El 2 de agosto de 2026 era la fecha que medio sector llevaba dos años usando como argumento de venta: el día en que entrarían en vigor las obligaciones de alto riesgo del Anexo III —recursos humanos, scoring crediticio, educación, biometría, servicios esenciales— con toda su carga documental. Pues bien: ese día llegó hace tres días y el alto riesgo del Anexo III no entró en vigor. Se ha aplazado al 2 de diciembre de 2027.
Lo que sí entró en vigor el 2 de agosto de 2026 es otra cosa, bastante más cercana al día a día de una pyme: las obligaciones de transparencia del artículo 50. Si tu empresa usa IA generativa —para textos, imágenes, atención al cliente, vídeo o audio— eso te aplica desde ya y no requiere un expediente de 200 páginas, sino decisiones de producto concretas.
Este artículo es la actualización de nuestra checklist del AI Act europeo, publicada en abril de 2026. La tabla de fechas de aquel artículo ha quedado desfasada por una norma que se aprobó en julio; aquí tienes el calendario corregido, la base legal exacta y qué hacer en los próximos 90 días.
Qué cambió: el Reglamento (UE) 2026/1744
El Reglamento (UE) 2026/1744 del Parlamento Europeo y del Consejo, de 8 de julio de 2026 —conocido informalmente como Digital Omnibus on AI— modifica tres reglamentos: el (UE) 2024/1689 (el AI Act), el (UE) 2018/1139 (aviación civil) y el (UE) 2023/1230 (máquinas). Los dos últimos entran en la ecuación porque contienen productos regulados en los que la IA puede ir embebida como componente de seguridad, y sus plazos tenían que moverse en bloque con los del AI Act.
Datos verificables en el Diario Oficial:
- Publicado en el DOUE el 24 de julio de 2026.
- En vigor el 27 de julio de 2026, al tercer día de su publicación. Ese plazo comprimido —lo normal son veinte días— se justifica expresamente "as a matter of urgency" por la proximidad del 2 de agosto. Dicho de otro modo: el legislador europeo llegó cinco días antes de que las obligaciones de alto riesgo se hicieran exigibles.
- Identificador ELI:
http://data.europa.eu/eli/reg/2026/1744/oj. Puedes consultar el texto en español en EUR-Lex.
Recorrido legislativo, por si alguien te lo discute
- 7 de mayo de 2026: acuerdo provisional entre Consejo y Parlamento.
- 16 de junio de 2026: el pleno del Parlamento Europeo lo aprueba con 423 votos a favor, 57 en contra y 174 abstenciones.
- 29 de junio de 2026: el Consejo da la aprobación final.
- 8 de julio de 2026: firma del Reglamento.
La justificación oficial del aplazamiento no fue "presión de la industria" ni "desregulación": fue la falta de estándares armonizados y los retrasos en la designación de las autoridades nacionales y de los organismos de evaluación de la conformidad.
El dato que lo explica todo: cero estándares armonizados. A día de hoy no hay ni un solo estándar armonizado citado en el DOUE para el AI Act. Sin esa cita, ninguna norma técnica otorga presunción de conformidad. Traducido: aunque una empresa hubiera querido certificar un sistema de alto riesgo antes del 2 de agosto de 2026, no existía el metro con el que medirlo, ni suficientes organismos notificados para hacerlo.
Calendario actualizado del AI Act
Esta es la tabla que hay que tener a mano a partir de ahora. Sustituye a cualquier calendario publicado antes del 24 de julio de 2026.
