AI Act: qué se aplica realmente a sus herramientas de IA desde el 2 de agosto de 2026

El 2 de agosto de 2026 era el gran vencimiento del AI Act. Acaba de pasar, y desde entonces circulan dos relatos opuestos, ambos falsos. El primero sostiene que el AI Act se ha aplazado y que no hay nada que hacer. El segundo anuncia una avalancha de obligaciones para cualquier empresa que toque la IA. La realidad se reduce a una distinción: lo que se aplazó afecta a los sistemas de alto riesgo; lo que se aplica afecta a todos.

Este artículo expone lo que el Reglamento europeo de inteligencia artificial exige realmente a un profesional que usa herramientas de IA a diario, tomando el dictado por voz como caso práctico. Y sobre todo, lo que no resuelve en absoluto, aunque muchos crean lo contrario.

Un único reglamento, aplicable en los 27 Estados miembros

Primer malentendido que conviene despejar: el AI Act no es una ley nacional. Es el Reglamento (UE) 2024/1689, en vigor desde el 1 de agosto de 2024. De ahí se derivan dos consecuencias prácticas:

• Es un reglamento, no una directiva. Se aplica directamente en los 27 Estados miembros, sin ley de transposición. No existe, por tanto, una versión nacional del AI Act: el texto es idéntico de un Estado miembro a otro. Cada país se limita a designar sus autoridades de vigilancia y a fijar su régimen sancionador, dentro de los límites que marca el Reglamento.
• Su alcance es extraterritorial. El artículo 2 abarca a los proveedores que introducen un sistema de IA en el mercado de la Unión con independencia de dónde estén establecidos, así como a los proveedores y responsables del despliegue establecidos en un tercer país cuando los resultados de salida generados por el sistema se utilizan en la Unión. Un proveedor establecido fuera de la Unión que ofrece su herramienta en Europa queda, pues, sujeto.

Conviene señalar además que el apartado 10 de ese mismo artículo excluye las obligaciones de los responsables del despliegue que sean personas físicas y utilicen un sistema de IA en el ejercicio de una actividad puramente personal de carácter no profesional. Dictar la lista de la compra no compromete nada. Dictar las notas de un expediente, sí.

El calendario real, tras el ómnibus digital

El 8 de julio de 2026 la Unión adoptó el Reglamento (UE) 2026/1744, conocido como ómnibus digital sobre IA, publicado en el Diario Oficial de la Unión Europea el 24 de julio de 2026 y en vigor desde el 27 de julio. Es el texto que ha redibujado el calendario, y de él procede el rumor de un aplazamiento general. Esto es lo que cambia, y lo que no.

• 2 de febrero de 2025: las prácticas prohibidas del artículo 5 y la obligación de alfabetización en materia de IA del artículo 4 son aplicables. Sin cambios.
• 2 de agosto de 2025: obligaciones sobre los modelos de IA de uso general, gobernanza y, sobre todo, entrada en vigor del régimen sancionador. Sin cambios.
• 2 de agosto de 2026: aplicabilidad general del Reglamento y obligaciones de transparencia del artículo 50. Sin cambios.
• 2 de diciembre de 2026: dos nuevas prácticas prohibidas añadidas al artículo 5, dirigidas a los sistemas que generan contenidos íntimos realistas de una persona identificable sin su consentimiento y a los que generan material de abuso sexual infantil. En esa misma fecha finaliza el periodo transitorio de cuatro meses concedido a los proveedores de sistemas de IA generativa ya presentes en el mercado el 2 de agosto de 2026 para cumplir con el marcado de contenidos.
• 2 de diciembre de 2027: obligaciones de los sistemas de alto riesgo del anexo III (empleo, educación, servicios esenciales, justicia, migración, biometría). Aplazado desde el 2 de agosto de 2026.
• 2 de agosto de 2028: obligaciones de los sistemas de alto riesgo del anexo I, los integrados en productos ya regulados. Aplazado desde el 2 de agosto de 2027.

