso sexual infantil; los proveedores de sistemas generativos ya comercializados antes del 2 de agosto de 2026 deben cumplir la obligación de marcado del artículo 50(2)
• 2 de agosto de 2027: Los modelos GPAI puestos en el mercado antes de agosto de 2025 deben cumplir, y cada estado miembro debe tener al menos un sandbox regulatorio de IA operativo
• 2 de diciembre de 2027: Las reglas de alto riesgo se aplican a los sistemas de IA de las categorías del Anexo III (acceso a servicios esenciales, educación, empleo, aplicación de la ley, etc.)
• 2 de agosto de 2028: Las reglas de alto riesgo se aplican a la IA integrada en productos cubiertos por el Anexo I, como ascensores o juguetes

Estructura de Sanciones: El Coste del Incumplimiento

El EU AI Act tiene dientes. Esto es lo que enfrentan las organizaciones:

Para pymes, incluidas las startups, las multas están limitadas a la menor de las dos opciones. Pero para empresas grandes, estas sanciones pueden ser sustanciales.

Los reguladores ya multan a proveedores de IA con la legislación existente. En mayo de 2025, la autoridad italiana de protección de datos anunció una multa de 5 millones € contra Luka Inc., la empresa detrás del chatbot Replika, en virtud del GDPR y no del AI Act. La aplicación de la protección de datos a los servicios de IA no espera a los plazos propios del AI Act.

Lo Que Significa el Shadow AI para el Cumplimiento

Aquí está la verdad incómoda: El Shadow AI crea automáticamente brechas de cumplimiento.

Si los empleados están usando ChatGPT, Claude, Copilot u otras herramientas de IA sin supervisión organizacional, tu empresa probablemente está violando múltiples requisitos del EU AI Act:

1. Fallo de Alfabetización IA: Si no sabes qué herramientas de IA usan los empleados, no puedes asegurar que tengan formación adecuada
2. Brechas de Documentación: El uso de IA no aprobada significa sin documentación técnica, sin evaluaciones de riesgo
3. Violaciones de Transparencia: No puedes divulgar el uso de IA a las partes afectadas si no sabes que está ocurriendo
4. Riesgos de Protección de Datos: El Shadow AI frecuentemente implica procesar datos personales sin salvaguardas apropiadas

La encuesta 2025 de WalkMe indica que el 78% de los empleados usa herramientas de IA no proporcionadas por su empleador, mientras que el informe 2025 de Cyera indica que solo el 13% de las empresas tiene una visibilidad sólida sobre cómo se usa la IA.

Tu Hoja de Ruta de Cumplimiento

Acciones Inmediatas (Este Mes)

1. Realizar un Inventario de IA: Identificar todos los sistemas de IA en uso—aprobados y no aprobados
2. Evaluar Categorías de Riesgo: Clasificar cada sistema de IA según el marco de riesgo de la ley
3. Revisar Alfabetización IA: Evaluar las necesidades de formación del personal y niveles de conocimiento actuales
4. Verificar Usos Prohibidos: Asegurar que no están ocurriendo prácticas de IA prohibidas

Corto Plazo (Próximos 3 Meses)

1. Establecer Gobernanza: Designar responsabilidades de gobernanza de IA dentro de tu organización
2. Crear Documentación: Comenzar documentación técnica para sistemas de IA de alto riesgo
3. Desarrollar Políticas: Implementar políticas de uso de IA aprobadas y comunicarlas
4. Desplegar Monitoreo: Establecer visibilidad sobre el uso de herramientas de IA en la organización

Medio Plazo (Antes de los Plazos del Alto Riesgo)

1. Completar Evaluaciones de Riesgo: Finalizar evaluaciones para todos los sistemas de IA de alto riesgo antes del 2 de diciembre de 2027 (Anexo III) o del 2 de agosto de 2028 (Anexo I)
2. Implementar Controles: Desplegar salvaguardas apropiadas para cada categoría de riesgo
3. Prepararse para Auditorías: Asegurar que documentación y evidencia estén listas para auditoría
4. Formar Continuamente: Mantener programas continuos de alfabetización IA

El Enfoque QAIZEN

En QAIZEN, ayudamos a las organizaciones a navegar el cumplimiento del EU AI Act a través de nuestra metodología de Orfebre Digital:

Precisión: Proporcionamos análisis exacto de brechas, no checklists genéricos. El panorama de IA de cada organización es diferente.

Artesanía: Nuestras hojas de ruta de cumplimiento están adaptadas a tu industria, tamaño y patrones específicos de uso de IA.

Valor Duradero: Construimos marcos de gobernanza que escalan con tu adopción de IA, no soluciones puntuales.

Da el Primer Paso

El cumplimiento comienza con la visibilidad. Si no sabes qué herramientas de IA se están usando en tu organización, no puedes comenzar el camino hacia el cumplimiento.

Nuestra Auditoría Shadow AI te da en 5 minutos:

• Una puntuación de gobernanza con una calificación de A a F
• Una puntuación de cumplimiento regulatorio, junto a la visibilidad IA, la gobernanza, la protección de datos y la respuesta a incidentes
• Los riesgos que revelan tus respuestas, ordenados por gravedad
• Una hoja de ruta de gobernanza a 90 días personalizada, generada a petición

Gratis. Anónimo. Resultados instantáneos.

Los plazos del alto riesgo se aplazaron, pero las obligaciones no han desaparecido. Comienza ahora.