El Reglamento (UE) 2026/1744 del Parlamento Europeo y del Consejo, de 8 de julio de 2026, conocido como Ómnibus digital sobre IA, está en vigor desde el 27 de julio de 2026. Reescribe cuarenta y tres puntos del AI Act seis días antes de que este alcance su fecha general de aplicación, y lo hace en las dos direcciones a la vez: relaja unas obligaciones y crea otras que antes no existían. Si tu empresa había preparado un plan de cumplimiento con el texto de 2024, hay partes de ese plan que ya no describen la norma vigente.
Lo esencial en cinco líneas. El 2 de agosto de 2026 sigue siendo la fecha general de aplicación del AI Act. Lo que se aplaza es el capítulo III, secciones 1, 2 y 3, o sea el alto riesgo: al 2 de diciembre de 2027 el del anexo III y al 2 de agosto de 2028 el del anexo I. A cambio llegan dos prohibiciones nuevas en el artículo 5, un artículo 4 bis que habilita tratar datos sensibles para corregir sesgos, un artículo 4 reescrito que baja la exigencia de alfabetización, y un plazo hasta el 2 de diciembre de 2026 para marcar el contenido sintético de sistemas ya en el mercado.
Qué es exactamente esta norma y desde cuándo obliga
El título oficial es largo y conviene tenerlo entero, porque es lo que hay que citar en un informe: Reglamento (UE) 2026/1744 del Parlamento Europeo y del Consejo, de 8 de julio de 2026, por el que se modifican los Reglamentos (UE) 2024/1689, (UE) 2018/1139 y (UE) 2023/1230 en lo que respecta a la simplificación de la aplicación de normas armonizadas en materia de inteligencia artificial. Se adoptó en Estrasburgo el 8 de julio de 2026, tras la posición del Parlamento Europeo de 16 de junio de 2026 y la decisión del Consejo de 29 de junio de 2026.
Su artículo 4 resuelve la fecha sin margen de interpretación: «El presente Reglamento entrará en vigor a los tres días de su publicación en el Diario Oficial de la Unión Europea». La publicación se produjo en el DO L, 2026/1744, de 24 de julio de 2026. Tres días después es el 27 de julio de 2026. No hay periodo de transposición ni margen nacional: es un reglamento, de aplicación directa en los veintisiete Estados miembros.
Ese plazo de tres días es en sí mismo una señal. Lo normal en un reglamento europeo es una entrada en vigor a los veinte días. El propio Ómnibus explica la urgencia en sus considerandos: había que dar seguridad jurídica «sin demora, en vista de la inminente aplicación general del Reglamento (UE) 2024/1689». Traducido: llegaba con lo justo para modificar el AI Act antes de que este empezara a aplicarse de forma general.
Además de al AI Act, el Ómnibus modifica el Reglamento (UE) 2018/1139, de aviación civil, y el Reglamento (UE) 2023/1230, de máquinas, para engranar en ellos los requisitos de los sistemas de IA de alto riesgo. Esa parte interesa a fabricantes de producto; el resto de este artículo se centra en lo que cambia para cualquier empresa que use o suministre IA en España.
El aplazamiento del alto riesgo, contado con precisión
Es el cambio del que más se va a hablar, y el que más fácil es contar mal. La frase que circula, «el AI Act se retrasa», es falsa. Lo que hace el Ómnibus, en su artículo 1, punto 40, es modificar el párrafo tercero del artículo 113 del AI Act. Su nueva letra c) dice, literalmente:
«c) el capítulo III, secciones 1, 2 y 3, con excepción de su artículo 6, apartado 5, será aplicable a partir del: i) 2 de diciembre de 2027 en lo que respecta a los sistemas de IA clasificados como de alto riesgo en virtud del artículo 6, apartado 2, y el anexo III, y ii) 2 de agosto de 2028 en lo que respecta a los sistemas de IA clasificados como de alto riesgo en virtud del artículo 6, apartado 1, y al anexo I;»
Hay tres precisiones en esa cita que cambian la planificación de un proyecto de cumplimiento.
La primera: lo aplazado es el capítulo III, secciones 1, 2 y 3. Ahí viven la clasificación de alto riesgo, los requisitos técnicos de esos sistemas y las obligaciones de sus proveedores y responsables del despliegue. Nada más. Todo lo que no está en ese bloque conserva su fecha: las prohibiciones del artículo 5, las obligaciones de transparencia del artículo 50, la alfabetización del artículo 4, las reglas de los modelos de IA de uso general, la gobernanza y el régimen sancionador.
