El 2 de agosto de 2026 era, desde 2024, la gran fecha del Reglamento europeo de Inteligencia Artificial: el día en que se activaba la mayor parte de sus obligaciones. Ha llegado, pero con un cambio de guion de última hora.
El llamado Ómnibus Digital, aprobado in extremis por las instituciones europeas, ha reordenado el calendario semanas antes de que venciera. El resultado deja a muchas empresas con una idea equivocada: «el AI Act se ha aplazado».
No es así. Se ha aplazado una parte —la de los sistemas de alto riesgo— y se ha mantenido, con todas sus consecuencias, la parte que afecta al uso cotidiano de la IA en cualquier empresa.
Este artículo, el primero de nuestra serie sobre cumplimiento del AI Act, explica qué ha cambiado exactamente, qué es exigible desde el 2 de agosto y qué debe hacer tu empresa ahora.
Qué es el Ómnibus Digital y por qué llegó tan justo
El Ómnibus Digital es el Reglamento (UE) 2026/1744, de 8 de julio de 2026, publicado en el Diario Oficial el 24 de julio y en vigor desde el 27 de julio, seis días antes de la fecha clave.
Es la primera reforma de calado del AI Act antes incluso de que buena parte de sus obligaciones empezara a aplicarse, y su justificación es práctica: las normas técnicas armonizadas que debían acompañar a los requisitos de alto riesgo no estaban listas, y la Comisión optó por reajustar plazos y reducir carga administrativa —especialmente para pymes y empresas de mediana capitalización— antes que exigir lo imposible.
Conviene retener la filosofía: el Ómnibus cambia el calendario, no el destino.
Lo que se aplaza: los sistemas de alto riesgo
El corazón de la reforma es el aplazamiento de las obligaciones de los sistemas de IA de alto riesgo —los del Anexo III del Reglamento: selección de personal, evaluación crediticia, biometría, educación, infraestructuras críticas, servicios esenciales, justicia y migración, entre otros.
Los requisitos que debían activarse el 2 de agosto de 2026 —gestión de riesgos, gobernanza de datos, documentación técnica, registros de eventos, supervisión humana, precisión, robustez, ciberseguridad y evaluación de conformidad— se difieren al 2 de diciembre de 2027.
Para la IA integrada en productos ya regulados sectorialmente —Anexo I: maquinaria, dispositivos médicos, juguetes…—, el nuevo horizonte es el 2 de agosto de 2028.
Dos precisiones que evitan errores caros.
Primera: es un aplazamiento, no una exención. El contenido de las obligaciones no cambia, solo la fecha en que serán exigibles, y el volumen de trabajo técnico que requieren aconseja no consumir el margen esperando.
Segunda: el régimen de alto riesgo se aplicará a los sistemas en operación, no solo a los que se comercialicen a partir de entonces. Si tu empresa utiliza hoy un sistema del Anexo III, la cuenta atrás corre igualmente.
Lo que sí aplica desde el 2 de agosto: transparencia, sanciones y supervisión
Aquí está lo que muchas empresas están pasando por alto. El 2 de agosto de 2026 se mantiene como fecha de aplicación general del Reglamento, y con ella entran en juego tres bloques plenamente exigibles.
Primero, las obligaciones de transparencia del artículo 50, que son las más visibles para clientes, empleados y usuarios. En síntesis: quien opere chatbots o sistemas que interactúan con personas debe informar de que se está interactuando con una IA; los proveedores de sistemas generativos deben marcar el contenido sintético en formato legible por máquina; quien difunda deepfakes o textos de interés público generados por IA debe revelarlo.
La obligación de marcado técnico del artículo 50.2 cuenta con una transición específica para determinados sistemas ya en el mercado, pero el sector ya se está moviendo: el mejor ejemplo es el anuncio de Anthropic de que incorporará marcas de agua invisibles a los textos generados por sus modelos Claude precisamente para cumplir el Código de Transparencia europeo.
Cuando los grandes proveedores marcan su contenido, la pregunta se traslada a cada empresa usuaria: ¿tus avisos, tus etiquetas y tus procesos internos están a la altura?