| Fecha | Qué se aplica | Estado |
|---|---|---|
| 2 de agosto de 2024 | Entrada en vigor del Reglamento (UE) 2024/1689 | Hecho |
| 2 de febrero de 2025 | Prácticas prohibidas (art. 5) y alfabetización en IA (art. 4) | Vigente |
| 2 de agosto de 2025 | Obligaciones sustantivas de modelos de uso general (GPAI), gobernanza y régimen sancionador general (art. 99) aplicado por los Estados | Vigente |
| 2 de agosto de 2026 | Obligaciones de transparencia (art. 50) y potestad sancionadora de la Comisión sobre GPAI (art. 101) | Vigente desde hace 3 días |
| 2 de diciembre de 2026 | Fin del margen para marcar contenido de sistemas generativos ya en el mercado antes del 2/8/2026. Nuevas prohibiciones del art. 5 (contenido sexual no consentido y CSAM) | Pendiente |
| 2 de agosto de 2027 | Sandboxes regulatorios nacionales obligatorios en cada Estado miembro | Pendiente |
| 2 de diciembre de 2027 | Alto riesgo del art. 6, apartado 2, y Anexo III (RRHH, educación, scoring, biometría, servicios esenciales…) | Aplazado 16 meses |
| 2 de agosto de 2028 | Alto riesgo del art. 6, apartado 1, y Anexo I (IA como componente de seguridad de productos regulados) | Aplazado |
Las dos fechas de alto riesgo vienen literalmente del texto publicado: la aplicación se produce "el 2 de diciembre de 2027 en el caso de los sistemas de IA clasificados como de alto riesgo en virtud del artículo 6, apartado 2, y el anexo III" y "el 2 de agosto de 2028 en el caso de los sistemas de IA clasificados como de alto riesgo en virtud del artículo 6, apartado 1, y del anexo I".
Lo que sí te obliga desde el 2 de agosto de 2026: el artículo 50
El artículo 50 regula las obligaciones de transparencia. No exige sistema de gestión de riesgos, ni marcado CE, ni documentación técnica del Anexo IV. Exige que la gente sepa que hay una IA delante y que el contenido sintético sea identificable. Es exigible desde el 2 de agosto de 2026 y afecta a cualquier empresa que use IA generativa de cara al público, por pequeña que sea.
1. Informar de que se interactúa con una IA
Si tienes un chatbot, un asistente de voz, un agente que responde emails o un formulario conversacional atendido por un modelo, tienes que informar explícitamente a la persona de que está interactuando con un sistema de IA, salvo que resulte obvio para una persona razonablemente informada. La obligación recae sobre el proveedor del sistema, y el momento del aviso es el inicio de la interacción, no un párrafo enterrado en la política de privacidad.
En la práctica esto se traduce en un texto visible en el arranque del chat ("estás hablando con un asistente automático"), no en un asterisco a pie de página.
2. Marcar el contenido generado o manipulado en formato legible por máquina
Los proveedores de sistemas que generan texto, imagen, audio o vídeo sintéticos deben marcar las salidas en un formato legible por máquina que permita detectar que han sido generadas o manipuladas artificialmente. La ley exige que las soluciones sean eficaces, interoperables, robustas y fiables en la medida en que sea técnicamente viable, teniendo en cuenta el estado de la técnica y el coste.
Ese "en la medida en que sea técnicamente viable" es la válvula de escape del artículo, y conviene no abusar de ella: significa que puedes elegir la técnica, no que puedas no hacer nada.
3. Deepfakes
Quien despliega un sistema que genera o manipula imagen, audio o vídeo constituyendo un deepfake debe revelar que el contenido ha sido generado o manipulado artificialmente. Hay excepciones tasadas para usos artísticos, satíricos o de ficción, donde la revelación se hace de forma que no estorbe a la obra.
4. Textos de interés público sin revisión humana
Si publicas texto generado por IA con el fin de informar al público sobre asuntos de interés público, tienes que revelarlo. La excepción es relevante para muchos equipos de marketing: no aplica si el contenido ha pasado por revisión humana o control editorial y alguien asume la responsabilidad editorial de la publicación. Un blog corporativo redactado con ayuda de IA y revisado y firmado por una persona no entra en el supuesto; una tubería automática que publica sin que nadie lo lea, sí.
5. Reconocimiento de emociones y categorización biométrica
Cuando estos sistemas están permitidos —recuerda que el reconocimiento de emociones en trabajo y educación está prohibido desde febrero de 2025, salvo razones médicas o de seguridad—, hay que informar a las personas expuestas de que están siendo sometidas a ellos.
Margen hasta el 2 de diciembre de 2026 para lo ya desplegado. Los sistemas generativos que ya estaban en el mercado antes del 2 de agosto de 2026 disponen de hasta el 2 de diciembre de 2026 para cumplir con el marcado del art. 50. Si estás lanzando algo nuevo, no tienes ese colchón: nace obligado.