La segunda: el aplazamiento excluye expresamente el artículo 6, apartado 5. Es una excepción dentro de la excepción y conviene no pasarla por alto al leer el precepto.
La tercera: hay dos fechas, no una, y dependen de por qué vía se clasifica el sistema. Por el artículo 6, apartado 2, y el anexo III —los casos de uso: selección de personal, crédito, educación, justicia, biometría—, el 2 de diciembre de 2027. Por el artículo 6, apartado 1, y el anexo I —la IA que es componente de seguridad de un producto ya regulado, como maquinaria o dispositivos médicos—, el 2 de agosto de 2028. Si tienes sistemas en las dos categorías, tienes dos calendarios.
El motivo del aplazamiento lo da el reglamento en su considerando 40, y es un motivo confesado: «el retraso en la disponibilidad de normas, especificaciones comunes y orientaciones alternativas, así como en el establecimiento de las autoridades nacionales competentes» ponía en peligro la aplicación efectiva de esas obligaciones y arriesgaba «aumentar significativamente los costes de ejecución». El mismo considerando encomienda a la Comisión garantizar que las medidas de apoyo al cumplimiento se adopten a su debido tiempo, para no volver a estar en esta situación. Es una advertencia leída al revés: la Unión reconoce que el andamiaje para cumplir no estaba listo.
El detalle de todas las fechas, cada una con el precepto que la sostiene, está en nuestro calendario del AI Act fecha a fecha.
Dos prácticas prohibidas nuevas en el artículo 5
Aquí el Ómnibus no simplifica: amplía. El artículo 1, punto 7, inserta en el artículo 5, apartado 1, párrafo primero, dos letras nuevas. La letra b bis) prohíbe «la introducción en el mercado, la puesta en servicio o la utilización de un sistema de IA que genere o manipule imágenes, vídeos o audios realistas o material similar de las partes íntimas de una persona física identificable, o de una persona física identificable que participe en actividades sexualmente explícitas, sin el consentimiento libre, específico, informado e inequívoco y explícito de dicha persona para tal generación o manipulación». La letra b ter) prohíbe los sistemas que generen o manipulen material o espectáculos en el sentido del artículo 2, letras c) y e), de la Directiva 2011/93/UE, relativa a la lucha contra los abusos sexuales y la explotación sexual de los menores y la pornografía infantil.
Estas dos prohibiciones no son exigibles todavía. La misma reforma sustituye la letra a) del artículo 113, párrafo tercero, que ahora dice: «los capítulos I y II serán aplicables a partir del 2 de febrero de 2025, a excepción del artículo 5, apartado 1, párrafo primero, letras b bis) y b ter), y el artículo 5, apartado 1 bis, y apartado 1 ter, que serán aplicables a partir del 2 de diciembre de 2026».
Para una empresa que no fabrica ese tipo de sistemas, la parte relevante no son las letras sino los apartados nuevos que las acotan. El apartado 1 bis establece que introducir en el mercado o poner en servicio un sistema así solo está prohibido cuando esa generación sea «la finalidad prevista del sistema de IA», o cuando «el diseño, el entrenamiento, la arquitectura, las capacidades o las funcionalidades orientadas al usuario del sistema hagan que esa generación o manipulación sea un resultado razonablemente previsible y reproducible, sin requerir modificaciones técnicas sustanciales, y el sistema no disponga de medidas técnicas de seguridad razonables y adecuadas y de otras salvaguardias para evitar de forma fiable dicha generación o manipulación, tomando en consideración un uso indebido razonablemente previsible, ni para corregir el uso indebido observado o notificado».
Esa segunda vía es la que debe leer con atención cualquiera que integre modelos generativos en un producto. Un sistema de propósito general no queda prohibido por poder ser mal usado; puede quedar prohibido si el mal uso es previsible y reproducible y el sistema no lleva salvaguardias razonables para evitarlo ni mecanismos para corregirlo cuando se detecta o se notifica. La consecuencia práctica es que las salvaguardias dejan de ser una buena práctica reputacional y pasan a ser el elemento que separa un producto lícito de una práctica prohibida sancionable con el tramo más alto del artículo 99. Lo analizamos con detalle en la pieza sobre las prácticas de IA prohibidas del artículo 5.
