La última semana he recibido siete llamadas idénticas. Directivos, responsables de compliance y algún socio de despacho me preguntan si el Reglamento (UE) 2024/1689 "se ha caído" y si conviene parar el proyecto interno de gobernanza. Todos habían leído el mismo titular. Ninguno había leído el texto de la propuesta.
Vamos a ordenar esto de una vez. El AI Act no se ha aplazado. Lo que Bruselas ha publicado en el DOUE el 8 de julio de 2026 dentro del paquete Ómnibus Digital (Reglamento (UE) 2026/1744) afecta a piezas concretas del calendario, no a la norma completa. Y ahí es donde muchas empresas están tomando una decisión que les va a salir cara, pensando que se ha retrasado el AI Act que se aplaza y que no y que deben frenar sus proyectos.
El titular engañoso: por qué decir que "se ha aplazado el AI Act" es falso
¿Se ha aplazado el AI Act? Respuesta corta: no, solo se han desplazado las fechas de exigibilidad del bloque de sistemas de alto riesgo del Anexo III hacia 2027-2028. Todo lo demás (prácticas prohibidas, alfabetización, transparencia y régimen de modelos de propósito general) sigue plenamente vigente o entra el 2 de agosto de 2026. Confundir esto con una moratoria general cuesta caro.
Cuando un medio publica "Bruselas retrasa el reglamento de IA", la mayoría entiende: no hay que hacer nada hasta 2027. Y ese es el problema.
El reglamento entró en vigor el 1 de agosto de 2024. Desde el 2 de febrero de 2025 son plenamente aplicables dos capítulos que no se han movido ni un día: el catálogo de prácticas prohibidas y la obligación de alfabetización en IA del artículo 4. En agosto de 2025 arrancaron las obligaciones para modelos de propósito general. Nada de eso está sujeto a discusión en el Ómnibus Digital.
Lo que la propuesta de la Comisión sí toca es el bloque de sistemas de alto riesgo del Anexo III, que iba a ser exigible desde agosto de 2026. Y ahí está la trampa del titular: como ese bloque es el que más ruido mediático genera, el resumen periodístico se traga la norma entera.
Lo que el Ómnibus Digital cambia realmente (y lo que deja intacto)
He estado leyendo el texto de la propuesta en paralelo al articulado original. La modificación es quirúrgica, no estructural. No se elimina ni una sola obligación material; se desplazan las fechas de exigibilidad de una parte concreta, se simplifica documentación para pymes y mid-caps, se refuerza el papel de la Oficina Europea de IA y se incorporan al artículo 5 dos nuevas prácticas prohibidas: la generación de imágenes íntimas no consentidas y el material de abuso sexual de menores generado por IA. Y aun así, la lectura empresarial que estoy escuchando en foros y comités es "tenemos dos años más para todo". No.
Aquí lo tienes en formato tabla, tal cual lo llevo a los consejos directivos:
| Obligación | Fecha original | Fecha nueva (Ómnibus) |
|---|---|---|
| Prácticas prohibidas (art. 5) | 2 feb 2025 | Sin cambios (+ ampliación de supuestos) |
| Alfabetización IA (art. 4) | 2 feb 2025 | Sin cambios |
| Modelos de propósito general (GPAI) | 2 ago 2025 | Sin cambios |
| Transparencia (art. 50) | 2 ago 2026 | Sin cambios |
| Sistemas de alto riesgo (Anexo III) | 2 ago 2026 | Escalonado 2027-2028 |
| Régimen sancionador alto riesgo | 2 ago 2026 | Alineado con nueva exigibilidad |
Las obligaciones desplazadas a 2027 y 2028
El corazón del aplazamiento está aquí. Los sistemas listados en el Anexo III (currículums filtrados por IA, scoring crediticio automatizado, evaluación de estudiantes, gestión de trabajadores, biometría de identificación remota diferida, entre otros) ven su fecha de plena aplicación desplazada. Bruselas escalona entre finales de 2027 y agosto de 2028 la exigibilidad completa, condicionando el retraso a que los estándares armonizados estén disponibles.
También se retocan plazos vinculados al régimen sancionador para ese mismo bloque y algunos requisitos de registro en la base de datos europea. Nada más. Lo demás sigue en su sitio.
Lo que sigue plenamente vigente desde 2025 y agosto de 2026
Aquí está la lista corta que llevo a cada reunión de consejo:
- Prácticas prohibidas del artículo 5: aplicables desde febrero de 2025 (ahora con dos supuestos nuevos).
- Alfabetización en IA (art. 4): exigible a proveedores y usuarios desde febrero de 2025.
- Modelos de propósito general (GPAI): obligaciones activas desde agosto de 2025.
- Transparencia del artículo 50 (chatbots, deepfakes, contenido sintético): 2 de agosto de 2026, sin cambios.
- Régimen de gobernanza nacional (AESIA en España, ya operativa): funcionando.
Todo esto se ha quedado exactamente donde estaba. Cualquier organización que use ChatGPT, Copilot, Gemini o cualquier asistente generativo integrado en su operativa diaria está bajo el paraguas del artículo 4 desde hace meses. Y muchas ni siquiera lo saben.
