Quien haya desarrollado un programa de IA en los últimos dos años apuntaba a una sola fecha: el 2 de agosto de 2026, cuando debía aplicarse la mayor parte del Reglamento de IA de la UE (EU AI Act), incluidas las estrictas normas para los sistemas de alto riesgo. Ese plan ya no se sostiene. El 27 de julio de 2026 entró en vigor el AI Omnibus, el paquete con el que el legislador europeo simplifica el reglamento y escalona su introducción.
Qué se trasladó realmente
El cambio principal afecta a los sistemas de alto riesgo. La IA de alto riesgo autónoma — las categorías del Anexo III, que incluyen la contratación y selección de personal, la evaluación de empleados, la solvencia crediticia y el acceso a servicios esenciales — queda ahora sujeta a normas que se aplican a partir del 2 de diciembre de 2027. La IA de alto riesgo integrada en productos regulados, como los dispositivos médicos y la maquinaria, se aplica el 2 de agosto de 2028. Además, se ha eliminado la obligación de registrar los sistemas de IA exentos en la base de datos central de la UE, y se ha suprimido el plan armonizado obligatorio de seguimiento posterior a la comercialización.
El cambio en materia de alfabetización en IA es notable. Desde febrero de 2025 esto contaba como una obligación estricta para las organizaciones: asegurarse de que el personal que trabaja con IA sea suficientemente competente. Ese requisito se ha sustituido ahora por un fomento no vinculante, en el que la Comisión y los Estados miembros asumen un papel más activo en su promoción. Espere meses de confusión — muchas guías siguen indicando la alfabetización en IA como obligatoria.
Qué sí comienza el 2 de agosto de 2026
Las obligaciones de transparencia del artículo 50 se mantienen y se aplican a partir de la próxima semana. En la práctica: las personas deben saber que están interactuando con un sistema de IA y no con un colega. Quien utilice reconocimiento de emociones o categorización biométrica debe informar a las personas afectadas. El contenido de imagen, audio y video generado o manipulado artificialmente que se asemeja a la realidad — los deepfakes — debe etiquetarse de forma clara y distinguible como tal. Un breve período de transición hasta el 2 de diciembre de 2026 se aplica al marcado legible por máquina del contenido sintético.
Esto afecta a más organizaciones de lo que parece. Un chatbot en su portal de clientes, una voz de IA en su telefonía, imágenes generadas en su marketing: nada de esto es exótico, y el deber de informar recae en quien despliega el sistema.
Normalmente usted es un responsable del despliegue, no un proveedor
La mayoría de las organizaciones no construyen IA — la compran, a menudo sin darse cuenta, como una funcionalidad dentro de software que ya tenían. En la terminología del reglamento, eso lo convierte a usted en un responsable del despliegue (deployer), no en un proveedor. Esa distinción determina qué obligaciones le corresponden, y es precisamente la distinción que falta en la mayoría de los documentos de política de IA.
Las obligaciones esenciales del responsable del despliegue: usar el sistema conforme a las instrucciones de uso del proveedor; asignar la supervisión humana a personas con la competencia, la formación y la autoridad necesarias; garantizar que los datos de entrada sean pertinentes y suficientemente representativos cuando usted controle esos datos; supervisar el funcionamiento, informar al proveedor y a la autoridad de vigilancia del mercado cuando se detecte un riesgo y suspender el uso cuando sea necesario. Los registros generados automáticamente deben conservarse durante al menos seis meses, se debe informar a los representantes de los trabajadores y al personal afectado antes del despliegue en el lugar de trabajo, y usted utiliza la información del proveedor para cumplir su obligación de evaluación de impacto relativa a la protección de datos conforme al RGPD.
Esa conservación de registros durante seis meses es el punto más subestimado en la práctica. Es la evidencia que solicita un supervisor, y usted solo puede entregarla si su contrato obliga al proveedor a poner esos registros a disposición.
Las sanciones dependen de la infracción
Las prácticas de IA prohibidas conllevan el régimen más severo: hasta 35 millones de euros o el 7% del volumen de negocios anual total a nivel mundial, la cifra que sea mayor. Infringir la mayoría de las demás obligaciones — incluidos los deberes del responsable del despliegue y las obligaciones de transparencia que comienzan la próxima semana — conlleva hasta 15 millones de euros o el 3%. Facilitar información incorrecta o engañosa a una autoridad cuesta hasta 7.5 millones de euros o el 1%. Para las pymes y las empresas emergentes se aplica el menor de los dos: el importe o el porcentaje.
Supervisión en los Países Bajos
Los Países Bajos están trabajando en su ley de aplicación del AI Act. El gabinete dio un paso en abril de 2026 y la consulta pública se prolongó hasta el 1 de junio de 2026. Según el esquema previsto, la autoridad neerlandesa de protección de datos obtiene una división dedicada a la IA y la Agencia de Radiocomunicaciones asume un papel de coordinación, junto con los supervisores sectoriales existentes. Espere más novedades al respecto.
Qué significa esto para su planificación
Resulta tentador archivar el expediente de IA durante un año. Es imprudente por tres razones. Los deberes de transparencia comienzan la próxima semana. El trabajo que debe realizar antes de diciembre de 2027 — saber qué IA utiliza, de quién, para qué y con qué datos — es el mismo trabajo que ya necesita para el riesgo de proveedores, y lleva meses. Y sus propios clientes y reguladores lo preguntarán al margen del calendario europeo.
El orden práctico no cambia: descubra qué está en funcionamiento, clasifique cada sistema, deje registrado en los contratos lo que necesita en materia de documentación y registros, y solo entonces redacte la política. Invierta ese orden y estará redactando políticas sobre sistemas que no conoce. Así es como lo planteamos nosotros también: nuestra metodología de gobernanza de IA empieza por el inventario, no por el documento.
Nota: el texto consolidado del reglamento modificado aún no estaba disponible en el momento de la publicación, por lo que citamos los anuncios de la Comisión y del Consejo. Haga que su asesor jurídico evalúe su situación específica.