Reglamento de IA: qué se aplica desde el 2 de agosto de 2026 y qué se aplazó a 2027

Respuesta rápida: desde el 2 de agosto de 2026 se aplican las obligaciones de transparencia del artículo 50 del Reglamento de IA y las autoridades nacionales pueden exigirlas. Las obligaciones para los sistemas de alto riesgo, previstas durante años para esa misma fecha, no llegaron. El Reglamento (UE) 2026/1744 se publicó en el Diario Oficial el 24 de julio de 2026 y entró en vigor el 27 de julio de 2026. Trasladó los sistemas autónomos de alto riesgo del anexo III al 2 de diciembre de 2027 y la IA integrada en productos regulados del anexo I al 2 de agosto de 2028.

Esa división importa más de lo que sugirieron los titulares. "La UE ha retrasado el Reglamento de IA" es la versión que oyó casi todo el mundo, y es falsa de una manera que cuesta dinero. Si tu trabajo de cumplimiento giraba en torno al precipicio del alto riesgo, ahora tienes aire. Si tu producto habla con usuarios o genera texto, imágenes, audio o vídeo, ya estás dentro de una obligación vigente, y el periodo transitorio es más estrecho de lo que admiten la mayoría de los resúmenes.

Conviene señalar un segundo problema desde el principio. Buena parte de las guías publicadas antes de julio de 2026 describe una situación jurídica que ya no existe. Checklists, seminarios web y presentaciones de proveedores siguen afirmando que todo el marco se activa en agosto de 2026. Comprueba la fecha de cualquier material en el que te apoyes.

Esta guía es información general, no asesoramiento jurídico. Refleja el Reglamento (UE) 2024/1689 modificado por el Reglamento (UE) 2026/1744. Consulta el texto consolidado y busca asesoramiento cualificado para tu caso.

Ese día ocurrieron cuatro cosas, y ninguna de ellas se aplazó.

Las obligaciones de transparencia del artículo 50 pasaron a ser aplicables. Si tu sistema interactúa directamente con personas, genera contenido sintético, reconoce emociones, categoriza personas por biometría o produce ultrafalsificaciones, hoy debes informar. Estas obligaciones se aplican con independencia del nivel de riesgo, así que un simple chatbot de atención al cliente queda dentro aunque no tenga nada de alto riesgo.

Comenzó la aplicación. Las autoridades nacionales competentes ya pueden actuar sobre las partes que estaban en vigor: las prohibiciones del artículo 5, las reglas sobre modelos de propósito general vigentes desde agosto de 2025, el deber de alfabetización en IA y las nuevas obligaciones de transparencia. Antes, buena parte del marco existía sobre el papel, sin una autoridad capaz de darle efecto.

La Comisión obtuvo sus competencias de aplicación sobre los proveedores de modelos de propósito general. Las obligaciones sustantivas de GPAI se aplican desde el 2 de agosto de 2025. Lo que cambió es la capacidad de exigirlas.

Las directrices llegaron justo a tiempo. La Comisión adoptó el 20 de julio de 2026 directrices sobre las obligaciones de transparencia del artículo 50, junto con un código de buenas prácticas sobre el marcado de contenidos generados por IA. Si estás decidiendo cómo debe verse un aviso conforme en tu interfaz, trabaja con ese documento y no con una plantilla genérica.

El Ómnibus Digital sobre IA nació como propuesta de la Comisión el 19 de noviembre de 2025. El Parlamento y el Consejo alcanzaron un acuerdo provisional el 7 de mayo de 2026, el Parlamento respaldó el texto el 16 de junio, el Consejo lo aprobó el 29 de junio y se publicó el 24 de julio. Hoy es derecho vigente, no una propuesta, y esa es la corrección más importante que hay que hacer a cualquier nota antigua.

Esto es lo que hizo.