El artículo 4 de alfabetización, reescrito a la baja
El artículo 1, punto 5, del Ómnibus sustituye el artículo 4 del AI Act completo. La comparación de los dos textos es el mejor resumen de qué clase de norma es este reglamento.
| Artículo 4 hasta el 26 de julio de 2026 | Artículo 4 desde el 27 de julio de 2026 |
|---|---|
| Adoptar medidas «para garantizar que, en la mayor medida posible», su personal y las demás personas que operen la IA en su nombre «tengan un nivel suficiente de alfabetización en materia de IA». | Adoptar medidas «para apoyar la promoción de la alfabetización en materia de IA» del personal, y se añade: «Esta obligación no exige que los proveedores o los responsables del despliegue garanticen un nivel específico de alfabetización en materia de IA de ninguna persona en particular». |
Es un cambio de naturaleza jurídica, no de redacción. Se pasa de una obligación de resultado, en la que la empresa respondía de que su gente supiera, a una obligación de medios, en la que responde de haber puesto los medios. La cláusula final es todavía más explícita: nadie podrá exigir que una persona concreta acredite un nivel determinado.
Dos avisos, porque este es el punto donde es más fácil equivocarse en la dirección contraria. El primero: la obligación no desaparece. Sigue en el artículo 4, sigue alcanzando a proveedores y responsables del despliegue de sistemas de IA sin distinción de nivel de riesgo, y sigue siendo exigible. Lo que baja es su intensidad. El segundo: el nuevo apartado 2 encarga a la Comisión publicar ejemplos prácticos de cómo cumplirla en la plataforma única de información del artículo 62, apartado 3, letra b), y el apartado 3 encomienda al Consejo de IA adoptar recomendaciones con objetivos comunes. Es decir, llegarán referencias de cumplimiento. Quien haya montado un plan de formación no debería desmontarlo: debería reencuadrarlo como medida de apoyo documentada, que es exactamente lo que la nueva redacción premia.
El artículo 4 bis: la puerta para medir el sesgo sin infringir el RGPD
Esta es, para una consultora de cumplimiento, la novedad más interesante del Ómnibus, y no aparece en ningún titular. El artículo 1, punto 6, inserta un artículo 4 bis en el AI Act: «Tratamiento de categorías especiales de datos personales para la detección y corrección de sesgos».
Resuelve una paradoja que llevaba años sin salida limpia. Para comprobar si un sistema de IA discrimina por origen étnico, religión, salud u orientación sexual hay que mirar precisamente esos datos, que son categorías especiales del artículo 9 del RGPD y están sujetas a prohibición general de tratamiento. Sin habilitación, medir el sesgo obligaba a arriesgar una infracción de protección de datos; y no medirlo dejaba el sesgo sin detectar.
El nuevo artículo permite a los proveedores de sistemas de alto riesgo tratar excepcionalmente esas categorías «en la medida en que sea estrictamente necesario» para detectar y corregir sesgos conforme al artículo 10, apartado 2, letras f) y g), del AI Act, siempre con garantías adecuadas y siempre además de lo que exijan el RGPD, el Reglamento (UE) 2018/1725 y la Directiva (UE) 2016/680. Ese «además» es la clave de lectura: no es una exención del RGPD, es una vía tasada que se suma a él. Y va acompañada de seis condiciones que se tienen que cumplir todas, entre ellas que otros datos —sintéticos o anonimizados— no permitan hacerlo de forma efectiva, que los datos se eliminen una vez corregido el sesgo, y que el registro de actividades de tratamiento recoja por escrito por qué era estrictamente necesario y por qué no se podía lograr de otro modo.
Su apartado 2 extiende la posibilidad a proveedores y responsables del despliegue de otros sistemas y modelos de IA, y cierra con una frase que hay que leer entera antes de sacar conclusiones: «El presente apartado no crea obligación alguna de llevar a cabo dicha detección y corrección de sesgos». Es una habilitación, no un mandato. Desarrollamos las seis condiciones y cómo se acredita cada una en el artículo sobre el artículo 4 bis y el tratamiento de datos sensibles para corregir sesgos.
