El 2 de agosto de 2026, el Reglamento Europeo de IA pasa de ser una amenaza abstracta a una obligación exigible. No hay prórroga. El Acuerdo Digital Omnibus de mayo 2026 retrasó las obligaciones de sistemas de alto riesgo hasta 2027 y 2028, pero dejó intactas las obligaciones de transparencia del Artículo 50, que entran en vigor el 2 de agosto.
El panorama en España es preocupante: el 76% de las pymes usa IA de forma semanal, pero solo el 8% tiene una solución implementada con gobernanza documentada. Dos de cada tres empresas opera con IA en la sombra: sin inventario de herramientas, sin política de uso, sin registro de decisiones. La Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) tiene capacidad sancionadora activa desde febrero de 2025.
El Artículo 50 establece tres obligaciones concretas. Si tu empresa tiene un chatbot de atención al cliente, ese sistema tiene que identificarse como IA al inicio de la conversación. Si generas contenido con herramientas de IA generativa —texto, imagen, audio o vídeo— y lo publicas sin que haya una revisión editorial humana asignada, ese contenido tiene que estar marcado. Si usas deepfakes o sistemas de reconocimiento emocional, hay que divulgarlo.
El Artículo 4 suma una obligación que pocas empresas han empezado a abordar: los empleados que utilizan IA en su trabajo tienen que demostrar alfabetización en IA suficiente. No hace falta un curso certificado. Sí hace falta documentar que el equipo recibió formación, que entiende qué herramientas usa y para qué. Si llega una inspección de la AESIA, ese registro es lo primero que solicitan.
Las sanciones por incumplimiento de las obligaciones de transparencia llegan hasta 15 millones de euros o el 3% de la facturación anual global. Para pymes, se aplica la cifra menor de ambas. Lo que el anuncio oficial no menciona: el 92% de las empresas no tiene un inventario de sus sistemas de IA. Sin inventario no hay evaluación de riesgo, y sin evaluación de riesgo no hay cumplimiento posible.
El primer caso de sanción en España afectará probablemente a una empresa que use un chatbot de atención al cliente sin identificación visible de IA. Es el vector de incumplimiento más frecuente y el más sencillo de verificar para un inspector. La AESIA puede iniciar inspecciones de oficio, no solo por denuncia.
El plan de acción tiene cuatro pasos: auditar todos los sistemas de software para identificar cuáles procesan o generan contenido con IA; revisar los contratos con proveedores para entender qué responsabilidad asumes como implantador; añadir una indicación visible de IA en cada punto de contacto automatizado; y documentar al menos una sesión de formación para el equipo que usa IA en su trabajo diario. Treinta y ocho días. No es mucho tiempo para hacer bien las cuatro cosas.