Reglamento de IA de la UE tras el Ómnibus de IA de 2026: qué deben hacer los equipos de ingeniería
El Ómnibus de IA de 2026 modificó el calendario de los sistemas de alto riesgo, mientras que las obligaciones de transparencia del artículo 50 siguen aplicándose desde el 2 de agosto de 2026. Este es el mapa técnico actual.
Calendario del Reglamento de IA de la UE tras el Ómnibus de IA de 2026
El calendario del Reglamento de IA de la UE cambió en 2026. Las instituciones de la Unión adoptaron un Ómnibus de IA que desplaza las principales obligaciones para los sistemas de alto riesgo respecto de las fechas originales, mientras que la aplicación general del Reglamento y el marco de transparencia del artículo 50 siguen calendarios propios.
A la fecha de revisión del 22 de julio de 2026, los hitos prácticos son:
- 2 de febrero de 2025 — comenzaron a aplicarse las prácticas prohibidas y las disposiciones sobre alfabetización en materia de IA.
- 2 de agosto de 2025 — comenzaron a aplicarse las normas de gobernanza y las obligaciones de los proveedores de modelos de IA de uso general.
- 2 de agosto de 2026 — fecha general de aplicación, incluidas las obligaciones de transparencia del artículo 50.
- 2 de diciembre de 2027 — fecha de aplicación adoptada para los sistemas de IA de alto riesgo del anexo III.
- 2 de agosto de 2028 — fecha de aplicación adoptada para los sistemas de alto riesgo vinculados a productos regulados por la vía del artículo 6, apartado 1, y el anexo I.
Dado que la legislación y las orientaciones de aplicación pueden cambiar, los equipos deben comprobar el texto modificativo definitivo en el Diario Oficial y las orientaciones vigentes de la Comisión antes de tomar una decisión jurídica.
¿Necesita una primera orientación? Utilice el verificador de riesgos del Reglamento de IA, que se ejecuta únicamente en el navegador. Abarca el vínculo con la UE, el papel del operador, la finalidad prevista, las excepciones del artículo 6, apartado 3, la transparencia y señales de otras normas sobre datos.
El calendario en un solo lugar
| Fecha | Relevancia técnica actual | | --- | --- | | 1 de agosto de 2024 | Entrada en vigor del Reglamento de IA | | 2 de febrero de 2025 | Comienzo de la aplicación de las prácticas prohibidas y la alfabetización en IA | | 2 de agosto de 2025 | Comienzo de las obligaciones de los proveedores de GPAI y las disposiciones de gobernanza | | 2 de agosto de 2026 | Obligaciones de transparencia del artículo 50 y fecha general de aplicación | | 2 de diciembre de 2027 | Requisitos de alto riesgo del anexo III conforme al calendario Ómnibus adoptado | | 2 de agosto de 2028 | Requisitos de alto riesgo vinculados a productos regulados conforme al calendario Ómnibus adoptado |
Los niveles de sanción también deben describirse con precisión. El máximo de 35 millones de euros o el 7 % del volumen de negocios anual mundial está asociado a infracciones de las prácticas prohibidas. Muchas otras infracciones de operadores y de transparencia tienen un máximo de 15 millones de euros o el 3 %, sujeto a las reglas detalladas del Reglamento, el tratamiento de las pymes, la proporcionalidad y la ejecución nacional.
La clasificación de alto riesgo depende de la finalidad prevista
Usar IA en el empleo, la educación, las finanzas o la asistencia sanitaria no convierte automáticamente a todos los sistemas en sistemas de alto riesgo. El artículo 6 y el anexo III identifican finalidades previstas concretas.
Entre los ejemplos habituales se incluyen:
- Empleo — publicidad laboral dirigida, filtrado de candidaturas, evaluación de candidatos, decisiones de promoción o despido, asignación de tareas y supervisión de trabajadores.
- Educación — admisión, acceso, decisiones relevantes sobre niveles de aprendizaje, evaluación de resultados y determinados usos de vigilancia de exámenes.
- Servicios esenciales — prestaciones públicas, evaluación de la solvencia de personas físicas, valoración de riesgos y precios en seguros de vida y salud, despacho de emergencias y triaje sanitario de urgencia.
