Índice7
- 01¿Qué es un modelo de IA «de uso general»?
- 02Lo que deben los proveedores de modelos
- 03Lo que la Oficina de IA puede hacer desde el 2 de agosto de 2026
- 04El calendario, de 2025 a 2027
- 05El código de buenas prácticas: ¿quién lo ha firmado?
- 06Lo que una empresa puede pedir a su proveedor de IA
- 07Preguntas frecuentes
El 2 de agosto de 2026, un año después de la entrada en aplicación de las normas sobre los modelos de IA de uso general, la Comisión Europea recibió el derecho de hacerlas cumplir. Su Oficina de IA (la «AI Office») puede ahora pedir documentos a los proveedores de estos modelos, evaluarlos, exigir correcciones y, como último recurso, imponer una multa. Este poder se ejerce a escala europea, sin esperar a las autoridades nacionales.
Este artículo de nuestra sección IA empresarial hace balance de estos poderes a partir del texto consolidado del reglamento. No es asesoramiento jurídico: para un proyecto concreto, su delegado de protección de datos o un abogado tiene la última palabra. Las obligaciones de una empresa que utiliza IA están en nuestra guía del AI Act y del RGPD para pymes, y el enfoque general en nuestra guía para integrar la IA en la empresa.
En resumen
- Los proveedores de modelos de uso general tienen obligaciones desde el 2 de agosto de 2025; la Comisión puede sancionarlos desde el 2 de agosto de 2026.
- La multa puede alcanzar 15 millones de euros o el 3 % del volumen de negocios mundial, aplicándose el importe más alto.
- Los modelos comercializados antes del 2 de agosto de 2025 tienen hasta el 2 de agosto de 2027 para adaptarse.
- Una empresa que utiliza un modelo mediante una API no se convierte en su proveedor; en cambio, puede exigir la documentación que el proveedor le debe.
¿Qué es un modelo de IA «de uso general»?
El reglamento habla de «modelo de IA de uso general»: un modelo capaz de realizar una amplia gama de tareas, que otros integran en sus propias herramientas. Los grandes modelos de lenguaje que hay detrás de los asistentes conversacionales son el ejemplo típico. Según las directrices publicadas por la Comisión el 18 de julio de 2025, un modelo entrenado con más de 10²³ operaciones de cálculo y capaz de generar texto, sonido, imágenes o vídeos se considera, a título indicativo, de uso general. Esta cifra, como el umbral de 10²⁵ citado más abajo, la tomamos de fuentes secundarias, el análisis del bufete WilmerHale y una nota de la Cloud Security Alliance, que resumen el texto: el umbral de 10²⁵ figura en el artículo 51 del AI Act, el de 10²³ en las directrices de la Comisión, y es ahí donde hay que comprobarlos antes de calificar un modelo.
El proveedor es quien desarrolla el modelo y lo comercializa. Una empresa que lo llama mediante una API para crear un asistente no se convierte en proveedor. Solo lo hace si lo modifica de forma importante: el criterio indicativo de la Comisión es un cálculo de modificación superior a un tercio del del entrenamiento original, según el análisis del bufete WilmerHale.
Lo que deben los proveedores de modelos
El artículo 53 impone cuatro obligaciones a todo proveedor de modelo de uso general:
- Una documentación técnica del modelo, de su entrenamiento y de sus evaluaciones, que debe facilitarse a la Oficina de IA cuando la solicite.
- Una documentación para los integradores, que les permita comprender las capacidades y los límites del modelo y cumplir sus propias obligaciones.
- Una política de respeto de los derechos de autor, que identifique y respete las reservas expresadas por los titulares de derechos.
- Un resumen público de los contenidos de entrenamiento, según una plantilla facilitada por la Oficina de IA.
Los modelos publicados con licencia libre, pesos incluidos, están exentos de las dos primeras. Los modelos «con riesgo sistémico», que se presumen como tales por encima de 10²⁵ operaciones de cálculo de entrenamiento según la nota de la Cloud Security Alliance del 29 de agosto de 2026, deben además, según el artículo 55, evaluar el modelo mediante pruebas adversarias, mitigar sus riesgos, notificar los incidentes graves y proteger su ciberseguridad.
Lo que la Oficina de IA puede hacer desde el 2 de agosto de 2026
Las obligaciones rigen desde el 2 de agosto de 2025, pero el artículo 113 había aplazado un año el artículo 101, el de las multas. El reglamento organiza una escalada progresiva, en la que cada etapa puede ir precedida de un diálogo con el proveedor:
Los poderes de la Oficina de IA, del diálogo a la multa
- El diálogo
La Oficina de IA puede primero intercambiar con el proveedor de forma estructurada.
