El Reglamento (UE) 2026/1744 lleva en vigor desde el 27 de julio. Modifica más de cuarenta artículos del Reglamento de IA. Casi todos los resúmenes que circulan estos días se quedan en el titular del aplazamiento, y ese titular, por sí solo, lleva a decisiones equivocadas. La parte que aplaza es real. La parte que ya se aplica desde hace un año no la menciona casi nadie.
Este artículo es el resultado de leer el texto del Diario Oficial, no los resúmenes. Cada fecha que aparece abajo remite a un artículo concreto.
De dónde sale y desde cuándo cuenta
El texto se publicó en el Diario Oficial el 24 de julio de 2026 y entró en vigor el 27 de julio, al tercer día de su publicación. No es un reglamento autónomo: modifica el Reglamento de IA, el Reglamento de aviación y el Reglamento de máquinas. Cuando alguien cite "el Ómnibus", lo que está citando es una modificación del Reglamento (UE) 2024/1689, y conviene escribirlo así en cualquier documento interno.
Una advertencia práctica: a fecha de hoy EUR-Lex todavía no ofrece la versión consolidada. Quien quiera el texto vigente tiene que leer los dos reglamentos en paralelo. Eso explica buena parte de los errores que se están publicando.
Lo que se aplaza
El aplazamiento afecta al capítulo III, secciones 1, 2 y 3, es decir, al grueso de las obligaciones de alto riesgo: gestión de riesgos, gobernanza de datos, documentación técnica, registro de actividad, supervisión humana. La nueva letra c) del artículo 113 separa dos calendarios:
- 2 de diciembre de 2027 para los sistemas de alto riesgo del anexo III, los autónomos: selección de personal, evaluación de solvencia, biometría, educación, infraestructuras críticas.
- 2 de agosto de 2028 para los sistemas de alto riesgo del anexo I, los integrados en productos ya regulados: producto sanitario, maquinaria, vehículo.
Antes, ambos vencían el 2 de agosto de 2026. Son dieciséis meses adicionales para el primer grupo y dos años para el segundo.
El motivo no es político. Las normas armonizadas de CEN y CENELEC no están terminadas, y sin ellas una empresa no tiene forma razonable de demostrar conformidad. Aplazar una obligación que nadie puede cumplir es menos un cambio de rumbo que un reconocimiento.
Lo que no se ha movido, y aquí está el error más repetido
El artículo 113 tiene un párrafo tercero con varias letras. El Ómnibus reescribe la letra a), reescribe la letra c) y añade una letra d). No toca la letra b). Y la letra b) es la que dice que el capítulo VII y el capítulo XII se aplican desde el 2 de agosto de 2025.
El capítulo VII es la gobernanza, e incluye el artículo 70, el de las autoridades nacionales competentes y las autoridades de vigilancia del mercado. El capítulo XII son las sanciones, artículos 99 y 100, con la única excepción del artículo 101.
Dicho de otro modo: la vigilancia del mercado y el régimen sancionador no empiezan en agosto de 2026. Llevan aplicándose desde agosto de 2025. Es un año entero. Quien haya leído en algún resumen que "la supervisión arranca el 2 de agosto de 2026" está trabajando con una fecha equivocada, y esa fecha equivocada es la que aparece en la mayoría de los calendarios de cumplimiento que circulan en LinkedIn.
Lo que sí empieza el 2 de agosto de 2026 es la aplicación general del Reglamento, que el artículo 113 fija en su párrafo segundo y que el Ómnibus no ha tocado. Ahí entra, sobre todo, el capítulo IV: las obligaciones de transparencia del artículo 50.
El matiz español, que no es una buena noticia
El Reglamento no designa autoridades nacionales: eso corresponde a cada Estado miembro. En España la agencia de referencia es la AESIA, creada por el Real Decreto 729/2023.
