Actualizado el 14 de octubre de 2026. El Ómnibus ya no es un acuerdo provisional: es el Reglamento (UE) 2026/1744, publicado en el DOUE el 24 de julio de 2026 y en vigor desde el 27 de julio. He revisado todas las fechas contra el texto final, corregido lo que dije de la multa del Artículo 25 (no muerde hasta que se aplica el alto riesgo), actualizado el estado del borrador de directrices y añadido la situación española: el proyecto de ley sancionador caducó el 6 de octubre de 2026.
Hay una fecha del EU AI Act que medio sector tachó de su calendario: el 2 de agosto de 2026. El Ómnibus digital movió las obligaciones de alto riesgo a diciembre de 2027, así que esa fecha ya no importaba. Eso es lo que se dijo en muchos comités.
Fue un error de lectura.
El 2 de agosto de 2026 activó cosas. Solo que no las que la mayoría pensaba. Y ahora que el texto es definitivo, el calendario completo ya no es una previsión: es ley.
El reencuadre que necesita tu comité: el Ómnibus no es relajación. Es triaje regulatorio. La UE pospuso lo difícil de ejecutar (los verticales de alto riesgo) y mantuvo la presión donde tiene infraestructura para inspeccionar ya: gobernanza de los modelos de IA de uso general (GPAI), transparencia y prácticas prohibidas. El que confundió "aplazamiento" con "tiempo libre" se va a llevar una sorpresa.
¿Qué es el Reglamento (UE) 2026/1744 y desde cuándo se aplica?
El Reglamento (UE) 2026/1744, el "Ómnibus digital sobre IA", es el primer paquete de enmiendas a la Ley de IA (Reglamento (UE) 2024/1689) desde su adopción en 2024. Consejo y Parlamento cerraron el acuerdo político el 7 de mayo de 2026, el Parlamento votó su posición el 16 de junio y el Consejo la aprobó el 29 de junio. Se firmó el 8 de julio, se publicó en el Diario Oficial el 24 de julio y entró en vigor el 27 de julio de 2026, a los tres días de su publicación.
Aplazó plazos. No los borró. Y de paso cambió otras cosas que afectan a cualquier empresa usuaria: reescribió la obligación de alfabetización del Artículo 4, que ahora pide "adoptar medidas" en lugar de garantizar "un nivel suficiente" (lo explico en formación obligatoria en IA), añadió dos prohibiciones al Artículo 5 y dio un plazo extra al marcado de contenido generado.
¿Qué activó de verdad el EU AI Act el 2 de agosto de 2026?
El 2 de agosto de 2026 el reglamento pasó a ser aplicable con carácter general. Para una empresa eso significa tres cosas.
Poderes de ejecución de la Comisión sobre los modelos GPAI. Las obligaciones de los proveedores de modelos de propósito general se aplican desde agosto de 2025, pero las multas de la Comisión a esos proveedores (artículo 101) se aplican desde el 2 de agosto de 2026. Los proveedores pueden apoyarse en el código de buenas prácticas de IA de uso general para demostrar que cumplen; quien no se adhiere tiene que demostrarlo por otros medios adecuados, y la carga de la prueba es suya.
Transparencia del Artículo 50. Chatbots que avisan de que son una IA, contenido sintético marcado y deepfakes etiquetados. Si tu empresa usa IA generativa de cara al público, esto te toca. Lo aterrizo para el caso más común en AI Act y ChatGPT: lo que te exige la ley si tus empleados lo usan.
Supervisión nacional. Las autoridades nacionales de vigilancia del mercado asumen la supervisión, incluida la de la alfabetización del Artículo 4. En España, la AESIA.
Para el proveedor de un modelo fundacional, lo primero es urgente. Para el CISO de una empresa usuaria, el efecto es indirecto pero real: si integras un GPAI vía API en un flujo crítico, dependes de que tu proveedor upstream tenga su casa en orden.
¿Qué pasa con la multa del Artículo 25?
Aquí corrijo lo que escribí cuando el Ómnibus era un acuerdo provisional. El texto final mantiene la multa, pero no la fecha que yo daba.
Lo que sí está: el Ómnibus añade al artículo 99.4 una letra nueva, la d bis), que sanciona el incumplimiento del Artículo 25, apartados 2 y 4, con hasta el 3% de la facturación mundial anual o 15 millones de euros. Queda en el mismo tramo que las infracciones de los Artículos 16, 26 y 50.
¿Qué es el Artículo 25? Las obligaciones de compartir información en la cadena de valor del alto riesgo:
- Artículo 25(2): si un tercero modifica sustancialmente un sistema o cambia su finalidad hasta convertirse en nuevo proveedor de un sistema de alto riesgo, el proveedor original debe cooperar con él: entregar documentación técnica suficiente, informar de las limitaciones y modos de fallo conocidos y dar acceso técnico para pruebas y validación. No se aplica si el proveedor original indicó claramente que su sistema no debe transformarse en uno de alto riesgo.
