Aplazamiento de la Ley de IA europea: nuevas fechas hasta 2027 y menos burocracia para las empresas

Actualizado el 14 de octubre de 2026. El acuerdo ya es ley: el Reglamento (UE) 2026/1744 (Digital Omnibus sobre IA) se publicó en el DOUE el 24 de julio de 2026 y está en vigor desde el 27 de julio. He revisado todo el artículo con el texto definitivo.

El 7 de mayo de 2026 la Unión Europea cerró el acuerdo que media industria llevaba esperando: las obligaciones del AI Act para sistemas de alto riesgo se aplazan a 2 de diciembre de 2027 y 2 de agosto de 2028. El paquete, conocido como AI Omnibus, simplifica trámites, reduce carga administrativa para pymes y mid-caps, y prohíbe expresamente las apps de «nudificación».

Lo que ningún titular contaba, y lo que sigo viendo en las conversaciones con dirección, es que buena parte del AI Act no se ha movido: las prohibiciones, la alfabetización en IA, las obligaciones de los modelos de propósito general y la transparencia del artículo 50 ya se aplican. Mucha gente dio por hecho que el aplazamiento lo cubría todo. No lo cubre.

En este artículo te explico qué se ha aplazado, qué sigue corriendo igual, qué cambia de verdad para tu empresa y cómo planificar el cumplimiento sin que esto se convierta en un problema en 2027.

Qué es el aplazamiento de la Ley de IA europea

El aplazamiento de la Ley de IA europea es el Reglamento (UE) 2026/1744, conocido como Digital Omnibus sobre IA. La Comisión Europea lo propuso el 19 de noviembre de 2025, el Consejo y el Parlamento cerraron el acuerdo el 7 de mayo de 2026, el Parlamento lo aprobó el 16 de junio y el Consejo el 29 de junio. Se publicó en el DOUE el 24 de julio y entró en vigor el 27 de julio de 2026, justo antes de la fecha del 2 de agosto que aplaza.

El objetivo es doble:

• Posponer las obligaciones de los sistemas de IA de alto riesgo porque ni los estándares armonizados ni las herramientas técnicas estaban listos para la fecha original (2 de agosto de 2026).
• Reducir la burocracia un 25 % para todas las empresas y un 35 % para pymes y mid-caps, como exige el informe Draghi de competitividad europea.

Es importante entender lo siguiente: el AI Act sigue en vigor. La estructura, las sanciones y la pirámide de riesgos no cambian. Lo único que se mueve son los plazos y algunos trámites.

Las nuevas fechas del AI Act tras el aplazamiento

En consecuencia, este es el calendario actualizado que toda empresa española debería tener pegado en la pared:

Obligación	Fecha original	Nueva fecha	Sistemas afectados
Alto riesgo Anexo III	2 agosto 2026	2 diciembre 2027	RR. HH., scoring crediticio, educación, biometría, infraestructuras críticas
Alto riesgo Anexo I	2 agosto 2027	2 agosto 2028	Productos sanitarios, maquinaria, juguetes, vehículos, ascensores
Marcado legible por máquina (Art. 50.2)	2 agosto 2026	2 diciembre 2026	Solo IA generativa que ya estaba en el mercado antes del 2 de agosto de 2026
Resto de transparencia (Art. 50)	2 agosto 2026	EN VIGOR	Chatbots, deepfakes, IA generativa nueva
Prohibición de nudificación y CSAM (nueva)	—	2 diciembre 2026	IA que genera imágenes íntimas no consentidas o abuso sexual infantil
Sandboxes nacionales	2 agosto 2026	2 agosto 2027	Entornos de prueba regulatorios
Alfabetización IA (Art. 4)	2 febrero 2025	EN VIGOR (suavizada)	Toda organización que use IA
Prohibiciones (Art. 5)	Febrero 2025	EN VIGOR	Manipulación subliminal, social scoring, biometría masiva

Los retrasos son significativos: 16 meses para los sistemas autónomos de alto riesgo y 12 meses adicionales para la IA embebida en productos regulados.

