AI Act 2026: la shadow AI deja de ser invisible

El 2 de agosto de 2026 cambió el tablero: qué se aplicó y qué se aplazó

El 2 de agosto de 2026 marcó el fin del periodo de transición de dos años del AI Act de la Unión Europea, la ley de inteligencia artificial más ambiciosa del mundo. Desde esa fecha son exigibles las obligaciones de transparencia del artículo 50 (chatbots, deepfakes y contenidos generados por IA) y la Comisión Europea ya tiene poder de sanción sobre los modelos de IA de uso general (GPAI), vigentes desde agosto de 2025. Las multas pueden alcanzar los 15 millones de euros o el 3% del volumen de negocios global anual, según la estructura de sanciones recogida por Forbes y The Verge.

Lo que muchos founders no saben es que el grueso de las obligaciones para sistemas de IA de alto riesgo se aplazó. El llamado Digital Omnibus entró en vigor el 27 de julio de 2026, apenas seis días antes del hito, y desplazó las reglas más pesadas: los sistemas autónomos del Anexo III (selección de personal, scoring crediticio, etc.) ahora vencen en diciembre de 2027, y los sistemas embebidos en productos regulados (dispositivos médicos, maquinaria) en agosto de 2028, según documenta TechTarget. Es una prórroga real, pero no una exoneración: el artículo 50, las prohibiciones del artículo 5 y la alfabetización en IA del artículo 4 ya son ley.

Para founders en España y LATAM la lectura es doble: aunque vendas fuera de la UE, cualquier cliente europeo o cualquier proveedor de IA europeo que uses arrastra estas obligaciones a tu cadena.

🤖 La IA no es solo para leer sobre ella

En la comunidad la aplicamos: automatización, agentes IA y herramientas reales para emprender, no solo para informarte.

👥 Aplicarla en la comunidad

Shadow AI: el riesgo que ya no se puede mirar a otro lado

La shadow AI (uso de herramientas de IA no aprobadas por la empresa, con cuentas personales o apps no evaluadas) dejó de ser un problema «de cultura corporativa» y se convirtió en una cuestión de cumplimiento. En España, el 21,1% de las empresas de 10 o más empleados usa IA, según el INE recogido por Channel Partner, y solo el 42% tiene una política formal y comunicada sobre uso de IA generativa, según el Estudio de Salud Digital de Zoho 2026; otro 40% la está elaborando todavía. Hay una masa enorme de empresas usando IA mientras el regulador afina la lupa.

Las cifras globales dibujan un mapa incómodo:

El 76% de los trabajadores usa canales no aprobados para comunicarse, según la investigación State of Workforce Communication de Mitel recogida por Forbes Technology Council.
El 92% de las organizaciones carece de visibilidad completa sobre las «identidades IA» que operan dentro, y el 95% duda de poder detectar un uso indebido si ocurre.
Un informe de Akamai citado por The Hacker News revela que el 5% de los usuarios más intensivos de IA interactúa 12 veces más que el 50% menos activo, concentrando el riesgo.
Casi la mitad de las conversaciones corporativas con IA (47,11%) ocurre con identidades personales, no corporativas.
Un 14,4% de conversaciones se hacen con correos corporativos ligados a suscripciones personales «freemium», lo que implica que los datos pueden acabar entrenando modelos públicos.

El regulador no va a aceptar la «improvisación del empleado» como atenuante. Si un desarrollador pega código fuente en un chat público, la fuga de propiedad intelectual la paga la empresa, no el developer.

Quién paga los platos rotos: el reparto proveedor / deployer

El AI Act separa dos figuras y eso cambia el diseño de cualquier producto SaaS con IA:

Proveedor (quien desarrolla y comercializa el sistema): debe marcar las salidas de IA en formato legible por máquina, garantizar documentación técnica y, si el modelo es GPAI, demostrar evaluación de riesgos sistémicos.
Deployer (quien usa el sistema para crear o publicar contenido): debe etiquetar deepfakes, informar cuando un chatbot interactúa con una persona y declarar cuando un texto sobre temas de interés público no pasó por revisión humana editorial.

Anthropic se convirtió en una de las primeras grandes firmas en firmar el Article 50(2) Code of Practice el 31 de julio de 2026 y aplica marcas de agua invisibles a los textos e imágenes de Claude en todo el mundo, no solo en la UE, según The Next Web. OpenAI se había sumado en mayo de 2026 al estándar C2PA junto a Google para incrustar SynthID en sus imágenes. Cerca de 190 organizaciones firmaron los códigos de práctica de la Comisión; entre los proveedores están Google, Meta, Microsoft, OpenAI y Synthesia; entre los deployers, Getty Images, Lenovo y Lufthansa.

Aquí está la alerta para el canal tecnológico (integradores, MSP, revendedores): si un partner reempaqueta, renombra o realiza una modificación sustancial sobre una herramienta de un tercero, la normativa puede reclasificarlo como proveedor principal. Hereda entonces obligaciones de gestión de riesgo, evaluación de conformidad y supervisión continua. La debida diligencia contractual deja de ser opcional.

Calendario revisado: la prórroga no es vacaciones

La Comisión publicó el 20 de julio de 2026 una guía de 51 páginas interpretando el artículo 50, a apenas dos semanas del hito, según RAPS y TechTarget. La guía aclara, por ejemplo, que los deepfakes creados antes del 2 de agosto no necesitan retroetiquetarse (importa la fecha de creación, no la de republicación). También define excepciones por obviedad: un sistema médico usado solo por profesionales entrenados no necesita el aviso de «estás hablando con una IA».

Para los founders hispanohablantes, el orden práctico de obligaciones a partir de ahora es:

2 de agosto de 2026 (ya en vigor): transparencia del artículo 50 (chatbots, deepfakes, contenido sintético), enforcement sobre GPAI, prohibiciones del artículo 5, alfabetización en IA del artículo 4.
2 de diciembre de 2026: sistemas lanzados antes del 2 de agosto deben etiquetar contenido generado por IA (grace period de cuatro meses, según The Verge).
2 de diciembre de 2027: obligaciones plenas para sistemas de IA de alto riesgo del Anexo III (contratación, crédito, educación, etc.).
Agosto de 2028: obligaciones para IA embebida en productos regulados.

Qué significa esto para tu startup

Si tu producto usa IA generativa, lo entregues en la UE o no, Europa vuelve a exportar su estándar, igual que hizo con el GDPR. La decisión de Anthropic de marcar los textos de Claude a nivel global, no solo para usuarios europeos, lo demuestra. Ignorar la regla europea dejó de ser gratis.

Acciones concretas que puedes implementar esta semana:

Audita el inventario de IA real, no el del organigrama. El 82% de los trabajadores indios ya interactúa con apps de IA y el 97% usa SaaS con funciones de IA, según el Netskope Threat Labs Report 2026 recogido por Business Standard. Pregunta a tu equipo qué herramientas usa, incluidas las extensiones de navegador y los IDE; el 17,7% de empleados en empresas medianas tiene al menos una extensión de IA y casi un 75% pide permisos altos o críticos, según Akamai.
Define por escrito quién es proveedor y quién deployer en cada integración. Si reempaquetas un modelo de terceros con tu marca, pregúntate si tu actividad te convierte en proveedor bajo el AI Act y, por tanto, en responsable de la marca de agua, la documentación técnica y la evaluación de conformidad. Documenta esa decisión en el contrato con tu cliente antes de modificar nada.