Las cuantías, para situar lo que está en juego: hasta 35 millones de euros o el 7 % del volumen de negocios mundial anual por una práctica prohibida, y hasta 15 millones o el 3 % por incumplir las obligaciones de los proveedores, de los responsables del despliegue o la transparencia del artículo 50, aplicándose la cuantía más elevada. Un matiz que cuenta para una pyme o una start-up: el artículo 99, apartado 6, prevé en su caso que se aplique la más baja de las dos cuantías, y no la más alta.

Los cuatro niveles de riesgo, y dónde encaja una herramienta de dictado

El AI Act no regula la IA en bloque: clasifica los sistemas por nivel de riesgo y hace depender las obligaciones de esa clasificación. Cuatro escalones, del más exigente al más ligero: riesgo inadmisible (prohibido), alto riesgo (fuertemente regulado), riesgo específico de transparencia (deber de información), riesgo mínimo (sin obligaciones particulares).

El punto que casi todo el mundo pasa por alto: es la finalidad prevista del sistema la que determina su clase, no la tecnología que incorpora. El mismo ladrillo de reconocimiento de voz puede ser de riesgo mínimo o de alto riesgo según el uso al que se destine.

• Una herramienta destinada a convertir el habla en texto no figura en ninguno de los ocho ámbitos del anexo III. Es de riesgo mínimo.
• El mismo motor de voz destinado a evaluar candidatos en una entrevista de trabajo entraría en el punto 4 del anexo III (empleo y gestión de los trabajadores): alto riesgo.
• El mismo motor de voz destinado a reconocer emociones entraría en el punto 1 del anexo III (biometría): alto riesgo, cuando no está pura y simplemente prohibido.

Dicho de otro modo, la pregunta que hay que hacer a un proveedor no es «¿su herramienta usa IA?», sino «¿a qué está destinado su sistema y en qué nivel de riesgo lo sitúan?». La respuesta debe estar razonada, no ser decorativa.

La verdadera trampa de las herramientas de voz: inferir emociones

Para una herramienta que escucha hablar a personas, la disposición que más atención merece no es la del alto riesgo, sino el artículo 5. Su apartado 1, letra f), prohíbe los sistemas de IA para inferir las emociones de una persona física en los lugares de trabajo y en los centros educativos, salvo cuando el uso esté destinado a motivos médicos o de seguridad.

No es una obligación futura: es una prohibición en vigor desde el 2 de febrero de 2025, en la categoría más severamente sancionada del Reglamento. Y no apunta solo al proveedor: una empresa que despliega semejante herramienta entre su plantilla queda directamente concernida.

La línea que hay que mantener es nítida: transcribir no es inferir. Una herramienta de dictado convierte en texto lo que usted dice, no analiza su estado emocional. Conviene, en cambio, vigilar las funciones que algunas herramientas de reuniones publicitan: análisis de sentimiento de los participantes, puntuación de compromiso, detección de estrés o de tono. En un lugar de trabajo, esas promesas de marketing pueden deslizarse hacia el terreno de lo prohibido.

¿Hay que «marcar» un texto producido con IA?

Es la confusión más extendida desde el 2 de agosto de 2026. El artículo 50, apartado 2, obliga a los proveedores de sistemas de IA que generan contenidos sintéticos de audio, imagen, vídeo o texto a marcar esos resultados en un formato legible por máquina. Muchos concluyen que todo texto escrito con ayuda de IA debe llevar ya una marca.

Es inexacto, y el propio Reglamento lo dice. Ese mismo apartado precisa: «Esta obligación no se aplicará en la medida en que los sistemas de IA desempeñen una función de apoyo a la edición estándar o no alteren sustancialmente los datos de entrada facilitados por el responsable del despliegue o su semántica.»

Una herramienta de dictado por voz se sitúa exactamente en esa excepción. Transcribe sus palabras y luego corrige la puntuación, la gramática y las vacilaciones. No fabrica contenido en su lugar ni cambia el sentido de lo que usted ha dicho: da forma a datos de entrada que usted ha aportado. El texto sigue siendo suyo. La diferencia con una herramienta que redacta un artículo a partir de tres líneas de instrucciones es de naturaleza, no de grado.

