Ni moratoria ni aplicación completa: el calendario real del Reglamento de IA
Durante el verano ha circulado la idea de que Europa había aplazado su Reglamento de Inteligencia Artificial. No es exacto, y la confusión puede salir cara. Lo que se ha aplazado es un bloque concreto de obligaciones; el resto de la norma es Derecho aplicable desde el pasado 2 de agosto.
Conviene ordenar las fechas, porque la pregunta útil no es «¿está en vigor el Reglamento?», sino «¿qué artículo me afecta a mí y desde cuándo?».
De dónde venimos
El Reglamento (UE) 2024/1689 entró en vigor el 1 de agosto de 2024 con aplicación escalonada.
Desde el 2 de febrero de 2025 son exigibles las prohibiciones de determinadas prácticas y la obligación de alfabetización en IA. Desde el 2 de agosto de 2025 se aplican las obligaciones de los modelos de propósito general.
El 2 de agosto de 2026 estaba señalado como la fecha de aplicación general. Tres semanas antes, el Reglamento (UE) 2026/1744, conocido como Ómnibus Digital sobre IA, modificó el calendario. Fue aprobado por el Parlamento Europeo el 16 de junio de 2026 y por el Consejo el 29 de junio, y entró en vigor el 27 de julio.
Qué se ha aplazado
Únicamente las obligaciones de los sistemas de alto riesgo, que son las más exigentes: sistema de gestión de riesgos, gobernanza de datos, documentación técnica, registro de eventos y supervisión humana.
- Sistemas de alto riesgo del Anexo III, los que se emplean en ámbitos como empleo, educación, biometría, banca, sanidad, infraestructuras críticas o acceso a servicios esenciales: pasan al 2 de diciembre de 2027.
- Sistemas de alto riesgo integrados en productos sujetos a legislación de seguridad, como maquinaria o productos sanitarios: hasta el 2 de agosto de 2028.
El motivo del aplazamiento es práctico: las normas técnicas armonizadas que debían permitir acreditar el cumplimiento no estaban listas. Los requisitos no se han rebajado; solo se ha movido la fecha en que resultan exigibles.
Qué obliga desde el 2 de agosto de 2026
Lo más relevante para la mayoría de las empresas, que no fabrican sistemas de alto riesgo pero sí utilizan IA en su actividad diaria, son las obligaciones de transparencia:
- Avisar cuando se interactúa con una IA. Si su web tiene un chatbot, el usuario debe saber que está hablando con un sistema automatizado y no con una persona.
- Identificar el contenido generado o manipulado con IA. Incluye imágenes, audio y vídeo sintéticos, con un régimen específico para los llamados deepfakes y para los textos sobre asuntos de interés público.
- Informar en los sistemas de reconocimiento de emociones o de categorización biométrica a las personas expuestas a ellos.
Se aplican además las reglas de vigilancia del mercado. En España la autoridad competente es la Agencia Española de Supervisión de la Inteligencia Artificial.
Y una obligación que muchas empresas siguen sin cumplir
La alfabetización en IA es exigible desde febrero de 2025. Quien desarrolla o utiliza sistemas de IA debe garantizar que su personal cuente con un nivel suficiente de formación para entender qué hace la herramienta, cuáles son sus límites y qué riesgos comporta. No es una recomendación: es una obligación con más de un año de vigencia.
Qué conviene hacer ahora
- Inventariar qué sistemas de IA se utilizan en la organización, incluidos los contratados a terceros.
- Determinar el papel que se juega respecto de cada uno: proveedor o responsable del despliegue, porque las obligaciones son distintas.
- Revisar la clasificación de riesgo. El aplazamiento no borra la clasificación: lo que será alto riesgo en diciembre de 2027 ya lo es conceptualmente hoy, y los contratos que se firmen ahora deberían contemplarlo.
- Cumplir ya la capa de transparencia y acreditar la formación del personal.
Y tener presente que el Reglamento de IA no sustituye al Reglamento General de Protección de Datos: cuando el sistema trata datos personales, ambos se aplican de forma acumulativa.
