Actualizado el 1 de agosto de 2026. El Reglamento (UE) 2026/1744 (Digital Omnibus on AI), en vigor desde el 27 de julio de 2026, aplazó el grueso del régimen de alto riesgo. Este artículo se publicó antes de esa modificación y se ha reescrito con el calendario vigente.
Durante dos años, el 2 de agosto de 2026 fue la fecha del Reglamento de IA: el día en que se aplicaba el grueso del texto y las obligaciones de alto riesgo se volvían exigibles. Ya no es así. Tres semanas antes de esa fecha, el Parlamento y el Consejo aprobaron el Digital Omnibus, que mueve el bloque más pesado a diciembre de 2027 y agosto de 2028.
Lo que no cambia es el contenido de las obligaciones. Cambia cuándo se pueden exigir.
Qué sigue siendo exigible el 2 de agosto de 2026
Transparencia (artículo 50). Este es el hito real de agosto. Si un usuario habla con un chatbot tiene que saber que es una IA, y el contenido generado o manipulado —incluidos los deepfakes— tiene que ir etiquetado en formato legible por máquina. Afecta a marketing, atención al cliente y a cualquier agente que interactúe con personas, sea o no de alto riesgo el sistema. Para los sistemas generativos que ya estaban en el mercado antes del 2 de agosto de 2026 hay un transitorio: el plazo para cumplir el artículo 50(2) llega hasta el 2 de diciembre de 2026.
Vigilancia del mercado (capítulo IX). Seguimiento posterior a la comercialización, notificación de incidentes graves y los poderes de las autoridades nacionales de vigilancia. Es la maquinaria de supervisión, y entra en funcionamiento en agosto.
Multas a proveedores de modelos de uso general (artículo 101). Las obligaciones GPAI aplican desde agosto de 2025; el régimen sancionador específico para ellas llega ahora.
Qué se ha movido
| Bloque | Fecha anterior | Fecha vigente |
|---|---|---|
| Alto riesgo del Anexo III (art. 6.2) | 2 ago 2026 | 2 dic 2027 |
| Alto riesgo del Anexo I (art. 6.1) | 2 ago 2027 | 2 ago 2028 |
Lo aplazado son las secciones 1, 2 y 3 del capítulo III, que es donde vive casi todo el trabajo: clasificación (art. 6-7), gestión de riesgos (art. 9), gobernanza de datos (art. 10), documentación técnica (art. 11), registro de eventos (art. 12), supervisión humana (art. 14), exactitud y robustez (art. 15) y las obligaciones de proveedores y responsables del despliegue (art. 16-27).
El propio Reglamento explica por qué: la disponibilidad tardía de las normas armonizadas y de las especificaciones comunes, y el retraso en la constitución de las autoridades nacionales competentes. Sin estándares publicados, un proveedor no tiene contra qué demostrar conformidad.
Conviene leer esto con precisión. No es una suspensión ni una rebaja. El texto de las obligaciones no se ha tocado: los mismos artículos, los mismos requisitos, los mismos anexos. Lo que se ha movido es la fecha a partir de la cual una autoridad puede exigirlos.
Y las sanciones
El régimen sancionador (art. 99-100) está en vigor desde agosto de 2025, pero solo puede castigar el incumplimiento de una obligación que ya sea aplicable. En la práctica: hoy hay exposición por prácticas prohibidas y por obligaciones GPAI; la exposición por los requisitos de alto riesgo empieza en diciembre de 2027.
Los tramos no han cambiado. La cifra que se aplica es la mayor entre el porcentaje del volumen de negocio mundial anual y el importe fijo, así que para una empresa grande manda el porcentaje y para una pyme manda el importe. El tramo alto (35 M€ o 7%) es el de las prácticas prohibidas del artículo 5, que llevan siendo exigibles desde febrero de 2025. Las infracciones de las obligaciones de alto riesgo van al tramo de 15 M€ o 3%.
Una novedad del Omnibus que sí aprieta: desde el 2 de diciembre de 2026 se añaden dos prácticas prohibidas nuevas al artículo 5, sobre generación de material íntimo no consentido y material de abuso sexual infantil. Ese bloque va al tramo sancionador más alto.
¿A ti te aplica?
La pregunta no es «¿tenemos IA?», sino «¿en qué categoría cae cada sistema?». El Reglamento distingue cuatro niveles (prohibido, alto riesgo, riesgo limitado con obligaciones de transparencia, y mínimo), y un mismo producto puede tener partes en niveles distintos. La mayoría de las empresas descubren que tienen menos alto riesgo del que temían y más obligaciones de transparencia de las que creían — y esas últimas son justamente las que vencen ahora.
Para no clasificar a ojo, montamos una calculadora del EU AI Act: respondes unas pocas preguntas y te devuelve la categoría, los artículos aplicables y el calendario que te toca, ya con las fechas del Omnibus. Gratis y sin dejar el email. Una herramienta de cribado de currículums, operada por el responsable del despliegue, sale así:
Sistema: cribado de currículums · rol: responsable del despliegue
Categoría: ALTO RIESGO
Base legal: Art. 6(2) · Anexo III, punto 4 · Art. 113 §3 letra c (i)
Fecha límite: 2 de diciembre de 2027
Obligaciones: gestión de riesgos (Art. 9) · gobernanza de datos (Art. 10) ·
documentación y registro (Art. 11-12) · supervisión humana (Art. 14) ·
exactitud, robustez y ciberseguridad (Art. 15) ·
evaluación de conformidad y marcado CE (Art. 43, 48)
Por dónde empezar ahora
Dieciséis meses parecen mucho hasta que se cuentan hacia atrás. Una evaluación de conformidad de alto riesgo no se improvisa, y la parte más lenta —inventario de datos, trazabilidad, evidencias de supervisión humana— es precisamente la que no se puede comprar en el último trimestre. El aplazamiento es margen para hacerlo bien, no permiso para no hacerlo.
- Cierra el artículo 50 este mes. Es lo único que vence ya. Avisos de IA en los puntos de contacto y etiquetado del contenido sintético.
- Inventaria los sistemas de IA en producción o a punto de lanzar, incluidos los que compraste a un tercero. La responsabilidad de despliegue es tuya aunque el modelo sea de otro.
- Clasifica cada uno por nivel de riesgo. Aquí es donde la mayoría necesita ayuda, porque el Anexo III tiene matices y el Omnibus además ha estrechado qué cuenta como «componente de seguridad» en la rama del Anexo I.
- Analiza el hueco entre lo que exige tu categoría y lo que tienes documentado hoy, y prioriza por exposición: primero lo que sea alto riesgo y esté en producción.
Hay un punto que suele pasar desapercibido: la ciberseguridad ya no es opcional en compliance. El Reglamento exige que los sistemas de alto riesgo sean seguros por diseño, y ENISA lo interpreta como robustez frente a ataques adversarios. Para un sistema de IA eso incluye cosas como la inyección de prompts o el envenenamiento de RAG, que escapan a los controles de seguridad tradicionales. Compliance y seguridad se tocan más de lo que parece, y conviene planificarlas juntas.
En KAIX LAB clasificamos, documentamos y auditamos sistemas de IA para que lleguen en regla a cada hito del calendario, y lo hacemos junto con la parte de seguridad, no en silos. Si quieres una lectura rápida de dónde estás, empieza por la calculadora; si prefieres hablarlo, reserva un diagnóstico.
Este artículo es orientativo y no constituye asesoramiento legal. Las fechas y obligaciones se basan en el Reglamento (UE) 2024/1689, en su versión modificada por el Reglamento (UE) 2026/1744.