ANÁLISIS JURÍDICO · REGLAMENTO (UE) 2024/1689 | El 2 de agosto de 2026 no es lo que su comité cree que es

Medio sector ha tachado esa fecha de su calendario tras el aplazamiento del Digital Omnibus. Es un error jurídico. Ni el Reglamento empieza ese día, ni lo que de verdad obliga se ha movido de sitio.

Por Guillermo Taboada Martínez  ·  Economista · Profesor en la Universidade da Coruña

Circula por los comités de dirección una media verdad peligrosa: «el AI Act se aplazó a 2027, así que hasta entonces no hay que hacer nada». Cada parte de esa frase parte de una premisa falsa. Y confundir la parte con el todo es, hoy, la principal fuente de riesgo jurídico en materia de inteligencia artificial.

El Reglamento (UE) 2024/1689 —el AI Act— entró en vigor el 1 de agosto de 2024 y se aplica de forma escalonada, según su propio artículo 113. No se «enciende» un día concreto: despliega obligaciones por fases. Buena parte de ellas ya son Derecho vigente y exigible desde hace más de un año. Otras llegan en agosto de 2026. Y las más pesadas, en efecto, se han retrasado. El problema es que el titular «se aplazó el AI Act» ha mezclado las tres cosas en una sola, y esa confusión lleva a organizaciones a relajar trabajo que sigue siendo obligatorio —y sancionable— desde este mismo verano.

Conviene, por tanto, poner las fechas en su sitio. No como ejercicio académico, sino porque de esa precisión depende saber qué es exigible hoy, qué lo será en agosto, y qué puede esperar. Este es el calendario real, tal como resulta del texto del Reglamento y de la reforma que acaba de aprobarse.

FECHA	QUÉ OBLIGA
2 feb 2025	Ya en vigor. Prohibiciones de prácticas de riesgo inaceptable (art. 5) y obligación de alfabetización en IA (art. 4). Aplican a cualquier empresa que use IA, sin umbral de tamaño.
2 ago 2025	Ya en vigor. Obligaciones de gobernanza de los modelos de propósito general (GPAI) y estructura institucional. Se activa el régimen sancionador del art. 99.
2 ago 2026	Próximo hito. Aplicación general del Reglamento y obligaciones de transparencia del art. 50 (chatbots y contenido generado por IA). Las autoridades pasan a supervisar y sancionar con plenitud.
2 dic 2027	Obligaciones de los sistemas de alto riesgo autónomos (Anexo III), tras el aplazamiento del Digital Omnibus.
2 ago 2028	Sistemas de alto riesgo integrados en productos regulados (Anexo I).

El primer malentendido

El régimen sancionador no empieza en agosto: ya está activo

Empecemos por el error más extendido y de mayor consecuencia. Es habitual leer que «el 2 de agosto de 2026 se activa el poder de sancionar». No es exacto. El régimen de sanciones del artículo 99 —el que contempla multas de hasta 35 millones de euros o el 7 % del volumen de negocio mundial para las prácticas prohibidas del artículo 5— es aplicable, conforme al artículo 113, desde el 2 de agosto de 2025. En España, la autoridad competente puede actuar sobre esas infracciones desde entonces.

Conviene además precisar la escala sancionadora, porque también se cita mal. El artículo 99 establece tres tramos: hasta 35 M€ o el 7 % por las prohibiciones del artículo 5; hasta 15 M€ o el 3 % por incumplir el resto de obligaciones; y hasta 7,5 M€ o el 1 % por facilitar información incorrecta. Y un matiz que suele omitirse: para las pymes y empresas emergentes se aplica el importe menor entre la cifra fija y el porcentaje, no el mayor. La cifra de los 35 millones, tan repetida, es el techo del tramo más grave y para el infractor más grande. Usarla como espantajo genérico es, técnicamente, incorrecto.

El segundo malentendido

Lo que se aplazó, y lo que no se movió ni un día

El Digital Omnibus —propuesto por la Comisión el 19 de noviembre de 2025 (COM(2025) 836) y adoptado formalmente por el Consejo el 29 de junio de 2026, a la espera de su publicación en el DOUE— reajusta el calendario del Reglamento. Pero su alcance es mucho más estrecho de lo que sugiere el titular.

