Qué cambió en Bruselas el 2 de agosto
El 2 de agosto de 2026, un año de códigos de conducta voluntarios y diálogos de cumplimiento en Bruselas se convirtió en un régimen sancionador. Las obligaciones de transparencia del artículo 50 - que exigen que los chatbots revelen su condición automatizada, que los deepfakes lleven etiquetas y que el contenido generado por máquinas incluya marcas legibles por máquina - entraron en vigor legal junto con las facultades de ejecución sobre los modelos de IA de uso general. La AI Office de la Comisión Europea y las 24 autoridades nacionales competentes de los Estados miembros pueden ahora solicitar documentación técnica, realizar sus propias evaluaciones, exigir medidas correctoras e imponer multas directamente, en lugar de negociar el cumplimiento de manera informal.
La vicepresidenta ejecutiva de la Comisión Europea, Henna Virkkunen, presentó el cambio como protector, no como confrontacional, afirmando que las normas dan "seguridad jurídica a los innovadores al tiempo que protegen el interés público" y calificando el momento de "un paso importante hacia una IA que las personas y las empresas puedan entender y en la que puedan confiar". También calificó la inteligencia artificial de "una tecnología transformadora", al tiempo que advirtió que los modelos más avanzados "crean riesgos a una escala completamente nueva", una distinción que indica dónde es probable que se concentre primero la atención de la ejecución normativa.
El primer movimiento de la CNIL: 14 bancos, cero prórrogas concedidas
La primera prueba real del nuevo régimen llegó en menos de 48 horas. El 4 de agosto de 2026, la autoridad francesa de protección de datos, la CNIL, emitió solicitudes formales de documentación técnica del artículo 11 a 14 entidades financieras que operan algoritmos de calificación crediticia basados en IA, exigiendo la documentación del anexo IV que deben mantener los sistemas de IA de alto riesgo. Tres de las catorce entidades solicitaron más tiempo para responder.
La CNIL denegó las tres solicitudes de prórroga, señalando los dos años que las empresas han tenido para prepararse desde que el AI Act se aprobó en 2024. Ese es el detalle que merece atención: el primer movimiento de un regulador bajo las nuevas facultades de ejecución no fue una carta de advertencia ni una consulta informal, sino una exigencia formal de documentación con un no rotundo a más tiempo. Cualquier empresa de la UE en una categoría de alto riesgo - concesión de crédito, contratación u otro caso de uso del anexo III - cuenta ahora con un precedente concreto de cómo es realmente una auditoría de primer contacto, ya no hipotético.
Cómo funcionan realmente las multas
La estructura sancionadora se escalona según el tipo de infracción, no como una cifra única y fija. Los incumplimientos de las obligaciones de transparencia del artículo 50 - las normas de etiquetado de deepfakes y de divulgación de IA - conllevan multas de hasta EUR 15 millones o el 3% de la facturación anual mundial de la empresa, la cifra que sea más alta. Las prácticas de IA prohibidas, el pequeño conjunto de usos que la norma prohíbe por completo, conllevan un techo más elevado: hasta EUR 35 millones o el 7% de la facturación mundial.
La estructura basada en el porcentaje de facturación importa más que las cifras en euros para cualquier empresa de tamaño considerable, ya que escala con los ingresos en lugar de limitar la exposición a una cifra fija. Las órdenes de medidas correctoras añaden una segunda capa de presión: una vez que una autoridad nacional determina que un sistema no cumple la normativa, puede fijar un plazo de cumplimiento de tan solo 15 días hábiles para corregirlo, retirarlo o recuperarlo, lo que deja poco tiempo a una empresa que no haya preparado ya de antemano su documentación técnica.
La pregunta que toda empresa de la UE debe responder ahora
Durante un año, la pregunta clave para cualquier empresa de la UE que use o despliegue IA ha sido si cumple de manera general con el AI Act, respondida de buena fe mediante revisiones internas y códigos voluntarios. Desde esta semana, esa pregunta ha cambiado. La pregunta clave ahora es si una empresa puede presentar la documentación técnica del anexo IV a petición, dentro del plazo fijado por el propio regulador, porque la CNIL acaba de demostrar que no ampliará ese plazo si se lo piden.
La revisión de la CNIL sobre calificación crediticia es un anticipo útil, en particular, para las empresas de concesión de crédito, contratación y otras categorías de alto riesgo del anexo III, ya que es el primer ejemplo concreto de cómo es en la práctica una auditoría de documentación de alto riesgo, y no solo en el texto de la normativa. Cualquier empresa de esas categorías que aún no haya reunido su expediente técnico debería considerar este mes, y no un futuro plazo de cumplimiento, el momento en el que la documentación ya debe existir.
Leer a continuación: El 2 de agosto las multas de IA de la UE se vuelven reales | El umbral estadounidense de IA de frontera ya es secreto
