GPAI del AI Act: estado y plazos en 2026

Guía completa → Para el resumen completo de las obligaciones del EU AI Act para PyMEs (Art. 4, 5, 26, 27, 50, sanciones, calendario), consulta nuestra guía completa de obligaciones del AI Act para pymes.

¿Desde cuándo rigen las obligaciones GPAI del AI Act y hasta cuándo deben ponerse al día los modelos existentes? Las obligaciones para los modelos de IA de propósito general rigen desde el 2 de agosto de 2025, los modelos que ya estaban en el mercado antes de esa fecha deben cumplir hasta el 2 de agosto de 2027 según el artículo 111.3, y son exigibles con las competencias de la Comisión desde el 2 de agosto de 2026. Para una empresa que solo usa uno de estos modelos cuenta otra pregunta: qué deberes como desplegador le obligan ya hoy.

Stand: 2026-10-06

El Reglamento (UE) 2024/1689, el AI Act, está en vigor para los grandes modelos de lenguaje que cualquier PYME española usa a diario: ChatGPT, Claude, Gemini, Mistral Large. Si despliega alguno de ellos en su actividad profesional, ya no es un usuario pasivo. Es un "desplegador" (deployer) en términos del AI Act, y los desplegadores tienen obligaciones concretas.

El tejido PYME lo ha ignorado en gran medida durante mucho tiempo. En nuestro trabajo con clientes en España y el resto de la UE, menos del 15 por ciento había documentado formalmente sus obligaciones como desplegador. La mayoría apuesta a que la AEPD y las autoridades de vigilancia del mercado irán primero a por las grandes empresas. Es una apuesta arriesgada: el AI Act se engrana con el RGPD, y los topes sancionadores, hasta 35 millones de euros o el 7 por ciento del volumen anual global, llegan a las autoridades nacionales vía el artículo 99.

Qué exige el AI Act

Las obligaciones centrales para GPAI están en el artículo 53 del Reglamento. Los proveedores de modelos de IA de propósito general deben:

• Mantener documentación técnica actualizada del modelo (art. 53.1.a): datos de entrenamiento, métodos de evaluación, consumo energético.
• Poner información a disposición de los proveedores intermedios (art. 53.1.b) para que cumplan sus propias obligaciones.
• Implantar una política de cumplimiento del derecho de autor de la UE (art. 53.1.c), con respeto de las exclusiones TDM del art. 4.3 de la Directiva DSM.
• Publicar un resumen suficientemente detallado de los datos de entrenamiento (art. 53.1.d).

Para los modelos con "riesgo sistémico" (art. 55), los modelos frontera por encima de 10^25 FLOPs de cómputo de entrenamiento, se añaden red-teaming, reporte de incidentes y ciberseguridad. El Código de Buenas Prácticas del art. 56, cuya versión final publicó la Comisión el 10 de julio de 2025 en tres capítulos sobre transparencia, derecho de autor y seguridad, concreta estos deberes. Es voluntario, pero sirve como vía para demostrar conformidad.

Más pertinente para el día a día de una PYME es el artículo 50: quien publique contenido generado por IA (texto, imagen, audio) debe etiquetarlo como tal cuando se asemeje a personas, lugares o hechos reales (cláusula deepfake). Las salidas de texto sintético también deben marcarse de forma legible por máquina como generadas por IA. Esta obligación de transparencia rige desde el 2 de agosto de 2026.

Proveedor vs. desplegador

El AI Act distingue nítidamente entre dos papeles, y ese corte decide todo:

• Proveedor (art. 3.3) es quien desarrolla el sistema de IA o lo pone en el mercado bajo su propio nombre. En el caso de GPT-4 es OpenAI. En el de Llama 3.3 es Meta. Para la gran mayoría de las PYMES españolas, no es su empresa.
• Desplegador (art. 3.4) es quien utiliza un sistema de IA bajo su propia autoridad. Es el bufete de Barcelona que redacta correspondencia con Claude. Es el comercio electrónico de Valencia que genera descripciones de producto con GPT-4. Es usted.

Las obligaciones del desplegador son más ligeras que las del proveedor, pero son reales. Las obligaciones GPAI recaen sobre los proveedores de modelos (vigentes desde el 2 de agosto de 2025, con plazo hasta el 2 de agosto de 2027 para los modelos previos, exigibles desde el 2 de agosto de 2026). Para los desplegadores siguen siendo relevantes los arts. 4 y 50; los deberes de alto riesgo del art. 26 aplican desde el 2 de diciembre de 2027. Cuándo su propio papel pasa de desplegador a proveedor lo explicamos en responsable del despliegue o proveedor.

