El 2 de agosto de 2026 iban a empezar a aplicarse las obligaciones más duras del Reglamento europeo de IA. A pocos días de la fecha, Europa las movió.
Qué ha cambiado
Según la nota de Cloud Security Alliance, el Reglamento (UE) 2026/1744, conocido como Digital Omnibus sobre IA, se publicó en el Diario Oficial el 24 de julio y entró en vigor el 27 de julio de 2026.
- Sistemas de alto riesgo del Anexo III: del 2 de agosto de 2026 al 2 de diciembre de 2027.
- IA integrada en productos ya regulados (Anexo I): hasta el 2 de agosto de 2028.
- Marcado de contenido generado, para sistemas ya en el mercado: hasta el 2 de diciembre de 2026.
- Nueva prohibición de la IA que genera imágenes íntimas sin consentimiento, aplicable desde el 2 de diciembre de 2026.
Mi opinión
El aplazamiento es razonable. Faltaban las normas técnicas que dicen cómo se cumple, y obligar sin ellas habría sido pedir a las empresas que adivinasen. Lo que no comparto es la lectura de “ya no hay que hacer nada”.
La mayoría de lo que monta una pyme no es de alto riesgo: clasificar documentos, contestar consultas o preparar presupuestos no entra ahí. Pero las buenas prácticas son las mismas que pide el reglamento: saber qué datos entran, quién puede hacer qué y dejar registro de lo que decide el sistema.
Quien construye así desde el principio no tendrá que rehacer nada en 2027. Quien espere al último mes lo pagará con prisa y con consultores caros. Y me parece un acierto que, mientras se aplaza lo complejo, se prohíba ya lo que no admite discusión.
Qué haría ya
- Hacer inventario de dónde se usa IA en la empresa, aunque sea una hoja con cinco filas.
- Clasificar cada uso: si afecta a contratación, crédito, salud o educación, es candidato a alto riesgo.
- Exigir registro y control de permisos en cualquier sistema nuevo.
- Marcar el contenido generado por IA cuando se publique.