Cómo se marca el contenido en la práctica
Aquí es donde la parte legal se convierte en decisión de arquitectura. Las opciones que hoy están sobre la mesa:
- Metadatos de procedencia firmados criptográficamente (el enfoque de credenciales de contenido tipo C2PA): sobreviven bien mientras el fichero no se reprocese, y son legibles por máquina por definición. Su punto débil: muchas plataformas de redes sociales eliminan metadatos al recomprimir.
- Marcas de agua imperceptibles incrustadas en el propio píxel o en el espectro de audio: aguantan recortes y recompresiones mejor que los metadatos, pero dependen del proveedor del modelo y no siempre son verificables por terceros.
- Marcado en el texto: hoy por hoy no hay una técnica robusta de marca de agua en texto plano que sobreviva a una reescritura. Para texto, la vía realista es la declaración explícita más el registro interno de qué se generó con qué.
- Registro de generación en tu propio sistema: un log con el ID del contenido, el modelo, la fecha y el prompt. No sustituye al marcado, pero es lo que te permite responder si alguien pregunta.
Ninguna de estas técnicas otorga hoy presunción de conformidad, porque, como decíamos, no hay estándares armonizados citados en el DOUE. La postura defendible es elegir la mejor opción disponible, documentar por qué la elegiste y revisar la decisión cuando aparezcan los estándares.
Las Directrices de la Comisión y el Código de Buenas Prácticas
Dos referencias publicadas justo antes de la fecha de aplicación, ambas voluntarias:
- 20 de julio de 2026: la Comisión adoptó las Directrices finales sobre el artículo 50, 51 páginas. No son vinculantes, pero son el mejor indicio disponible de cómo va a interpretar la Comisión la norma.
- 31 de julio de 2026: unas 190 organizaciones firmaron el Código de Buenas Prácticas sobre Transparencia de Contenido Generado por IA. En la Sección 1 (proveedores) firman Anthropic, Google, Meta, Microsoft, OpenAI y Mistral. En la Sección 2 (desplegadores) hay nombres como Bulgari, Getty Images, Iberdrola, Lenovo o Lufthansa. Cerca de la mitad de los firmantes son empresas pequeñas, lo que desmonta la idea de que estos códigos son cosa de multinacionales.
Adherirse al Código no es obligatorio ni sustituye al artículo 50, pero sirve como evidencia de diligencia si algún día tienes que explicarte.
Lo que se ha ido a diciembre de 2027: el alto riesgo del Anexo III
Aquí está el contraste que da sentido a este artículo. Durante meses se ha vendido urgencia con el Anexo III: si tu empresa criba currículums, hace scoring crediticio, evalúa alumnos o usa biometría, tenías que estar listo para el 2 de agosto de 2026. Ese calendario ya no existe.
Las obligaciones de alto riesgo por la vía del art. 6.2 y Anexo III —sistema de gestión de riesgos, gobernanza de datos, documentación técnica, logs, supervisión humana, gestión de la calidad, marcado CE, registro en la base de datos europea, FRIA cuando corresponda— se aplican desde el 2 de diciembre de 2027. Dieciséis meses más.
Y las de la vía del art. 6.1 y Anexo I —IA como componente de seguridad de productos ya regulados: máquinas, dispositivos médicos, ascensores, juguetes, aviación— se van al 2 de agosto de 2028.
Aplazamiento no es derogación. Las obligaciones de alto riesgo siguen íntegras en el texto del AI Act: no se ha suavizado ni una. Lo único que ha cambiado es la fecha desde la que son exigibles. Un sistema de cribado de CVs sigue siendo alto riesgo hoy; lo que no es exigible hoy es el expediente de conformidad. Quien interprete esto como "ya no hay que hacer nada" se encontrará en 2027 con el mismo trabajo, dieciséis meses de retraso y sin margen.
Y hay un matiz que se pasa por alto: el resto del Reglamento sigue aplicándose a esos sistemas. Un sistema de RRHH de alto riesgo que además genere textos sintéticos tiene que cumplir el art. 50 hoy. Las prácticas prohibidas del art. 5 le aplican desde febrero de 2025. Y la alfabetización en IA del art. 4, también.
Multas: qué es cierto y qué no
Este es el punto donde más ruido he visto estas semanas, así que vamos por partes.
No es cierto que el 2 de agosto de 2026 "empiecen las multas". El régimen sancionador general del artículo 99 —el de los 35 M€ / 7 % para prácticas prohibidas, 15 M€ / 3 % para el resto de incumplimientos y 7,5 M€ / 1 % por información engañosa— es aplicable desde el 2 de agosto de 2025 y lo ejecutan las autoridades de los Estados miembros. Lleva un año en vigor.