Por qué la UE aplaza la Ley de IA: tres razones reales

Por otra parte, detrás del titular oficial hay tres motivos que llevo viendo desde hace meses en proyectos de cumplimiento, y que explican mejor el aplazamiento que la nota de prensa del Consejo:

1. Las normas técnicas no están listas. La Comisión debía publicar en febrero de 2026 la guía oficial de clasificación de alto riesgo. Cuando se cerró el acuerdo, en mayo, aún no había aparecido. Sin esa guía, las empresas no tienen criterios claros para autoevaluarse.

2. Las autoridades nacionales no están operativas. En mayo, solo 8 de los 27 Estados miembros habían designado sus puntos de contacto. La supervisión carecía de estructura operativa real. AESIA en España era la excepción: ya había publicado 16 guías técnicas y había lanzado la primera convocatoria de su sandbox, pero es una rara avis europea.

3. Presión competitiva del informe Draghi. Estados Unidos y China avanzan a otro ritmo. La UE necesita una señal política a la industria para evitar que la innovación se desplace fuera del mercado europeo.

Qué obligaciones del AI Act NO se han aplazado

Por tanto, aquí está la trampa que casi todos los directivos con los que hablo están pasando por alto. Estos bloques de obligaciones no se han movido y ya son exigibles:

Artículo 4: alfabetización en IA (en vigor desde febrero de 2025)

En primer lugar, la alfabetización en IA se aplica desde el 2 de febrero de 2025. El Omnibus la ha suavizado: proveedores y responsables del despliegue ya no tienen que garantizar un nivel suficiente de alfabetización, sino adoptar medidas para fomentarla entre su personal y quienes usan la IA por cuenta de la empresa, sin estar obligados a asegurar un nivel concreto en cada persona. La Comisión publicará ejemplos prácticos de cómo cumplir. El artículo 99 no le asigna una multa propia, pero sigue siendo una obligación exigible y es de lo primero que pedirá un supervisor o un cliente.

No distingue por sector. Tampoco por tamaño. Y, además, da igual el tipo de IA. Si en tu empresa alguien usa ChatGPT, Copilot o un sistema de scoring, eres operador y te aplica. Lo desarrollé en detalle en mi artículo sobre alfabetización en inteligencia artificial, donde explico cómo aterrizarlo en una empresa real sin convertirlo en un trámite.

Artículo 5: prácticas prohibidas (en vigor desde febrero de 2025)

Manipulación subliminal, social scoring, vigilancia biométrica masiva en espacios públicos, scraping indiscriminado de imágenes faciales: prohibidas hoy. Las multas alcanzan los 35 millones de euros o el 7 % de la facturación.

Artículo 50: transparencia de IA generativa (en vigor desde el 2 de agosto de 2026)

Desde el 2 de agosto de 2026, los sistemas de IA generativa que se comercializan deben marcar su contenido como artificial de forma legible por máquina, y quien despliega chatbots o deepfakes debe avisar de ello. Solo los sistemas generativos que ya estaban en el mercado antes de esa fecha tienen hasta el 2 de diciembre de 2026 para añadir el marcado.

La novedad: prohibición de nudificación y CSAM

Además, el texto final añadió una prohibición que no estaba en la propuesta de la Comisión y que se aplica desde el 2 de diciembre de 2026. Los sistemas de IA diseñados para generar contenido sexual o íntimo no consentido, o material de abuso sexual infantil (CSAM), quedan prohibidos.

La prohibición alcanza a:

• Quien comercializa estos sistemas, incluso sin esa finalidad declarada, si no implementa salvaguardas razonables.
• Quien los despliega para crear ese contenido.

Es una de las pocas adiciones restrictivas en un paquete que, por lo demás, alivia obligaciones.

