Reglamento europeo de IA: qué se aplica realmente desde agosto de 2026 y qué se ha retrasado

El calendario inicial fijaba el 2 de agosto de 2026 como fecha de aplicación de las obligaciones sobre los sistemas de IA de alto riesgo. El paquete conocido como Digital Omnibus modificó ese plazo: las obligaciones de los sistemas autónomos del anexo III, que cubren la selección de candidaturas, la admisión escolar, la evaluación de solvencia o la gestión migratoria, se aplicarán el 2 de diciembre de 2027. Las de los sistemas integrados en productos ya regulados, como dispositivos médicos, juguetes o maquinaria, se sitúan el 2 de agosto de 2028. El retraso se justificó por la demora de las normas técnicas armonizadas y de las directrices de la Comisión, sin las cuales las empresas carecían de un marco de referencia exigible.

Es el punto que muchas empresas han pasado por alto. Desde agosto de 2026, un sitio web, un servicio de atención al cliente o una administración que utilice un agente conversacional debe advertir al usuario de que habla con una IA. Los contenidos generados o modificados por un sistema de IA deben llevar un marcado técnico que permita identificar su origen artificial, ya sean metadatos integrados, información de procedencia o una marca de agua. Y los contenidos sintéticos que representen personas o hechos reales deben señalarse de forma visible, para que el público entienda sin ambigüedad que no está viendo una escena auténtica.

Esto cambia la naturaleza del asunto. El incumplimiento de las obligaciones de transparencia puede sancionarse hasta con 15 millones de euros o el 3 % del volumen de negocio mundial: el importe más alto para una gran empresa y el más bajo para una pyme o una start-up (artículo 99 del reglamento). Recurrir a una práctica prohibida por el reglamento expone a 35 millones de euros o el 7 % del volumen de negocio anual. La Comisión Europea ha obtenido además un poder de supervisión directa sobre los proveedores de grandes modelos, con la posibilidad de solicitarles información y de sancionarlos.

Desde el 2 de febrero de 2025, una empresa que despliega sistemas de IA debe poder demostrar que sus equipos han sido sensibilizados sobre las posibilidades, los límites y los riesgos de estas herramientas. Esta obligación no exige auditoría externa ni certificación: una sesión de sensibilización documentada, una nota de encuadre interna y un registro de quién ha sido formado bastan para acreditar su cumplimiento. Es probablemente la mejor relación entre esfuerzo exigido y riesgo cubierto, y es la línea que con más frecuencia encontramos ausente.

Desplegar Microsoft 365 Copilot no le convierte en operador de un sistema de alto riesgo, por lo que el retraso a diciembre de 2027 probablemente no le afecta. Lo que sí le afecta ya se aplica: la sensibilización de los usuarios, la transparencia si expone un agente conversacional a sus clientes, y el marcado de los contenidos que publica tras generarlos. A ello se añade una exigencia de sentido común que el reglamento hace útil documentar: saber qué usos de IA existen realmente en la empresa, incluidos los que nadie ha validado.

El retraso es reciente y varias páginas de referencia, incluidas institucionales, siguen mostrando el calendario antiguo con el 2 de agosto de 2026 como fecha de aplicación de las obligaciones de alto riesgo. Si construye un plan de cumplimiento o decide un presupuesto sobre esa base, corre el riesgo de provisionar en 2026 un trabajo exigible solo en 2027 o, peor, de dar por aplazado todo cuando la transparencia y las sanciones sí están en vigor. Compruebe la fecha de actualización de sus fuentes antes de decidir.