• Las obligaciones de alto riesgo para los sistemas autónomos del anexo III pasan al 2 de diciembre de 2027. Incluye selección de personal y gestión de trabajadores, scoring crediticio, biometría, educación, servicios esenciales, aplicación de la ley, migración y administración de justicia.
• Las obligaciones de alto riesgo para la IA integrada en productos regulados del anexo I pasan al 2 de agosto de 2028. Productos sanitarios, máquinas, vehículos, juguetes y el resto de la familia de seguridad de productos.
• Los deberes de los responsables del despliegue siguen a los sistemas a los que se asocian. El artículo 26, la evaluación de impacto sobre los derechos fundamentales del artículo 27 y el derecho a explicación del artículo 86 están ligados a los sistemas de alto riesgo, de modo que llegan en esas mismas fechas posteriores.
• El marcado legible por máquina obtiene cuatro meses, pero solo para lo existente. Los proveedores de sistemas generativos ya introducidos en el mercado antes del 2 de agosto de 2026 tienen hasta el 2 de diciembre de 2026 para cumplir el artículo 50, apartado 2. Un producto generativo lanzado el 2 de agosto de 2026 o después necesitaba el marcado desde el primer día.
• Se añadieron dos nuevas prohibiciones al artículo 5, sobre sistemas de IA usados para producir imágenes íntimas no consentidas, incluidas las llamadas herramientas de desnudado, y sobre IA que genere material de abuso sexual infantil. Se aplican desde el 2 de diciembre de 2026.
• Los espacios controlados de pruebas nacionales deben estar listos el 2 de agosto de 2027, con al menos uno operativo en cada Estado miembro.

Lo que no cambió es la arquitectura. Los niveles de riesgo, la vía de la evaluación de la conformidad, el carril de GPAI y el papel de la Oficina de IA siguen intactos. El motivo del aplazamiento fue práctico, no político: las normas armonizadas de CEN y CENELEC no estaban terminadas y varios Estados miembros no habían designado sus autoridades competentes. Ganar tiempo para construir la maquinaria no es lo mismo que suprimir la obligación.

El Reglamento entró en vigor el 1 de agosto de 2024 y se aplica por fases. Las fechas siguientes reflejan el Reglamento (UE) 2024/1689 modificado por el Reglamento (UE) 2026/1744.

Un matiz que suele pasarse por alto: los contenidos generados antes del 2 de agosto de 2026 no tienen que marcarse retroactivamente. La obligación mira hacia delante, no hacia atrás.

El artículo 50 es breve y es la parte del Reglamento que la mayoría de las empresas tiene que cumplir de verdad. Cubre cuatro situaciones.

1. Sistemas que interactúan con personas

Quien trata con un sistema de IA debe saberlo, salvo que resulte evidente para una persona razonablemente informada en esas circunstancias. En la práctica, eso significa un aviso visible en el punto de interacción, no una cláusula en la página nueve de los términos y condiciones. Un chatbot que se presenta con nombre humano y no revela nada es el caso de manual de incumplimiento.

2. El contenido sintético debe marcarse

Los proveedores de sistemas que generan audio, imagen, vídeo o texto sintéticos deben marcar la salida en un formato legible por máquina para que pueda detectarse como generada artificialmente. El etiquetado visible y el marcado legible por máquina son obligaciones distintas: cumplir una no cumple la otra. Es esta obligación la que tiene la transición hasta el 2 de diciembre de 2026 para los sistemas ya en el mercado.

3. Reconocimiento de emociones y categorización biométrica

Los responsables del despliegue deben informar a las personas expuestas al sistema y tratar los datos personales conforme al derecho europeo de protección de datos. Existen excepciones estrechas cuando el sistema se usa para detectar, prevenir o investigar delitos, con las garantías correspondientes.

4. Ultrafalsificaciones y textos de interés público

Quien despliega sistemas que generan o manipulan contenidos que representan a personas, lugares o hechos reales debe revelar que son artificiales. Lo mismo vale para los textos generados por IA que se publican para informar al público sobre asuntos de interés público, salvo que hayan pasado revisión humana y alguien asuma la responsabilidad editorial.

Dos apuntes prácticos. Al artículo 50 no le importa si tu sistema es de alto riesgo, así que el aplazamiento a diciembre de 2027 no te ayuda aquí. Y la información debe llegar a la persona en la primera interacción, de forma clara y distinguible. Si un cliente o una autoridad ya te ha preguntado por tu etiquetado, nuestra carta de respuesta sobre transparencia del artículo 50 recoge la estructura que funciona.

El Reglamento asigna obligaciones según el papel que desempeñas, no según cómo te llames internamente.

• Proveedor. Desarrollas un sistema de IA, o encargas su desarrollo, y lo introduces en el mercado o lo pones en servicio con tu propio nombre. Los proveedores cargan con las obligaciones más pesadas.
• Responsable del despliegue. Usas un sistema de IA bajo tu propia autoridad en un contexto profesional. Tienes deberes propios, sobre todo de información, supervisión humana y uso conforme a las instrucciones.
• Importador y distribuidor. Introduces sistemas en el mercado de la UE o los comercializas, con deberes de verificación y conservación de documentación.