El Ómnibus cose además esta novedad al resto del ordenamiento sustituyendo el artículo 2, apartado 7, del AI Act, que ahora empieza reconociendo que el Derecho de protección de datos se aplica a los datos tratados en el marco del reglamento y añade: «Sin perjuicio de sus artículos 4 bis y 59, el presente Reglamento no afectará a los Reglamentos (UE) 2016/679 o (UE) 2018/1725 ni a las Directivas 2002/58/CE o (UE) 2016/680». Sin esa salvedad, la habilitación nueva habría chocado con la regla general de que el AI Act no toca el RGPD.
Cuatro meses para marcar el contenido sintético que ya está en el mercado
El artículo 1, punto 39, añade un apartado 4 al artículo 111 del AI Act: «Los proveedores de sistemas de IA, incluidos los sistemas de IA de uso general, que generen contenido sintético de audio, imagen, vídeo o texto y se hayan introducido en el mercado antes del 2 de agosto de 2026 adoptarán las medidas necesarias para cumplir lo dispuesto en el artículo 50, apartado 2, a más tardar el 2 de diciembre de 2026». El considerando 38 lo llama «un período transitorio de cuatro meses».
Conviene delimitarlo bien, porque es fácil leerlo como una moratoria general y no lo es. Alcanza solo al marcado del artículo 50, apartado 2 —el marcado en formato legible por máquina del contenido generado o manipulado artificialmente—, solo a los proveedores, y solo a los sistemas que ya estuvieran en el mercado antes del 2 de agosto de 2026. Lo que se introduzca a partir de esa fecha cumple desde el primer día, sin transición. Y el resto de obligaciones del artículo 50, incluidas las que recaen sobre el responsable del despliegue en su apartado 4, no tienen este plazo.
El mismo punto 39 sustituye el apartado 2 del artículo 111 y fija una fecha en la que casi nadie ha reparado: «los proveedores y los responsables del despliegue de los sistemas de IA de alto riesgo destinados a ser utilizados por las autoridades públicas adoptarán las medidas necesarias para cumplir los requisitos y obligaciones establecidas en el presente Reglamento a más tardar el 2 de agosto de 2030». Si vendes IA al sector público, ese es tu horizonte para los sistemas ya desplegados.
Qué cambia en las sanciones del artículo 99
Los importes no se tocan. Siguen siendo hasta 35 millones de euros o el 7 % del volumen de negocios mundial total del ejercicio anterior para las prácticas prohibidas del artículo 5; hasta 15 millones o el 3 % para los incumplimientos de operadores y organismos notificados; y hasta 7,5 millones o el 1 % por presentar información inexacta, incompleta o engañosa a organismos notificados o autoridades nacionales. En todos ellos se aplica la cuantía superior de las dos.
Lo que cambia es el entorno de la multa, y cambia a favor de la empresa mediana. El apartado 1 se sustituye y ahora menciona expresamente, junto a las multas administrativas, «advertencias o medidas no pecuniarias» como parte del régimen de garantía del cumplimiento; y ordena tener en cuenta, al sancionar, los intereses de las pymes, de las empresas emergentes y de las pequeñas empresas de mediana capitalización, «así como su viabilidad económica». Se añade un apartado 6 bis: para esas pequeñas empresas de mediana capitalización, las multas de los apartados 4 y 5 no excederán del menor de los porcentajes o importes. Nótese que el 6 bis no alcanza al apartado 3: el tramo de las prácticas prohibidas se queda sin ese tope.
Y se añade una letra d bis) al apartado 4, que somete al tramo del 3 % «las obligaciones de los proveedores y operadores en virtud del artículo 25, apartados 2 y 4». Es un aviso para quien pone su marca en un sistema ajeno o lo modifica sustancialmente: esos supuestos por los que alguien pasa a ser considerado proveedor tienen ahora sanción expresa. Los tramos, el régimen por tamaño de empresa y el estado real de la designación de autoridades en España están en el artículo sobre las sanciones del artículo 99 y quién las impone en España.
