Reglamento europeo de IA: qué te obliga el 2 de agosto de 2026
El Digital Omnibus aplaza los sistemas de alto riesgo a diciembre de 2027, pero las obligaciones que afectan a la pyme media siguen con fecha 2 de agosto de 2026. Qué se retrasa, qué no y un checklist de ocho puntos.
El aplazamiento del reglamento europeo de IA es real, pero es estrecho. Solo se retrasan los sistemas de alto riesgo del Anexo III, del 2 de agosto de 2026 al 2 de diciembre de 2027. Las prohibiciones, la alfabetización en IA y la transparencia siguen con su calendario original y afectan a casi cualquier pyme que use IA.
Si has leído en prensa que «Bruselas aplaza el reglamento de IA a 2027» y has concluido que tu empresa puede olvidarse del tema, este artículo va a ser incómodo. El titular es cierto a medias, y la mitad que falta es precisamente la que te afecta.
¿Qué se aplaza exactamente del reglamento de IA?
El paquete conocido como Digital Omnibus mueve dos bloques de fechas del Reglamento (UE) 2024/1689:
- Sistemas de alto riesgo del Anexo III —los definidos por su uso: cribado de currículums, scoring crediticio de personas físicas, biometría, educación, infraestructuras críticas, acceso a servicios esenciales—: del 2 de agosto de 2026 al 2 de diciembre de 2027.
- Sistemas de alto riesgo integrados en productos sujetos a legislación sectorial de seguridad: al 2 de agosto de 2028.
El motivo del retraso no es político. Es el reconocimiento práctico de que la infraestructura que hace operable el alto riesgo —normas armonizadas, autoridades designadas, organismos de evaluación de la conformidad— no ha llegado a tiempo. Es un aplazamiento, no un desmantelamiento: la arquitectura del reglamento sigue intacta.
Un matiz jurídico que importa. A fecha de publicación de este artículo, el Digital Omnibus está pendiente de publicación en el Diario Oficial de la Unión Europea. Hasta que se publique y entre en vigor, la norma vinculante sigue siendo el Reglamento (UE) 2024/1689 en su redacción original, con sus fechas originales. Planificar sobre plazos que aún no están publicados es asumir un riesgo evitable.
¿Qué obligaciones de IA siguen vigentes el 2 de agosto de 2026?
Aquí está lo que se pierde entre titulares. Tres bloques permanecen intactos.
1. Prohibiciones del artículo 5 — en vigor desde febrero de 2025
Ocho prácticas están directamente prohibidas en toda la Unión Europea: técnicas subliminales o manipuladoras, explotación de vulnerabilidades por edad o discapacidad, puntuación social, predicción de delitos por perfilado de personalidad, extracción masiva de imágenes faciales, inferencia de emociones en el trabajo y en centros educativos, categorización biométrica por características sensibles e identificación biométrica remota en tiempo real en espacios públicos.
Fíjate en la sexta. Si alguien te ofrece una herramienta que analiza el tono de voz o la expresión facial de tu plantilla para medir «compromiso» o «estrés», esa herramienta está prohibida. No es alto riesgo aplazado: es prohibida, y lo está desde hace más de un año. Es la misma lógica de proporcionalidad que lleva a la AEPD a rechazar la huella dactilar para fichar salvo casos excepcionales.
2. Alfabetización en IA, artículo 4 — exigible desde febrero de 2025
Toda organización que despliegue sistemas de IA debe garantizar un nivel suficiente de competencia en IA entre el personal que los maneja, atendiendo a su formación, su experiencia y el contexto de uso.
No exige un máster. Exige que quien usa la herramienta entienda qué hace, qué limitaciones tiene y cuándo no debe fiarse de ella. Para una pyme se materializa en tres cosas: una sesión formativa documentada, una política interna de uso de IA y un registro de quién ha recibido qué formación. Sin documentación no hay forma de acreditarlo ante una inspección.
3. Transparencia, artículo 50 — fecha 2 de agosto de 2026
Este es el bloque que expresamente no se aplaza, y el que más pymes incumple hoy sin saberlo:
- Si tienes un chatbot en tu web, el usuario debe saber que habla con una máquina, salvo que resulte evidente.
- Si publicas contenido generado o manipulado con IA —textos, imágenes, vídeo, audio—, debe marcarse de forma legible por máquina.
- Los deepfakes deben identificarse como tales.
- El texto generado por IA publicado para informar al público sobre asuntos de interés general debe declararse, salvo que exista revisión humana con responsabilidad editorial.
