Desde hace semanas circula la noticia de que el gran plazo de la Ley de IA de la UE se ha aplazado. Es cierto, pero solo a medias. Quien deduzca que el 2 de agosto de 2026 no pasa nada, se equivoca. Una parte de las obligaciones vence justo ese dÃa, y es precisamente la parte que afecta a cualquier empresa con un sistema de IA de cara al cliente.
El origen del lÃo es el llamado Digital Omnibus, un paquete de enmiendas a la Ley de IA. El Parlamento Europeo lo votó el 16 de junio de 2026, el Consejo lo aprobó el 29 de junio de 2026 y entró en vigor en julio. Según nuestra interpretación de los análisis jurÃdicos publicados, reordena los plazos en lugar de suprimirlos sin más.
Que se ha aplazado
El aplazamiento afecta a los sistemas de alto riesgo. Son las aplicaciones del Anexo III de la Ley de IA: cribado de candidatos y otras herramientas de RRHH, evaluación de solvencia, identificación biométrica, IA en infraestructuras crÃticas, ciertos sistemas en educación y justicia. Para estos sistemas de alto riesgo autónomos, el plazo pasa de agosto de 2026 al 2 de diciembre de 2027. Son unos 16 meses más.
La IA de alto riesgo integrada en productos regulados, es decir, el Anexo I, se va todavÃa más lejos, al 2 de agosto de 2028.
El motivo es poco vistoso. Las normas armonizadas y las herramientas de evaluación de la conformidad, sin las cuales una empresa apenas puede demostrar el cumplimiento en alto riesgo, no estaban listas. La designación de las autoridades nacionales de supervisión también iba con retraso. Asà que el aplazamiento es menos un cambio de rumbo polÃtico que el reconocimiento de que faltaba la maquinaria para cumplir.
Que sigue vigente el 2 de agosto
Las obligaciones de transparencia del artÃculo 50 se quedan donde estaban. Se aplican el 2 de agosto de 2026. Estas reglas no dependen de que su sistema esté clasificado como alto riesgo, y alcanzan a muchas más empresas que la lista del Anexo III. Importan tres supuestos:
- Un sistema de IA que interactúa directamente con personas, por ejemplo un chatbot de atención al cliente, debe dejar claro a la persona que habla con una máquina, salvo que ya resulte evidente.
- Los contenidos generados o manipulados por IA, es decir, imágenes, audio, vÃdeo o texto sintético con proyección externa, deben marcarse como producidos artificialmente. Los deepfakes entran de lleno aquÃ.
- Los sistemas de reconocimiento de emociones o de categorización biométrica deben informar a las personas expuestas a ellos.
Un detalle que se escapa con facilidad: la obligación del proveedor de marcar la salida sintética de forma legible por máquina (artÃculo 50, apartado 2) no afecta de inmediato, según los análisis que hemos visto, a los sistemas que ya estaban en el mercado el 2 de agosto de 2026. Esos sistemas preexistentes tienen un margen hasta el 2 de diciembre de 2026. Quien lance hoy un sistema nuevo no puede acogerse a eso.
Por que el aplazamiento no es un cheque en blanco
Los 16 meses extra son un regalo para prepararse, no para no hacer nada. Una herramienta de cribado de candidatos o un motor interno de solvencia sigue siendo de alto riesgo aunque el plazo formal llegue más tarde. La documentación, el registro de actividad, la supervisión humana y la evaluación de riesgos que la Ley de IA exige para estos sistemas no se montan en cuatro semanas. Las empresas que contabilicen el tiempo extra como una prórroga se toparán en diciembre de 2027 con la misma montaña y menos aire.
Y hay más: el Reglamento General de Protección de Datos sigue aplicándose todo el tiempo. Quien haga pasar datos personales por un sistema de IA tiene obligaciones al margen de la Ley de IA. El aplazamiento del Omnibus no toca el RGPD.
Que significa para la IA local
Aquà está la palanca práctica. Que un sistema de IA funcione en local no le exime de la obligación de transparencia. El chatbot tiene que identificarse como IA aunque esté en su propio servidor. Pero las obligaciones que aprietan en 2027 y 2028 caen justo donde una instalación local muestra su fuerza: registros trazables, control sobre los datos de entrenamiento y de entrada, documentación completa de los flujos de datos, sin traspasos opacos a terceros.
Con una API en la nube, los registros, las versiones del modelo y el tratamiento de datos están en manos del proveedor. Una empresa que después tenga que demostrar la conformidad de alto riesgo reúne pruebas de segunda mano. Un stack que usted mismo opera convierte esas pruebas en una cuestión de su propia configuración. Ese es el núcleo de la soberanÃa del dato, y por eso no tratamos las cuestiones de cumplimiento y la IA local como problemas separados.
Para una pyme española hay un matiz añadido: la financiación del Kit Digital puede cubrir parte de una implantación de IA local bien planteada, lo que permite avanzar en cumplimiento sin cargar todo el coste de golpe.
Pasos concretos antes de agosto
Para la mayorÃa de pymes, el 2 de agosto se reduce a una lista corta. Compruebe si alguno de sus sistemas chatea con clientes o empleados, genera contenido que sale al exterior, o usa reconocimiento de emociones o biometrÃa. Si se da uno de esos casos, ponga un etiquetado claro. Un aviso visible en la ventana de chat y una marca en los contenidos generados por IA cubren la mayor parte.
Para todo lo que suene a Anexo III, empiece por el inventario, no por el plazo. Diciembre de 2027 está más cerca de lo que sugiere la cifra.
Esta lectura es nuestra interpretación de la situación jurÃdica actual y no sustituye una revisión de su caso concreto. Si quiere saber cuáles de sus sistemas están afectados y cómo serÃa una instalación local lista para auditorÃa, hable con nosotros sobre un proyecto piloto.