Radar regulatorio: lo que cambió en la IA europea esta primavera
El calendario del AI Act se movió en mayo de 2026 — pero no para todos los efectos igual. Resumen de qué se aplazó, qué sigue en pie, y qué significa para tu empresa.
El aplazamiento: qué cambió realmente
El 7 de mayo de 2026, el Consejo, el Parlamento y la Comisión Europea acordaron el Digital Omnibus on AI — la primera revisión del AI Act desde su aprobación en 2024. El cambio con más titulares: las obligaciones para sistemas de alto riesgo previstas para el 2 de agosto de 2026 se aplazan, sobre todo para los sistemas de uso del Anexo III (selección de personal, scoring crediticio, educación, infraestructuras críticas) — su plazo pasa a diciembre de 2027, dieciséis meses después de lo previsto. Los sistemas embebidos en productos regulados (dispositivos médicos, maquinaria, juguetes, del Anexo I) se mueven de agosto de 2027 a agosto de 2028.
Lo que no se ha movido
Aquí está el matiz que muchas empresas están pasando por alto. Las obligaciones de transparencia del artículo 50 — avisar de que un chatbot es un chatbot, identificar contenido generado por IA — siguen entrando en vigor el 2 de agosto de 2026 como estaba previsto. Solo el marcado técnico del contenido sintético obtiene una prórroga corta, hasta diciembre de 2026. Las obligaciones para modelos de propósito general (GPAI) llevan aplicándose desde agosto de 2025. Y las prácticas prohibidas — puntuación social, manipulación subliminal, categorización biométrica de rasgos sensibles — están vigentes desde febrero de 2025. El aplazamiento es real, pero solo cubre una parte del reglamento.
España pone fecha a su propia ley
El 26 de mayo de 2026, el Consejo de Ministros español aprobó el proyecto de Ley Orgánica que adapta el AI Act al ordenamiento español. El texto — aún en tramitación parlamentaria — confirma a la AESIA (Agencia Española de Supervisión de la Inteligencia Artificial, con sede en A Coruña) como autoridad con capacidad plena de inspección y sanción, coordinada con la agencia de protección de datos. Esa coordinación importa: cuando un sistema de IA trata datos personales — la inmensa mayoría de los casos de uso empresariales — una misma infracción puede activar sanciones del AI Act y del RGPD a la vez, y no son excluyentes entre sí.
Fuente: Reglamento (UE) 2024/1689 (AI Act), artículo 99.
Qué hacer ya, aunque el plazo se haya movido
El error más caro ahora mismo no es llegar tarde a 2027 — es relajarse pensando que todo se aplazó. Cuatro cosas siguen corriendo con el calendario original: inventariar qué sistemas de IA usa realmente tu equipo (incluida la IA en la sombra — ChatGPT, Copilot o similares usados sin gobernanza); clasificar el riesgo de cada uno; documentar la formación en IA de tu equipo, obligatoria desde febrero de 2025 y ya exigible como evidencia; y activar los avisos de transparencia en cualquier chatbot o contenido generado de cara al público, listos para agosto de 2026.
Esta es una foto fija de julio de 2026 — el texto final del Omnibus todavía está en proceso de publicación oficial, y el reglamento seguirá moviéndose. Si quieres saber exactamente qué te toca a ti, hablemos.