A este bloque dedicaremos el tercer artículo de esta serie, con ejemplos de avisos válidos.
Segundo, el régimen sancionador y las autoridades de supervisión quedan plenamente operativos: los Estados miembros tienen designadas sus autoridades y las multas pueden alcanzar los 35 millones de euros o el 7 % de la facturación anual global para las infracciones más graves.
La era del cumplimiento voluntario ha terminado.
Tercero, se mantienen y refuerzan los bloques ya vigentes: las prácticas prohibidas del artículo 5 —a las que el Ómnibus añade nuevas prohibiciones, señaladamente la relativa a imágenes íntimas no consentidas, exigible desde el 2 de diciembre de 2026—, la supervisión de los modelos de IA de propósito general (GPAI) con una Oficina Europea de IA con competencias ampliadas, y la alfabetización en IA del artículo 4.
La redacción de esta última obligación ha sido matizada por el Ómnibus: ya no se exige garantizar un nivel concreto de competencia, sino adoptar medidas que la apoyen. Sigue siendo, en la práctica, una obligación de formación documentada; le dedicaremos el cuarto artículo de la serie.
Qué debe hacer tu empresa ahora: cinco pasos
1. Inventario
No se puede cumplir lo que no se ha mapeado. Identifica qué sistemas de IA usa tu empresa —incluidos los integrados en herramientas de terceros— y clasifícalos por función y riesgo.
Es el objeto del segundo artículo de esta serie.
2. Determina tu rol respecto de cada sistema
Las obligaciones del AI Act dependen de si eres proveedor, responsable del despliegue, importador o distribuidor, y una misma empresa puede ocupar roles distintos respecto de sistemas distintos.
Este análisis es previo a cualquier plan de cumplimiento.
3. Pon al día la transparencia
Revisa los avisos en chatbots y asistentes, el etiquetado del contenido generado con IA que publiques y la coherencia entre lo que dicen tus políticas y lo que hacen tus equipos.
Es lo primero que verá un cliente —y un inspector—.
4. Documenta la formación
El artículo 4 exige medidas de alfabetización proporcionadas al uso que tu plantilla hace de la IA.
Un plan de formación breve, adaptado por perfiles y documentado, cubre la obligación y reduce riesgos operativos reales.
5. Revisa los contratos con tus proveedores de IA
Quién responde de qué, qué garantías de cumplimiento se ofrecen y qué información recibirás para cumplir tus propias obligaciones.
Si tu empresa integra APIs de modelos de terceros en sus productos, este punto es crítico y le dedicaremos un artículo específico.
El calendario, en limpio
Desde el 2 de agosto de 2026: transparencia del artículo 50, autoridades y sanciones, supervisión GPAI y —ya vigentes de antes— prácticas prohibidas y alfabetización.
Desde el 2 de diciembre de 2026: nuevas prohibiciones incorporadas por el Ómnibus.
Desde el 2 de diciembre de 2027: requisitos de los sistemas de alto riesgo del Anexo III.
Desde el 2 de agosto de 2028: IA integrada en productos regulados del Anexo I.
Conclusión
El Ómnibus Digital ha dado aire a los proyectos de alto riesgo, pero ha dejado intacto —y ya exigible— todo lo que afecta al uso diario de la IA en la empresa.
La lectura correcta del momento no es «tenemos hasta 2027», sino «las obligaciones visibles ya están en vigor y las técnicas tienen fecha cierta».
Las empresas que ordenen ahora su inventario, su transparencia y su formación afrontarán 2027 con el trabajo hecho; las que interpreten la reforma como una pausa llegarán tarde dos veces.
En Ferrer-Bonsoms & Sanjurjo acompañamos a empresas tecnológicas y usuarias de IA en todo el ciclo de cumplimiento del AI Act: inventario y clasificación de sistemas, políticas de transparencia, planes de alfabetización y revisión de contratos con proveedores.
Si quieres evaluar la situación de tu empresa, contacta con nuestro equipo.
Este artículo tiene finalidad informativa y no constituye asesoramiento jurídico. Para un análisis de tu caso concreto, contacta con nuestro equipo.