Pocas normativas han suscitado en los últimos años tantas preguntas como el Reglamento europeo de inteligencia artificial. En el verano de 2026 se sumó otra: con un reglamento de modificación, surgido en el marco del llamado ómnibus digital, la UE ha aplazado plazos clave. La modificación se publicó a finales de julio de 2026 en el Diario Oficial y entró en vigor poco antes de la fecha límite original del 2 de agosto de 2026. Este artículo explica qué ha cambiado y qué no.
El calendario de un vistazo
El Reglamento de IA entró en vigor el 1 de agosto de 2024 y se aplica desde entonces por etapas. Tras la modificación, el calendario queda así:
| Desde | Qué se aplica |
|---|---|
| 2 de febrero de 2025 | Prohibición de determinadas prácticas de IA, obligación de alfabetización en materia de IA |
| 2 de agosto de 2025 | Normas para modelos de IA de uso general, gobernanza, sanciones |
| 2 de agosto de 2026 | Aplicación general, incluidas las obligaciones de transparencia para determinados sistemas de IA |
| Principios de diciembre de 2026 | Fin de un breve periodo transitorio para el marcado legible por máquina en sistemas generativos que ya se ofrecían antes de agosto de 2026 |
| 2 de diciembre de 2027 | Obligaciones para sistemas de alto riesgo independientes según el anexo III |
| 2 de agosto de 2028 | Obligaciones para la IA de alto riesgo en productos que ya están sujetos a la normativa de productos de la UE según el anexo I |
Originalmente, las obligaciones de alto riesgo del anexo III debían aplicarse ya en agosto de 2026, y las del anexo I en agosto de 2027. El aplazamiento se justificó sobre todo porque las normas armonizadas y las directrices en las que deben apoyarse las empresas no estuvieron listas a tiempo.
Qué más aporta la modificación
- Alfabetización en materia de IA, reformulada. La obligación se mantiene, pero con otra redacción. Los proveedores y los responsables del despliegue deben adoptar medidas para fomentar la competencia de su personal. Ya no tienen que garantizar un nivel determinado. Aun así, conviene acreditar las medidas, por ejemplo con evidencias de formación y normas de uso.
- Facilidades para empresas más pequeñas. Las simplificaciones que hasta ahora estaban reservadas a las pequeñas y medianas empresas, por ejemplo en la documentación técnica y la gestión de la calidad, se aplican ahora también a las pequeñas empresas de mediana capitalización que han superado los umbrales de pyme.
Quién tiene que hacer qué
El Reglamento distingue sobre todo dos funciones. Los proveedores desarrollan un sistema de IA o encargan su desarrollo y lo comercializan con su propio nombre. Los responsables del despliegue utilizan un sistema de IA bajo su propia responsabilidad. La mayoría de las empresas son responsables del despliegue; muchas empresas de software son ambas cosas.
Para los responsables del despliegue rigen ya hoy dos cosas, con independencia de la clase de riesgo: medidas de alfabetización en materia de IA y transparencia en determinados casos, por ejemplo cuando se generan contenidos que parecen auténticos. Si se utilizan sistemas de alto riesgo, por ejemplo en la selección de personal o en la evaluación de la solvencia, a partir de diciembre de 2027 se añaden otras obligaciones, entre ellas sobre supervisión humana, registro de eventos e información a las personas afectadas.
A los proveedores de sistemas de alto riesgo les corresponde mucho más: gestión de riesgos a lo largo del ciclo de vida, requisitos sobre los datos de entrenamiento, documentación técnica, sistema de gestión de la calidad, evaluación de la conformidad y registro. La experiencia muestra que su implantación dura más de un año. El tiempo ganado se agota, por tanto, rápidamente.
Supervisión en Alemania
Con la ley alemana de aplicación del Reglamento de IA, aprobada por el Bundestag y el Bundesrat en el verano de 2026, la Agencia Federal de Redes de Alemania (Bundesnetzagentur) es la autoridad central de vigilancia del mercado. Las autoridades sectoriales, como la autoridad federal alemana de supervisión financiera (BaFin) en el sector financiero, mantienen competencias en sus ámbitos. Para los modelos de IA de uso general sigue siendo competente la Oficina de IA de la Comisión Europea.
Cinco pasos para los próximos meses
- Crear un inventario de IA. ¿Qué sistemas utiliza u ofrece, para qué y con qué datos?
- Determinar la función y la clase de riesgo. Para cada sistema: proveedor o responsable del despliegue, práctica prohibida, alto riesgo, obligación de transparencia o riesgo bajo. Dejar constancia de la justificación.
- Acreditar la alfabetización en materia de IA. Formaciones y normas de uso adecuadas a la tarea y al sistema, con evidencia.
- Revisar la transparencia. ¿Dónde generan sus sistemas contenidos o interactúan con personas? ¿Se han implantado los avisos y el marcado?
- Planificar los proyectos de alto riesgo. Calcular hacia atrás desde diciembre de 2027 o agosto de 2028 y fijar hitos. Un sistema de gestión conforme a la ISO/IEC 42001 puede servir de marco.
Qué significa esto para usted
El aplazamiento solo afecta a las obligaciones de alto riesgo. Las prohibiciones, la alfabetización en materia de IA y la transparencia ya se aplican y afectan a casi todas las empresas. Aproveche el tiempo adicional para establecer correctamente el inventario y la clasificación. Si ofrece sistemas de alto riesgo, debería empezar ahora con la gestión de riesgos y la documentación. En caso de duda, compruebe las fechas exactas y las reglas transitorias en el texto vigente del Reglamento.
En Sightadel lleva el inventario de IA, documenta las clasificaciones con su justificación y adjunta evidencias sobre alfabetización y transparencia. Más información en las páginas sobre el EU AI Act y la ISO/IEC 42001. Pruébelo usted mismo: Pruébelo gratis 14 días.
Revisado a: 8 de octubre de 2026 · No constituye asesoramiento jurídico. Prevalece la norma o la ley en su versión vigente.
