AI Act para startups tech: qué obligaciones te aplican y cuándo (guía 2026)

Si tu startup toca inteligencia artificial (aunque sea integrando un modelo de terceros en tu producto) el Reglamento (UE) 2024/1689, conocido como AI Act, ya va contigo. Y no solo si te dedicas a entrenar modelos: basta con que despliegues un chatbot de atención al cliente, generes contenido con IA o construyas un sistema que puntúe candidatos en un proceso de selección.

La buena noticia es que la mayoría de startups no caen en las categorías más exigentes. La mala es que casi todas asumen alguna obligación, que el calendario acaba de moverse (a mediados de 2026, con el Digital Omnibus) y que las sanciones por incumplir se cuentan en millones. Vamos a ordenarlo.

Qué es el AI Act y por qué es horizontal

El AI Act es el primer marco regulatorio integral del mundo sobre inteligencia artificial. Entró en vigor el 1 de agosto de 2024 (art. 113) y no regula sectores concretos, sino que se aplica de forma horizontal a cualquier sistema de IA que se comercialice o se ponga en servicio en la Unión Europea, con independencia de dónde esté establecido el proveedor. Es decir: si tu producto llega a usuarios en la UE, te aplica aunque tu sociedad esté en Delaware o en Londres.

Su lógica es sencilla de enunciar y menos sencilla de aplicar: cuanto mayor es el riesgo que un sistema genera para los derechos y la seguridad de las personas, más obligaciones asume quien lo desarrolla o lo utiliza. De ahí que lo primero que hay que hacer con cualquier producto no sea preguntarse "¿tengo que cumplir el AI Act?", sino "¿en qué nivel de riesgo encaja lo que estoy construyendo?". Como abogados especializados en derecho tecnológico, esa clasificación es siempre el primer paso de cualquier análisis.

Los cuatro niveles de riesgo (y dónde suele caer una startup)

Riesgo inaceptable (prohibido, art. 5). Un puñado de prácticas están vetadas sin más: manipulación subliminal que cause perjuicio, explotación de vulnerabilidades, puntuación social de tipo estatal, categorización biométrica para inferir datos sensibles o el reconocimiento facial masivo mediante scraping indiscriminado, entre otras. El Digital Omnibus ha añadido a esta lista la generación de imágenes íntimas no consentidas ("nudifiers") y material de abuso sexual infantil. Si tu modelo de negocio depende de algo de esta lista, no hay compliance posible: hay que rediseñar.

Alto riesgo (Anexo III y Anexo I). Aquí está el grueso de la carga regulatoria. El Anexo III recoge usos concretos que se consideran de alto riesgo por su impacto: sistemas de selección y evaluación de personal (un ATS que criba currículums entra de lleno), scoring crediticio, acceso a educación, gestión de infraestructuras críticas, biometría o determinadas aplicaciones en el ámbito de la justicia y las fuerzas de seguridad. El Anexo I cubre la IA embebida en productos ya regulados por normativa sectorial de seguridad (productos sanitarios, maquinaria, vehículos). Si tu producto entra aquí, asumes las obligaciones más pesadas: sistema de gestión de riesgos a lo largo de todo el ciclo de vida, gobernanza de datos de entrenamiento, documentación técnica, supervisión humana, registro y marcado CE, entre otras.

Riesgo limitado (obligaciones de transparencia, art. 50). Es donde cae la mayoría de startups que usan IA sin construir sistemas de alto riesgo. Si tu producto interactúa con personas (un chatbot), tienes que informar de que están hablando con una IA. Si generas o manipulas contenido (texto, imagen, audio, vídeo), tienes que marcarlo como generado artificialmente, incluido el marcado legible por máquina para el contenido sintético. Son obligaciones asumibles, pero reales, y muchas empresas las descubren tarde.

Riesgo mínimo. El resto (filtros de spam, recomendadores básicos, IA en videojuegos) no asume obligaciones específicas más allá de las buenas prácticas voluntarias.