- Los documentos
La Comisión puede exigir la documentación técnica y cualquier información útil (artículo 91).
- La evaluación
Puede evaluar el modelo ella misma, con acceso por API o al código fuente (artículo 92).
- Las medidas
Puede exigir una puesta en conformidad, una mitigación de los riesgos o incluso una retirada del mercado (artículo 93).
- La multa
Hasta 15 M€ o el 3 % del volumen de negocios mundial (artículo 101).
La multa del artículo 101 se dirige a un incumplimiento cometido de forma deliberada o por negligencia: una obligación no respetada, una información denegada, inexacta o engañosa, una medida ignorada, un acceso al modelo denegado. Desde la revisión de julio de 2026, la Oficina de IA supervisa también los sistemas de IA creados por un proveedor sobre su propio modelo de uso general, con los poderes de una autoridad de vigilancia del mercado (artículo 75a). Que sepamos, a 20 de octubre de 2026 no se ha hecho pública ninguna multa: no hemos encontrado ninguna decisión de sanción anunciada por la Comisión en esa fecha, lo que no prueba que no haya ningún procedimiento en curso.
El calendario, de 2025 a 2027
- 10 de julio de 2025
La Comisión publica el código de buenas prácticas de los modelos de uso general.
- 2 de agosto de 2025
Se aplican las obligaciones de los proveedores de modelos de uso general.
- 2 de agosto de 2026
La Comisión puede sancionar; se aplican la mayoría de las demás normas del AI Act.
- 2 de agosto de 2027
Fecha límite para los modelos comercializados antes del 2 de agosto de 2025.
La última fecha procede del artículo 111. Los demás plazos del AI Act, hasta 2028, están en nuestro calendario de la regulación de la IA.
El código de buenas prácticas: ¿quién lo ha firmado?
El código de buenas prácticas de los modelos de uso general, publicado el 10 de julio de 2025, consta de tres capítulos: transparencia, derechos de autor, y protección y seguridad. El último solo concierne a los modelos con riesgo sistémico. Firmarlo permite demostrar la conformidad; un proveedor que no lo firma debe probar que dispone de «otros medios adecuados», según el artículo 53.
La lista de firmantes es pública en la página de la Comisión, actualizada el 7 de octubre de 2026. Figuran en ella, entre otros, Aleph Alpha, Amazon, Anthropic, Cohere, Google, IBM, Microsoft, Mistral AI y OpenAI; xAI solo ha firmado el capítulo de protección y seguridad. La firma es un indicio de método, no una clasificación de los modelos entre sí.
Lo que una empresa puede pedir a su proveedor de IA
Es el beneficio concreto de estas normas para un equipo de 20 a 500 personas: la documentación que el proveedor debe a los integradores se convierte en un derecho, no en un favor. Antes de elegir un modelo, o en la próxima revisión del contrato, bastan cuatro preguntas:
- ¿Dónde está la documentación destinada a los integradores (capacidades, límites, usos desaconsejados)?
- ¿Dónde se publica el resumen de los datos de entrenamiento del modelo que utiliza?
- ¿Ha firmado el proveedor el código de buenas prácticas, y qué capítulos?
- ¿Salió el modelo antes del 2 de agosto de 2025? Si es así, ¿cuál es su plan de puesta en conformidad de aquí al 2 de agosto de 2027?
Las respuestas no dicen qué modelo es el mejor para su tarea: solo lo dice una prueba con sus propios ejemplos, como explica nuestro método para evaluar un modelo antes de la producción. El historial de lanzamientos de cada editor está en nuestra comparativa de modelos de IA, y la elección entre API, nube privada y servidor local en los cuatro niveles de la IA privada.
Sobre el terreno
No depender de ningún proveedor sigue siendo el mejor seguro, tanto regulatorio como económico. En el pipeline de traducción que operamos para Palmora Property, un portal inmobiliario en seis idiomas, el cambio de proveedor dividió el coste por 60 (medición interna, en nuestra propia cadena de traducción para este cliente, realizada en agosto de 2026; otro volumen u otra pareja de modelos daría otra proporción): es posible porque el modelo nunca está escrito en el código, sino que se elige en una tabla de enrutamiento que revisamos. El mismo mecanismo permitiría sustituir un modelo cuyo proveedor fuera sancionado o retirado del mercado.
En el plano nacional, Francia aún no ha designado sus propias autoridades de control: en qué punto está la ley y quién controlaría qué se explica en quién controla el AI Act en Francia.