Las obligaciones del desplegador en detalle

Según nuestra interpretación del AI Act, cuatro deberes que toda PYME que use modelos de lenguaje debería revisar:

1. Transparencia hacia los usuarios (art. 50.1 y 50.4). Los clientes que hablan con su chatbot de IA deben saberlo. Los candidatos cuyas solicitudes son pre-filtradas por una herramienta de IA deben saberlo. Los textos generados por IA en su web necesitan aviso.

1. Alfabetización en IA (art. 4). Desde el 2 de febrero de 2025 el AI Act exige adoptar medidas para apoyar el desarrollo de la alfabetización en IA de las personas que trabajan con el sistema. Es el deber que más se pasa por alto y, a la vez, el más fácil de cumplir.

1. Evaluación de impacto relativa a la protección de datos (EIPD). En cuanto fluyen datos personales al modelo, nombres de empleados, fichas de clientes, datos de salud, el art. 35 RGPD exige una EIPD. No es estrictamente obligación del AI Act, pero la AEPD y las autoridades europeas leen ambos textos en conjunto. Cuándo pasa a ser obligatoria lo detallamos en evaluación de impacto para IA.

1. Registro (art. 26.6, para sistemas de alto riesgo desde diciembre de 2027). Los registros generados automáticamente deben conservarse al menos seis meses cuando el desplegador los controla. Con las API en la nube habitualmente no los controla: el proveedor conserva logs según su política, no la suya. Ese hueco es un problema de cumplimiento.

Por qué los LLMs locales son la respuesta de cumplimiento más sencilla

Aquí aparece la oportunidad estratégica. La sentencia Schrems II del TJUE (C-311/18) dejó claro que transferir datos personales a Estados Unidos sin garantías adicionales es incompatible con el RGPD. El Marco de Privacidad UE-EE. UU. de 2023 ha desactivado formalmente el problema, pero noyb y otras ONG ya han presentado impugnaciones. Construir hoy solo sobre modelos en la nube estadounidenses es una apuesta política sobre si ese marco sobrevive.

Añada encima el AI Act. Al usar un modelo en la nube hereda dependencias del proveedor upstream: su documentación técnica, su resumen de datos de entrenamiento, su reporte de incidentes. Debe referenciar esos documentos en sus propios registros como desplegador, y solo obtiene lo que el proveedor decide publicar.

Ejecutar un modelo local resuelve ambos problemas de una vez. Modelos abiertos como Llama, Qwen o Mistral funcionan, según mediciones de la comunidad, sobre una estación de trabajo bien dimensionada con velocidad suficiente para uso productivo. Los pesos están disponibles abiertamente, las model cards están documentadas y la inferencia ocurre en su sala de servidores en Madrid, Barcelona o Málaga. Sin cuestión Schrems II. Sin logs en un hyperscaler. Sin depender del próximo cambio de política de un proveedor externo.

El ahorro en deberes de desplegador es sustancial: la EIPD se vuelve más sencilla (sin transferencia a terceros países), los logs están en su hardware, las obligaciones de transparencia se cumplen de punta a punta. Traslada la carga de cumplimiento del ámbito jurídico al técnico, y ahí resulta más manejable.

Los detalles de implementación están en nuestra guía de soberanía del dato.

Qué hacer ahora

Una hoja de ruta mínima para una PYME española típica de 20 a 200 personas:

1. Inventario. Liste cada servicio de IA que se usa en su empresa. Incluya el shadow IT, su plantilla usa herramientas de IA en cuentas personales, y usted lo sabe. Clasifique cada uso por nivel de riesgo según el anexo III.

1. EIPD y registros de desplegador. Para cada uso con datos personales, una EIPD. Para cada despliegue, una ficha breve de desplegador: finalidad, flujos de datos, persona responsable, supervisión humana.

1. Transparencia y formación. Etiquetas en la web, en el chatbot, en los textos generados. Ficha informativa para empleados. Construya alfabetización en IA que pueda acreditar, porque el art. 4 la exige desde febrero de 2025. Nuestros programas de formación cubren ese bloque obligatorio.

1. Corte estratégico. Decida qué casos de uso mueve a casa. Un piloto con un modelo abierto sobre hardware dedicado, RAG conectado a su base de conocimiento, unas semanas de evaluación. La mayoría de despachos y asesorías con los que trabajamos atienden a unos 20 usuarios con una solución local compacta. Buena parte de la inversión encaja en las líneas del Kit Digital y del Kit Consulting.

Las obligaciones GPAI ya no son una amenaza lejana, sino derecho vigente, y su lado de desplegador cuenta cada día. Si no puede montar todo esto en paralelo a la operativa, para eso estamos. Empiece con un proyecto piloto, 14 días, tarifa cerrada, decisión go/no-go al final.