Lo que empieza ahora es otra cosa distinta y más acotada: la potestad sancionadora de la Comisión Europea sobre los proveedores de modelos de uso general (GPAI), del artículo 101. Desde el 2 de agosto de 2026 la Comisión puede solicitar documentación, acceder a los modelos, exigir medidas correctoras y multar con hasta 15 millones de euros o el 3 % del volumen de negocio anual mundial, la cifra que sea mayor.
| Régimen | Quién sanciona | A quién | Desde cuándo | Tope |
|---|---|---|---|---|
| Art. 99 (general) | Autoridades nacionales | Proveedores, desplegadores, importadores, distribuidores | 2 de agosto de 2025 | Hasta 35 M€ / 7 % (prácticas prohibidas); 15 M€ / 3 % (otras obligaciones); 7,5 M€ / 1 % (información engañosa) |
| Art. 101 (GPAI) | Comisión Europea | Proveedores de modelos de uso general | 2 de agosto de 2026 | Hasta 15 M€ / 3 % |
Si tu empresa integra un GPAI de terceros pero no lo proporciona, el artículo 101 no te apunta a ti: apunta al proveedor del modelo. Tus obligaciones siguen siendo las de desplegador —y las de proveedor del sistema que construyes encima, que es cosa distinta.
A 5 de agosto de 2026 no consta ninguna sanción impuesta ni ningún expediente abierto al amparo del AI Act. Ninguno. Cualquier contenido que insinúe lo contrario —"las primeras multas ya han llegado", "tal empresa ha sido sancionada"— es sencillamente falso. Que no haya sanciones aún no significa que no vaya a haberlas; significa que quien te vende con miedo hoy está inventando.
Aviso: circula un bulo sobre el Digital Omnibus
Merece la pena decirlo con todas las letras, porque va a llegar a tu bandeja de entrada.
Circulan artículos —muchos generados con IA y sin revisión— que afirman que el Digital Omnibus "fracasó" o "no salió adelante" y que las obligaciones de alto riesgo del Anexo III entraron en vigor el 2 de agosto de 2026. Es falso. El Reglamento (UE) 2026/1744 se aprobó, se publicó en el DOUE el 24 de julio de 2026 y está en vigor desde el 27 de julio. Verificarlo cuesta un minuto: entra en EUR-Lex y busca el ELI data.europa.eu/eli/reg/2026/1744/oj.
La regla de higiene informativa que aplicamos aquí es simple: cualquier afirmación sobre fechas del AI Act debe poder trazarse a EUR-Lex o al DOUE. Si un artículo, un proveedor o una propuesta comercial te da fechas sin referencia normativa, pide la referencia. Es literalmente el mismo criterio que aplicamos al evaluar proveedores que dicen tener un agente de IA: la afirmación sin evidencia no vale.
España: todavía no hay ley nacional de IA
Conviene ser exacto, porque también aquí hay confusión.
España aún no tiene una ley de IA en vigor. El Proyecto de Ley Orgánica de gobernanza de la inteligencia artificial se aprobó en Consejo de Ministros el 26 de mayo de 2026 y sigue en tramitación parlamentaria. Un proyecto de ley no es derecho vigente: puede cambiar en enmiendas y su calendario de aprobación es incierto.
Lo que el proyecto contempla —y lo cito como contenido del proyecto, no como norma aplicable— es designar a la AESIA (Agencia Española de Supervisión de la Inteligencia Artificial), con sede en A Coruña, como autoridad de vigilancia del mercado, junto a autoridades sectoriales para ámbitos concretos. Las cuantías de sanción que circulan asociadas a ese texto (35 M€ / 7 %, y escalones inferiores) proceden de fuentes secundarias y corresponden al régimen previsto en el proyecto, no a derecho vigente en España a día de hoy.
Mientras tanto, el AI Act es directamente aplicable: es un Reglamento, no una Directiva. No necesita transposición. Lo que la ley nacional aporta es la arquitectura sancionadora y de supervisión, no la obligación en sí.
Plan de 90 días: qué hacer con esto a partir de hoy
Cinco pasos, en este orden.