Cuándo un sistema de IA no es «componente de seguridad»
El artículo 1, punto 8, inserta en el artículo 6 tres apartados que acotan una de las puertas de entrada al alto riesgo. El apartado 1 bis excluye de la condición de componente de seguridad a los sistemas de IA «que se utilicen únicamente para aspectos no relacionados con la seguridad en los ámbitos de la asistencia al usuario, la optimización del rendimiento, la eficiencia del servicio, la automatización, la comodidad o el control de calidad». El apartado 1 ter pone el contralímite: si el fallo o el defecto de funcionamiento «pueda poner en peligro la salud y la seguridad», sí es componente de seguridad. Y el apartado 1 quater aclara que no cumplen la condición del apartado 1, letra b), los productos que se someten a evaluación de conformidad de tercero únicamente por riesgos ajenos a la salud y la seguridad, como la distribución del espectro radioeléctrico o las interferencias electromagnéticas.
En la práctica, esto saca del alto riesgo por la vía del anexo I a bastante software industrial de optimización y control de calidad que estaba en zona gris, siempre que su fallo no comprometa la salud ni la seguridad. Es una simplificación real y con efecto práctico para quien fabrica producto con IA integrada. La clasificación concreta sigue siendo un análisis caso por caso, y ahí es donde el criterio del apartado 1 ter manda sobre el del 1 bis.
Tabla resumen: qué cambia y a quién afecta
| Cambio | Dónde | Desde cuándo | A quién afecta |
|---|---|---|---|
| Aplazamiento del capítulo III, secciones 1, 2 y 3 (alto riesgo), salvo el artículo 6, apartado 5 | Art. 113, párrafo tercero, letra c) | 2 dic 2027 (anexo III) · 2 ago 2028 (anexo I) | Proveedores y responsables del despliegue de sistemas de alto riesgo |
| Dos prácticas prohibidas nuevas: letras b bis) y b ter), con los apartados 1 bis y 1 ter que las delimitan | Art. 5, apartado 1 | 2 dic 2026 | Quien desarrolle, ponga en servicio o use sistemas generativos |
| Artículo 4 sustituido: de «garantizar un nivel suficiente» a «apoyar la promoción» | Art. 4 | 27 jul 2026 | Todo proveedor y responsable del despliegue, cualquier nivel de riesgo |
| Artículo 4 bis nuevo: tratamiento de categorías especiales para detectar y corregir sesgos, con seis condiciones | Art. 4 bis y art. 2, apartado 7 | 27 jul 2026 | Proveedores de alto riesgo y, por su apartado 2, otros proveedores y responsables del despliegue |
| Plazo para el marcado del contenido sintético ya en el mercado | Art. 111, apartado 4 (nuevo) | 2 dic 2026 | Proveedores de sistemas que generen contenido sintético introducidos antes del 2 ago 2026 |
| Límite del régimen transitorio para los sistemas de alto riesgo destinados a autoridades públicas | Art. 111, apartado 2 | 2 ago 2030 | Proveedores y responsables del despliegue de esos sistemas ya introducidos en el mercado o puestos en servicio antes de la fecha de aplicación del capítulo III. No amplía las fechas de 2027 y 2028 para los sistemas nuevos |
| Advertencias y medidas no pecuniarias; atención a la viabilidad económica; tope para pequeñas empresas de mediana capitalización en los apartados 4 y 5; nueva letra d bis) | Art. 99, apartados 1, 4 y 6 bis | 27 jul 2026 | Cualquier operador, con régimen específico según tamaño |
| Delimitación de «componente de seguridad» | Art. 6, apartados 1 bis, 1 ter y 1 quater | 27 jul 2026 | Fabricantes de producto con IA integrada |
| Artículos 102 a 110 aplicables | Art. 113, párrafo tercero, letra d) (nueva) | 27 jul 2026 | Modificaciones de legislación sectorial de la Unión |
Elaboración propia a partir del texto del Reglamento (UE) 2026/1744 publicado en el DO L, 2026/1744, de 24 de julio de 2026. Cada fila remite al precepto del Reglamento (UE) 2024/1689 en su redacción vigente tras la modificación.
Qué hacer en tu empresa, y en qué orden
El Ómnibus no cambia el trabajo de fondo, pero sí reordena las prioridades. Con las fechas en la mano, este es el orden que tiene sentido:
- Antes del 2 de agosto de 2026. Revisa que el inventario de sistemas de IA esté completo y que cada sistema tenga asignado un rol —proveedor o responsable del despliegue— y un nivel de riesgo razonado. Comprueba que las obligaciones de transparencia del artículo 50 que ya te aplican están cubiertas: aviso de interacción con IA, marcado y declaración de contenido generado.