Lo que se aplaza es un bloque concreto: las obligaciones de los sistemas de alto riesgo. Los del Anexo III (empleo, crédito, educación, biometría, servicios esenciales, justicia) pasan al 2 de diciembre de 2027; los del Anexo I (IA integrada en productos regulados), al 2 de agosto de 2028. Nada más. No se aplazan ni las prohibiciones del artículo 5, ni la alfabetización del artículo 4, ni la gobernanza de los modelos GPAI, ni —esto es capital— las obligaciones de transparencia del artículo 50, que siguen fijadas en el 2 de agosto de 2026 (con una única salvedad técnica: el marcado de contenido del art. 50.2 para sistemas ya en el mercado dispone de unos meses adicionales de gracia).

De ahí una advertencia que ningún asesor debería ahorrarse: mientras el Omnibus no se publique en el Diario Oficial, no produce efectos jurídicos. Si esa publicación se demorase más allá del 2 de agosto de 2026, las fechas originales del alto riesgo aplicarían como estaban escritas. Confiar en el aplazamiento antes de que sea Derecho positivo es, en sí mismo, un riesgo.

La obligación de alfabetización en IA (art. 4) no llega en agosto: lleva más de un año siendo Derecho exigible. Y no tiene umbral de tamaño: una pyme de doce empleados que use ChatGPT está obligada igual que una multinacional.

La obligación que ya se incumple

La alfabetización no es formación: es gobernanza

Si hay una pieza de este calendario que merece la atención de cualquier jurista de empresa, es el artículo 4. No por su aparato sancionador —de hecho, no tiene una multa propia tasada—, sino por su naturaleza: es la obligación que más empresas incumplen sin saberlo, y la que peor se defiende el día de un incidente.

El artículo 4 exige, desde el 2 de febrero de 2025, que proveedores y desplegadores garanticen un nivel suficiente de alfabetización en IA de su personal. El Digital Omnibus la reformula como una obligación de medios —adoptar medidas apropiadas, sin garantizar un resultado individual medible—, pero mantiene el deber de actuar; y para quienes desplieguen sistemas de alto riesgo, el artículo 26 conserva íntegro el deber de formar al personal que ejerce la supervisión. La flexibilización no es una derogación. Quien la lea como una excusa para no hacer nada, se equivoca de lectura.

Y aquí está el nudo jurídico que me parece más relevante. La supervisión humana que el Reglamento exige —y que el ordenamiento ya reforzaba a través del artículo 22 del RGPD para las decisiones automatizadas— es una garantía vacía si quien supervisa no comprende lo que tiene delante. No se puede revisar con criterio, ni asumir con fundamento la responsabilidad de una decisión, sobre una tecnología que no se entiende. La alfabetización, por eso, no es un curso: es el cimiento de la gobernanza. Su ausencia no suele producir una multa autónoma, pero agrava la responsabilidad de la organización ante cualquier daño causado por un uso mal supervisado de la IA.

DEL CALENDARIO AL CRITERIO

La fecha importa. Pero la cultura importa más.

Ordenar el calendario es solo el principio. Un asesor puede recitar de memoria las cinco fechas del AI Act y, aun así, dejar a su cliente expuesto si no aborda lo esencial: que cumplir este Reglamento no consiste en llegar puntual a un plazo, sino en construir una organización que use la inteligencia artificial con conocimiento de causa. Alfabetización, supervisión efectiva y transparencia no son casillas que marcar; son las tres patas de una misma cultura.

Es lo que en nuestra práctica llamamos IA con criterio, o Slow AI: no renunciar a la potencia de la máquina, sino no delegar en ella el juicio que la ley —y el sentido común— siguen atribuyendo a las personas. Vista así, la regulación europea deja de ser una amenaza y se revela como lo que es: un incentivo para hacer bien lo que, de todos modos, convenía hacer.

El 2 de agosto de 2026 no es un muro. Es una casilla más de un calendario que empezó en febrero de 2025 y que premia, en cada fecha, a quien se preparó con criterio en lugar de reaccionar con miedo.

— Ordene las fechas. Pero, sobre todo, ordene la cultura.