Qué ha cambiado desde la primera versión
Cuando publiqué este artículo en mayo, la fecha grande era el 2 de agosto de 2026. Ya no lo es para todo. El 24 de julio de 2026 se publicó en el Diario Oficial de la UE el Reglamento (UE) 2026/1744, conocido como Ómnibus Digital sobre IA, y entró en vigor el 27 de julio, justo antes de esa fecha.
Lo resumo en cinco cambios:
- Las obligaciones para sistemas de alto riesgo se retrasan a diciembre de 2027 y agosto de 2028.
- La transparencia no se retrasa: se aplica desde el 2 de agosto de 2026, con un margen corto solo para el marcado de contenido generado.
- La obligación de alfabetización en IA se suaviza.
- El trato especial para pymes se amplía a empresas algo más grandes.
- Se añaden dos prohibiciones nuevas.
Lo que no cambia: el AI Act sigue sin prohibir que uses IA en tu empresa. Clasifica los usos por nivel de riesgo y te pide más o menos cosas según el caso. Y casi todo lo que hace una pyme hoy con IA cae en la parte baja de esa escala.
Lo que ya se aplica hoy
- Desde el 2 de febrero de 2025: las prácticas prohibidas (puntuación social, manipulación, reconocimiento de emociones en el trabajo, entre otras) y la alfabetización en IA.
- Desde el 2 de agosto de 2025: las reglas para los modelos de IA de propósito general, los que hay detrás de ChatGPT, Copilot o Gemini, y el régimen de sanciones. Esas reglas las cumplen OpenAI, Microsoft, Google y compañía, no tú.
- Desde el 2 de agosto de 2026: las obligaciones de transparencia del artículo 50 y la aplicación general del reglamento, incluida la supervisión de la Oficina de IA de la Comisión sobre esos grandes modelos.
Para una pyme que usa IA, lo que hoy te toca de verdad es transparencia y formación. Lo demás, o no te aplica, o todavía no ha llegado.
Lo que viene y cuándo
| Fecha | Qué se aplica |
|---|---|
| 2 dic 2026 | Fin del margen para marcar el contenido generado por sistemas que ya estaban en el mercado antes de agosto de 2026. Entran también las dos prohibiciones nuevas: IA para crear imágenes íntimas sin consentimiento y material de abuso sexual infantil. |
| 2 ago 2027 | Cada país tiene que tener al menos un sandbox regulatorio en marcha (antes era agosto de 2026). |
| 2 dic 2027 | Alto riesgo del Anexo III: empleo, educación, crédito y servicios esenciales, biometría, infraestructuras críticas. |
| 2 ago 2028 | Alto riesgo del Anexo I: IA que forma parte de la seguridad de productos regulados, como maquinaria, juguetes o productos sanitarios. |
Para la mayoría de pymes, la próxima fecha que importa es diciembre de 2027, y solo si alguno de sus usos cae en alto riesgo. Pero un retraso no es una cancelación. Si un sistema tuyo filtra candidatos o evalúa a clientes, preparar la documentación, la supervisión humana y los registros lleva meses. Diciembre de 2027 está más cerca de lo que parece.
Si solo usas herramientas de IA
Es el caso de casi todas las pymes que conozco: Copilot en Office, ChatGPT para redactar, la función de IA que tu ERP o tu CRM ha estrenado en la última actualización. En el lenguaje del reglamento eres un "responsable del despliegue": usas un sistema que ha hecho otro. Esto es lo que te toca:
- Transparencia con tus clientes. Si tienes un chatbot en la web o en WhatsApp, la persona tiene que saber que habla con una IA. La obligación formal es de quien lo fabrica, pero quien da la cara eres tú: comprueba que el aviso está activado. Si publicas imágenes, vídeo o audio generados que parecen reales, tienes que decirlo. Y si publicas textos generados por IA para informar al público sobre temas de interés general sin revisión humana, también. Un artículo que tú has revisado y firmas con tu nombre no entra ahí.
- Formación del equipo. Con el Ómnibus ya no tienes que "garantizar" un nivel suficiente de alfabetización en IA, sino tomar medidas para fomentarlo. Es menos carga de prueba, pero la idea sigue igual: quien usa la herramienta tiene que saber qué hace y dónde falla.
- Vigilar los usos que cambian de categoría. Si usas ChatGPT para resumir correos, estás en riesgo mínimo. Si lo usas para ordenar currículums y decidir a quién llamas, estás en alto riesgo, aunque la herramienta sea la misma. Lo que cuenta es el uso, no la marca.
Y algo que se olvida a menudo: el AI Act no sustituye al RGPD. Si metes datos personales de clientes o empleados en una herramienta de IA, las reglas de protección de datos siguen ahí, igual que antes.
Si construyes o despliegas IA de alto riesgo
Aquí el trabajo es serio. Alto riesgo es, sobre todo, IA que toma o condiciona decisiones sobre personas: selección y evaluación de personal, acceso a crédito o a servicios esenciales, educación. También la IA que forma parte de la seguridad de un producto regulado, algo que afecta a muchos fabricantes industriales.
