Noelia Jiménez Piris | Socia de Piris & Luque Abogados | Abogada especializada en protección de datos, IA y litigación antitrust | DPD certificada conforme al Esquema AEPD-DPD
El 2 de agosto de 2026 iba a ser la gran fecha del Reglamento (UE) 2024/1689 sobre inteligencia artificial (el “Reglamento de IA”). La que lo cambiaba todo. Luego llegó el Ómnibus Digital sobre IA, un paquete de simplificación normativa, y aplazó buena parte de las obligaciones de alto riesgo. Ante esta noticia, es posible que algunas empresas respirasen aliviadas y dejasen de leer.
Error.
El Reglamento de IA se superpone sobre un marco que ya existe, fundamentalmente el RGPD y la LOPDgdd, y lo hace por fases, con un calendario que ha experimentado modificaciones relevantes en los últimos meses. El 2 de agosto de 2026 ya está aquí. Y conviene saber exactamente qué significa. Conocer bien qué quedaría aplazado tras la publicación del Ómnibus Digital sobre IA en el Diario Oficial de la Unión Europea (“DOUE”) y qué no queda puede medirse en sanciones de hasta quince millones de euros.
Lo que ya está en vigor
El Reglamento de IA entró en vigor el 1 de agosto de 2024. Pero su aplicación no fue inmediata ni homogénea.
El 2 de febrero de 2025 comenzaron a aplicarse las prohibiciones de prácticas de IA (como, por ejemplo, los sistemas de puntuación social o la manipulación subliminal) y determinadas obligaciones de alfabetización en IA para proveedores y responsables del despliegue.
El 2 de agosto de 2025 se activaron, entre otras, las obligaciones para modelos de IA de uso general (“GPAI”) y los mecanismos de gobernanza, incluida la Oficina de IA.
Lo que entra en vigor el 2 de agosto de 2026
El 2 de agosto de 2026 es el arranque de un bloque amplio de obligaciones que no han sido objeto de aplazamiento y que se aplican con independencia de lo que ocurra con el paquete de simplificación que se describe más adelante.
Obligaciones de transparencia del artículo 50. A partir del 2 de agosto, los usuarios tienen derecho a saber cuándo están interactuando con un sistema de IA. Esto abarca, entre otros supuestos, la obligación de informar cuando se interactúa con un chatbot o asistente conversacional (salvo que resulte evidente por el contexto), la necesidad de explicar el funcionamiento de los sistemas de reconocimiento de emociones o de categorización biométrica a las personas expuestas, y la obligación de identificar como artificialmente generado o manipulado cualquier contenido que constituya una ultrasuplantación (deepfake).
Marcado legible de contenidos generados por IA (watermarking, artículo 50.2). Los proveedores de sistemas de IA generativa que generen audio, imagen, texto o audio deben asegurarse de que sus resultados de salida están marcados en un formato legible por máquina que permita identificar que han sido generados o manipulados de manera artificial. Esta obligación aplicará desde el 2 de agosto de 2026 para los sistemas que se pongan en el mercado a partir de esa fecha. Para los sistemas ya comercializados antes del 2 de agosto de 2026, el Ómnibus Digital sobre IA introduce un período transitorio de cuatro meses, con fecha límite el 2 de diciembre de 2026.
Activación de los poderes sancionadores de la Comisión sobre modelos GPAI (artículo 101). A partir del 2 de agosto, la Comisión puede imponer multas a los proveedores de modelos de IA de uso general que incumplan sus obligaciones: hasta 15 millones de euros o el 3% del volumen de negocio mundial total anual, si esta última cifra fuera superior.
A esto se suman otros aspectos, y, entre ellos, un elemento que no debe pasarse por alto: a partir del 2 de agosto, las autoridades nacionales de vigilancia del mercado pasan a ejercer sus poderes de supervisión plena sobre todas las obligaciones ya en vigor. Pueden solicitar documentación, evaluar sistemas e imponer medidas correctoras.
El Ómnibus Digital sobre IA: un aplazamiento real, pero condicionado
El llamado “Ómnibus Digital sobre IA” es un paquete legislativo de simplificación propuesto por la Comisión Europea el pasado 19 de noviembre de 2025. Su objetivo central es retrasar las obligaciones de alto riesgo para dar tiempo a las empresas, especialmente a PYMES y medianas empresas, a adaptarse al marco técnico y normativo.