Una misma organización suele llevar dos sombreros. Si compras un modelo generativo y lo entregas dentro de tu producto bajo tu marca, lo más probable es que seas proveedor de ese producto aunque no hayas entrenado nada.

El Reglamento tiene además alcance extraterritorial, algo que el Ómnibus no tocó. Si tu sistema, o su salida, se usa en la Unión Europea, el Reglamento puede aplicarte con independencia de dónde esté la sede. No tener entidad en la UE no es una defensa. Lo que cuenta es si el sistema afecta a personas en la Unión.

Es la categoría cuyo plazo se movió, así que conviene ser preciso.

Dos vías llevan a la clasificación de alto riesgo. La primera es la IA usada como componente de seguridad de un producto ya regulado por la legislación europea de seguridad de productos, o como ese mismo producto, listada en el anexo I. Esa vía llega ahora hasta el 2 de agosto de 2028. La segunda es la lista de usos autónomos del anexo III, ahora fijada en el 2 de diciembre de 2027, que incluye:

• empleo, selección de personal y gestión de trabajadores, por ejemplo herramientas de cribado o clasificación de candidaturas,
• acceso a servicios esenciales privados y públicos, incluida la solvencia y el scoring crediticio,
• biometría y categorización biométrica,
• educación y formación profesional, por ejemplo la calificación de exámenes o las decisiones de admisión,
• infraestructuras críticas, aplicación de la ley, migración y control de fronteras, y administración de justicia.

Si operas en alguno de estos ámbitos, dedica los dieciséis meses extra a lo que más tarda: las pruebas de gobernanza de datos, un expediente de gestión de riesgos que describa el sistema tal como funciona de verdad, un registro capaz de producir después una explicación individual y un esquema de supervisión humana con una persona designada que tenga autoridad real para revocar la salida. Se espera que el trabajo de normalización concluya entre finales de 2026 y principios de 2027, así que esperar deja una ventana muy estrecha.

El artículo 99 establece una estructura escalonada, y el tramo aplicable depende de qué norma se haya incumplido.

Incumplir las prohibiciones del artículo 5 conlleva multas de hasta 35 millones de euros o el 7 % del volumen de negocios anual mundial total, la cifra que resulte mayor.

La mayoría de los demás incumplimientos, incluidas las obligaciones de los proveedores del artículo 16, las de los responsables del despliegue del artículo 26, los deberes de importadores y distribuidores y las obligaciones de transparencia del artículo 50, conllevan multas de hasta 15 millones de euros o el 3 % del volumen de negocios anual mundial total. Es el tramo que ahora muerde en chatbots sin aviso y contenidos sintéticos sin marcar.

Facilitar información inexacta, incompleta o engañosa a los organismos notificados o a las autoridades nacionales en respuesta a un requerimiento tiene su propio tramo: hasta 7,5 millones de euros o el 1 % del volumen de negocios anual mundial. Merece la pena fijarse: una respuesta descuidada a un regulador es en sí misma sancionable. Para pymes y empresas emergentes se aplica la cuantía o el porcentaje que resulte inferior.

Por último, el Reglamento de IA no desplaza al RGPD. Cuando se tratan datos personales, ambos regímenes se aplican a la vez y las autoridades de protección de datos conservan su competencia sobre esa parte. Dos supervisores, dos expedientes.

Desde que empezó la aplicación, el volumen de solicitudes ha subido. Llegan de autoridades nacionales de vigilancia del mercado, de la Oficina Europea de IA en asuntos de modelos de propósito general, de clientes que hacen diligencia debida y de personas que han presentado una reclamación contra ti. Una respuesta floja o tardía es lo que convierte una pregunta rutinaria en una investigación.

1. Identifica la solicitud con precisión

Fecha, remitente, número de referencia y qué se preguntó exactamente. Eso crea el rastro documental y demuestra que la has leído a fondo.

2. Indica tu papel conforme al Reglamento

Proveedor, responsable del despliegue, importador o distribuidor, y de qué sistema hablas. Todas las obligaciones derivan de ahí, así que equivocarse contamina todo lo demás.

3. Responde punto por punto

Toma las preguntas en el orden en que se formularon y responde a cada una con hechos. Donde el Reglamento espera documentación, describe lo que tienes y remite a los anexos en vez de prometer enviarlo más adelante.