Tabla resumen: qué se aplaza y qué no
| Obligación | Fecha | ¿Afecta a la pyme media? |
|---|---|---|
| Prohibiciones (art. 5) | Feb 2025 — vigente | Sí |
| Alfabetización en IA (art. 4) | Feb 2025 — vigente | Sí |
| Modelos de propósito general | Ago 2025 — vigente | Solo proveedores |
| Transparencia (art. 50) | 2 ago 2026 | Sí |
| Alto riesgo Anexo III | 2 dic 2027 (antes 2 ago 2026) | Solo si usa IA en RRHH o scoring |
| Alto riesgo en productos | 2 ago 2028 | Solo fabricantes |
Checklist: qué hacer antes del 2 de agosto
- Inventaria. Lista todas las herramientas con IA que se usan en la empresa, incluidas las que nadie ha aprobado formalmente: ChatGPT en el navegador de un comercial, el asistente del CRM, el generador de imágenes de marketing.
- Clasifica. Para cada una: ¿toca decisiones sobre personas? ¿genera contenido publicado? ¿interactúa con clientes?
- Descarta lo prohibido. Revisa el artículo 5 contra tu inventario, con atención especial a cualquier cosa que analice emociones de la plantilla.
- Etiqueta. Aviso visible en tu chatbot y marcado del contenido generado con IA que publiques.
- Forma y documenta. Una sesión, un acta, una lista de asistentes. Guárdalo.
- Escribe una política de uso de IA. Dos páginas bastan: herramientas autorizadas, datos que no pueden introducirse nunca en ellas y quién revisa las salidas.
- Designa un responsable. No hace falta un departamento, hace falta un nombre.
- Revisa contratos con proveedores e incluye cláusulas de cambio regulatorio.
¿Y si uso IA para gestionar personal?
Ahí es donde el aplazamiento sí importa, porque el Anexo III cubre expresamente el empleo: selección, evaluación del desempeño, asignación de tareas y decisiones sobre la relación laboral. Lo desarrollamos en detalle en IA en RRHH: por qué la selección de personal y el control de jornada entran en «alto riesgo».
Conviene aclarar una confusión frecuente: registrar un hecho no es evaluar a una persona. Anotar que alguien entró a las 8:03 y salió a las 17:14 es un dato objetivo exigido por el artículo 34.9 del Estatuto de los Trabajadores. No hay modelo, ni inferencia, ni decisión automatizada, así que el registro de jornada no es un sistema de IA en el sentido del reglamento. Lo sería un motor que puntúe a los empleados a partir de esos datos.
¿Y la ley española?
España tramita en el Congreso su propia norma de gobernanza desde junio de 2026, con la AESIA como autoridad de vigilancia y un régimen sancionador con criterios específicos para pymes. Aún es un proyecto de ley y no obliga a nadie: lo explicamos en la guía de la Ley Orgánica española de IA.
Un registro de jornada que no complica tu cumplimiento de IA
Control Horario Legal registra entradas, salidas y pausas con sellado temporal y hash encadenado e inalterable. No perfila, no puntúa y no toma decisiones automatizadas sobre personas: es la capa de hechos objetivos sobre la que cualquier decisión posterior la toma una persona.
Pruébalo gratis 30 días →Preguntas frecuentes
¿Se ha aplazado el reglamento europeo de IA a 2027?
Solo en parte. El Digital Omnibus retrasa las obligaciones de los sistemas de alto riesgo del Anexo III del 2 de agosto de 2026 al 2 de diciembre de 2027, y los integrados en productos regulados a agosto de 2028. Las prohibiciones del artículo 5, la alfabetización en IA del artículo 4 y las obligaciones de transparencia del artículo 50 no se aplazan.
¿Qué obligaciones de IA tiene una pyme el 2 de agosto de 2026?
Tres: no usar ninguna de las prácticas prohibidas del artículo 5, garantizar un nivel suficiente de competencia en IA entre el personal que maneja estas herramientas (artículo 4) y cumplir la transparencia del artículo 50, que obliga a avisar de que un chatbot es una máquina y a marcar el contenido generado con IA.
¿Es legal analizar las emociones de los empleados con IA?
No. El artículo 5 del Reglamento (UE) 2024/1689 prohíbe los sistemas de IA que infieran emociones de una persona en el lugar de trabajo, salvo por motivos médicos o de seguridad. Esta prohibición es aplicable desde febrero de 2025.
¿El registro de jornada es un sistema de inteligencia artificial?
No. Registrar la hora de entrada y de salida es la anotación de un hecho objetivo exigida por el artículo 34.9 del Estatuto de los Trabajadores. No hay modelo, ni inferencia, ni decisión automatizada, por lo que no entra en el ámbito del Reglamento de IA. Sí entraría un sistema que puntúe o prediga comportamientos a partir de esos datos.
¿Qué sanciones prevé el reglamento europeo de IA?
Hasta 35 millones de euros o el 7 % del volumen de negocio mundial anual para las prácticas prohibidas del artículo 5, con escalones inferiores para el resto de infracciones. Los techos sancionadores son aplicables desde agosto de 2025.
Última actualización: 20 de julio de 2026. Este artículo tiene fines informativos y no constituye asesoramiento legal. El calendario del Digital Omnibus está pendiente de publicación en el DOUE y puede variar.