- Biometría — determinados sistemas de identificación biométrica remota, categorización biométrica y reconocimiento de emociones cuando su uso esté permitido. La autenticación simple uno a uno queda fuera de la categoría de identificación remota.
- Infraestructuras críticas — componentes de seguridad utilizados en la gestión o explotación de determinadas infraestructuras críticas.
- Fuerzas y cuerpos de seguridad, migración, justicia y elecciones — únicamente las finalidades y condiciones enumeradas en el anexo III.
También importa el papel del operador. Proveedores, responsables del despliegue, importadores, distribuidores y fabricantes de productos pueden tener obligaciones distintas. Una organización puede desempeñar más de un papel para el mismo sistema.
Artículo 6, apartado 3: la excepción que no puede decidir una casilla
Un sistema del anexo III puede evitar la clasificación de alto riesgo cuando no presenta un riesgo significativo de daño y no influye materialmente en la decisión correspondiente. El Reglamento menciona situaciones como una tarea procedimental limitada, la mejora de una actividad humana ya finalizada, la detección de patrones sin sustituir ni influir en la evaluación humana o la realización de una tarea preparatoria.
Hay tres cautelas importantes:
- Un sistema del anexo III que elabore perfiles de personas físicas sigue siendo de alto riesgo.
- Estas excepciones no sustituyen el análisis independiente de la vía de productos regulados del artículo 6, apartado 1.
- El proveedor que invoque una excepción debe documentar la evaluación antes de comercializar o poner en servicio el sistema y completar el registro aplicable.
Por eso el verificador de SovAIHub devuelve «Se necesita revisar la clasificación del artículo 6, apartado 3» en lugar de declarar que el sistema es de riesgo mínimo.
El artículo 50 se aplica desde el 2 de agosto de 2026
El 20 de julio de 2026, la Comisión Europea publicó las directrices adoptadas y unas preguntas y respuestas complementarias sobre las obligaciones de transparencia del artículo 50. Confirman que las obligaciones son más específicas que «etiquetar todo lo creado con IA».
- Los proveedores de sistemas diseñados para un intercambio real, directo y bidireccional con personas físicas deben procurar que estas sean informadas desde el inicio de la primera interacción, salvo que la naturaleza de la IA sea evidente en el contexto. El procesamiento en segundo plano y las comunicaciones de máquina a máquina no activan esta obligación de interacción.
- Los proveedores de sistemas que generen contenidos sintéticos de audio, imagen, vídeo o texto incluidos en el ámbito de aplicación deben permitir un marcado eficaz legible por máquina. Las directrices tratan exclusiones y excepciones para elementos como código fuente, secuencias breves, resultados de máquina a máquina, determinados resultados de desarrollo industrial en circuito cerrado, edición estándar, viabilidad técnica y situaciones industriales o entre empresas limitadas.
- Los responsables del despliegue deben revelar claramente las ultrafalsificaciones aplicables a más tardar en la primera exposición. No pueden depender únicamente del marcado legible por máquina del proveedor, porque la revelación del responsable del despliegue debe ser perceptible para las personas.
- Los responsables del despliegue que publiquen textos generados o manipulados por IA sobre asuntos de interés público solo pueden acogerse a la excepción de revisión humana o control editorial cuando la revisión sea sustantiva y una persona o entidad responsable asuma la responsabilidad editorial. Las simples revisiones de ortografía, gramática o forma no bastan.
- Los responsables del despliegue de sistemas de reconocimiento de emociones o categorización biométrica deben informar a las personas expuestas, tanto si el tratamiento ocurre en tiempo real como si se realiza posteriormente.
Por tanto, las obligaciones de proveedores y responsables del despliegue deben mapearse por separado en los requisitos del producto y las evidencias de prueba.
No existe un periodo de gracia general para el artículo 50. La Comisión describe únicamente una transición limitada para la obligación de marcado y detección del artículo 50, apartado 2, respecto de sistemas comercializados antes del 2 de agosto de 2026; esos sistemas deben cumplir esa obligación concreta desde el 2 de diciembre de 2026. Los contenidos generados antes del 2 de agosto de 2026 no tienen que etiquetarse retroactivamente.
