EU AI Act agosto 2026: checklist de cumplimiento para empresas

El EU AI Act agosto 2026 checklist es la herramienta que está pidiendo todo CISO, DPO y responsable de proyectos IA en Europa estas semanas. El 2 de agosto de 2026 entran en vigor las obligaciones para modelos de propósito general (GPAI), los códigos de conducta sectoriales y parte del régimen sancionador. Aunque la Comisión Europea ha aplazado algunas piezas hasta 2027, esa fecha sigue marcando un antes y un después para cualquier empresa que use IA en la UE.

Qué entra realmente en vigor en agosto de 2026

Conviene separar el ruido del hecho regulatorio. El 2 de agosto de 2026 se aplican las obligaciones sobre los proveedores de modelos GPAI, parte de las obligaciones de transparencia, la designación de autoridades nacionales y el régimen sancionador asociado a esas piezas. Lo relativo a sistemas de alto riesgo en su totalidad se ha movido a diciembre de 2027 y agosto de 2028, como ya analicé al repasar las fechas clave del AI Act.

Checklist de cumplimiento para llegar preparado a agosto de 2026

Esta lista la he construido a partir de proyectos reales de implantación en banca y administración pública. Está ordenada por prioridad y por orden lógico de ejecución, no por orden del articulado.

1. Inventario de activos IA actualizado con clasificación de riesgo por sistema. Es la base de todo lo demás.
2. Mapeo de proveedores de modelos fundacionales y GPAI usados, con cláusulas contractuales revisadas.
3. Política interna de uso de IA formalizada, comunicada y firmada por empleados clave.
4. Programa de AI literacy obligatorio (artículo 4) para todo personal que diseñe, opere o supervise sistemas IA.
5. Procedimiento de transparencia hacia usuarios finales: avisos de interacción con IA, contenido sintético etiquetado.
6. Mecanismo de evaluación de riesgo antes del despliegue de cualquier nuevo sistema, integrado en el ciclo de proyecto.
7. Registro de incidentes y vía de notificación a la autoridad nacional designada.
8. Gobernanza de datos alineada con RGPD: bases de entrenamiento, fine-tuning y prompts sensibles.
9. Plan de respuesta sancionadora: hasta 35 M € o el 7 % de la facturación global.
10. Auditoría interna ligera trimestral con evidencias listas para una eventual inspección.

Errores típicos en los meses previos al deadline

El error más caro que estoy viendo es confundir el aplazamiento parcial con un aplazamiento total. Hay equipos que han desacelerado el inventario IA o el AI literacy porque “DG Connect ha dado más tiempo”. Otro error frecuente es delegar todo el cumplimiento en el área legal: el EU AI Act es un reglamento técnico-operativo y se cumple desde el diseño del producto, no desde el contrato.

Quién debe liderar la checklist en la empresa

En las empresas que ya han llegado a hitos de cumplimiento, el patrón es claro: un AI Project Manager senior coordina, el DPO valida la pieza de privacidad, el CISO valida la pieza de seguridad y el comité de IA aprueba políticas. Si tu organización no tiene esa figura puente, vas a llegar tarde. Profundicé en este rol híbrido en el nuevo rol de la IA en el liderazgo.

Otro frente que se abre en agosto es el registro en la base de datos europea del Artículo 71. Lo desgloso en detalle en el registro UE de sistemas de IA.

Conclusión: actuar antes del verano

Tres meses parecen muchos hasta que se descuentan vacaciones, comités y revisiones legales. Si la checklist no está al 80 % en junio, agosto te pillará improvisando. Si necesitas apoyo para acelerar el cierre o validar el roadmap, podemos hablarlo.

Para una visión completa del marco regulatorio, consulta las sanciones de NIS2 en 2026, la guía general de normativas IT 2026: NIS2, DORA y EU AI Act y el calendario de cumplimiento del EU AI Act tras el Digital Omnibus.