El AI Act entra en fase de control: la UE ya admite reclamaciones y alertas sobre incumplimientos
El Reglamento Europeo de Inteligencia Artificial ya no es solo una norma para la que conviene prepararse. Desde el 2 de agosto de 2026, la Oficina Europea de Inteligencia Artificial y las autoridades nacionales han comenzado a controlar parte de sus obligaciones. Al mismo tiempo, la Comisión Europea ha habilitado nuevas vías para comunicar posibles incumplimientos.
El cambio es relevante para cualquier organización que utilice chatbots, asistentes virtuales, herramientas de IA generativa, sistemas automatizados de atención al cliente o soluciones que analicen datos de trabajadores y usuarios. A partir de ahora, disponer de una licencia empresarial o confiar en las garantías generales del proveedor no basta: la empresa debe conocer sus usos de IA, determinar qué obligaciones le corresponden y conservar evidencias de los controles aplicados.
¿Tu empresa utiliza ChatGPT, Copilot, Gemini, chatbots o automatizaciones con IA?
Reserva una orientación gratuita de 15 minutos y descubre qué medidas necesitas para poder demostrar el cumplimiento del AI Act.
¿Qué ha cambiado con el AI Act en agosto de 2026?
La Comisión Europea ha confirmado el inicio de la fase de aplicación y control de varias disposiciones del Reglamento de IA. Entre ellas se encuentran las obligaciones de transparencia para determinados sistemas y la vigilancia de las prácticas de IA prohibidas.
En la práctica, las empresas deben prestar especial atención a cuestiones como estas:
- Informar de forma clara cuando una persona interactúa con un chatbot o sistema de IA, salvo que resulte evidente por el contexto.
- Identificar los deepfakes y determinados contenidos generados o manipulados artificialmente.
- Verificar que los contenidos sintéticos incorporan, cuando corresponda, marcas legibles por máquina.
- Evitar prácticas prohibidas que manipulen a las personas, exploten sus vulnerabilidades o afecten injustamente a sus derechos.
- Documentar quién supervisa el uso de la IA y cómo se gestionan sus riesgos.
Más de 180 organizaciones se han adherido ya al Código de buenas prácticas europeo sobre transparencia de contenidos generados por IA. Aunque la adhesión al Código es voluntaria, el dato muestra que la trazabilidad y la transparencia de la IA están ganando peso como estándar de mercado.
La UE abre una vía de reclamación sobre posibles infracciones
Una de las novedades más importantes es la puesta en marcha de una herramienta europea de reclamaciones. Permite que personas físicas y organizaciones comuniquen a la Oficina Europea de IA presuntas infracciones dentro de su ámbito de competencia.
La reclamación debe identificar a quien la presenta, indicar el país en el que se produjo el hecho y describir con detalle el posible incumplimiento. También puede acompañarse de documentos y otras evidencias.
No se trata de un canal universal para cualquier problema relacionado con la inteligencia artificial. La propia Comisión precisa que la herramienta solo cubre asuntos comprendidos en las competencias de la Oficina Europea de IA. Cuando corresponda y con el consentimiento de la persona reclamante, la información podrá remitirse a la autoridad nacional competente o a otra autoridad europea encargada de proteger derechos fundamentales.
Para las empresas, la consecuencia práctica es clara: una queja de un cliente, trabajador, proveedor o competidor puede llegar a una autoridad acompañada de capturas, contratos, comunicaciones internas u otras pruebas. Una política de IA genérica, sin implantación ni evidencias, ofrecerá una defensa limitada.
También existe un canal confidencial para alertadores vinculados profesionalmente
La Comisión ha activado además una herramienta específica para alertadores o whistleblowers. Está dirigida a personas vinculadas profesionalmente con determinados proveedores de sistemas o modelos de IA sometidos a la competencia de la Oficina Europea de IA.
Este canal permite remitir información de forma anónima, en cualquiera de las lenguas oficiales de la Unión Europea y con documentación de apoyo. Su buzón seguro posibilita mantener la comunicación con la Oficina de IA y responder a preguntas posteriores sin revelar la identidad del informante.
La existencia de este mecanismo refuerza una idea esencial de compliance: los incumplimientos tecnológicos ya no quedan únicamente en manos del departamento de sistemas. Pueden ser detectados por empleados, colaboradores, proveedores y otras personas que participan en el ciclo de vida de la IA.
Por ello, las organizaciones deberían coordinar su política de inteligencia artificial con el sistema interno de información previsto por la Ley 2/2023, los procedimientos de protección de datos, la gestión de riesgos y el modelo de compliance penal. El objetivo no es duplicar canales, sino asegurar que una alerta sobre IA se recibe, clasifica, investiga y documenta correctamente.
¿Significa esto que todas las obligaciones del AI Act se aplican ya?
No. El calendario del Reglamento sigue siendo progresivo y es importante evitar mensajes alarmistas.
Las obligaciones sobre determinados sistemas de IA de alto riesgo se han aplazado hasta el 2 de diciembre de 2027. Las aplicables a sistemas de alto riesgo integrados en productos regulados se han pospuesto hasta el 2 de agosto de 2028.
