AI ACT
El Reglamento (UE) 2026/1744 entra en vigor el 27 de julio: aplaza el alto riesgo, refuerza la supervisión y mantiene el 2 de agosto para la transparencia
El Diario Oficial de la Unión Europea publicó este 24 de julio el Reglamento (UE) 2026/1744, conocido como Ómnibus digital sobre IA. La reforma entra en vigor el 27 de julio y modifica de inmediato el mapa de aplicación del Reglamento Europeo de Inteligencia Artificial. Aplaza las obligaciones de alto riesgo, redefine la alfabetización, refuerza la Oficina de IA, simplifica evaluaciones y crea nuevas prohibiciones. Pero no concede una moratoria general: el 2 de agosto de 2026 mantiene su fuerza para la transparencia. Empresas, administraciones y proveedores deben revisar ahora calendarios, interfaces, contratos, inventarios y evidencias internas de cumplimiento normativo.
El Diario Oficial convierte el acuerdo en Derecho
Durante semanas, empresas y asesores trabajaron con una anomalía difícil de explicar: el acuerdo político para aplazar buena parte del régimen de alto riesgo estaba cerrado, pero la modificación aún no existía jurídicamente. La publicación del Reglamento (UE) 2026/1744 termina esa dualidad. La reforma entrará en vigor el 27 de julio de 2026, tres días después de su publicación, será obligatoria en todos sus elementos y directamente aplicable en cada Estado miembro. La consecuencia es inmediata. Ya no hay que diseñar dos planes alternativos, uno conforme al calendario originario y otro condicionado a la llegada del Ómnibus. Desde el 27 de julio, el Reglamento (UE) 2024/1689 debe leerse en su versión modificada. Los nuevos plazos dejan de ser una expectativa política y pasan a formar parte del Derecho vigente de la Unión.
El Ómnibus simplifica el camino, pero no rebaja la meta de protección del Reglamento de IA
La publicación tampoco constituye una corrección menor. El Ómnibus modifica el Reglamento de IA, el régimen europeo de aviación civil y el Reglamento de Máquinas. Reordena fechas, delimita conceptos, amplía instrumentos de innovación, cambia la supervisión y crea prohibiciones.
La tesis central debe quedar clara. El Ómnibus simplifica el camino, pero no rebaja la meta de protección del Reglamento de IA. Aplazar determinadas obligaciones no equivale a suspender la gobernanza, la transparencia, la responsabilidad contractual ni la preparación documental. El cumplimiento cambia de calendario, no desaparece.
Qué es el Ómnibus de IA y qué no es
El Reglamento (UE) 2026/1744 responde a un problema de ejecución. El legislador constató que las normas armonizadas, los organismos notificados y varios marcos nacionales no estaban preparados para sostener, desde agosto de 2026, la aplicación completa del régimen de alto riesgo. Mantener el calendario podía convertir la conformidad en una obligación formalmente exigible, pero materialmente difícil de demostrar. La respuesta es selectiva. El Ómnibus desplaza fechas del capítulo III; reduce duplicidades con la legislación sectorial; adapta cargas a pymes y pequeñas empresas de mediana capitalización; y refuerza la supervisión de la Oficina Europea de Inteligencia Artificial.
No es una desregulación. El texto incorpora prohibiciones para sistemas que generen material íntimo no consentido o material de abusos sexuales de menores; mantiene las sanciones; amplía la cooperación en defensa de derechos fundamentales; y atribuye a la Oficina de IA facultades de investigación, inspección, compromisos y corrección. Tampoco es un aplazamiento global del AI Act. La reforma mueve algunas piezas y deja otras donde estaban. La primera tarea de cualquier organización consiste en abandonar los calendarios genéricos y asignar una fecha concreta a cada sistema, obligación y papel dentro de la cadena de valor.
El nuevo calendario ya es definitivo
El primer hito es el 27 de julio de 2026. Ese día entra en vigor el Ómnibus y se sustituye la redacción de los preceptos modificados. Desde entonces opera la nueva obligación de adoptar medidas para apoyar la alfabetización en IA, la base jurídica excepcional para tratar categorías especiales de datos con el fin de detectar y corregir sesgos y el nuevo marco competencial de la Oficina de IA.