Cinco creencias erróneas que están costando dinero a las empresas
Voy a ser directo. En los últimos tres meses he auditado nueve empresas que habían decidido "esperar a ver qué pasa". Cinco de ellas ya estaban en incumplimiento formal antes incluso de que llegara el Ómnibus. Estas son las creencias que me repiten y que hay que desmontar sin diplomacia.
Creencia 1: "Si no desarrollo IA, la norma no me aplica". Falso de manera flagrante. La figura del deployer (usuario profesional del sistema) es tan responsable como el proveedor. Si tu equipo comercial usa un asistente generativo para redactar propuestas, tu empresa es deployer. Y tiene obligaciones.
Creencia 2: "La alfabetización en IA es un curso online rápido". El artículo 4 exige un nivel de competencia adaptado al rol, al contexto y al riesgo. Un tutorial de veinte minutos no cumple. Lo que exige la norma es evidencia documental: qué formación, a quién, con qué contenido y con qué evaluación.
Creencia 3: "Como el alto riesgo se aplaza, no hay que clasificar nada". Al revés. Precisamente porque el alto riesgo se aplaza, tienes margen para clasificar bien y decidir si sales del Anexo III con un rediseño. Si esperas a 2027 con la clasificación sin hacer, llegarás tarde a corregir arquitectura.
Creencia 4: "Las sanciones son teóricas". Hasta 35 millones de euros o el 7% de la facturación global anual, lo que sea mayor, para las infracciones más graves. La AESIA ya está diseñando su régimen inspector. Es preferible no comprobarlo en carne propia.
Creencia 5: "Ya nos avisará el proveedor cuando toque". ¿En serio? Tu proveedor de software cubre sus obligaciones, no las tuyas como deployer. Son dos regímenes distintos con dos expedientes distintos.
Prácticas prohibidas y transparencia: la zona donde nadie ha aflojado
Esta es probablemente la parte más ignorada del debate público. El catálogo del artículo 5 (manipulación subliminal, explotación de vulnerabilidades, scoring social por autoridades públicas, categorización biométrica sensible, extracción no dirigida de imágenes faciales, reconocimiento emocional en trabajo y educación, y policía predictiva basada en perfilado, más los dos supuestos añadidos por el Ómnibus) está en vigor y no admite plazos de gracia. ¿Qué pasa si algún módulo de tu CRM "infiere estado emocional del cliente"? Bandera roja inmediata.
El artículo 50, que exige informar cuando el usuario interactúa con un sistema automatizado o cuando un contenido ha sido generado o alterado por IA, se aplica desde el 2 de agosto de 2026. Sin retraso. Y afecta a cualquier chatbot de atención al cliente, a cualquier vídeo con clonación de voz, a cualquier imagen sintética con carga informativa relevante. Aquí es donde muchas agencias creativas se van a llevar el susto del año.
Y sin embargo, en el 80% de las auditorías que hago abro el manual del sistema y no encuentro ni una línea sobre cómo se cumple con el deber de transparencia. Ni una.
Por qué el retraso del alto riesgo no es una tregua, sino un examen más largo
¿De verdad crees que Bruselas está regalando meses? El motivo del aplazamiento no es benevolencia. Es pragmatismo: los estándares armonizados que van a servir de base para el marcado CE de sistemas de alto riesgo (los que trabaja CEN-CENELEC junto a JTC 21) no estarán listos antes de finales de 2026. Sin estándares, no hay conformidad demostrable. Y sin conformidad demostrable, la aplicación en 2026 habría sido un caos jurídico.
Traducción para el consejo de administración: cuando lleguen los estándares, se te va a exigir cumplirlos con nivel de detalle industrial. Documentación técnica, evaluación de conformidad, sistema de gestión de riesgos, gobernanza de datos, registros automáticos, supervisión humana efectiva, robustez y ciberseguridad. Todo por escrito. Todo demostrable. Todo auditable.
Los meses ganados son para prepararse, no para escaquearse. En dos años, quien no haya diseñado el sistema con conformidad integrada, tendrá que reingeniarlo. Y eso cuesta entre cinco y quince veces más que hacerlo bien la primera vez.
Qué debería hacer tu organización antes de agosto de 2026
Cuando entro a hacer una implantación de gobernanza en una pyme o mid-cap, el orden que sigo es siempre el mismo y funciona. La regla es: primero lo que ya se exige, luego lo que se exigirá pronto, después lo demás. Si te preocupa cómo estructurar un plan realista para cumplir el AI Act en tu empresa, este es el marco operativo que aplicamos con clientes que ya están construyendo su expediente antes de que aprieten los inspectores.
Si eres pyme o mid-cap: dónde has ganado margen real
Has ganado tiempo para dos cosas concretas. La primera: clasificar tus sistemas actuales y futuros. Un buen inventario te va a decir cuáles son de riesgo limitado (transparencia), cuáles rozan el alto riesgo (Anexo III) y cuáles están prohibidos de raíz. La segunda: rediseñar antes de que sea tarde. Si un caso de uso te cae en alto riesgo y tienes margen para modificar la finalidad o la arquitectura, sales del régimen exigente. Es más barato pivotar que certificar.