Si despliegas un sistema de alto riesgo que ha hecho otro, a partir de diciembre de 2027 tendrás que usarlo según sus instrucciones, poner a una persona con criterio a supervisarlo, vigilar que los datos que le das son adecuados, guardar los registros que genera y avisar a tus trabajadores antes de usarlo en el entorno laboral.
Si lo construyes tú, le pones tu marca a un sistema de otro o lo modificas a fondo, pasas a ser proveedor. Eso implica gestión de riesgos, gobernanza de los datos de entrenamiento, documentación técnica, evaluación de conformidad y registro en la base de datos de la UE. Si crees que tu sistema está en un área del Anexo III pero no es de alto riesgo, por ejemplo porque solo hace una tarea preparatoria, puedes justificarlo, pero tendrás que registrarlo igualmente con un procedimiento simplificado. En este caso sí te recomiendo asesoramiento legal desde el principio.
El alivio para pymes, después del Ómnibus
El reglamento ya tenía un trato especial para pymes y el Ómnibus lo amplía a las "pequeñas empresas de mediana capitalización": hasta 750 personas y hasta 150 millones de euros de facturación (o 129 millones de balance). Si tu empresa ha crecido y ya no es pyme, es probable que siga teniendo alivio.
- Documentación técnica simplificada y un sistema de calidad proporcionado a tu tamaño.
- Multas con un tope más bajo: se aplica la cantidad menor entre el importe fijo y el porcentaje de facturación, y se tiene en cuenta la viabilidad económica de la empresa.
- Acceso prioritario a los sandboxes, los entornos de prueba supervisados. Habrá uno europeo gestionado por la Oficina de IA y cada país tendrá el suyo antes de agosto de 2027. En España, la AESIA, la agencia que supervisa la IA, ha publicado además 16 guías prácticas gratuitas.
Para que te hagas una idea, las multas llegan a 35 millones de euros o el 7% de la facturación mundial por prácticas prohibidas, y a 15 millones o el 3% por incumplir las obligaciones de alto riesgo o de transparencia. Para una pyme cuenta el importe menor, pero sigue sin ser una cifra para tomársela a broma. El alivio existe, pero no llega solo: hay que conocerlo y pedirlo.
El trabajo de verdad es de datos
Y aquí va mi parte, la que casi nadie te cuenta. Casi todo lo que el AI Act te va a pedir (saber qué datos usa tu IA, de dónde salen, si están sesgados, poder explicar una decisión, llevar un registro) es, en el fondo, gobernanza de datos. Si tienes claro qué datos alimentan cada sistema, con qué calidad y con qué definición, cumplir es básicamente documentarlo.
El problema aparece cuando tus datos están repartidos en quince Excels y nadie sabe de dónde sale cada número. En ese caso el problema no es la ley: es que no tienes control sobre tu propia información, y la ley solo te lo ha puesto delante.
El AI Act no te obliga a entender tus datos. Te obliga a demostrar que los entiendes. Y eso solo se puede fingir hasta que alguien pregunta.
Tu lista práctica
- Haz inventario de tus usos de IA. Incluye lo que entra por la puerta de atrás: el comercial que usa ChatGPT por su cuenta, el copiloto que tu CRM activó sin avisar. Una hoja con la herramienta, para qué se usa, quién la usa y qué datos recibe.
- Clasifica el riesgo de cada uso. Una pregunta basta para empezar: ¿toma o influye en decisiones sobre personas, o forma parte de la seguridad de un producto? Si la respuesta es sí, márcalo y busca asesoramiento con tiempo.
- Forma a tu equipo. Una sesión práctica sobre las herramientas que se usan en tu empresa y una guía interna de una página. Guarda constancia de quién la ha hecho.
- Revisa la transparencia con clientes. Aviso visible en el chatbot, etiqueta en el contenido generado que parezca real y una línea en tu política de privacidad sobre qué IA usas.
- Ordena los datos que alimentan cada sistema. De dónde salen, quién los mantiene y con qué definición. Es la base de todo lo anterior, y es útil con ley o sin ella.
La conclusión
El Ómnibus te ha dado más tiempo para el alto riesgo, no una excusa para parar. Lo que ya se aplica a casi todas las pymes es poco y razonable: avisar cuando hay IA de por medio y que tu equipo sepa lo que usa. La pyme que aproveche este margen para saber qué IA tiene y con qué datos no solo va a cumplir en 2027. Va a decidir mejor que su competencia desde ya.
Actualizado en octubre de 2026. Este artículo es informativo y no es asesoramiento legal: para tu caso concreto, consúltalo con un abogado.
Fuentes
- Reglamento (UE) 2026/1744, Ómnibus Digital sobre IA (EUR-Lex)
- Reglamento (UE) 2024/1689, Reglamento de Inteligencia Artificial (EUR-Lex)
- Comisión Europea: marco regulador de la IA
- AESIA: guías para cumplir el Reglamento de IA
- Cuatrecasas: Digital Omnibus on AI, key changes to the AI Act
- Cooley: Digital AI Omnibus delays key deadlines, introduces new rules
- White & Case: EU AI Omnibus enters into force
- Abreu Advogados: the key amendments to the AI Act