Sin embargo, este aplazamiento no suspende el AI Act en su conjunto. Las obligaciones de transparencia aplicables desde agosto de 2026, las prohibiciones vigentes y otros deberes con su propio calendario deben revisarse por separado.
Puedes consultar el análisis específico sobre las obligaciones de transparencia del AI Act desde agosto de 2026.
Las cinco evidencias que debería poder mostrar una empresa
Ante una reclamación, una inspección o una auditoría de cliente, la pregunta ya no será únicamente si la empresa utiliza inteligencia artificial. También tendrá que explicar cómo la controla.
Estas son cinco evidencias básicas que conviene preparar:
1. Un inventario actualizado de herramientas y usos de IA
Debe recoger tanto las soluciones contratadas oficialmente como las funciones de IA incluidas en programas de recursos humanos, marketing, atención al cliente, análisis de datos y productividad.
2. Una clasificación jurídica de cada caso de uso
No todas las herramientas generan el mismo riesgo. La finalidad, las personas afectadas, el grado de automatización y el papel de la empresa en la cadena de valor determinan las obligaciones aplicables.
3. Controles de transparencia y supervisión humana
La organización debe definir cuándo se informa al usuario, quién revisa los resultados, cómo se corrigen errores y en qué casos una decisión no puede quedar únicamente en manos de un sistema automatizado.
4. Una evaluación de proveedores y contratos
Es necesario revisar las garantías del proveedor, el tratamiento de datos, la conservación de la información, los mecanismos de marcado, las responsabilidades contractuales y el uso posterior de los datos introducidos en la herramienta.
5. Formación, procedimientos y trazabilidad
La empresa debe poder acreditar que las personas usuarias conocen los límites de la herramienta, saben qué información no pueden introducir y disponen de un procedimiento para comunicar incidentes o resultados inesperados.
El riesgo invisible: herramientas que la dirección desconoce
Uno de los mayores problemas no suele ser la herramienta corporativa aprobada, sino la denominada shadow AI: aplicaciones utilizadas por empleados sin autorización, extensiones de navegador, cuentas personales, asistentes gratuitos o funciones de IA activadas dentro de programas ya contratados.
Estos usos pueden provocar la introducción de datos personales, secretos empresariales, información de clientes o documentos confidenciales en servicios que no han sido evaluados. También dificultan identificar quién tomó una decisión, qué versión del sistema se utilizó y qué revisión humana se realizó.
Una auditoría de IA eficaz debe detectar estos usos reales. Limitarse a preguntar al departamento informático qué aplicaciones tiene contratadas puede dejar fuera una parte relevante del riesgo.
Cumplir antes de recibir una reclamación
La nueva fase del AI Act cambia el enfoque empresarial. Ya no se trata solo de estudiar la norma o esperar a que terminen todos los plazos. Las organizaciones necesitan un sistema proporcionado y demostrable para gobernar el uso de la inteligencia artificial.
En Legal Advisors in Compliance ayudamos a las empresas a:
- Identificar herramientas y casos de uso de IA, incluidos los no declarados.
- Clasificar riesgos y determinar qué obligaciones se aplican.
- Revisar chatbots, contenidos generativos, proveedores y contratos.
- Redactar políticas y procedimientos internos adaptados a la actividad real.
- Coordinar el AI Act con RGPD, canal de denuncias y compliance penal.
- Formar al personal y preparar evidencias para auditorías o inspecciones.
No esperes a que una reclamación revele los puntos débiles de tu empresa.
Solicita una evaluación legal del uso de inteligencia artificial. Recibirás un presupuesto en 24 horas hábiles y un plan de acción adaptado a tu organización.
Preguntas frecuentes sobre el control del AI Act
¿Puede una empresa presentar una reclamación por una infracción del AI Act?
Sí. La herramienta europea admite reclamaciones de personas físicas y organizaciones, siempre que el asunto esté dentro del ámbito de competencia de la Oficina Europea de IA. Para otros casos podrán ser competentes las autoridades nacionales de vigilancia del mercado u otras autoridades sectoriales.
¿Las reclamaciones ante la Oficina Europea de IA son anónimas?
No. La herramienta general de reclamaciones exige datos de identificación y contacto. El canal de alertadores sí permite comunicaciones anónimas, pero está dirigido a personas profesionalmente vinculadas con los proveedores o sistemas incluidos en el ámbito de supervisión de la Oficina Europea de IA.
¿Una pyme que solo utiliza herramientas de terceros debe revisar el AI Act?
Sí. Utilizar una solución desarrollada por un tercero no excluye automáticamente las obligaciones de la empresa. La finalidad del uso, las personas afectadas y el papel de la organización determinarán qué controles debe aplicar.
¿Basta con tener una política interna de inteligencia artificial?
No. La política debe acompañarse de un inventario de usos, responsabilidades asignadas, controles de proveedores, formación, supervisión humana y evidencias de aplicación. Una política que no se implanta difícilmente podrá demostrar un cumplimiento efectivo.
Fuentes oficiales
- Comisión Europea: inicio de la aplicación y control del AI Act desde el 2 de agosto de 2026
- Comisión Europea: herramienta de reclamaciones del AI Act
- Comisión Europea: herramienta para alertadores del AI Act
- AESIA: guía introductoria al Reglamento Europeo de Inteligencia Artificial, versión de 17 de julio de 2026