- Artículo 25(4): el proveedor de un sistema de alto riesgo y el tercero que le suministra un sistema, un modelo de IA, herramientas o componentes deben especificar por escrito la información, el acceso técnico y la asistencia necesarios. El Ómnibus añade expresamente el "modelo de IA" a esa lista.
Lo que no está: que esa multa muerda en agosto de 2026. El Artículo 25 forma parte del capítulo III, sección 3 del reglamento, y el propio Ómnibus fija que esa sección se aplica desde el 2 de diciembre de 2027 para el Anexo III y desde el 2 de agosto de 2028 para el Anexo I. La sanción existe en el texto desde el 27 de julio de 2026, pero no hay obligación que sancionar hasta que el alto riesgo se aplique. Esa es mi lectura del texto final; si tu caso depende de ella, valídala con tu asesoría jurídica.
Traducido a la vida de un CISO: si tu organización compra un modelo o un componente de IA y lo integra en algo que acabará siendo de alto riesgo, el contrato de documentación compartida tiene que existir antes de diciembre de 2027. No es urgente para mañana, pero es de los que más tardan en negociarse. Empieza ahora.
¿Cuáles son las fechas definitivas del EU AI Act tras el Ómnibus?
Si vas a llevar una sola diapositiva al comité, que sea esta. Son las fechas del texto consolidado tras el Reglamento (UE) 2026/1744:
| Fecha | Qué se aplica | A quién afecta |
|---|---|---|
| 2 feb 2025 | Prácticas prohibidas (Art. 5) y alfabetización en IA (Art. 4, con el texto nuevo desde el 27 jul 2026) | Todas las organizaciones que usan IA |
| 2 ago 2025 | Obligaciones de los modelos GPAI, gobernanza y régimen sancionador | Proveedores de modelos de propósito general |
| 27 jul 2026 | Entrada en vigor del Ómnibus (Reglamento (UE) 2026/1744) | Todos |
| 2 ago 2026 | Aplicación general: transparencia (Art. 50), multas de la Comisión a proveedores GPAI (Art. 101) y supervisión nacional | Quien use IA generativa de cara al público y proveedores GPAI |
| 2 dic 2026 | Marcado del contenido generado (Art. 50.2) para sistemas ya en el mercado + prohibición de deepfakes íntimos no consentidos y de material de abuso sexual infantil generados con IA | Proveedores de sistemas generativos y quien los despliegue |
| 2 ago 2027 | Al menos un espacio controlado de pruebas (sandbox) nacional operativo en cada Estado | Quien quiera probar sistemas de IA en entorno supervisado |
| 2 dic 2027 | Alto riesgo del Anexo III, incluido el Artículo 25 y su multa | Sistemas de alto riesgo independientes (empleo, crédito, educación...) |
| 2 ago 2028 | Alto riesgo del Anexo I (IA embebida en productos regulados) | Dispositivos médicos, maquinaria, vehículos, etc. |
La trampa sigue estando arriba. Mientras la conversación se va a diciembre de 2027, lo que ya se aplica es la transparencia y, en semanas, el marcado de contenido y las dos prohibiciones nuevas. Si ya hiciste los deberes de inventario y clasificación, esto lo cubres. Si los aparcaste porque "se aplazó", llegas tarde. El proceso para no llegar tarde es el mismo de siempre: la auditoría EU AI Act paso a paso que ya describí, ahora con el calendario definitivo.
¿Y en España? El régimen sancionador vuelve a la casilla de salida
El Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial (expediente 121/000096) entró en el Congreso el 28 de mayo de 2026 y figura como caducado desde el 6 de octubre de 2026, con la disolución de las Cortes. Era la norma que iba a concretar el régimen sancionador español.
Que no te confunda: el Reglamento de IA es directamente aplicable y la AESIA sigue existiendo. Lo que se cae es el desarrollo nacional, que tendrá que volver a tramitarse en la próxima legislatura. Los topes de las multas siguen siendo los del artículo 99 del reglamento europeo.
El borrador de directrices de clasificación: sigue siendo borrador
El 19 de mayo de 2026 la Comisión Europea publicó el borrador de directrices para clasificar sistemas de alto riesgo bajo el Artículo 6, en tres documentos: principios generales, Anexo I y Anexo III. Es la primera vez que existe un texto con ejemplos concretos de qué cuenta como alto riesgo y qué no.