Fecha clave: el 2 de agosto de 2027, fin del plazo para los modelos lanzados antes del 2 de agosto de 2025. Para poner orden en sus suscripciones y usos de IA, y saber en cuáles conviene cambiar de proveedor, consulte nuestra oferta IA a su justo coste.
Preguntas frecuentes
¿Desde cuándo puede Europa sancionar a OpenAI, Google o Mistral en virtud del AI Act?
Desde el 2 de agosto de 2026. Las obligaciones de los proveedores de modelos de uso general se aplican desde el 2 de agosto de 2025, pero el artículo 101, que permite a la Comisión imponer multas, solo es aplicable desde el 2 de agosto de 2026. Los modelos comercializados antes del 2 de agosto de 2025 tienen hasta el 2 de agosto de 2027.
¿Cuál es el importe máximo de la multa para un proveedor de modelo de IA?
Hasta el 3 % del volumen de negocios mundial anual del ejercicio anterior o 15 millones de euros, aplicándose el importe más alto. La multa sanciona un incumplimiento deliberado o por negligencia, incluida la negativa a facilitar la información o el acceso al modelo solicitados por la Comisión.
¿Se convierte mi empresa en proveedor de modelo si utiliza una API de IA?
No. Una empresa que utiliza un modelo mediante una API, incluso para crear su propio asistente, no se convierte en su proveedor. Puede llegar a serlo si modifica el modelo de forma importante: el criterio indicativo de la Comisión es un cálculo de modificación superior a un tercio del del entrenamiento original.
¿Qué se puede exigir a un proveedor de modelo de IA?
La documentación destinada a los integradores, que describe las capacidades y los límites del modelo, y el resumen público de sus datos de entrenamiento. También puede preguntar si ha firmado el código de buenas prácticas y, para un modelo lanzado antes de agosto de 2025, cuál es su plan de conformidad de aquí a agosto de 2027.
Fuentes
- Las directrices publicadas por la Comisión el 18 de julio de 2025 (nueva pestaña)digital-strategy.ec.europa.eu
- Artículo 51 del AI Act (nueva pestaña)ai-act-service-desk.ec.europa.eu
- El análisis del bufete WilmerHale (nueva pestaña)wilmerhale.com
- Artículo 53 (nueva pestaña)ai-act-service-desk.ec.europa.eu
- La nota de la Cloud Security Alliance del 29 de agosto de 2026 (nueva pestaña)labs.cloudsecurityalliance.org
- Artículo 55 (nueva pestaña)ai-act-service-desk.ec.europa.eu
- Artículo 113 (nueva pestaña)ai-act-service-desk.ec.europa.eu
- Artículo 101 (nueva pestaña)ai-act-service-desk.ec.europa.eu
- Artículo 75a (nueva pestaña)ai-act-service-desk.ec.europa.eu
- Artículo 111 (nueva pestaña)ai-act-service-desk.ec.europa.eu
- Código de buenas prácticas de los modelos de uso general (nueva pestaña)digital-strategy.ec.europa.eu
Las directrices publicadas por la Comisión el 18 de julio de 2025
Leer en digital-strategy.ec.europa.eu(nueva pestaña)La nota de la Cloud Security Alliance del 29 de agosto de 2026
Leer en labs.cloudsecurityalliance.org(nueva pestaña)Código de buenas prácticas de los modelos de uso general
Leer en digital-strategy.ec.europa.eu(nueva pestaña)Jim · fundador de Brain Plus AI
Más artículos sobre ia empresarial
Guía práctica11 min
AI Act y RGPD: lo que debe hacer una pyme que usa IA
Una pyme que usa ChatGPT o un CRM con IA ya tiene obligaciones. Esta guía hace balance en octubre de 2026: su papel según el AI Act, el calendario revisado en julio de 2026, lo que exige el RGPD y los pasos para ponerse en regla.
Entender11 min
Calendario del AI Act y del ámbito digital: plazos de 2026 a 2028
AI Act, Data Act, Cyber Resilience Act, NIS2, facturación electrónica y primeras leyes estadounidenses: todas las fechas que cuentan para una empresa, del otoño de 2026 a agosto de 2028, en una sola página actualizada. Para cada plazo, a quién afecta y qué hay que preparar.
Tomar perspectiva4 min
¿Sustituirá la IA al desarrollador? Lo verdadero y lo falso
Un debate se repite sin fin: la IA genera el código, pero solo un humano decide si debe existir. Enfrente, se responde que ya nadie lee el ensamblador. Ambos bandos aciertan en un punto y fallan en el mismo. Nuestro análisis y nuestra posición.