El 2 de agosto de 2026 continúa siendo la fecha general de aplicación del Reglamento de IA. Mantiene especial relevancia para las obligaciones de transparencia del artículo 50 y para las disposiciones que no han recibido una regla especial. Los artículos 102 a 110, relativos a la adaptación de legislación sectorial, serán aplicables desde el 27 de julio.
El 2 de diciembre de 2026 concentra dos cambios. Empezarán a aplicarse las nuevas prohibiciones sobre material íntimo no consentido y material de abusos sexuales de menores. Además, vencerá el período transitorio para que los proveedores de sistemas generativos introducidos en el mercado antes del 2 de agosto cumplan el marcado técnico del artículo 50.2.
El 2 de agosto de 2027 deberán estar operativos los espacios controlados de pruebas nacionales. Para entonces, la Comisión deberá haber adoptado los actos delegados que permitan limitar requisitos del AI Act cuando la legislación sectorial proporcione protección equivalente o superior.
El 2 de diciembre de 2027 se aplicarán las secciones 1, 2 y 3 del capítulo III a los sistemas de alto riesgo del artículo 6.2 y el anexo III: biometría, educación, empleo, servicios esenciales, migración, justicia y procesos democráticos, entre otros.
El 2 de agosto de 2028 llegará el turno de los sistemas vinculados a productos del artículo 6.1 y el anexo I. La misma fecha ordena la integración de los requisitos de IA en el Reglamento de Máquinas. Los sistemas de alto riesgo destinados a autoridades públicas ya introducidos en el mercado deberán cumplir, en todo caso, antes del 2 de agosto de 2030.
Este calendario es fijo. El texto final no condiciona las nuevas fechas a una decisión posterior sobre estándares. Las empresas conocen ya los plazos y no pueden convertir la falta de normas armonizadas en una excusa para no iniciar inventarios, análisis de brechas, contratación o controles.
Qué permanece en el calendario original
La reforma no reinicia el Reglamento de IA. Las prohibiciones aplicables desde febrero de 2025 continúan vigentes. Las reglas de gobernanza, las obligaciones para modelos de IA de uso general y el régimen sancionador aplicables desde agosto de 2025 tampoco retroceden. La fecha crítica más cercana sigue siendo el 2 de agosto de 2026. Ese día no se activará el bloque aplazado de alto riesgo, pero sí el capítulo IV de transparencia. Muchas organizaciones han interpretado el Ómnibus como una pausa general y han ralentizado proyectos de avisos, etiquetado, accesibilidad o trazabilidad. El 2 de agosto sigue vivo para la transparencia: no existe una moratoria general del artículo 50. Proveedores y responsables del despliegue deben revisar por separado sus apartados, identificar quién soporta cada deber y distinguir entre información perceptible para la persona y marcado técnico legible por máquina. También permanece el resto del Derecho de la Unión. El Reglamento de IA no desplaza el RGPD, la normativa de consumidores, propiedad intelectual, servicios digitales, igualdad o seguridad de productos. Un sistema transparente puede seguir siendo ilícito si carece de base jurídica, utiliza datos excesivos, infringe derechos o induce a engaño.
La verdad jurídica del artículo 50
El artículo 50 contiene obligaciones diferentes. El apartado 1 obliga al proveedor a diseñar los sistemas destinados a interactuar directamente con personas físicas de manera que estas sepan que se comunican con una IA, salvo que resulte evidente para una persona razonablemente informada, atenta y perspicaz. El apartado 2 exige al proveedor de sistemas generativos marcar los resultados sintéticos en formato legible por máquina y permitir detectar su origen artificial.
El apartado 3 se dirige al responsable del despliegue de herramientas de reconocimiento de emociones o categorización biométrica, que debe informar a las personas expuestas. El apartado 4 obliga a revelar la naturaleza artificial de las ultrasuplantaciones y de determinados textos de interés público. El apartado 5 exige información clara, distinguible, accesible y facilitada, como máximo, en la primera interacción o exposición.