La consulta pública ya ha cerrado y, a 14 de octubre de 2026, la página oficial sigue ofreciendo la versión de borrador. Dos cosas importan para un CISO:
Primera: según el borrador, el proveedor decide la clasificación, no el deployer, y esa decisión se evalúa mirando el propósito previsto: instrucciones técnicas, documentación, materiales de marketing y comunicaciones promocionales. Un posicionamiento amplio "para cualquier caso de uso" puede activar la clasificación de alto riesgo a menos que excluyas de forma clara y consistente los usos sensibles. Lo que tu equipo de producto escribe en una landing tiene consecuencias regulatorias.
Segunda: no es vinculante, pero es la mejor pista de la interpretación que guiará la supervisión. Úsalo ya para pre-clasificar y vigila la versión final, porque la Comisión avisa de que los ejemplos pueden actualizarse.
Descarga gratis: Checklist de proveedores de IA
La checklist para evaluar a tus proveedores de IA antes de integrarlos: seguridad, datos, cumplimiento y trazabilidad. Gratis, a cambio de tu email.
Quiero la checklistMi opinión como CISO
El aplazamiento no es un regalo. Es un test. La UE ha dado dieciséis meses extra para el alto riesgo del Anexo III y doce para el del Anexo I para que las organizaciones hagan lo que no hicieron en los dos años anteriores, no para que cierren el proyecto.
Trabajo en el sector nuclear, un entorno determinista y procedimentado donde el cumplimiento es parte del ADN operativo. Esa cultura es la excepción. En la mayoría de organizaciones donde se despliega IA, el sistema de gestión de riesgos comparable no existe todavía, y el inventario de sistemas de IA crece más rápido que la capacidad de gobernarlo.
Lo que más me preocupa del Ómnibus no es ninguna de sus cláusulas. Es el efecto psicológico. La palabra "aplazamiento" desvía la atención de Dirección, suelta el presupuesto que tanto costó defender y relaja a los proveedores justo cuando deberían estar entregándote fichas técnicas. Y ahora se suma la caducidad del proyecto de ley español, que más de uno leerá como "aquí no pasa nada". El daño no lo hace el texto legal. Lo hace la lectura perezosa del titular.
Curso · Ciberseguridad de la IA para CISOs
5 módulos disponibles ya: La IA como nuevo dominio de riesgo · Amenazas y vulnerabilidades · Gobernanza y cumplimiento (EU AI Act, NIST, ISO 42001) · Operación segura · Caso práctico integrador. 100% online, vídeos + manual completo + autoevaluación. Acceso durante un año. Diploma al finalizar.
Ver el cursoQué hacer con el calendario definitivo
Seis acciones concretas que salen de leer el Ómnibus con la letra pequeña, no el titular:
1. Inventario IA exprés. Revisa los logs de DNS y proxy buscando dominios de OpenAI, Anthropic, Mistral, Google AI o HuggingFace. Cruza con las compras SaaS de los últimos 24 meses para detectar IA embebida que nadie inventarió. Sin esto, lo demás es teoría. Si arrancas de cero, te he dejado el método y la plantilla en cómo construir un inventario de sistemas de IA.
2. Pre-clasifica contra el Anexo III con el borrador de directrices. Marca cada sistema como probable alto riesgo, riesgo de transparencia o mínimo. No esperes al texto final: los ejemplos del borrador son la mejor pista disponible de la interpretación oficial.
3. Cierra antes del 2 de diciembre de 2026 lo que vence este año. Revisa con tus proveedores de IA generativa cómo marcan el contenido (Art. 50.2) y confirma que ningún sistema que despliegas puede generar deepfakes íntimos o material de abuso infantil sin salvaguardas.
4. Negocia ya los acuerdos del Artículo 25. Si modificas sustancialmente un sistema de un tercero o integras un modelo upstream en algo que será de alto riesgo, mete en el contrato la documentación técnica, las limitaciones conocidas y el acceso para pruebas. Se exige desde diciembre de 2027, pero los contratos se negocian con meses de antelación.
5. Reescribe el roadmap con las fechas definitivas. Saca del documento la fecha popular y mete las operativas: agosto de 2026 (transparencia y GPAI), diciembre de 2026 (marcado y prohibiciones nuevas), agosto de 2027 (sandboxes), diciembre de 2027 (Anexo III) y agosto de 2028 (Anexo I). Y revisa la alfabetización del Artículo 4 con el texto nuevo.
6. Comunica al comité que el trabajo no se aplazó. Sin alarmismo. El mensaje cabe en una frase: no nos han dado tiempo libre, nos han dado tiempo para hacer lo que no hicimos. Lo más caro que puede pasar es perder el sponsor ejecutivo justo ahora.
Antes de auditar nada, conviene que en la organización exista una política de uso aceptable de la IA que defina qué se aprueba y qué no. Sin ese marco, cada sistema que encuentres es una excepción que regularizar a posteriori.
¿Te ha resultado útil este análisis?
Cada semana envío una newsletter con un análisis técnico como este, noticias curadas y una herramienta práctica para CISOs. Sin patrocinadores. Sin relleno.