- Antes del 2 de diciembre de 2026. Si suministras un sistema que genera contenido sintético y ya estaba en el mercado antes del 2 de agosto de 2026, cierra el marcado del artículo 50, apartado 2. Y revisa tus sistemas generativos frente a las nuevas letras b bis) y b ter): lo que hay que documentar no es la intención, son las salvaguardias y el procedimiento de corrección del uso indebido notificado.
- Reencuadra el plan de alfabetización. No lo suprimas. Documéntalo como medida de apoyo a la promoción de la alfabetización en IA, con constancia de qué se ofreció, a quién y cuándo, que es lo que la nueva redacción del artículo 4 permite acreditar.
- Decide sobre el sesgo. Si vas a medir sesgos con categorías especiales de datos, monta el expediente del artículo 4 bis antes de tratar el primer dato: prueba de que los datos sintéticos o anonimizados no sirven, medidas de seguridad y pseudonimización, control y documentación de accesos, prohibición de cesión a terceros, plazo de supresión y motivación en el registro de actividades de tratamiento.
- Usa el aplazamiento, no lo malgastes. Diciembre de 2027 parece lejos y no lo es para un sistema de alto riesgo del anexo III, que necesita documentación técnica, gestión de riesgos, supervisión humana y trazabilidad. Los dieciséis meses ganados son el margen para hacerlo bien, no para aparcarlo.
- No esperes a la ley española. La obligación europea es directamente aplicable. Lo que falta en España es el aparato nacional de designación de autoridades y procedimiento sancionador, no la obligación.
La pieza que falta: España
Hay un punto en el que el Ómnibus no puede ayudar, porque no le corresponde. El AI Act deja a cada Estado miembro establecer el régimen de sanciones y designar a las autoridades nacionales de vigilancia del mercado. España no lo ha hecho todavía.
Lo que existe a 30 de julio de 2026 es un Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, expediente 121/000096 de la XV Legislatura: presentado el 28 de mayo de 2026, calificado el 8 de junio y publicado en el Boletín Oficial de las Cortes Generales del Congreso, Serie A, número 97-1, de 12 de junio de 2026. Sigue en la Comisión de Economía, Comercio y Transformación Digital, en fase de enmiendas, con el plazo ampliado hasta el 2 de septiembre de 2026. No está publicado en el BOE, no tiene fuerza de ley y su texto puede cambiar.
Esto obliga a matizar una afirmación muy repetida. La Agencia Española de Supervisión de la Inteligencia Artificial existe: su creación la autorizan la Ley 22/2021, en su disposición adicional centésima trigésima, y la Ley 28/2022, en su disposición adicional séptima; el Real Decreto 729/2023, de 22 de agosto, aprueba su Estatuto, cuyo artículo 2 fija que «la Agencia tendrá su sede institucional en la ciudad de A Coruña, en el edificio La Terraza cedido por la Administración Municipal»; y en diciembre de 2025 publicó dieciséis guías de apoyo al cumplimiento del AI Act para sistemas de alto riesgo. Pero decir que ya es la autoridad de vigilancia del mercado a efectos del AI Act, o que ya sanciona por él, es adelantarse a una ley que aún no está aprobada. Y el propio proyecto no la designa como autoridad única: reparte la vigilancia entre la Agencia y otros supervisores según el tipo de sistema.
La lectura útil para una dirección general es que el calendario europeo está cerrado y el aparato nacional está abierto. Eso no relaja nada: los reglamentos europeos son directamente aplicables y las obligaciones vencen en sus fechas con independencia de que España haya terminado su ley. Lo que introduce es incertidumbre sobre el quién y el cómo del procedimiento, no sobre el qué.
Cómo lo abordamos
En nuestro servicio de cumplimiento del AI Act trabajamos sobre el texto vigente, no sobre el de 2024: inventario de sistemas, asignación de rol, clasificación razonada de riesgo y plan por sistema con las fechas que de verdad aplican después del Ómnibus. Cuando el caso pide un sistema de gestión certificable, el trabajo se coordina con Summum Calidad; cuando pide implantación técnica —trazabilidad, marcado, evaluación de sesgo—, con Summum IA. Si quieres una primera orientación sin compromiso, el clasificador del AI Act cruza tu rol y tu tipo de sistema y te devuelve las obligaciones y fechas que te afectan.