Debe corregirse una afirmación frecuente: el artículo 50.1 no es la única obligación de transparencia que conserva el 2 de agosto. Los apartados 3, 4 y 5 tampoco han sido postergados. La única transición creada por el Ómnibus afecta al artículo 50.2 y beneficia exclusivamente a proveedores de sistemas generativos introducidos en el mercado antes del 2 de agosto de 2026.
La prórroga hasta el 2 de diciembre protege solo a los sistemas generativos ya comercializados y solo respecto del marcado técnico del artículo 50.2. Un sistema nuevo introducido desde el 2 de agosto debe cumplir en su lanzamiento. Tampoco se aplaza la obligación del responsable del despliegue de etiquetar una ultrasuplantación o informar sobre reconocimiento emocional.
Las empresas deben convertir el aviso de interacción con IA en una exigencia de producto, contrato, accesibilidad y prueba
El artículo 50.1 merece atención especial porque es transversal: alcanza a asistentes conversacionales, agentes, avatares, sistemas de voz, interfaces de atención, herramientas de contratación y servicios que aparentan comunicación humana. No exige que la IA sea generativa ni de alto riesgo. Basta con que el sistema esté destinado a interactuar directamente con una persona.
La excepción de evidencia debe usarse con prudencia. Un icono de robot, un nombre tecnológico o una cláusula enterrada no garantizan que el usuario comprenda la interacción. Cuanto más humana sea la voz, el avatar o el lenguaje, más necesario resulta un aviso inequívoco. La transparencia no es una etiqueta ritual. Permite que la persona calibre su confianza, decida si continúa y comprenda las limitaciones del interlocutor. El aviso debe llegar antes de que entregue datos sensibles, tome una decisión relevante o confíe en una apariencia de intervención humana. El artículo 50.1 no es la única obligación que conserva el 2 de agosto. También siguen esa fecha los apartados 3, 4 y 5. Solo los sistemas generativos introducidos antes del 2 de agosto disponen hasta el 2 de diciembre para adaptar el marcado técnico del artículo 50.2.
Cómo cumplir el artículo 50.1 de forma defendible
El cumplimiento comienza con un inventario funcional, no con una frase estándar. La empresa debe localizar todos los puntos donde una persona pueda hablar, escribir, escuchar o relacionarse con IA: web, aplicación, teléfono, mensajería, correo automatizado, dispositivo físico, recursos humanos o atención comercial. Después debe identificar quién es proveedor y quién es responsable del despliegue, porque el contrato no altera por sí solo la distribución legal de obligaciones.
La segunda fase consiste en mapear el recorrido del usuario. El aviso debe aparecer al comienzo de la primera interacción y antes de que el usuario pueda formarse una impresión equivocada. En una interfaz escrita puede situarse junto al inicio de la conversación. En voz debe comunicarse antes de solicitar información. En un avatar debe ser visible sin obligar a abrir enlaces secundarios.
Las empresas deben convertir el aviso de interacción con IA en una exigencia de producto, contrato, accesibilidad y prueba. Producto, porque debe integrarse en el diseño. Contrato, porque el proveedor debe garantizar funcionalidades y asistencia. Accesibilidad, porque el mensaje debe adaptarse a personas con discapacidad. Prueba, porque la organización tendrá que acreditar qué aviso mostró, cuándo y en qué versión.
La prórroga hasta el 2 de diciembre protege solo a los sistemas generativos ya comercializados y solo respecto del marcado técnico del artículo 50.2
El mensaje puede ser breve: “Estás interactuando con un sistema de inteligencia artificial”. El contexto puede exigir información adicional sobre límites, supervisión humana, reclamaciones o datos. Conviene evitar expresiones ambiguas como “asistente virtual” cuando no aclaran que existe IA. La organización debe probar el aviso. Un texto presente puede ser ineficaz si aparece tarde, tiene poco contraste, desaparece, se escucha demasiado rápido o se confunde con publicidad. Las pruebas deben abarcar idiomas, dispositivos, lectores de pantalla y canales de voz.
Si se aplica la excepción de evidencia, la empresa debe documentar por qué una persona razonablemente informada percibiría la IA en ese contexto. La evaluación debe revisarse cuando cambien interfaz, modelo, público o propósito. Finalmente, deben conservarse capturas, guiones, versiones, resultados de pruebas, decisiones de diseño, cláusulas contractuales, incidencias y medidas correctoras. Cumplir no consiste solo en mostrar un mensaje; consiste en poder reconstruir la decisión que llevó a mostrarlo.
