María Luisa García Torres Dra. en Derecho Procesal Durante dos años, el 2 de agosto de 2026 ha sido señalado como una de las fechas decisivas del Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, Reglamento de Inteligencia Artificial -en adelante, RIA-. Aunque su aplicación se diseñó desde el principio de forma progresiva, ese día debía marcar la entrada en aplicación de una parte esencial de sus obligaciones.
Jefe de estudios del área de Derecho Facultad Business & Tech
 |
||
| Maria Luisa Garcia, experta en derecho tic y proteccion de datos (Imagen cedida por la autora) | ||
Sin embargo, el calendario ha cambiado. El Reglamento (UE) 2026/1744, denominado Digital Ómnibus sobre Inteligencia Artificial -en adelante, Digital Ómnibus-, ha aplazado determinadas obligaciones y ha introducido modificaciones relevantes en el régimen inicialmente previsto.
El 2 de agosto no ha perdido su importancia, pero ya no representa lo que durante dos años se esperaba de él. La cuestión es, por tanto, qué comienza realmente a aplicarse en esa fecha, qué ha cambiado con el Digital Ómnibus y, sobre todo, si las empresas pueden ampararse en los nuevos plazos para retrasar su preparación.
La respuesta debería ser clara: el calendario ha cambiado, pero la necesidad de conocer y gobernar los sistemas de IA ya utilizados por las organizaciones no ha desaparecido.
Una aplicación que siempre fue progresiva
El RIA entró en vigor el 1 de agosto de 2024, pero su aplicación se distribuyó en varias fases.
Desde el 2 de febrero de 2025, se aplican los Capítulos I y II, que comprenden las Disposiciones generales, entre ellas, la alfabetización en IA y las prohibiciones de determinadas prácticas.
El 2 de agosto de 2025 comenzó a aplicarse un segundo bloque: las reglas sobre los modelos de IA de propósito general, la estructura europea de gobernanza, las disposiciones relativas a las autoridades notificantes y los organismos notificados, buena parte del régimen sancionador y las obligaciones de confidencialidad.
Conforme al calendario originario, el 2 de agosto de 2026 era la fecha general de aplicación del resto del Reglamento. Debían resultar aplicables, entre otras, las obligaciones de transparencia del art. 50 y el régimen de los sistemas de alto riesgo incluidos en el Anexo III. Para el 2 de agosto de 2027 quedaban el art. 6.1 y las obligaciones vinculadas a los productos regulados por la legislación del Anexo I.
Por tanto, el 2 de agosto de 2026 nunca significó la aplicación simultánea de todo el Reglamento, pero sí el paso hacia un marco mucho más ampliamente operativo. El Digital Ómnibus ha alterado ese escenario.
El Digital Ómnibus cambia algo más que las fechas
El cambio más visible afecta a los sistemas de alto riesgo. Las obligaciones correspondientes a los sistemas del Anexo III, entre ellos, determinados usos en biometría, infraestructuras críticas, educación, empleo, migración, asilo o control fronterizo, se aplicarán desde el 2 de diciembre de 2027.
Para los sistemas de alto riesgo que sean componentes de seguridad de productos, o que constituyan en sí mismos productos sometidos a la legislación sectorial del anexo I y requieran una evaluación de conformidad por un tercero, la fecha se desplaza al 2 de agosto de 2028
El aplazamiento puede resultar comprensible. No sería razonable exigir obligaciones técnicas especialmente complejas sin disponer de estándares, especificaciones y orientaciones suficientes. Pero también evidencia una debilidad institucional: Europa aprobó un Reglamento extraordinariamente ambicioso sin tener preparados a tiempo todos los instrumentos necesarios para su ejecución.
La reforma, además, incorpora modificaciones sustantivas:
Determinadas medidas de simplificación inicialmente previstas para las PYMES se amplían a las empresas de pequeña y mediana capitalización. Son empresas que ya han superado los límites de una PYME, pero todavía no disponen de la dimensión ni de los recursos de una gran corporación. La categoría comprende, con carácter general, a las empresas con menos de 750 empleados y un volumen de negocios anual de hasta 150 millones de euros o activos totales de hasta 129 millones.
También se amplían las oportunidades de prueba y experimentación y se prevé un espacio controlado de pruebas a escala de la Unión.
La obligación de alfabetización en IA del art. 4 se simplifica y se atribuye a la Comisión y a los Estados miembros un papel más relevante en su promoción. La modificación merece atención, porque afecta a una obligación que ya había comenzado a aplicarse y para cuyo cumplimiento muchas empresas habían invertido en formación, protocolos y medidas internas.
Sin embargo, la necesidad material de alfabetización no ha disminuido. Cuando los trabajadores desconocen qué herramientas pueden utilizar, qué información pueden introducir o qué resultados deben comprobar, aumentan los riesgos para la protección de datos, la ciberseguridad, la propiedad intelectual y los secretos empresariales.
El Digital Ómnibus permite asimismo, bajo condiciones estrictas, el tratamiento de categorías especiales de datos cuando sea necesario para detectar y corregir sesgos en sistemas o modelos de IA. No se trata de una habilitación general, sino de una excepción sometida a garantías de necesidad, seguridad y limitación del acceso.
La reforma trata también de reducir solapamientos entre el RIA y la legislación sectorial, simplifica determinados procedimientos relacionados con la evaluación de la conformidad y refuerza las competencias de la Oficina de IA, especialmente respecto de algunos sistemas construidos sobre modelos de propósito general.