Suscribirme a la newsletterPara cerrar
El aplazamiento no es la noticia. La noticia es lo que sigue vivo y la fecha en la que muerde. La transparencia y el enforcement GPAI desde agosto. El marcado de contenido y dos prohibiciones nuevas en diciembre. El alto riesgo, con la cadena de proveedores del Artículo 25 dentro, en diciembre de 2027. Y en España, un régimen sancionador que hay que volver a tramitar.
Repasa con tus proveedores de IA dos cosas: cuántos te han entregado la documentación técnica que vas a necesitar y cuántos contratos de integración la contemplan por escrito. Lo que falte ahí es tu exposición en 2027.
Si las dos cifras no coinciden, y rara vez coinciden, ya tienes el primer trabajo del trimestre.
Preguntas frecuentes sobre el Ómnibus y las fechas del EU AI Act
¿El Ómnibus digital del AI Act ya está aprobado?
Sí. El Ómnibus digital sobre IA es el Reglamento (UE) 2026/1744, firmado el 8 de julio de 2026, publicado en el Diario Oficial de la UE el 24 de julio y en vigor desde el 27 de julio de 2026. Modifica el Reglamento (UE) 2024/1689: aplaza el alto riesgo, reescribe el Artículo 4, añade dos prohibiciones y da un plazo extra al marcado de contenido.
¿Cuándo se aplican las obligaciones de alto riesgo del EU AI Act tras el Ómnibus?
Según el artículo 113 modificado por el Reglamento (UE) 2026/1744, las obligaciones de los sistemas de alto riesgo del Anexo III se aplican desde el 2 de diciembre de 2027, y las de los sistemas de alto riesgo embebidos en productos regulados del Anexo I desde el 2 de agosto de 2028.
¿Qué activó el EU AI Act el 2 de agosto de 2026?
El 2 de agosto de 2026 el reglamento pasó a ser aplicable con carácter general: obligaciones de transparencia del Artículo 50, multas de la Comisión a los proveedores de modelos de IA de uso general (Artículo 101) y supervisión por las autoridades nacionales, que en España corresponde a la AESIA. No es la fecha del alto riesgo, que se aplazó a diciembre de 2027.
¿Desde cuándo se aplica la multa del Artículo 25 del AI Act?
El Ómnibus añade al artículo 99.4 una sanción de hasta 15 millones de euros o el 3 por ciento de la facturación mundial por incumplir el Artículo 25, apartados 2 y 4. Pero el Artículo 25 forma parte del capítulo III, sección 3, que se aplica desde el 2 de diciembre de 2027 (Anexo III) o el 2 de agosto de 2028 (Anexo I), así que hasta entonces no hay obligación que sancionar.
¿Qué se aplica el 2 de diciembre de 2026?
Dos cosas. Los proveedores de sistemas que generan contenido sintético y ya estaban en el mercado antes del 2 de agosto de 2026 deben cumplir el marcado del Artículo 50.2. Y se aplican las dos prohibiciones nuevas del Artículo 5: sistemas que generan imágenes íntimas no consentidas de personas identificables y material de abuso sexual infantil.
¿Qué ha pasado con la ley española de inteligencia artificial?
El Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial (expediente 121/000096), que iba a concretar el régimen sancionador español, figura en el Congreso como caducado desde el 6 de octubre de 2026 por la disolución de las Cortes. El reglamento europeo se sigue aplicando, porque es directamente aplicable.
Fuentes
- EUR-Lex - Reglamento (UE) 2026/1744 (Ómnibus digital sobre IA). Texto oficial publicado en el DOUE el 24 de julio de 2026: artículo 4 nuevo, prohibiciones del artículo 5, artículos 25, 57, 99, 111 y 113 modificados, y entrada en vigor.
- EUR-Lex - Reglamento (UE) 2024/1689 (Reglamento de Inteligencia Artificial). Texto original: estructura del capítulo III, artículos 50, 53, 99, 101 y 113.
- Comisión Europea - AI Act: regulatory framework. Calendario oficial de aplicación tras el Ómnibus.
- Comisión Europea - Draft Commission guidelines on the classification of high-risk AI systems. Borrador de directrices del Artículo 6, publicado el 19 de mayo de 2026.
- Hunton Andrews Kurth - European Commission Releases Draft Guidelines on High-Risk AI - Estructura y alcance del borrador de directrices.
- Bird & Bird - The Commission's Draft High-Risk AI Guidelines: A First Read - Primer análisis del criterio "el proveedor decide".
- Consejo de la UE - Council and Parliament agree to simplify and streamline rules (7 may 2026). Comunicado del acuerdo político que dio origen al reglamento.
- Congreso de los Diputados - Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA (121/000096). Ficha oficial: caducado desde el 6 de octubre de 2026.