Digital Omnibus adoptado: alto riesgo del AI Act en diciembre de 2027

Sí. El Digital Omnibus sobre IA ha sido adoptado como Reglamento (UE) 2026/1744, publicado en el Diario Oficial el 24 de julio de 2026 y en vigor desde el 27 de julio de 2026. Para las empresas sujetas al AI Act (Reglamento UE 2024/1689), las obligaciones para los sistemas de IA de alto riesgo listados en el Anexo III se aplican ahora a partir del 2 de diciembre de 2027 en lugar del 2 de agosto de 2026, y las de los sistemas integrados en productos del Anexo I a partir del 2 de agosto de 2028. Las obligaciones de transparencia del artículo 50, en cambio, se aplican desde el 2 de agosto de 2026, como estaba previsto.

El texto procede de la propuesta de la Comisión del 19 de noviembre de 2025, parte de un paquete de simplificación que también abarcaba el RGPD, el Data Act y otros textos digitales. Ya no es una propuesta: estas fechas son ahora derecho vigente.

Por qué la Comisión propuso este retraso

El razonamiento de la Comisión era pragmático: el ecosistema de cumplimiento no estaba listo. Las normas armonizadas necesarias para orientar a las empresas — desarrolladas por el Comité Técnico Conjunto CEN-CENELEC JTC 21 — no se esperaban antes de finales de 2026. Sin estas normas, las empresas no pueden saber con certeza si su documentación técnica es conforme. Imponer una obligación cuyos instrumentos de aplicación todavía no existen genera inseguridad jurídica.

La Comisión también identificó retrasos estructurales en la designación de autoridades nacionales competentes y organismos de evaluación de la conformidad en los Estados miembros. El retraso no es, por tanto, una retirada regulatoria, sino lo que la propia Comisión denominó una "recalibración estructural".

Qué cambia el Digital Omnibus en la práctica

Nuevas fechas de aplicación para el alto riesgo

La propuesta inicial de la Comisión vinculaba la aplicación de las obligaciones de alto riesgo a una decisión de la Comisión que confirmara la disponibilidad de instrumentos de apoyo al cumplimiento (normas, directrices, especificaciones comunes), con fechas límite. Desde la adopción del Reglamento (UE) 2026/1744, las fechas que deben tenerse en cuenta son las siguientes:

• 2 de diciembre de 2027 para los sistemas del Anexo III (p. ej., IA en selección de personal, educación, servicios esenciales) — en lugar del 2 de agosto de 2026
• 2 de agosto de 2028 para los sistemas del Anexo I (integrados en productos regulados: productos sanitarios, maquinaria, vehículos) — en lugar del 2 de agosto de 2027

En el calendario modificado, los espacios controlados de pruebas nacionales (artículo 57) deben estar operativos el 2 de agosto de 2027.

Alivio para PYMES y pequeñas midcaps

La propuesta de la Comisión introducía una nueva categoría: las "pequeñas midcaps", definidas como empresas con menos de 750 empleados y menos de 150 millones de euros de facturación anual, llamadas a beneficiarse de los mismos alivios que las PYMES clásicas. Consulte el texto publicado en el Diario Oficial para conocer el alcance exacto de estos alivios, que se referían en particular a:

• Documentación técnica simplificada para sistemas de alto riesgo
• Requisitos aligerados para el sistema de gestión de la calidad (QMS)
• Métodos de cálculo de multas adaptados al tamaño de la empresa

Artículo 50: periodo de gracia para el marcado hasta el 2 de diciembre de 2026

El artículo 50 se aplica desde el 2 de agosto de 2026. Solo el marcado legible por máquina de los contenidos generados por IA (Artículo 50(2) — marcas de agua, metadatos) dispone de un periodo de gracia hasta el 2 de diciembre de 2026, y únicamente para los sistemas introducidos en el mercado antes del 2 de agosto de 2026. Los sistemas introducidos en el mercado a partir del 2 de agosto de 2026 deben cumplirlo de inmediato. Para facilitar su aplicación, la Comisión publicó sus directrices definitivas sobre el artículo 50 el 20 de julio de 2026, así como un código de buenas prácticas sobre el marcado y etiquetado de contenidos generados por IA, de carácter voluntario, el 10 de junio de 2026.

Alfabetización en IA flexibilizada, nuevas prohibiciones

El Omnibus reformula el artículo 4: la alfabetización en IA pasa a ser una obligación de adoptar medidas para la alfabetización en IA del personal — una formulación más flexible que la del texto original. También añade nuevas prácticas prohibidas, aplicables a partir del 2 de diciembre de 2026: los sistemas diseñados para generar imágenes íntimas no consentidas o material de abuso sexual infantil.