1. Inventaria dónde tienes IA generativa de cara al público. No hablo del inventario completo del AI Act —eso está en la checklist del artículo anterior— sino de una lista más corta y urgente: chatbots, asistentes de email, generadores de descripciones de producto, resúmenes automáticos, voz sintética, imágenes de marketing, subtítulos y traducciones automáticas. Incluye lo embebido en SaaS de terceros, que es donde suele estar la sorpresa.
2. Para cada superficie, responde a tres preguntas. ¿La persona sabe que hay una IA? ¿La salida está marcada de forma legible por máquina? ¿Quién es aquí el proveedor y quién el desplegador? Esta última pregunta determina a quién le toca cada obligación, y si has puesto tu marca encima de un sistema de terceros puedes haber pasado a proveedor sin enterarte.
3. Implementa el aviso y el marcado. El aviso es trabajo de front-end y de copy: media jornada. El marcado es trabajo de arquitectura: decidir la técnica, dónde se aplica en el pipeline y cómo se verifica. Documenta la decisión.
4. Revisa contratos con proveedores de IA. Necesitas que tu proveedor te confirme si marca las salidas, con qué técnica y si esa marca sobrevive al procesamiento que tú haces después. Si generas una imagen con un modelo que la marca y luego la recomprimes en tu CDN, puedes estar destruyendo la marca sin saberlo.
5. Recalibra el alto riesgo, no lo desmontes. Si ya tenías un proyecto de adecuación al Anexo III en marcha, no lo pares: reprográmalo a diciembre de 2027 y aprovecha para hacerlo bien en lugar de deprisa. El aplazamiento es una oportunidad de trabajar con estándares armonizados publicados en lugar de a ciegas.
La lectura correcta del 2 de agosto de 2026: tu deuda regulatoria a corto plazo es más pequeña de lo que te habían contado, pero es real y exigible desde ya. Avisar de que hay una IA y marcar el contenido generado es un trabajo de semanas, no de trimestres. El alto riesgo del Anexo III es un trabajo de trimestres, y ahora tienes dieciséis meses más para hacerlo bien.
Cómo encaja esto con el resto de tu compliance
Dos observaciones desde el lado técnico, que es donde nos movemos.
La primera: las obligaciones del art. 50 y las del RGPD no son la misma cosa y no se cubren con el mismo documento. El RGPD te pregunta qué datos personales tratas y con qué base jurídica; el art. 50 te pregunta si la persona sabe que hay una máquina delante. Un chatbot puede tratar cero datos personales y estar igualmente obligado a identificarse. Que tengas la política de privacidad al día no resuelve esto.
La segunda: el marcado de contenido es más fácil si controlas la infraestructura. Cuando el modelo corre en tu entorno, puedes decidir dónde se inyecta la marca, qué se registra en el log y qué se conserva. Cuando dependes de una API opaca, dependes de lo que esa API haga y de lo que documente. Es un argumento más —además de los de soberanía del dato que tratamos en IA on-premise sin enviar datos fuera de la UE— a favor de mantener control sobre el pipeline.
Y un consejo de método: antes de meter IA generativa en un proceso de cara al cliente, valida el caso de uso y la carga de cumplimiento a la vez. Es mucho más barato descubrir en la fase de prueba que un flujo exige avisos y marcado que descubrirlo con el sistema en producción. Nuestro framework de validación en cuatro semanas incluye ese chequeo.
Aviso legal: este artículo es informativo y refleja el estado del Reglamento (UE) 2024/1689 tras su modificación por el Reglamento (UE) 2026/1744, a 5 de agosto de 2026. No sustituye al asesoramiento jurídico personalizado.
¿Quieres saber qué te aplica de verdad a ti?
En Lin-ia trabajamos la parte técnica del AI Act: inventario de superficies de IA generativa, implementación de avisos y marcado de contenido, logs de trazabilidad, despliegues on-premise dentro de la UE y documentación técnica para sistemas de alto riesgo. No hacemos asesoría jurídica; hacemos que el sistema haga lo que el cumplimiento exige.
Si quieres una revisión de dónde estás respecto al artículo 50 —y qué te tocará realmente en diciembre de 2027—, escríbenos a info@lin-ia.es. Y si vienes de cero, empieza por la checklist del AI Act: sigue siendo válida en todo salvo en la tabla de fechas, que es la que corrige este artículo.