A esto se añade una capa transversal: si utilizas un modelo de propósito general (GPAI) de terceros (los grandes LLM de mercado), el proveedor del modelo tiene sus propias obligaciones desde agosto de 2025, pero tú, como quien lo integra y despliega, sigues siendo responsable del uso que le das dentro de tu producto.

El calendario real después del Digital Omnibus

Este es el punto que conviene mirar con lupa, porque el escenario de 2024 ya no es el vigente. Ante la constatación de que la infraestructura regulatoria (estándares armonizados, herramientas de apoyo) no llegaba a tiempo, la Comisión presentó el 19 de noviembre de 2025 el llamado Digital Omnibus, que retrasa la aplicación de las obligaciones de alto riesgo. Tras el acuerdo político alcanzado en mayo de 2026 y el respaldo posterior del Parlamento Europeo y del Consejo, el calendario aplicable queda así:

La lectura práctica: las prohibiciones y las obligaciones de GPAI ya están en vigor, la transparencia del art. 50 sigue firme para agosto de 2026, y el gran bloque de alto riesgo se ha desplazado a diciembre de 2027 y agosto de 2028. Es un aplazamiento, no una amnistía: la arquitectura del Reglamento se mantiene intacta.

Qué debería hacer hoy un fundador

Lo primero es un ejercicio de clasificación honesto: mapear cada funcionalidad de IA de tu producto contra los cuatro niveles. La mayoría descubre que está en "riesgo limitado" y que su deber real es de transparencia, no de montar un sistema de gestión de riesgos completo. Pero conviene hacerlo por escrito, porque en una due diligence de ronda un inversor con criterio va a preguntar precisamente esto.

Si resultas estar en alto riesgo (y un ATS de recruiting o un motor de scoring lo están), el aplazamiento a 2027 y 2028 te da aire, pero no es una excusa para no empezar: construir la documentación técnica, la gobernanza de datos y la supervisión humana lleva meses, no semanas. Trata las nuevas fechas como una pista de despegue, no como una razón para aparcar el tema.

Y si estás en transparencia, resuélvelo ya: informar de que se interactúa con una IA y marcar el contenido generado es barato de implementar y caro de ignorar.

Riesgos que marcamos en rojo

El error más común es asumir que "esto es para OpenAI, no para mí". El AI Act se aplica también al que despliega (deployer), no solo al que entrena el modelo. Integrar un LLM de terceros en tu SaaS no te exime.

El segundo error es leer el aplazamiento como vía libre. Las obligaciones de transparencia de agosto de 2026 no se han movido en lo esencial, y las prohibiciones llevan vigentes desde febrero de 2025.

Y conviene tener presente la magnitud de las sanciones (art. 99): hasta 35 millones de euros o el 7% del volumen de negocio mundial anual por incurrir en prácticas prohibidas; hasta 15 millones o el 3% por incumplir el resto de obligaciones; y hasta 7,5 millones o el 1% por facilitar información incorrecta a las autoridades. Para pymes y startups, el Reglamento prevé que se aplique el menor de los dos importes, lo que suaviza el golpe pero no lo elimina.

El AI Act interactúa además con el RGPD siempre que haya datos personales de por medio (que casi siempre los hay). Un sistema de IA que trata datos personales tiene que cumplir ambos marcos a la vez, y la evaluación de impacto de uno no sustituye a la del otro. Si quieres profundizar en el cruce entre IA y protección de datos, tenemos una guía dedicada a la regulación de la IA y los datos sensibles bajo RGPD y LOPD.

Preguntas frecuentes

Cómo lo vemos en Satya Legal

Clasificar bien un producto es la mitad del trabajo, y es donde más dinero se ahorra o se pierde. Hemos visto startups sobre-cumplir por miedo (montando estructuras de alto riesgo para un producto que solo necesitaba transparencia) y otras infra-cumplir por desconocimiento. El punto óptimo es el de siempre: entender exactamente dónde estás, cumplir lo que toca y no más, y dejarlo documentado para cuando un inversor lo pregunte.