El incumplimiento puede alcanzar el 3% del negocio mundial
El régimen sancionador confirma que la transparencia no es una recomendación de diseño. El artículo 99.4, letra g), somete el incumplimiento del artículo 50 a multas de hasta 15 millones de euros o, si el infractor es una empresa, de hasta el 3% de su volumen de negocio mundial total del ejercicio anterior, cuando esta cifra sea superior.
La multa máxima no opera automáticamente. La autoridad valorará naturaleza, gravedad, duración, afectados, daños, reincidencia, cooperación, tamaño, cuota de mercado, beneficios y medidas de mitigación. Para las pymes se aplica el menor entre importe fijo y porcentaje. El Ómnibus extiende un criterio equivalente a las pequeñas empresas de mediana capitalización para las infracciones de los apartados 4 y 5 del artículo 99.
El incumplimiento de la transparencia puede costar hasta 15 millones de euros o el 3% del volumen de negocio mundial. Se añaden órdenes de corrección, reclamaciones de consumidores, litigios de protección de datos, daño reputacional y responsabilidad contractual. Cuando la conducta encaje en las nuevas prácticas prohibidas, el techo puede alcanzar 35 millones o el 7%.
Un fallo reiterado y conocido será más difícil de defender que una incidencia puntual detectada mediante controles. La calidad del expediente, la rapidez de reacción y la cooperación con la autoridad serán centrales en cualquier defensa.
La reforma va mucho más allá del calendario
El Ómnibus reforma derechos, datos, producto, innovación y supervisión. La alfabetización en IA deja de formularse como garantía de un nivel suficiente para cada persona y pasa a exigir medidas que apoyen su promoción, atendiendo a formación, experiencia, contexto y colectivos afectados. La obligación sigue siendo vinculante, pero admite programas proporcionados. El nuevo artículo 4 bis permite excepcionalmente tratar categorías especiales de datos para detectar y corregir sesgos. Exige necesidad estricta, imposibilidad de lograr el objetivo con datos sintéticos o anonimizados, seudonimización, controles de acceso, prohibición de transferencias, supresión temprana y documentación. La habilitación no elimina el RGPD.
La reforma incorpora prohibiciones sobre sistemas destinados a generar material íntimo no consentido o material de abusos sexuales de menores y sobre sistemas en los que ese resultado sea previsible y reproducible sin salvaguardias razonables. Los proveedores deberán aplicar medidas acordes con el estado de la técnica y los responsables del despliegue no podrán utilizar sistemas con esa finalidad. Se aplicarán desde el 2 de diciembre de 2026. En alto riesgo, se estrecha la definición de componente de seguridad. Funciones de asistencia, optimización, eficiencia, automatización, comodidad o control de calidad no quedan incluidas por el mero hecho de integrarse en un producto. Sí lo estarán cuando prevengan riesgos o cuando su fallo pueda poner en peligro la salud y la seguridad.
El incumplimiento de la transparencia puede costar hasta 15 millones de euros o el 3% del volumen de negocio mundial
La Comisión podrá limitar requisitos de los artículos 9 a 15 y 17 a 25 cuando la legislación sectorial ofrezca protección equivalente o superior. También se unifican solicitudes para organismos notificados, se simplifica documentación para empresas de menor tamaño y se aclara que integrar IA de alto riesgo en un producto no impone automáticamente evaluación de terceros si la legislación sectorial permite otra vía.
El Reglamento de Máquinas pasa a la sección B del anexo I, con integración sectorial de requisitos a más tardar el 2 de agosto de 2028. La aviación recibe ajustes paralelos y el Reglamento de Ciberresiliencia podrá generar presunción de cumplimiento respecto de requisitos cubiertos. La innovación gana espacio. Los entornos controlados nacionales deberán operar en agosto de 2027; la Oficina de IA podrá crear uno europeo; y las pruebas en condiciones reales se extienden a más sistemas regulados por legislación de productos. Pymes, empresas emergentes y pequeñas empresas de mediana capitalización reciben acceso prioritario y vías simplificadas.