Dos reservas, en cambio, que conviene conocer:

• Artículo 50, apartado 1. Los sistemas destinados a interactuar directamente con personas físicas deben informarles de que están tratando con una IA. Eso apunta a los agentes conversacionales, no a una herramienta de dictado, que no dialoga con nadie.
• Artículo 50, apartado 4. Un texto generado o manipulado por IA y publicado con el fin de informar al público sobre asuntos de interés público debe llevar una indicación. Excepción importante: cuando el contenido ha sido objeto de revisión editorial humana y una persona física o jurídica asume la responsabilidad editorial. Un periodista que dicta su artículo y después lo revisa permanece en la excepción.

Qué exige el AI Act al usuario profesional

El Reglamento distingue dos papeles principales. El proveedor desarrolla el sistema y lo introduce en el mercado. El responsable del despliegue lo utiliza bajo su propia autoridad, en un marco profesional. Si equipa a sus equipos con una herramienta de IA, o la usa usted mismo en el ejercicio de su actividad, es responsable del despliegue. En concreto, le afectan tres cosas.

1. La alfabetización en materia de IA (artículo 4), suavizada por el ómnibus. El texto original obligaba a garantizar un «nivel suficiente» de conocimientos sobre IA al personal. El Reglamento (UE) 2026/1744 lo sustituyó por una fórmula bastante más laxa: los proveedores y responsables del despliegue «adoptarán medidas para apoyar la promoción de la alfabetización en materia de IA de su personal y demás personas que se encarguen en su nombre del funcionamiento y la utilización de sistemas de IA», y el artículo modificado añade que esta obligación no exige garantizar un nivel específico de alfabetización de ninguna persona en particular. Se pasa de una obligación de resultado a una obligación de medios. Conviene señalar que el artículo 4 no figura en la lista de infracciones sancionables con multa del artículo 99. La obligación existe, pero no está directamente sancionada a escala de la Unión.

2. Las prácticas prohibidas (artículo 5). No debe utilizar herramientas que entren en la lista negra del artículo 5, incluida la inferencia de emociones en el trabajo antes mencionada. Es la única restricción verdaderamente pesada que recae sobre un usuario corriente, y ya está en vigor.

3. Las obligaciones del responsable del despliegue de un sistema de alto riesgo (artículo 26). Son sustanciales: supervisión humana, conservación de los registros, información a los trabajadores afectados. Pero solo se activan si despliega efectivamente un sistema clasificado de alto riesgo, y no antes del 2 de diciembre de 2027 para el anexo III.

El punto capital: el AI Act no dice nada sobre soberanía

Es la confusión más costosa, porque genera una falsa sensación de seguridad. El AI Act regula la introducción en el mercado y el uso de los sistemas de IA: qué pueden hacer, cómo deben documentarse, qué deben declarar. No contiene ningún requisito de localización de datos.

En ningún punto exige el Reglamento que su audio, sus textos o sus documentos se traten en Europa. En ningún punto neutraliza la Cloud Act estadounidense. Una herramienta puede ser irreprochable a la luz del AI Act y, aun así, enviar cada uno de sus dictados a servidores operados por una sociedad sujeta al Derecho estadounidense y, por tanto, obligable mediante un requerimiento estadounidense.

Lo que rige estas cuestiones es el RGPD, y solo él: licitud del tratamiento, plazo de conservación, encargados del tratamiento y el marco de las transferencias fuera de la Unión Europea con arreglo a su capítulo V. El propio AI Act lo dice en su artículo 2, apartado 7: el Derecho de la Unión en materia de protección de datos personales sigue aplicándose a los datos tratados en el marco del Reglamento. Ambos textos se acumulan, uno no sustituye al otro.

