Este domingo 2 de agosto debía ser la fecha más temida por cualquier empresa europea que use inteligencia artificial: el día en que el Reglamento de IA de la Unión Europea (el «AI Act») empezaba a exigir el cumplimiento al 100% a los sistemas de alto riesgo, desde herramientas de selección de personal hasta algoritmos de scoring crediticio. No va a ser así. En mayo, las instituciones europeas pactaron aplazar esa parte del reglamento hasta diciembre de 2027, e incluso hasta agosto de 2028 para ciertos productos. Pero eso no significa que el 2 de agosto sea un día cualquiera: otra parte de la norma, la que obliga a decir cuándo se está hablando con una máquina, sigue adelante tal y como estaba prevista.
Lo que ya estaba en vigor antes de este fin de semana
El AI Act no es una ley que se aplique de golpe, sino por fases desde su entrada en vigor en agosto de 2024. Desde febrero de 2025 rigen ya la prohibición de los sistemas de «riesgo inaceptable», como el scoring social, la manipulación subliminal o la vigilancia biométrica masiva en espacios públicos, y la obligación de fomentar la alfabetización en IA entre empleados. Desde agosto de 2025, además, están operativas las obligaciones para los modelos de propósito general (los grandes modelos de lenguaje tipo GPT o Gemini) y la Oficina Europea de IA, el organismo que supervisa su cumplimiento.
El giro de última hora: el Digital Omnibus
Lo que ha cambiado en las últimas semanas es la letra pequeña de la siguiente fase. El pasado mes de mayo, el Consejo de la UE, el Parlamento Europeo y la Comisión alcanzaron un acuerdo político sobre el llamado «Digital Omnibus sobre IA», ratificado formalmente por el Parlamento el 16 de junio y por el Consejo el 29 de junio. Su efecto más importante: las obligaciones para los sistemas de alto riesgo definidos en el Anexo III del reglamento, los que se usan en selección de personal, scoring crediticio, educación, gestión de fronteras o administración de justicia, se retrasan 16 meses, del 2 de agosto de 2026 al 2 de diciembre de 2027. Para los sistemas de IA integrados en productos ya regulados por otras normas europeas, como dispositivos médicos, maquinaria o juguetes, el aplazamiento llega hasta el 2 de agosto de 2028.
La justificación oficial es que la infraestructura necesaria para hacer operativas esas obligaciones, organismos de certificación, estándares técnicos armonizados, bases de datos de registro, no estaba lista a tiempo. Es, en otras palabras, un reconocimiento de que la propia Unión Europea no había terminado de construir el andamiaje regulador que exige a las empresas.
Lo que sí entra en vigor este 2 de agosto
Conviene no confundir el aplazamiento de las obligaciones de alto riesgo con una moratoria general: los llamados «deberes de transparencia» del artículo 50 del reglamento siguen su calendario original y se activan este domingo. A partir de esa fecha, cualquier sistema de IA que interactúe directamente con personas deberá informarles de que están hablando con una máquina; los contenidos sintéticos, imagen, audio, vídeo o texto generados por IA, tendrán que llevar un marcado técnico que permita identificarlos como tales; y quienes usen sistemas de reconocimiento de emociones o categorización biométrica deberán advertir a las personas expuestas a ellos. Eso sí, el propio Omnibus concede una prórroga de cuatro meses, hasta el 2 de diciembre, para que los sistemas ya comercializados antes de esta fecha adapten sus mecanismos de marcado de contenido sintético.
El paquete de reforma también introduce una novedad que no estaba en el radar hace unos meses: una nueva prohibición dentro del artículo 5 del reglamento contra los sistemas de IA que generen o manipulen imágenes íntimas no consentidas, los llamados «nudificadores», o material de abuso sexual infantil. La prohibición no se limita a las herramientas diseñadas expresamente para ese fin: también alcanza a cualquier sistema de generación de imagen o vídeo cuyo uso indebido sea razonablemente previsible y reproducible y que carezca de salvaguardas técnicas adecuadas para impedirlo, con un periodo transitorio hasta el 2 de diciembre de 2026 para adaptarse.
Las sanciones, en cualquier caso, no se han suavizado: las prácticas prohibidas del artículo 5 pueden acarrear multas de hasta 35 millones de euros o el 7% de la facturación global de la empresa, mientras que los incumplimientos de las obligaciones de alto riesgo se sancionan con hasta el 3%.
Qué significa para las empresas y para Europa
El mensaje que trasladan tanto Bruselas como los despachos de abogados especializados es que el aplazamiento del Anexo III no es una excusa para relajarse. La Oficina Europea de IA sale del proceso con más poder, no con menos: el acuerdo le otorga competencia exclusiva sobre los sistemas construidos sobre modelos de propósito general cuando el mismo proveedor desarrolla el modelo y el sistema, además de nuevas facultades de inspección, imposición de compromisos vinculantes y multas. En paralelo, se retrasa un año, hasta agosto de 2027, el plazo para que los Estados miembros pongan en marcha sus «sandboxes» regulatorios, los entornos controlados donde las empresas pueden probar sistemas de IA bajo supervisión antes de su despliegue comercial.
El trasfondo de este vaivén regulador es la creciente presión competitiva sobre la industria tecnológica europea. Mientras Bruselas afinaba durante meses el calendario de su reglamento, Estados Unidos aprobaba en 2026 modelos como la familia GPT-5.6 de OpenAI o Gemini 3.5 Pro de Google sin una regulación horizontal comparable, y China seguía acelerando el despliegue comercial de sus propios modelos. El aplazamiento del Anexo III puede leerse como una respuesta pragmática a esa asimetría: Europa no renuncia a regular la IA de alto riesgo, pero da a sus empresas más tiempo para no quedar en desventaja frente a competidores que operan bajo marcos mucho más laxos.
Para las compañías españolas y latinoamericanas con presencia en el mercado europeo, el consejo de los especialistas en cumplimiento normativo es no esperar a que lleguen las nuevas fechas límite: inventariar los sistemas de IA en uso, clasificarlos según el nivel de riesgo del Anexo III y empezar ya la documentación técnica, porque construir un marco de cumplimiento real, auditorías, evaluaciones de conformidad, gobernanza de datos, lleva meses, y el año y medio de margen ganado con el Omnibus puede consumirse más rápido de lo que parece.
