AI Act: qué cambia el 2 de agosto de 2026 para los modelos GPAI

El 2 de agosto de 2026 no nace un paquete nuevo de obligaciones para los proveedores de modelos de IA de propósito general, o GPAI. Esas obligaciones empezaron a aplicarse el 2 de agosto de 2025. El cambio concreto es de ejecución: termina la excepción temporal del artículo 101 y la Comisión puede exigir el cumplimiento con las multas previstas para los proveedores de GPAI.

La distinción evita dos errores opuestos. Una empresa no puede posponer hasta 2026 deberes que ya afectan a un modelo nuevo; tampoco debe leer la fecha como si cualquier usuario de una API fuese a recibir automáticamente una multa. El calendario depende de qué entidad es proveedor, cuándo se puso el modelo en el mercado y si presenta riesgo sistémico.

La capacidad transferible consiste en resolver cuatro preguntas en orden: ¿hablamos de un modelo o de un sistema que lo integra?, ¿quién lo pone en el mercado de la Unión?, ¿ocurrió antes o después del 2 de agosto de 2025?, ¿es un GPAI ordinario o uno con riesgo sistémico? Solo después tiene sentido asociar obligación, plazo y evidencia.

Tres fechas que no significan lo mismo

El artículo 113 del Reglamento (UE) 2024/1689 establece el 2 de agosto de 2026 como fecha general de aplicación. Pero adelantó el capítulo V, dedicado a modelos GPAI, al 2 de agosto de 2025 y dejó fuera de ese adelanto el artículo 101. Por eso los deberes materiales llevan un año vigentes cuando comienza la fase sancionadora específica.

Desde el 2 de agosto de 2025, un proveedor que pone un nuevo GPAI en el mercado de la UE debe cumplir las obligaciones que le correspondan y, si el modelo presenta riesgo sistémico, notificarlo sin demora. Desde el 2 de agosto de 2026 entran en aplicación los poderes de ejecución de la Comisión, incluidas multas. La página oficial de las directrices GPAI presenta precisamente ese calendario.

Existe una transición distinta para modelos anteriores. El artículo 111 concede a los proveedores de GPAI puestos en el mercado antes del 2 de agosto de 2025 hasta el 2 de agosto de 2027 para adoptar las medidas necesarias. El plazo sigue al modelo ya comercializado; no exime de forma general a una empresa que lance otro modelo después del corte.

El máximo de una multa no es una tarifa automática

El artículo 101 permite a la Comisión imponer a un proveedor una multa de hasta 15 millones de euros o el 3% del volumen de negocio mundial anual total del ejercicio anterior, la cantidad que resulte mayor. Es un techo legal. No significa que toda infracción reciba el máximo ni que la cifra se active solo porque llegue la fecha.

Entre las conductas contempladas están infringir disposiciones relevantes del Reglamento, no atender solicitudes de documentos o información, suministrar información incorrecta, incompleta o engañosa, incumplir medidas requeridas y no facilitar acceso al modelo cuando la Comisión realiza una evaluación. La decisión exige un procedimiento y debe valorar la naturaleza, gravedad y duración de la infracción, entre otros elementos previstos por el propio artículo.

El Código de Buenas Prácticas no define multas ni responsabilidad. La explicación oficial sobre modelos GPAI separa ese instrumento voluntario de las cuestiones de alcance, clasificación y ejecución. Firmar puede ofrecer una vía para demostrar cumplimiento; no concede inmunidad. No firmar tampoco demuestra por sí solo una infracción, pero obliga a sostener medios alternativos adecuados.

Qué debe poder demostrar un proveedor de GPAI

El artículo 53 establece cuatro núcleos. Primero, documentación técnica actualizada sobre el modelo, incluidos desarrollo, entrenamiento, pruebas y evaluación, disponible para el AI Office y autoridades competentes cuando proceda. Segundo, información para proveedores posteriores que integran el modelo, suficiente para comprender capacidades y limitaciones y cumplir sus obligaciones.

Tercero, una política que permita cumplir el derecho de autor y derechos afines de la Unión, incluida la identificación y el respeto de reservas de derechos expresadas conforme a la normativa. Cuarto, un resumen público suficientemente detallado del contenido utilizado para entrenar el modelo, siguiendo la plantilla del AI Office. La obligación de informar convive con protecciones de propiedad intelectual, información empresarial confidencial y secretos comerciales; no equivale a publicar cada detalle del modelo.

