Obligaciones GPAI del EU AI Act: qué cambia en agosto de 2026

Agosto de 2026 es una de esas fechas que llevo tiempo marcando en rojo en los proyectos regulados. El calendario del EU AI Act avanza por fases, y este hito activa las obligaciones GPAI, las exigencias concretas para los modelos de propósito general que muchas organizaciones aún no han preparado. Vale la pena repasar qué entra en vigor y, sobre todo, qué hacer si vas con retraso.

El calendario escalonado del EU AI Act

El reglamento no se aplica de golpe, sino por tramos. Tras la entrada en vigor general y las prohibiciones iniciales, agosto de 2026 marca la activación de obligaciones relevantes, especialmente en torno a los modelos de propósito general y a la gobernanza. Conocer en qué punto del calendario estás es el primer paso para no llegar tarde, algo que detallo en mi checklist de cumplimiento del EU AI Act.

Qué obligaciones GPAI se activan en agosto de 2026

Modelos de propósito general (GPAI)

Las obligaciones GPAI recaen sobre los proveedores de modelos de propósito general, que afrontan deberes de transparencia, documentación técnica y, para los modelos con riesgo sistémico, requisitos adicionales. Si tu empresa integra estos modelos, conviene exigir a los proveedores la documentación que el EU AI Act ahora les obliga a facilitar.

Gobernanza y autoridades

Se consolida la estructura de gobernanza europea y nacional, con las autoridades que supervisarán el cumplimiento. Esto significa que el reglamento deja de ser teoría: empieza a haber quien vigila y quien sanciona.

Qué hacer si vas con retraso

Lo primero es no entrar en pánico ni intentar cumplirlo todo a la vez. Priorizo siempre por riesgo: identificar los sistemas de mayor exposición y asegurar su cumplimiento antes que los periféricos. Tener un buen inventario de activos de IA es lo que permite esa priorización inteligente.

Después, documentar. Gran parte del cumplimiento del EU AI Act consiste en poder demostrar lo que haces: evaluaciones, controles y decisiones. Sin documentación, aunque hagas bien las cosas, no podrás acreditarlo ante una autoridad.

Qué son exactamente los modelos GPAI

Antes de hablar de obligaciones conviene aclarar el concepto. Un modelo de propósito general, o GPAI por sus siglas en inglés, es un modelo de IA entrenado con grandes volúmenes de datos y capaz de realizar tareas muy diversas, desde redactar texto hasta generar código o imágenes. No está diseñado para un único uso, sino que sirve de base sobre la que otras empresas construyen sus aplicaciones. Los grandes modelos de lenguaje que hoy usamos a diario son el ejemplo más claro. Esa versatilidad es justo lo que ha llevado al legislador europeo a fijarse en ellos: cuando un mismo modelo sostiene miles de aplicaciones, un fallo o un sesgo se propaga a gran escala.

Por eso las obligaciones GPAI distinguen entre los modelos corrientes y aquellos con riesgo sistémico, que superan ciertos umbrales de capacidad. A estos últimos se les exige más: evaluaciones de seguridad, pruebas adversarias y notificación de incidentes graves. Entender en qué categoría cae el modelo que usas es el primer paso para saber qué te toca a ti como empresa que lo integra.

Qué debe hacer tu empresa si integra un GPAI

Aunque las obligaciones recaen sobre los proveedores de los modelos, las empresas que los integran no quedan al margen. Mi recomendación es exigir a tu proveedor la documentación técnica que el reglamento ahora le obliga a entregar, comprobar qué datos usó para entrenar y dejar por escrito quién responde si el modelo falla. Esa diligencia previa te protege y te ahorra sorpresas en una auditoría. También conviene formar a tu equipo, porque buena parte del riesgo aparece en el uso cotidiano; lo desarrollo en mi artículo sobre la alfabetización en IA obligatoria del artículo 4.

En proyectos regulados añado siempre una capa más: trazar qué decisiones toma el modelo y poder explicarlas. La transparencia que el reglamento pide a los proveedores solo sirve de verdad si tú, como integrador, la trasladas a tus propios procesos. De poco vale tener la ficha técnica del modelo si luego nadie en tu organización sabe interpretarla.

Una pieza más del calendario regulatorio

Las obligaciones GPAI no son un hito aislado, sino una pieza dentro de un calendario más amplio que seguirá desplegándose en los próximos años. Verlas en contexto ayuda a no vivir cada fecha como una urgencia separada. Esa mirada de conjunto, sobre qué nos ha enseñado el despliegue normativo de la IA, es la que recogeré en mi próximo balance del año en normativa de IA, donde ordenaré los hitos y lo aprendido.

Mi consejo final es no esperar a la fecha límite para preparar la documentación. Las empresas que llegan con sus deberes hechos no solo evitan sanciones: negocian mejor con sus proveedores y transmiten seriedad a sus clientes. Cumplir con las obligaciones GPAI, bien planteado, es una ventaja competitiva más que una carga.

Conclusión: el reglamento ya es real

Agosto de 2026 confirma algo que repito desde hace tiempo: el EU AI Act no es un futuro lejano, es un presente con plazos. Las organizaciones que lo integraron en el diseño de sus proyectos llegan tranquilas; las que lo dejaron para después, corriendo. Mi consejo es claro: ponte al día ahora, porque las fechas no esperan.

Preguntas frecuentes sobre el EU AI Act en agosto de 2026