Nuevas prohibiciones del AI Act desde el 2 de diciembre de 2026: qué cambia para tu empresa

El Ómnibus Digital sobre IA, el Reglamento (UE) 2026/1744, añade dos usos a la lista de prácticas prohibidas del artículo 5 del AI Act. Se aplican desde el 2 de diciembre de 2026.

Imágenes íntimas falsas sin consentimiento. Queda prohibido comercializar o usar un sistema de IA que genere o manipule imágenes, vídeos o audios realistas de las partes íntimas de una persona identificable, o de esa persona en actividades sexualmente explícitas, sin su consentimiento libre, informado, inequívoco y explícito. Son las aplicaciones que «desnudan» fotos y los deepfakes sexuales.

Material de abuso sexual infantil. Queda prohibido comercializar o usar un sistema de IA que genere o manipule este tipo de material, tal como lo define la Directiva europea de 2011 contra el abuso sexual de menores.

Un matiz útil: editar una imagen sin aumentar la exposición de ninguna parte íntima, por ejemplo para vestir o tapar a alguien, no cuenta como manipulación a efectos de esta prohibición.

No es un problema teórico. En septiembre de 2023, en Almendralejo (Badajoz), la policía llegó a investigar al menos 22 denuncias por imágenes de niñas desnudadas con un programa de IA que circulaban por WhatsApp y Telegram. La prohibición la propuso España y la Unión Europea la acordó en mayo de 2026.

Sí, aunque de forma distinta según el papel que tenga.

Si desarrollas o vendes una herramienta de IA. La prohibición se aplica cuando el sistema no tiene medidas técnicas razonables para impedir de forma fiable que se genere este contenido, contando con que alguien intente usarlo mal. Un generador de imágenes de uso general con buenos filtros no está prohibido por existir.

Si usas IA en tu trabajo. El reglamento te llama «responsable del despliegue». Para ti, la prohibición se aplica cuando alguien usa una herramienta con el fin de generar ese material. No te hace responsable que una herramienta pueda usarse mal; te hace responsable usarla para eso.

Dicho así parece lejano. Los casos que pueden aparecer en una empresa son bastante más cotidianos:

• Alguien de marketing prueba una aplicación de retoque «para ver qué tal» con la foto de una compañera.

• Circula una broma por el grupo de la oficina con una foto manipulada de un compañero, justo en la época de las cenas de Navidad.

• Una persona instala una aplicación gratuita en el móvil de empresa sin que nadie sepa qué hace por dentro.

En ninguno de los tres casos lo ha decidido la empresa. Según cómo y con qué medios ocurra, la responsabilidad será de la persona o de la organización. El daño a quien aparece en la imagen, y a la confianza dentro del equipo, es el mismo. Por eso la política de uso y la formación importan tanto como la herramienta.

El 2 de diciembre termina además un periodo de gracia. Desde el 2 de agosto de 2026, el artículo 50 del AI Act obliga a quien fabrica IA generativa a marcar lo que produce, sea imagen, audio, vídeo o texto, para que una máquina pueda detectar que es artificial. Los proveedores que ya tenían sus sistemas en el mercado antes de esa fecha tienen hasta el 2 de diciembre para cumplirlo.

Para tu empresa significa dos cosas:

• El contenido que generen tus herramientas llevará cada vez más esas marcas. No intentes quitarlas.

• Si publicas un deepfake, es decir, una imagen, un audio o un vídeo que parece real y no lo es, tienes que avisar de que está hecho o manipulado con IA. Esta obligación es tuya, no del proveedor, y ya está en vigor desde agosto. Las obras creativas, satíricas o de ficción tienen un régimen más flexible.

Las dos nuevas se suman a las que el artículo 5 prohíbe desde el 2 de febrero de 2025. Dicho en sencillo, no se puede usar IA para:

1. Manipular a las personas con técnicas subliminales o engañosas que les causen un perjuicio importante.

2. Aprovecharse de la vulnerabilidad de alguien por su edad, una discapacidad o su situación social o económica.

3. Puntuar a las personas por su comportamiento social y tratarlas peor por ello.

4. Predecir si alguien cometerá un delito solo a partir de su perfil o de su personalidad.

5. Crear bases de datos de reconocimiento facial recopilando fotos de internet o de cámaras de forma indiscriminada.

6. Deducir las emociones de las personas en el trabajo o en centros educativos, salvo por motivos médicos o de seguridad.

7. Clasificar a las personas por sus datos biométricos para deducir su origen, sus opiniones políticas, su religión o su orientación sexual, entre otros.

8. Identificar a personas a distancia y en tiempo real en espacios públicos con fines policiales, salvo excepciones muy tasadas.