Lo que no has ganado: margen para saltarte la alfabetización, saltarte el inventario o saltarte la política de uso interno. Todo eso lo necesitas ya. Sin excepciones.
Si desarrollas o integras IA de propósito general: los plazos que no se mueven
Aquí no ha habido regalo. Las obligaciones para proveedores de modelos de propósito general llevan aplicándose desde agosto de 2025: documentación técnica, política de derechos de autor, resumen suficientemente detallado de los datos de entrenamiento, y para los modelos con riesgo sistémico, evaluación adversarial, mitigación y notificación de incidentes graves.
Si integras uno de esos modelos en tu producto, hereda cadena de responsabilidad. La documentación que te entrega el proveedor no te libera; te obliga a incorporarla a tu propio expediente. Y sí, tienes que revisarla. No basta con archivarla.
El error de esperar a 2027: consecuencias de leer mal el calendario
Total, que la lectura correcta es esta: el paquete Ómnibus mueve fechas dentro de un edificio que ya está construido y ocupado. Quien confunda "se ha movido el mobiliario del salón" con "se ha aplazado la mudanza entera" va a llegar a agosto de 2026 sin política de uso interno, sin inventario, sin alfabetización documentada y sin proceso de gestión de incidentes. Los cuatro elementos que un inspector va a pedir en la primera visita.
Y todavía peor: si esperas a 2027 para formar a la plantilla, cuando llegue la exigibilidad plena del alto riesgo tu equipo estará dos años por detrás del mercado. Los competidores que empezaron en 2025 ya habrán integrado la evaluación de riesgo en su ciclo de desarrollo. Tú estarás empezando el curso básico.
Recuerdo perfectamente el caso de una consultora mediana que en enero de 2025 decidió aplazarlo todo "hasta ver cómo evoluciona la cosa". Cuando en octubre les llegó un requerimiento de un cliente enterprise pidiéndoles evidencia de cumplimiento del artículo 4 para poder renovar el contrato, tuvieron que montar un plan de choque en seis semanas. Perdieron dos hitos comerciales por ir corriendo. Coste estimado: casi el doble de lo que habría supuesto empezar en marzo.
Mi recomendación es simple: trata el Ómnibus como lo que es, una revisión de calendario para una parte concreta del edificio normativo. Cumple hoy lo que ya se exige. Prepara lo que se exigirá pronto. Y aprovecha los meses ganados para rediseñar bien, no para descansar. Los que lean bien este calendario van a marcar diferencia competitiva. Los que lo lean mal van a pagar el error dos veces: una en sanción y otra en oportunidad perdida.
¿Se ha aplazado la norma? No. ¿Se han movido piezas? Sí, unas cuantas. ¿Puedes ignorarla hasta 2027? Ni de broma. La única postura sensata en este momento es abrir el articulado, hacer inventario y empezar a construir el expediente de medidas implantadas. Todo lo demás es procrastinación regulatoria con coste.
Preguntas frecuentes sobre el aplazamiento del AI Act
¿Se ha aplazado el AI Act?
No, no en su totalidad. El Reglamento (UE) 2024/1689 sigue vigente y en aplicación progresiva. El Ómnibus Digital de 2026 solo desplaza fechas de exigibilidad de una parte concreta: los sistemas de alto riesgo del Anexo III. Las prácticas prohibidas, la alfabetización, los modelos GPAI y la transparencia siguen su calendario original.
¿Qué obligaciones del AI Act se han retrasado?
Solo las asociadas a sistemas de alto riesgo del Anexo III y el régimen sancionador vinculado a ese bloque. Se escalona entre finales de 2027 y agosto de 2028, condicionado a que los estándares armonizados de CEN-CENELEC estén disponibles.
¿Cuándo entra en vigor el AI Act para sistemas de alto riesgo?
Con el Ómnibus, la exigibilidad plena del Anexo III se desplaza al periodo 2027-2028 en función de la categoría de sistema y de la publicación de estándares armonizados. Antes se preveía el 2 de agosto de 2026.
¿Qué es el Ómnibus Digital sobre IA?
Es el Reglamento (UE) 2026/1744, de 8 de julio de 2026, publicado en el DOUE. Amplía plazos del bloque de alto riesgo, simplifica obligaciones para pymes y mid-caps, refuerza la Oficina Europea de IA e incorpora dos nuevas prácticas prohibidas: imágenes íntimas no consentidas y material de abuso sexual de menores generado por IA.
¿Qué obligaciones del AI Act siguen vigentes en 2026?
El catálogo del artículo 5 (prácticas prohibidas), el artículo 4 (alfabetización en IA), las obligaciones para modelos de propósito general desde agosto de 2025 y el artículo 50 sobre transparencia de contenidos sintéticos y chatbots desde el 2 de agosto de 2026. Ninguna de estas piezas se ha tocado.