4. Sé claro con las lagunas

Si falta algo, dilo, explica qué estás haciendo y da una fecha. Un plan de subsanación documentado se lee mucho mejor que el silencio, y bastante mejor que una respuesta que luego resulta inexacta.

5. Cierra con un contacto y un siguiente paso

Nombra a una persona responsable, confirma tu disposición a ampliar información, propón un paso concreto y enumera los anexos.

DocuGov.ai incorpora esta estructura en cartas adaptadas a cada jurisdicción, para que una solicitud que llega un viernes por la tarde no te consuma el fin de semana. Empieza por el generador de respuestas a solicitudes de cumplimiento o revisa las cartas de cumplimiento del Reglamento de IA.

El Reglamento no es solo un ejercicio de cumplimiento para empresas. También da herramientas a las personas.

Si crees que un sistema emplea una práctica prohibida, por ejemplo puntuación social o reconocimiento de emociones en el trabajo, puedes denunciarlo ante tu autoridad nacional de vigilancia del mercado. Nuestra guía para presentar una reclamación por práctica de IA prohibida explica qué debe incluir. Desde el 2 de diciembre de 2026 esa lista cubrirá también la IA usada para producir imágenes íntimas no consentidas.

Al margen de eso, y disponible hoy en lugar de en 2027, el RGPD te da derechos frente a las decisiones automatizadas. Puedes exigir intervención humana e impugnar una decisión tomada únicamente por medios automatizados con una oposición conforme al artículo 22 del RGPD, y pedir información significativa sobre la lógica aplicada con una solicitud de explicación. El derecho a explicación del artículo 86 del Reglamento de IA llegará con el régimen de alto riesgo en diciembre de 2027, así que hasta entonces la vía del RGPD es la que funciona.

Estas cartas funcionan cuando son concretas. Identifica la decisión, la fecha, el sistema si lo conoces y exactamente qué pides a la organización, con un plazo.

Leer el aplazamiento como una pausa general. El aplazamiento cubre el capítulo de alto riesgo. La transparencia, las prohibiciones, las reglas de GPAI y la alfabetización en IA no se tocaron y son exigibles ahora.

Dar por hecho que el periodo hasta diciembre de 2026 te cubre. Solo alcanza a los sistemas generativos introducidos en el mercado antes del 2 de agosto de 2026, y solo al marcado legible por máquina del artículo 50, apartado 2. Todo lo lanzado después tenía que cumplir desde el primer día.

Tratar una cláusula de los términos y condiciones como información. El deber es informar a la persona en el punto de interacción, de forma clara y distinguible.

Confundir etiqueta visible con marcado legible por máquina. Son requisitos distintos y la mayoría de las soluciones de marca de agua solo cubren uno.

Trabajar con guías anteriores a julio de 2026. Los textos consolidados y los seguimientos de terceros tardaron en recoger la modificación. Si una checklist sitúa el anexo III en agosto de 2026, es anterior al Reglamento (UE) 2026/1744.

Responder informalmente a una autoridad. Un correo sin estructura ni documentos invita a más preguntas, y una respuesta inexacta tiene su propio tramo sancionador.

Olvidar el RGPD. Si hay datos personales de por medio, estás gestionando dos regímenes de cumplimiento a la vez.

• Las obligaciones de transparencia del artículo 50 se aplican desde el 2 de agosto de 2026 y las autoridades nacionales pueden exigirlas.
• El Reglamento (UE) 2026/1744, el Ómnibus Digital sobre IA, entró en vigor el 27 de julio de 2026 y modificó por primera vez el Reglamento de IA.
• Las obligaciones de alto riesgo se desplazaron al 2 de diciembre de 2027 para los sistemas autónomos del anexo III y al 2 de agosto de 2028 para los sistemas integrados del anexo I.
• El próximo plazo es el 2 de diciembre de 2026: marcado legible por máquina para los sistemas generativos ya en el mercado y las dos nuevas prohibiciones del artículo 5.
• Los incumplimientos del artículo 50 están en el tramo de 15 millones de euros o el 3 %, mientras que los del artículo 5 llegan a 35 millones o el 7 %.
• La ubicación no decide el ámbito de aplicación. Si el sistema o su salida se usa en la UE, el Reglamento puede aplicarse.
• Responde formalmente, punto por punto y con documentos. DocuGov.ai puede generar esa carta en minutos.