El Reglamento de IA de la UE en 2026: lo que realmente se aplica, tras el omnibus digital

El Reglamento (UE) 2024/1689, el Reglamento de IA de la UE, entró en vigor el 1 de agosto de 2024. Se aplica por etapas. Las prácticas prohibidas y las obligaciones de alfabetización en IA entraron en aplicación el 2 de febrero de 2025. Las obligaciones sobre modelos de IA de uso general, gobernanza y sanciones entraron en aplicación el 2 de agosto de 2025.

El siguiente hito, las obligaciones para los sistemas de IA de alto riesgo previstas en el capítulo III del reglamento, debía aplicarse el 2 de agosto de 2026. No ocurrió en esa fecha. El 24 de julio de 2026, el omnibus digital sobre IA, el Reglamento (UE) 2026/1744, se publicó en el Diario Oficial y entró en vigor tres días después, seis días antes del plazo original.

Qué se movió, y qué no

El omnibus aplaza las obligaciones de alto riesgo en dos etapas. Los sistemas de alto riesgo independientes enumerados en el anexo III, que cubren usos como la contratación, la gestión de trabajadores, la evaluación de solvencia, la biometría y la educación, quedan ahora bajo el capítulo III a partir del 2 de diciembre de 2027 en lugar del 2 de agosto de 2026. Los sistemas de alto riesgo integrados en productos regulados del anexo I, como dispositivos médicos o maquinaria, se aplazan al 2 de agosto de 2028.

• Las prácticas prohibidas del artículo 5, en vigor desde el 2 de febrero de 2025, permanecen sin cambios.
• Las obligaciones sobre modelos de IA de uso general, la documentación de transparencia y la evaluación del riesgo sistémico para los modelos más potentes, en vigor desde el 2 de agosto de 2025, permanecen sin cambios.
• Las obligaciones de transparencia del artículo 50, revelar la interacción con una IA y marcar los contenidos sintéticos, entraron en aplicación según lo previsto el 2 de agosto de 2026 y no se aplazaron.
• Una nueva prohibición sobre las herramientas de IA que generan imágenes íntimas no consentidas o material de abuso sexual infantil, añadida por el mismo omnibus, se aplica a partir del 2 de diciembre de 2026.

Por qué el aplazamiento no significa ausencia de exposición

Una obligación aplazada no es una obligación cancelada. Las organizaciones que ponen un sistema de IA en el mercado de la UE, dondequiera que estén establecidas, incluidos los proveedores suizos y otros proveedores no pertenecientes a la UE, siguen sujetas a las obligaciones ya vigentes: prácticas prohibidas, transparencia hacia los usuarios que interactúan con un sistema de IA y, para los proveedores de modelos de uso general, documentación y evaluación de riesgos. Los dieciocho meses adicionales concedidos para los sistemas de alto riesgo son tiempo de preparación, no tiempo de exención.

La pregunta de clasificación que toda organización que usa IA aún debe responder

Independientemente del calendario, el Reglamento de IA exige a todo proveedor o desplegador que clasifique cada sistema de IA que desarrolla o utiliza: prohibido, de alto riesgo, de riesgo limitado con obligaciones de transparencia, o de riesgo mínimo. Ese ejercicio de clasificación, y las pruebas que lo respaldan, es lo que un comprador, un asegurador o un inversor pedirá mucho antes de diciembre de 2027. El aplazamiento movió el plazo de cumplimiento. No movió el de la diligencia debida.

“Las organizaciones que ya saben cuál de sus sistemas de IA es de alto riesgo, y por qué, no son las que el omnibus fue escrito para proteger.”

— Aegryn

Aegryn Advisory acompaña a las organizaciones en la clasificación de sus sistemas de IA conforme al Reglamento de IA de la UE, en la documentación de la gobernanza y la evaluación de riesgos, y certifica el resultado bajo la dimensión Seguridad y Soberanía del CIFSO, antes del momento en que un comprador, un asegurador o un regulador pida pruebas.