Preguntas frecuentes
¿El Ómnibus digital sobre IA retrasa el AI Act?
No. El Reglamento (UE) 2026/1744 mantiene el 2 de agosto de 2026 como fecha general de aplicación del AI Act. Lo que aplaza es la fecha de aplicación del capítulo III, secciones 1, 2 y 3, es decir, los requisitos de los sistemas de alto riesgo y las obligaciones de sus proveedores y responsables del despliegue: al 2 de diciembre de 2027 para los sistemas del anexo III y al 2 de agosto de 2028 para los del anexo I. Las prohibiciones del artículo 5, la transparencia del artículo 50, la alfabetización del artículo 4, la gobernanza y el régimen sancionador siguen su calendario propio y no se ven afectados.
¿Desde cuándo está en vigor el Reglamento (UE) 2026/1744?
Desde el 27 de julio de 2026. Su artículo 4 dispone que «el presente Reglamento entrará en vigor a los tres días de su publicación en el Diario Oficial de la Unión Europea», y se publicó en el DO L, 2026/1744, de 24 de julio de 2026. El reglamento se adoptó el 8 de julio de 2026 en Estrasburgo, previa posición del Parlamento Europeo de 16 de junio de 2026 y decisión del Consejo de 29 de junio de 2026.
¿Qué obligaciones nuevas trae el Ómnibus para las empresas?
Tres que afectan directamente. Dos prácticas prohibidas nuevas en el artículo 5, sobre generación o manipulación de material íntimo o sexual sin consentimiento y sobre material de abuso sexual infantil, aplicables desde el 2 de diciembre de 2026. Un plazo, hasta el 2 de diciembre de 2026, para que los proveedores de sistemas que generen contenido sintético y ya estuvieran en el mercado antes del 2 de agosto de 2026 cumplan el marcado del artículo 50, apartado 2. Y una habilitación nueva, el artículo 4 bis, para tratar categorías especiales de datos personales cuando sea estrictamente necesario para detectar y corregir sesgos, con seis condiciones acumulativas.
¿Ha cambiado la obligación de alfabetización en IA del artículo 4?
Sí, y de forma sustancial. El artículo 4 del AI Act se ha sustituido entero. Antes obligaba a adoptar medidas «para garantizar» que su personal y las demás personas que operasen la IA en su nombre «tengan un nivel suficiente» de alfabetización en materia de IA. Ahora obliga a adoptar medidas «para apoyar la promoción» de esa alfabetización y añade que «esta obligación no exige que los proveedores o los responsables del despliegue garanticen un nivel específico de alfabetización en materia de IA de ninguna persona en particular». Pasa de obligación de resultado a obligación de medios. Sigue siendo exigible: lo que baja es su intensidad, no su existencia.
¿Suben o bajan las sanciones del AI Act con el Ómnibus?
Los importes de los tres tramos del artículo 99 no cambian: siguen en hasta 35 millones de euros o el 7 % del volumen de negocios mundial para las prácticas prohibidas, 15 millones o el 3 % para el resto de incumplimientos de operadores, y 7,5 millones o el 1 % por información inexacta o engañosa. Lo que cambia es el marco: se incorporan expresamente advertencias y medidas no pecuniarias como alternativa a la multa, se manda atender a la viabilidad económica de pymes, empresas emergentes y pequeñas empresas de mediana capitalización, y se añade un tope para estas últimas en los apartados 4 y 5. También se añade una letra d bis) al apartado 4 que somete al tramo del 3 % las obligaciones del artículo 25, apartados 2 y 4.
¿Afecta el Ómnibus a quién sanciona en España?
No, porque eso no lo decide el reglamento europeo. El AI Act deja a cada Estado miembro establecer el régimen de sanciones y designar a las autoridades nacionales, y España todavía no lo ha aprobado. El Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, expediente 121/000096 de la XV Legislatura, se publicó en el BOCG del Congreso de 12 de junio de 2026 y a 30 de julio de 2026 sigue en fase de enmiendas en la Comisión de Economía, Comercio y Transformación Digital, con el plazo ampliado hasta el 2 de septiembre de 2026. No está publicado en el BOE y su texto puede cambiar.