Qué no cambia

El Digital Omnibus no modifica la estructura fundamental del AI Act. Lo siguiente permanece sin cambios:

• Prácticas prohibidas (Artículo 5): aplicables desde el 2 de febrero de 2025 — las prohibiciones existentes no se ven afectadas
• Obligaciones GPAI (Artículos 51–56): en vigor desde el 2 de agosto de 2025
• Clasificación de riesgos: Anexo III, niveles de riesgo, criterios — nada cambia
• Obligaciones de transparencia del artículo 50: aplicables desde el 2 de agosto de 2026
• Nivel de sanciones: hasta 35 M€ o el 7 % de la facturación mundial por prácticas prohibidas, 15 M€ o el 3 % por otras obligaciones

Para los sistemas de alto riesgo, el Digital Omnibus no suprime los requisitos — aplaza su aplicación. La documentación técnica del Anexo IV, la gestión de riesgos (Art. 9), la gobernanza de datos (Art. 10): estas obligaciones siguen existiendo. Solo cambia su fecha de exigibilidad.

De la propuesta al Reglamento (UE) 2026/1744: la cronología

El Digital Omnibus sobre IA siguió el procedimiento legislativo ordinario, en algo más de ocho meses:

• 19 de noviembre de 2025: propuesta de la Comisión (COM(2025) 836)
• 7 de mayo de 2026: acuerdo provisional en trílogo; 16 de junio de 2026: votación final del Parlamento Europeo; 29 de junio de 2026: adopción por el Consejo
• 24 de julio de 2026: publicación en el Diario Oficial y entrada en vigor el 27 de julio de 2026

El texto se adoptó, por tanto, antes del plazo inicial del 2 de agosto de 2026 para el alto riesgo, que ya no se aplica a los sistemas del Anexo III. El debate legislativo está cerrado: las fechas anteriores son ahora las que vinculan a las empresas.

¿Qué debe hacer ahora?

Ahora que el plazo se ha retrasado, la tentación de reducir los esfuerzos de cumplimiento es comprensible. Sin embargo, sería un error estratégico por tres razones:

1. Las nuevas fechas son ley. El 2 de diciembre de 2027 (Anexo III) y el 2 de agosto de 2028 (Anexo I) están fijados en el Reglamento (UE) 2026/1744. Ya no hay ningún resultado legislativo que esperar.
2. El retraso concede meses, no años. La documentación técnica, la gestión de riesgos y la gestión de la calidad de un sistema de alto riesgo requieren muchos meses de trabajo. Las empresas que comiencen su cumplimiento ahora estarán en una posición mucho mejor que las que esperen.
3. La clasificación de riesgos no cambia. Saber si su sistema es de alto riesgo es un requisito previo para cualquier esfuerzo de cumplimiento — y no depende de ninguna norma armonizada.

La estrategia más segura: cumplir ya con el artículo 50 y planificar el cumplimiento de alto riesgo hacia atrás desde el 2 de diciembre de 2027. El diagnóstico gratuito de AiActo le permite clasificar sus sistemas de IA e identificar sus obligaciones ahora mismo — sea cual sea su categoría de riesgo.

Preguntas frecuentes

¿Ha sido adoptado el Digital Omnibus?

Sí. El Digital Omnibus sobre IA fue adoptado como Reglamento (UE) 2026/1744, tras un acuerdo provisional en trílogo el 7 de mayo de 2026, una votación del Parlamento Europeo el 16 de junio de 2026 y la adopción por el Consejo el 29 de junio de 2026. Se publicó en el Diario Oficial el 24 de julio de 2026 y está en vigor desde el 27 de julio de 2026.

¿Siguen aplicándose las obligaciones del AI Act de agosto de 2026?

En parte. Las obligaciones de transparencia del artículo 50 se aplican desde el 2 de agosto de 2026, sin cambios por el Omnibus (con un periodo de gracia hasta el 2 de diciembre de 2026 para el marcado de contenidos generados por sistemas introducidos en el mercado antes de esa fecha). Las obligaciones de alto riesgo del Anexo III, en cambio, se aplican ahora a partir del 2 de diciembre de 2027.

¿Qué empresas se benefician de las nuevas exenciones para PYMES?

La propuesta de la Comisión extendía los alivios a las PYMES clásicas (menos de 250 empleados, menos de 50 M€ de facturación) y a una nueva categoría de "pequeñas midcaps" (menos de 750 empleados y menos de 150 M€ de facturación anual), con requisitos simplificados de documentación técnica y gestión de la calidad. Compruebe el alcance exacto de estas medidas en el Reglamento (UE) 2026/1744 publicado.

¿Están afectadas las obligaciones GPAI por el retraso?

No. Las obligaciones para los proveedores de modelos de IA de uso general (Artículos 51 a 56) están en vigor desde el 2 de agosto de 2025 y el Digital Omnibus no las aplaza.

¿Qué cambia en la alfabetización en IA (artículo 4)?

La obligación de alfabetización en IA se aplica desde el 2 de febrero de 2025. El Omnibus la reformula: ahora se trata de una obligación de adoptar medidas para la alfabetización en IA del personal, una formulación más flexible que la del texto original. Poner en marcha tales medidas sigue siendo, por tanto, necesario.

El Digital Omnibus no modifica la sustancia del AI Act — ajustó su calendario de aplicación ante una realidad concreta: los instrumentos de cumplimiento no estaban listos. Pero el retraso no cambia la dirección. La clasificación de sus sistemas de IA, el inventario de sus obligaciones y la estructuración de su documentación siguen siendo pasos ineludibles, sea cual sea su categoría de riesgo. Consulte el calendario del AI Act en AiActo para seguir la evolución del calendario regulatorio en tiempo real.