Un proveedor establecido fuera de la Unión también puede quedar alcanzado si pone el modelo en el mercado europeo. El artículo 54 exige, con las excepciones previstas, nombrar por escrito un representante autorizado en la Unión antes de la comercialización. Ubicar servidores fuera de Europa no resuelve por sí solo la pregunta de alcance territorial.

Código abierto: una exención parcial, no un borrado

El artículo 53 contempla una exención para determinados modelos publicados bajo licencia libre y de código abierto cuando pesos, arquitectura y datos sobre uso son públicos. La exención afecta a partes de la documentación técnica y la información para integradores. No elimina la política de copyright ni el resumen público del entrenamiento, y no se aplica a GPAI con riesgo sistémico.

“Abierto” requiere comprobar condiciones, no solo una etiqueta comercial. Una licencia que permite descargar pesos puede imponer límites incompatibles con la definición legal o dejar sin publicar elementos exigidos. La evaluación debe mapear licencia, parámetros disponibles, arquitectura, información de uso y clasificación de riesgo.

Las directrices de la Comisión explican cómo interpreta estos conceptos, pero declaran que no son jurídicamente vinculantes. Sirven para anticipar el criterio de ejecución; el texto del Reglamento conserva la jerarquía normativa.

Cuándo aparecen obligaciones reforzadas

Un GPAI con riesgo sistémico añade el artículo 55. Su proveedor debe evaluar el modelo mediante protocolos adecuados y pruebas adversariales documentadas, analizar y mitigar riesgos sistémicos a escala de la Unión, registrar y comunicar incidentes graves y medidas correctoras, y mantener ciberseguridad suficiente para el modelo y su infraestructura.

El artículo 51 presume capacidades de alto impacto cuando el cómputo acumulado de entrenamiento supera 1025 operaciones de punto flotante. La Comisión puede modificar ese umbral mediante actos delegados y también designar un modelo por sus capacidades o impacto según los criterios legales. El número es una presunción regulatoria, no una frontera científica entre modelos seguros y peligrosos.

Cuando un proveedor sabe que su modelo alcanzará la condición basada en cómputo, el artículo 52 exige notificar a la Comisión sin demora y, como máximo, dos semanas después. Puede presentar argumentos para sostener que, pese al umbral, el modelo no presenta riesgo sistémico; corresponde a la Comisión decidir. La obligación no se reduce a calcular FLOPs y marcar una casilla.

Proveedor, integrador y modificador

Una empresa que usa una API dentro de su servicio suele ser proveedora del sistema posterior, no del modelo GPAI ajeno. Debe pedir la información necesaria al proveedor del modelo y cumplir las reglas aplicables a su propio sistema y uso. La responsabilidad no desaparece; cambia de capa.

La situación puede cambiar si la empresa modifica o ajusta un modelo y lo pone en el mercado bajo su nombre. Las preguntas y respuestas del AI Office explican que no toda modificación crea un nuevo proveedor y ofrecen como criterio indicativo la cantidad de cómputo empleada respecto del modelo original. Es una interpretación para analizar el caso, no una licencia universal para quedar fuera.

También hay que separar modelo y sistema. Las obligaciones del capítulo V siguen al GPAI con independencia de su uso final; las reglas para sistemas de IA dependen además del contexto de aplicación. Un modelo puede alimentar desde un editor de texto hasta un sistema de alto riesgo. Que el proveedor del modelo entregue documentación permite que el integrador realice su propia evaluación, pero no la sustituye.

Una comprobación útil antes del 2 de agosto

El inventario mínimo une nombre y versión del modelo, entidad que lo pone en el mercado, fecha de primera comercialización en la Unión, tipo de licencia, documentación disponible y posible riesgo sistémico. Para cada obligación debe existir un responsable, una versión del documento, una fecha de actualización y una vía de entrega al AI Office o a integradores.

Después se comprueba la evidencia: documentación técnica; ficha de capacidades y límites; política de copyright; resumen de entrenamiento; representante autorizado cuando proceda; y, para riesgo sistémico, notificación, evaluaciones, mitigaciones, incidentes y ciberseguridad. La página oficial del Código GPAI reúne sus tres capítulos como una ruta voluntaria para parte de ese trabajo.

La fecha de 2026 no convierte el cumplimiento en una tarea de último día. Convierte la ausencia de evidencia en un riesgo ejecutable por la Comisión. El método duradero es asociar cada modelo, versión y fecha con una obligación concreta y un documento comprobable. Para una decisión jurídica particular hace falta revisar el texto vigente y el caso con asesoramiento competente; una lista general no sustituye ese análisis.