Qué cambia con la simplificación administrativa

El componente burocrático del Omnibus incluye cinco medidas concretas que afectan al cumplimiento del AI Act:

• Procedimientos de evaluación de conformidad más claros, especialmente en la frontera con normativa sectorial (sanitario, automoción).
• Opciones ampliadas de testeo en condiciones reales (real-world testing).
• Extensión a mid-caps (hasta 750 empleados y 150 M€ de facturación) de las simplificaciones reservadas a pymes.
• Aplazamiento de los sandboxes nacionales al 2 de agosto de 2027, dando margen a las autoridades para diseñarlos correctamente.
• Uso ampliado de datos personales sensibles para detección y corrección de sesgos, sujeto a salvaguardas. Esta es la disposición más controvertida del paquete.

Las críticas: ¿simplificación o desregulación encubierta?

No todo el mundo aplaude. Coaliciones de derechos digitales —EDRi, Amnistía Internacional, La Quadrature du Net— han calificado el Digital Omnibus como un retroceso disfrazado de simplificación.

Sus principales objeciones:

• Debilitamiento de los organismos de supervisión de derechos fundamentales.
• Exenciones para grandes empresas mediante cambios estructurales.
• Uso arriesgado de datos sensibles sin salvaguardas adecuadas.
• Modificación sustancial de la estructura de la ley al excluir un amplio sector de las normas de alto riesgo.

Michael McNamara, ponente del Parlamento, defendió que los cambios debían mejorar la aplicación del reglamento sin debilitar sus salvaguardas, y consiguió incluir en el texto final la prohibición de la nudificación.

Mi lectura, después de leer el texto final: hay simplificación legítima — el calendario original era irreal — pero también hay flexibilizaciones que afectan a derechos fundamentales y que merecen vigilancia. Las dos cosas son ciertas a la vez. Quien ignore las críticas se va a llevar sorpresas en la aplicación nacional, sobre todo en lo que tiene que ver con la huella cognitiva que la IA generativa empieza a dejar en consumidores y empleados.

Qué debe hacer tu empresa ahora

El aplazamiento no es una excusa para parar. Es la ventana que muchos proyectos necesitábamos para hacer las cosas bien y no contra reloj. Estas son las cinco prioridades en las que estoy enfocando ahora a clientes de sectores regulados, y que comparto en mi laboratorio AI Forge:

1. Mantén vivo el programa de alfabetización (artículo 4)

Diseña un programa de alfabetización en IA proporcional al rol de cada perfil:

• Equipos legal y de cumplimiento.
• Negocio que toma decisiones automatizadas.
• Personal técnico que desarrolla o integra sistemas.
• Dirección y consejo.

Por ello, conviene documentar el programa, conservar evidencia y registrar la asistencia.

2. Inventaría y clasifica tus sistemas de IA

Sin inventario no hay cumplimiento posible. Necesitas saber:

• Qué sistemas de IA tienes (incluidos los SaaS con módulos de IA escondidos).
• Quién es el proveedor y qué documentación técnica aporta.
• En qué nivel de la pirámide de riesgo cae cada uno.
• Qué decisiones automatiza y sobre qué personas.

3. Prepara el watermarking

Si despliegas IA generativa que produce contenido para usuarios finales, el marcado ya es obligatorio para los sistemas lanzados desde el 2 de agosto de 2026. Los que ya estaban en el mercado tienen hasta el 2 de diciembre de 2026.

4. Audita tus contratos con proveedores de IA

El nuevo plazo de 2027 te da tiempo para exigir certificaciones, fichas técnicas, documentación de conformidad y garantías contractuales. No para olvidarte del tema.

5. Diseña una hoja de ruta hasta diciembre de 2027

Establece hitos trimestrales: mapeo, análisis de impacto en derechos fundamentales, ajuste contractual, designación de responsable interno, formación, evaluación de conformidad y, si aplica, marcado CE.

Sanciones del AI Act: qué te juegas

Conviene recordar el régimen sancionador para dimensionar correctamente el riesgo:

• Hasta 35 M€ o 7 % de facturación global: prácticas prohibidas (Artículo 5).
• Hasta 15 M€ o 3 % de facturación global: incumplimiento de las obligaciones de proveedores, responsables del despliegue y demás operadores, incluidas las de alto riesgo y las de transparencia del artículo 50.
• Hasta 7,5 M€ o 1 % de facturación global: información incorrecta, incompleta o engañosa a organismos notificados o autoridades.