La supervisión cambia de escala. La Oficina de IA asume competencia exclusiva sobre determinados sistemas basados en modelos de uso general y sobre sistemas que constituyan o se integren en plataformas o buscadores de muy gran tamaño. Podrá pedir información, acceder a sistemas, inspeccionar, hacer vinculantes compromisos, declarar incumplimientos y ordenar correcciones. Las multas coercitivas pueden alcanzar diariamente el 5% de los ingresos medios diarios o del volumen de negocio mundial, según proceda.
El nuevo anexo XIV crea códigos para sistemas vinculados a productos, sistemas biométricos y tecnologías horizontales. Incluye expresamente sistemas generativos y tecnologías emergentes, entre ellas la IA agente. Europa reconoce así un mercado que ya no gira solo alrededor de modelos, sino también de agentes capaces de ejecutar acciones.
Qué deben hacer ahora las empresas
La publicación obliga a abandonar la espera. El primer paso es actualizar el inventario con cuatro datos: sistema, finalidad, papel jurídico y fecha aplicable. Cada ficha debe indicar si existe interacción directa, contenido sintético, biometría, una finalidad del anexo III, integración en producto o dependencia de un modelo de uso general.
El segundo paso es separar proyectos urgentes y aplazados. Los avisos del artículo 50.1, las etiquetas del apartado 4 y la información biométrica del apartado 3 requieren cierre antes del 2 de agosto. El marcado técnico de sistemas nuevos también. La documentación, gestión de riesgos, datos, supervisión humana y conformidad de alto riesgo disponen de más tiempo, pero deben continuar por hitos.
El tercer paso es revisar contratos. Los acuerdos deben asignar información, acceso técnico, pruebas, cooperación, incidentes, cambios de modelo, marcado, trazabilidad y remedios. Las cláusulas genéricas de cumplimiento legal ya no bastan.
El cuarto paso es elevar el calendario al órgano de administración. La IA no puede quedar dispersa entre tecnología, marketing y protección de datos. Hace falta un responsable, comité o estructura equivalente que apruebe clasificación, excepciones, riesgos y evidencias.
El quinto paso es conservar la inversión realizada. Inventarios, evaluaciones, políticas, formación y documentación no son inútiles. Permiten renegociar, acelerar certificaciones, corregir clasificaciones y aprovechar los espacios de pruebas. El plazo adicional debe mejorar la calidad, no congelar el programa.
Durante los primeros treinta días, conviene aprobar una matriz de plazos, designar propietarios de control, verificar los sistemas de terceros y documentar cualquier decisión de acogerse a una excepción. Marketing debe revisar contenidos sintéticos; producto, interfaces; recursos humanos, herramientas conversacionales; compras, garantías contractuales; y jurídico, evidencias y criterios de clasificación. La coordinación evita que una misma solución reciba respuestas incompatibles según el departamento que la utilice en un mismo grupo empresarial.
Europa entra en la fase de ejecución
La publicación del Reglamento (UE) 2026/1744 marca un cambio de etapa. Hasta hoy, el debate giraba alrededor de si el Ómnibus llegaría antes de la aplicación general. Desde el 27 de julio, la pregunta es cómo integrar la norma modificada en productos, contratos, expedientes, compras y decisiones empresariales. La reforma ofrece tiempo donde faltaban estándares, evita duplicidades sectoriales y amplía el apoyo a empresas de menor tamaño. A cambio, exige precisión al clasificar, fortalece a la Oficina de IA, añade prohibiciones y mantiene intactas obligaciones cercanas. No hay una retirada europea de la regulación; hay una redistribución del esfuerzo.
Cada sistema tendrá su propio reloj. Algunos proyectos de alto riesgo ganan hasta dos años. Las interfaces que hablan con personas apenas tienen días. La organización que comprenda esa diferencia reducirá costes, protegerá derechos y llegará mejor preparada a la supervisión. La publicación en el Diario Oficial cierra la incertidumbre: la reforma entra en vigor el 27 de julio de 2026. Pero el cierre legislativo abre el examen empresarial. El reloj ya no espera a Bruselas; espera a la primera interacción con el usuario.