Desarrollamos esa segunda cuestión, con diferencia la más determinante en la práctica, en nuestra guía dedicada: dictado por voz y RGPD, adónde van realmente sus datos. Allí explicamos por qué la ubicación de los servidores no basta, cuánto vale realmente el Data Privacy Framework, y por qué la jurisdicción a la que está sujeto un proveedor pesa más que la dirección de sus centros de datos. Para las profesiones sujetas al secreto, el marco aplicable se detalla en nuestra página sobre el secreto profesional.

6 preguntas para cualquier proveedor de IA

Una forma sencilla de decidir, combinando ambas normativas. Las primeras preguntas proceden del AI Act, las últimas del RGPD, y suelen ser estas últimas las que marcan la diferencia.

1. ¿Cuál es la finalidad declarada de su sistema y en qué nivel de riesgo lo sitúan? Espere una respuesta razonada frente al anexo III, no un simple «cumplimos».
2. ¿Su herramienta infiere emociones o categoriza a personas a partir de su voz? En un lugar de trabajo, la respuesta correcta es no, sin ambigüedad.
3. ¿Sus resultados entran en la obligación de marcado del artículo 50, apartado 2, o en la excepción de apoyo a la edición estándar? Un proveedor serio sabe dónde se sitúa, y por qué.
4. ¿Qué modelos de IA utilizan, dónde se ejecutan y de qué proveedores proceden? Es la única forma de saber quién trata realmente sus datos al final de la cadena. Quien llama a la API de un tercero le expone a ese tercero, diga lo que diga por lo demás.
5. ¿Se usan mis datos para entrenar sus modelos y cuánto tiempo se conservan? Las respuestas correctas: no, y cero conservación.
6. ¿Dónde se tratan mis datos, por qué sociedad y bajo qué jurisdicción? Busque un tratamiento en la Unión por una sociedad europea, no solo un «centro de datos en Europa».

Dónde se sitúa Fast Dictate

Fast Dictate es una herramienta europea de dictado por voz. Estas son nuestras respuestas a las seis preguntas, por orden:

• Finalidad y clasificación: convertir el habla en texto e insertarlo en la aplicación que usted elija. Ninguno de los ocho ámbitos del anexo III resulta aplicable: riesgo mínimo.
• Emociones: no. Fast Dictate transcribe lo que usted dice y da forma al texto. No realiza reconocimiento del hablante, ni análisis de sentimiento, ni categorización biométrica.
• Marcado de contenidos: la herramienta transcribe sus propias palabras y corrige la puntuación y la gramática, sin alterar sustancialmente sus datos de entrada ni su semántica. Es precisamente la excepción prevista en el artículo 50, apartado 2.
• Modelos y lugar de ejecución: en el plan Pro, la transcripción (Whisper Large V3) y el posprocesado lingüístico (GPT-OSS-120B) se ejecutan en servidores situados en Francia. No se realiza ninguna llamada a una API de IA fuera de Francia para tratar el contenido de sus dictados, ya sea OpenAI, Anthropic, Google, AWS o Azure.
• Cero conservación de datos en todos los planes. Su audio se trata en memoria durante el tiempo de la transcripción, después se elimina de inmediato, y nunca se reutiliza para entrenar un modelo.
• Plan Pro: tratamiento exclusivamente en Francia, sobre una infraestructura certificada ISO/IEC 27001:2022, fuera del ámbito de la Cloud Act estadounidense, con un acuerdo de tratamiento de datos conforme al RGPD disponible previa solicitud. Los planes Free y Standard funcionan sobre una infraestructura internacional rápida, siempre sin conservación de datos.

Por lo demás, Fast Dictate funciona en todas partes: Word, Gmail, Notion, su navegador, cualquier campo de texto, con un solo atajo en Windows y Mac. El plan gratuito ofrece 2.000 palabras por semana, sin tarjeta bancaria.

Este artículo tiene finalidad informativa y no constituye asesoramiento jurídico. La calificación de un sistema de IA depende de su finalidad prevista y de su uso real: en caso de duda sobre su situación, consulte a un profesional. Las fuentes oficiales están disponibles en EUR-Lex y en la página de la Comisión Europea sobre la normativa de IA. Artículo actualizado a 15 de agosto de 2026.

Preguntas frecuentes