EU AI Act y RGPD en el hotel: qué se aplica de verdad desde agosto de 2026

Pocos temas generan hoy tanta media verdad en la hostelería como el EU AI Act. La buena noticia: para un hotel normal la situación es bastante más tranquila de lo que venden algunos consultores. La mala: ignorarlo del todo tampoco vale. Este es el estado de la cuestión — julio de 2026, después del acuerdo del Digital Omnibus.

Aviso: este artículo es una orientación práctica desde el punto de vista de un hotelero, no asesoramiento jurídico. Para las preguntas vinculantes hace falta un abogado en la mesa.

¿Qué se aplica y desde cuándo? El calendario en corto

• Desde febrero de 2025: prácticas de IA prohibidas (por ejemplo el social scoring) y obligación de formar a quien trabaja con IA (alfabetización en IA, art. 4).
• Desde el 2 de agosto de 2026: deberes generales de transparencia y registro. Quien pone delante del huésped un chatbot o un agente de voz tiene que dejarlo claro.
• Desde el 2 de diciembre de 2026: obligación de marcar los contenidos generados por IA (marca de agua o formato legible por máquinas).
• Aplazado al 2 de diciembre de 2027: las obligaciones duras para los sistemas de alto riesgo. La UE movió ese plazo con el acuerdo del Digital Omnibus de finales de junio de 2026.

¿La IA de mi hotel es «de alto riesgo»?

En la inmensa mayoría de los casos, no. Un chatbot para preguntas de huéspedes, una herramienta de relevo con IA, la traducción automática o un sistema que propone tarifas no son sistemas de alto riesgo según el AI Act. Para ellos valen deberes de transparencia y diligencia, no el programa de cumplimiento pesado.

La excepción importante es el área de personal: una IA que participa en decidir contrataciones, ascensos, despidos o evaluaciones de los empleados entra en alto riesgo. Quien use una herramienta de IA en selección o para evaluar a la plantilla debería tomárselo en serio — aunque las obligaciones duras no lleguen hasta finales de 2027.

¿Qué tengo que hacer en concreto como hotelero?

1. 1

   Haz el inventario de IA

   Una lista sencilla: qué herramientas con IA funcionan en la casa — chatbot, channel manager, herramienta de relevo, traducción. Sin inventario no se puede decir nada sobre cumplimiento.

2. 2

   Sé transparente con el huésped

   Donde un huésped hable con una IA (chatbot, agente de voz al teléfono), desde agosto de 2026 tiene que poder reconocerlo. Basta con un aviso honesto — esconderlo ya no es una opción.

3. 3

   Forma al equipo y déjalo por escrito

   El deber de alfabetización en IA ya está en vigor. Una instrucción corta y documentada sobre qué sabe hacer la herramienta y qué no cubre el día a día.

4. 4

   Repasa lo básico del RGPD

   El AI Act no sustituye al RGPD: van en paralelo. Para cada herramienta que trate datos de huéspedes o empleados hacen falta un contrato de encargado del tratamiento, mirar dónde están los servidores y una política de borrado.

5. 5

   Mira aparte la IA sobre personal

   Todo lo que evalúe a los empleados o decida sobre ellos: o lo aplazas, o lo montas bien. Hacerlo a medias es la peor opción.

¿En qué me fijo al elegir un proveedor de IA?

Tres preguntas separan a los proveedores serios de los arriesgados: ¿dónde están los datos (residencia en la UE)? ¿Hay contrato de encargado del tratamiento sin tener que negociarlo? ¿Y el sistema le dice al usuario que es una IA? Quien no conteste a esas tres en una frase no ha hecho los deberes.

avvicenda™ lo construimos así desde el primer día: todos los datos alojados en la UE, contrato de encargado del tratamiento para cada cliente, notas de voz borradas tras la transcripción. Para nosotros la regulación de la IA no es algo que se añade después, es parte del producto.

¿Tengo que registrar mi hotel en algún sitio?

Como simple usuario («responsable del despliegue») de herramientas de IA estándar, por lo general no: los deberes de registro apuntan sobre todo a los proveedores y a los sistemas de alto riesgo. En caso de duda, pregunta al proveedor qué papel tiene tu establecimiento.

¿De verdad se arriesgan los hoteles pequeños a multas?

Los marcos sancionadores son altos, pero la supervisión apunta a proveedores y a infracciones graves — no al hotel que señala honestamente su chatbot. Quien tenga hechas la transparencia, la formación y las bases del RGPD está en orden para el día a día.

¿Qué ha cambiado con el Digital Omnibus?

A finales de junio de 2026 la UE movió a diciembre de 2027 los plazos de alto riesgo y aprobó alivios para las empresas más pequeñas. Los deberes de transparencia desde agosto de 2026 quedan intactos — esos llegan según lo previsto.