Las pymes pagan el menor de los dos valores. El resto, el mayor.

Un matiz importante: a diferencia de NIS2, el AI Act no regula la responsabilidad personal de los directivos. Pero una multa de este tamaño, o la retirada de un sistema del mercado, acaba siempre en el consejo.

Si tu organización está además en el perímetro de DORA o NIS2, los regímenes sancionadores se acumulan y la dimensión del riesgo crece. Si necesitas cuantificarlo para tu caso concreto, esto es exactamente el tipo de diagnóstico que hago en la primera fase de un proyecto: cuéntame tu caso aquí.

Preguntas frecuentes sobre el aplazamiento del AI Act

¿El AI Act sigue en vigor?

Sí. El Reglamento (UE) 2024/1689 entró en vigor el 1 de agosto de 2024 y sigue plenamente operativo. El Omnibus (Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026) modifica plazos y algunas obligaciones concretas, pero no la estructura.

¿Cuándo se aplica el AI Act a sistemas de alto riesgo?

Tras el aplazamiento, las obligaciones plenas para sistemas de alto riesgo del Anexo III se aplican el 2 de diciembre de 2027. Para sistemas integrados en productos regulados (Anexo I), el 2 de agosto de 2028.

¿Qué obligaciones del AI Act se aplican ya?

Las prohibiciones del artículo 5 y la alfabetización en IA, desde febrero de 2025; las obligaciones de los modelos de propósito general y el régimen de sanciones, desde agosto de 2025; y la transparencia del artículo 50, desde el 2 de agosto de 2026. El 2 de diciembre de 2026 llegan la nueva prohibición de nudificación y el fin del plazo de marcado para la IA generativa ya comercializada.

¿Afecta el AI Act a las pymes españolas?

Sí, pero con medidas proporcionadas. Las pymes y mid-caps (hasta 750 empleados y 150 M€ de facturación) acceden a procedimientos simplificados, sandboxes y plazos de implantación adaptados. Sin embargo, las obligaciones materiales son las mismas si usan IA de alto riesgo.

¿Qué papel juega AESIA en el cumplimiento del AI Act?

AESIA (Agencia Española de Supervisión de Inteligencia Artificial) es el organismo competente en España. Inspecciona, requiere documentación, sanciona y ordena retiradas de mercado. Ha publicado guías técnicas y gestiona el sandbox español de IA.

¿Cómo se relaciona el AI Act con el RGPD y la NIS2?

Son normativas complementarias y solapadas. Una IA que trate datos personales debe cumplir AI Act y RGPD; si forma parte de un servicio esencial bajo NIS2, también las obligaciones de ciberseguridad de esa directiva. En entidades financieras se suma además DORA para la banca. Lo trabajo a diario combinado: rara vez una IA encaja en una sola norma.

Conclusión: el reloj hasta diciembre de 2027 ya está corriendo

El aplazamiento de la Ley de IA europea no es una vuelta atrás. Es un reajuste pragmático ante un calendario inviable. Las empresas serias en cumplimiento ganan margen para hacer las cosas bien —con estándares disponibles, AESIA operativa y guías técnicas publicadas— en lugar de improvisar contra una fecha imposible.

Las que estén usando el aplazamiento como pretexto para no hacer nada se encontrarán, en diciembre de 2027, exactamente donde están hoy: sin gobernanza de IA, sin inventario, sin trazabilidad y sin cultura de cumplimiento. Con la diferencia de que las multas serán reales y el mercado, mucho más exigente.

Si quieres el detalle fecha por fecha con el aplazamiento ya incorporado, tengo actualizado el calendario de cumplimiento del EU AI Act.

¿Necesitas una hoja de ruta de cumplimiento del AI Act adaptada a tu organización? Es exactamente lo que hago: ayudo a empresas en sectores regulados a convertir el AI Act en un programa ejecutable, con hitos trimestrales, ownership claro y trazabilidad real. Si quieres trabajarlo conmigo, escríbeme aquí y te respondo personalmente.