El acuerdo político entre el Parlamento Europeo y el Consejo de la UE se alcanzó el 7 de mayo de 2026. El Parlamento Europeo lo aprobó formalmente el 16 de junio, y el Consejo de la UE dio su luz verde definitiva el 29 de junio de 2026.
Sin embargo, a fecha de publicación de este artículo, el texto todavía no ha sido publicado en el DOUE. Y este detalle no es menor: el Ómnibus Digital sobre IA entra en vigor tres días después de su publicación en el DOUE, y solo producirá efectos jurídicos si esa publicación se produce antes del 2 de agosto de 2026.
Mientras no se dé ese paso, el calendario vinculante sigue siendo la redacción original del Reglamento de IA. Es por ello por lo que la publicación se espera en los próximos días.
Si el Ómnibus Digital sobre IA se publica a tiempo (que es el escenario más probable), las nuevas fechas para los sistemas de alto riesgo serán las siguientes:
- Sistemas de IA de alto riesgo del artículo 6.2 y Anexo III (como los utilizados en procesos de selección de personal, scoring crediticio de personas físicas, acceso a servicios esenciales, educación o determinados usos en seguros): sus obligaciones se desplazan del 2 de agosto de 2026 al 2 de diciembre de 2027.
- Sistemas de IA de alto riesgo del artículo 6.1 y Anexo I, es decir, los integrados como componentes de seguridad en productos ya regulados por normativa sectorial: su fecha pasa del 2 de agosto de 2027 al 2 de agosto de 2028.
Además, el Ómnibus Digital sobre IA incorpora dos nuevas prohibiciones en el artículo 5, aplicables desde el 2 de diciembre de 2026: quedan expresamente prohibidos los sistemas diseñados para generar o manipular imágenes, vídeos o audios realistas íntimos de personas identificables sin su consentimiento explícito (los llamados nudifiers) y los sistemas que generen material de abusos sexuales de menores (CSAM).
Por qué el aplazamiento no debería equivaler a inacción
Que las obligaciones de alto riesgo se hayan desplazado a 2027 y 2028 no significa que el cumplimiento pueda postergarse. Hay razones de fondo que lo justifican.
La primera es contractual: los contratos con proveedores de herramientas de IA (especialmente modelos de uso general) ya deben incorporar cláusulas que reflejen las obligaciones del Reglamento de IA, incluyendo transparencia en datos de entrenamiento, documentación técnica y gestión de derechos de autor. Estas obligaciones GPAI llevan activas desde agosto de 2025.
La segunda es documental: la clasificación de los sistemas de IA que utiliza una organización (determinar si entran o no en el Anexo III) requiere análisis, documentación y, en algunos casos, registro en la base de datos europea, incluso cuando el proveedor concluye que el sistema no es de alto riesgo. Ese trabajo lleva tiempo y debe poder justificarse ante las autoridades competentes.
La tercera es estratégica: las empresas que lleguen a diciembre de 2027 sin haber hecho ese trabajo previo de clasificación, inventario y revisión contractual serán las que enfrenten los proyectos de cumplimiento con mayor urgencia, mayor coste y menor margen de corrección.
En resumen: el calendario actualizado
|
Obligación
|
Fecha
|
|
Prácticas prohibidas y alfabetización en IA
|
2 de febrero de 2025
|
|
Obligaciones GPAI y gobernanza
|
2 de agosto de 2025
|
|
Transparencia art. 50 + watermarking posteriores al 2 de agosto de 2026 + sanciones GPAI
|
2 de agosto de 2026
|
|
Watermarking sistemas anteriores al 2 de agosto de 2026
|
2 de diciembre de 2026
|
|
Nuevas prohibiciones: nudifiers y CSAM
|
2 de diciembre de 2026
|
|
Alto riesgo Anexo III (art. 6.2)
|
2 de diciembre de 2027 (tras publicación en el DOUE del Ómnibus Digital sobre IA)
|
|
Alto riesgo Anexo I (art. 6.1)
|
2 de agosto de 2028 (tras publicación en el DOUE del Ómnibus Digital sobre IA)
|
Una organización que utiliza IA hoy tiene que hacerse las siguientes preguntas: qué sistemas tiene, cómo los ha clasificado, qué obligaciones ya son aplicables y qué plan de cumplimiento tiene sentido para su tamaño y su sector.