De la lista, la que más puede tocar a una empresa normal es la sexta. Hay herramientas que analizan el tono de voz o la expresión de la plantilla en llamadas o reuniones. Si tu empresa usa alguna, conviene revisarla con calma.

Para las prácticas prohibidas, el AI Act fija multas de hasta 35 millones de euros o el 7 % de la facturación anual mundial, la cifra que sea mayor. En las pymes se aplica la menor de las dos.

Eso sí, las multas no las pone Bruselas a las empresas. Cada país tiene que aprobar su propio régimen sancionador. En España, el proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, que debía hacerlo y designar a la AESIA como autoridad de vigilancia, decayó en octubre de 2026 con la disolución de las Cortes. Tendrá que volver a tramitarse en la nueva legislatura, después de las elecciones del 29 de noviembre.

¿Quiere decir eso que no pasa nada? No. El reglamento se aplica directamente en toda la Unión Europea, y estas conductas ya pueden tener consecuencias por otras vías:

• **Protección de datos.** La imagen de una persona es un dato personal, y la AEPD puede sancionar su uso sin base legal.

• Derecho al honor y a la propia imagen, por la vía civil.

• Ámbito laboral, si ocurre dentro de la empresa o entre compañeros.

• Código Penal, en el caso del material de abuso sexual infantil.

Y cuando llegue la ley española, mejor que te encuentre con los deberes hechos.

No hace falta un proyecto enorme. Bastan cinco pasos:

1. Haz inventario de las herramientas que crean o editan imagen, vídeo o audio. Incluye las gratuitas y las del móvil. Pregunta equipo por equipo: marketing, comunicación, recursos humanos, comercial. Es fácil que aparezca alguna que nadie tenía apuntada.

2. Revisa las condiciones de tus proveedores. Busca qué filtros tienen contra este tipo de contenido y si marcan lo que generan.

3. Añade una regla explícita a tu política de uso de IA. Basta una frase: «Está prohibido usar cualquier herramienta de IA para crear o modificar imágenes, vídeos o audios de personas reales sin su consentimiento expreso». Si todavía no tienes una política, es buen momento para empezarla.

4. Explícaselo a tu equipo. No hace falta un curso de tres horas. Hace falta que todo el mundo sepa qué no se hace y por qué. Además, cuenta como medida de alfabetización en IA, que el artículo 4 pide desde 2025.

5. Decide quién recibe el aviso si pasa algo. Una persona de referencia y un canal, aunque sea un correo, para que nadie tenga que improvisar el día que ocurra.

Esta norma pone por escrito algo que debería ser de sentido común: nadie tiene derecho a usar la cara o el cuerpo de otra persona sin su permiso, tampoco con una máquina de por medio. Para muchas víctimas llega tarde. Pero llega.

En Ethirio creemos que la IA tiene que ayudar a las personas a trabajar mejor, no ponerlas en riesgo. Por eso empezamos siempre por lo mismo: saber qué se está usando, quién lo usa y con qué información.

Si quieres saber qué herramientas de IA hay hoy en tu organización y qué obligaciones del AI Act te aplican ya, empezamos con un primer diagnóstico gratuito. Y si lo que necesitas es que todo tu equipo sepa usar la IA con criterio, Ethirio Alfabetización lo cubre en dos horas, con certificado de finalización.

¿Desde cuándo está prohibido usar IA para crear desnudos falsos? Desde el 2 de diciembre de 2026. Lo establece el Reglamento (UE) 2026/1744, que modifica el artículo 5 del AI Act y añade también la prohibición de generar material de abuso sexual infantil.

¿Puedo seguir usando generadores de imágenes con IA en mi empresa? Sí. La prohibición no afecta a las herramientas de uso general que tienen medidas razonables para impedir este contenido. Afecta a los sistemas que no las tienen y a quien use cualquier herramienta con el fin de crear ese material.

¿Quién pone las multas en España? Cada país fija su régimen sancionador. En España, la ley que debía hacerlo decayó en octubre de 2026 con la disolución de las Cortes y tendrá que tramitarse de nuevo. Mientras tanto, estas conductas pueden tener consecuencias por protección de datos, por la vía civil o, en el caso del material de abuso infantil, por la vía penal.

¿Qué tiene que hacer mi empresa antes del 2 de diciembre? Saber qué herramientas de imagen, vídeo o audio se usan, revisar las condiciones de los proveedores, añadir una regla explícita a la política de uso de IA, explicársela al equipo y decidir quién recibe los avisos si ocurre algo.

Esta guía es informativa y no constituye asesoramiento jurídico. Para tu caso concreto, consúltalo con tus asesores legales. Última revisión: octubre de 2026.