El resultado es una reforma de mayor alcance que una simple prórroga. El Digital Ómnibus flexibiliza obligaciones, amplía determinados beneficios empresariales y reorganiza algunos mecanismos de supervisión.
Simplificar no debería significar, sin embargo, que el cumplimiento solo puede comenzar cuando las instituciones hayan terminado sus guías.
Lo que sí sucede el 2 de agosto
El 2 de agosto de 2026 no ha desaparecido del calendario. Especial relevancia adquieren desde esa fecha las obligaciones de transparencia del art. 50, aplicables a determinados sistemas que interactúan con personas o generan y manipulan contenidos artificiales.
En los supuestos previstos por el Reglamento, las personas deberán ser informadas de que están interactuando con un sistema de IA. Determinados contenidos generados o manipulados artificialmente deberán ser identificables mediante marcas técnicas adecuadas. Algunas plataformas ya integran mecanismos de trazabilidad de este tipo. LinkedIn, por ejemplo, muestra en determinadas imágenes y vídeos el distintivo de Content Credentials -el icono «CR»-, que permite consultar información verificable sobre el origen del archivo, las herramientas utilizadas y las modificaciones realizadas mediante el estándar C2PA, incluido, cuando proceda, el uso de IA generativa. No equivale necesariamente a una etiqueta de «contenido creado por IA», sino que acredita la existencia de información sobre su procedencia e historial.
También deberán cumplirse obligaciones específicas respecto de los deepfakes, los sistemas de reconocimiento de emociones, la categorización biométrica y algunos textos generados sobre asuntos de interés público.
La expansión de herramientas capaces de generar textos, imágenes, audios y vídeos difícilmente distinguibles de contenidos auténticos convierte la transparencia en uno de los ámbitos en los que el 2 de agosto mantiene todo su peso regulatorio.
Debe distinguirse, por tanto, entre las obligaciones que comienzan a aplicarse en esa fecha, las que ya estaban vigentes y las que el Digital Ómnibus ha desplazado a diciembre de 2027 o agosto de 2028.
El calendario es ahora más complejo. Pero su fragmentación no reduce la responsabilidad empresarial. Obliga a las organizaciones a identificar con precisión qué disposiciones les resultan aplicables, desde cuándo y respecto de qué sistemas.
Las empresas deberían conocer ya sus sistemas
El mayor error sería interpretar los nuevos plazos como una autorización para detener los programas de cumplimiento.
A estas alturas, una empresa debería saber qué herramientas de IA utiliza; para qué finalidades se emplean; quién las ha contratado, desarrollado o modificado; sobre qué datos operan; qué decisiones condicionan; qué personas pueden verse afectadas, y qué área interna asume su supervisión.
Estas tareas no dependen de la aprobación de estándares armonizados. Constituyen la base mínima de cualquier sistema de gobernanza.
Especial atención merece la denominada IA en la sombra: herramientas incorporadas por trabajadores o departamentos sin conocimiento ni autorización de las áreas responsables de tecnología, seguridad, protección de datos o cumplimiento. En estos entornos pueden introducirse datos personales, información confidencial o secretos empresariales para redactar informes, resumir documentos o realizar consultas sin que la organización conozca las condiciones de utilización del servicio ni el destino de la información.
El Ómnibus puede justificar más tiempo para completar documentación técnica o adaptar determinados procedimientos. No justifica la ausencia de inventario, clasificación y responsabilidad interna.
Cumplir el RIA tampoco significa producir documentos para una futura auditoría. Exige integrar la IA en la gobernanza general de riesgos y coordinar a los departamentos tecnológicos con los responsables de cumplimiento, protección de datos, ciberseguridad, recursos humanos, contratación, propiedad intelectual y asesoría jurídica.
También deben revisarse las relaciones con los proveedores. La empresa necesita conocer las características esenciales del sistema, sus finalidades, las actualizaciones, los mecanismos de supervisión y las responsabilidades ante incidentes.
Sin esa información, difícilmente podrá demostrar que controla los riesgos de una tecnología incorporada a sus propios procesos.
Paradójicamente, el aplazamiento puede debilitar futuras excusas empresariales. Cuando las obligaciones relativas a los sistemas de alto riesgo comiencen a aplicarse en diciembre de 2027 o agosto de 2028, habrá transcurrido tiempo suficiente para que las organizaciones hayan inventariado y clasificado sus sistemas, revisado contratos y cadenas de suministro, documentado finalidades y fuentes de datos, establecido mecanismos de supervisión humana y formado a su personal.
El objetivo no debe ser acumular documentación, sino conocer y controlar los sistemas antes de que produzcan daños o afecten a derechos fundamentales.
El Digital Ómnibus ha desplazado una parte decisiva de las obligaciones y ha prolongado hasta 2028 la aplicación del régimen de los sistemas de alto riesgo. Pero el 2 de agosto conserva una importancia indudable: marca el momento en que las organizaciones ya no pueden seguir presentando el RIA como una regulación lejana.
La verdadera pregunta no es cuánto se ha aplazado cada obligación, sino qué ha hecho cada empresa durante los dos años transcurridos desde la entrada en vigor del Reglamento. El Digital Ómnibus puede conceder más tiempo. No devuelve el calendario a cero.