Cómo son las evidencias técnicas para sistemas de alto riesgo
Sigue siendo útil comenzar pronto el trabajo detallado de cumplimiento. El conjunto básico de evidencias incluye:
| Obligación | Evidencia técnica | | --- | --- | | Gestión de riesgos (art. 9) | Registro de riesgos versionado y vinculado a versiones e incidentes | | Gobernanza de datos (art. 10) | Linaje, idoneidad y calidad de los datos, y registros de examen de sesgos | | Documentación técnica (art. 11) | Finalidad prevista, arquitectura, versiones, limitaciones y expediente de validación | | Registro de eventos (art. 12) | Registros automáticos de eventos diseñados para la trazabilidad | | Instrucciones de uso (art. 13) | Capacidades, limitaciones, supervisión, entradas y mantenimiento | | Supervisión humana (art. 14) | Autoridad designada, puntos de revisión, anulación/interrupción y formación | | Precisión y robustez (art. 15) | Pruebas de calidad, fallos, ataques, deriva y ciberseguridad | | Conformidad y registro | Evaluación aplicable, declaraciones, marcado y registros en bases de datos |
Estos documentos no pueden reconstruirse de forma fiable después de que un sistema lleve meses funcionando. Los registros, líneas base de evaluación, aprobaciones e historiales de cambios deben integrarse en el flujo de entrega.
El despliegue soberano facilita las evidencias; no crea cumplimiento
El Reglamento de IA no exige autoalojamiento ni aislamiento de red. Aun así, un despliegue controlado puede facilitar la producción de evidencias:
- Los registros de ejecución y llamadas a herramientas pueden cubrir todo el recorrido de la solicitud.
- Las versiones del modelo, prompt, recuperador y políticas pueden fijarse y reproducirse.
- Los flujos de datos y accesos administrativos pueden inspeccionarse directamente.
- La evaluación puede ejecutarse con conjuntos de datos aprobados sin enviar ejemplos sensibles a un evaluador externo.
- La procedencia de artefactos y las aprobaciones de versiones pueden conservarse con el registro del sistema.
La contrapartida es la responsabilidad. El autoalojamiento transfiere a la organización la disponibilidad, los parches, la procedencia del modelo, la seguridad, la supervisión y las operaciones del ciclo de vida. El aislamiento de red reduce sustancialmente la exposición externa, pero no elimina los riesgos de soportes extraíbles, administradores, acceso físico o importación de artefactos.
Una secuencia práctica de preparación
- Inventariar sistemas y papeles. Registrar finalidad prevista, propietario, usuarios, personas afectadas, mercado, proveedor, responsable del despliegue, modelo, herramientas y límite de despliegue.
- Examinar las prácticas prohibidas. Tratar una posible coincidencia con el artículo 5 como una condición de parada y revisión.
- Realizar el análisis del artículo 6. Identificar la vía exacta del anexo III o de productos regulados y documentar cualquier excepción invocada.
- Mapear el artículo 50 por separado. Separar las obligaciones de marcado del proveedor de las obligaciones de información del responsable del despliegue.
- Construir la cadena de evidencias. Versionar conjuntos de prueba, resultados de evaluación, registros, aprobaciones, artefactos de modelos, incidentes y cambios materiales.
- Conectar las evidencias con la responsabilidad. Un control sin propietario, frecuencia de revisión o barrera de publicación no es un control operativo.
El AI System Passport propuesto reúne este inventario, las evidencias, la evaluación y el historial de cambios. El patrón Sovereign EvalOps añade barreras de regresión, mientras que Sovereign AI FinOps conecta el coste operativo con la utilización y los resultados.
Referencias oficiales
- Reglamento (UE) 2024/1689 — EUR-Lex
- Comisión Europea — directrices sobre sistemas de alto riesgo y calendario actual
- Comisión Europea — Código de Buenas Prácticas sobre transparencia de contenidos generados por IA
- Comisión Europea — directrices adoptadas de transparencia del artículo 50
- Comisión Europea — preguntas y respuestas sobre transparencia del artículo 50
- Consejo — aprobación definitiva de las normas de simplificación de la IA de 2026
Revisado el 22 de julio de 2026. Este artículo ofrece orientación técnica y no constituye asesoramiento jurídico. Verifique el Diario Oficial y las orientaciones vigentes de la Comisión, y consulte a profesionales cualificados para decisiones de clasificación o conformidad.