Ahora bien, el artículo 99, apartado 1, obliga a los Estados miembros a establecer el régimen de sanciones y a comunicarlo a la Comisión. En España ese régimen todavía no está en vigor. El Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, que es la norma que define las infracciones, el procedimiento y las autoridades, sigue en tramitación parlamentaria: a 1 de agosto de 2026 figura en la Comisión de Economía, Comercio y Transformación Digital, en fase de enmiendas, con última entrada de 12 de junio de 2026. No ha sido aprobado ni publicado en el BOE.
La lectura equivocada de este párrafo sería concluir que en España, de momento, no pasa nada. Dos motivos por los que no es así.
El primero es que las obligaciones del Reglamento se aplican directamente, sin necesidad de ley española. Que falte el catálogo nacional de infracciones no suspende el artículo 50 ni el artículo 26.
El segundo es de calendario. Una norma en fase de enmiendas puede aprobarse en cualquier momento, y cuando lo haga no vendrá acompañada de un periodo de gracia para ponerse al día con obligaciones que llevaban años vigentes. Quien haya usado este intervalo para no documentar nada se encontrará con el expediente vacío justo cuando empiece a hacer falta.
El artículo 4 cambia de redacción, no de existencia
El Ómnibus reescribe entero el artículo 4, el de alfabetización en materia de IA. Donde antes había que adoptar medidas para garantizar la alfabetización, ahora hay que adoptar medidas "para apoyar la promoción" de esa alfabetización. Y el propio artículo añade que la obligación no exige garantizar un nivel específico para ninguna persona en particular.
Es una rebaja, y no tiene sentido disimularlo. Pero el texto sigue diciendo "esta obligación", en singular y con ese nombre. El artículo 4 está en el capítulo I y se aplica, sin cambios de fecha, desde el 2 de febrero de 2025. Lo que ha desaparecido es la responsabilidad por el resultado, no el deber de actuar. Le dedicamos un artículo aparte porque las consecuencias prácticas son menos obvias de lo que parecen.
Una categoría nueva que no es "pyme ampliada"
Aquí hay un malentendido que conviene deshacer, porque nosotros mismos lo reprodujimos en un artículo de julio y lo estamos corrigiendo.
El Ómnibus introduce en el artículo 3 dos definiciones. La de pyme remite a la Recomendación 2003/361/CE, la de siempre: menos de 250 empleados y 50 millones de euros de volumen de negocio. Esa definición no ha cambiado. Lo que se añade es una categoría distinta, la "pequeña empresa de mediana capitalización", que remite a la Recomendación (UE) 2025/1099: empresas que no son pyme, con menos de 750 personas y un volumen de negocio de hasta 150 millones de euros o un balance de hasta 129 millones.
La diferencia no es semántica. Una empresa de 400 empleados no se ha convertido en pyme. Es otra cosa, con un catálogo propio y más corto de facilidades: documentación técnica simplificada del anexo IV, acceso prioritario a espacios controlados de pruebas, orientación por parte de las autoridades nacionales y, la más tangible, el nuevo apartado 6 bis del artículo 99: en las multas de los apartados 4 y 5 se aplica el menor de los dos valores, el porcentaje o el importe fijo. Ese tope existía hasta ahora solo para las pymes.
Si su empresa está entre 250 y 750 personas, merece la pena mirarlo. Si está por debajo de 250, no le afecta: ya era pyme y lo sigue siendo.
Prohibiciones nuevas a partir del 2 de diciembre de 2026
El artículo 5 incorpora dos letras nuevas, b bis y b ter, que prohíben sistemas de IA destinados a generar o manipular imágenes íntimas de personas identificables sin su consentimiento explícito, y material de abuso sexual infantil. La nueva letra a) del artículo 113 les fija una fecha propia: 2 de diciembre de 2026, no la fecha general del capítulo I.
El alcance está acotado en los apartados 1 bis y 1 ter: la comercialización solo está prohibida cuando esa generación es la finalidad prevista del sistema, o cuando es un resultado razonablemente previsible y reproducible y el sistema carece de salvaguardias técnicas razonables. Y el uso solo está prohibido cuando el responsable del despliegue lo emplea con ese fin. No es una prohibición general de los generadores de imágenes.
Un detalle de transparencia que se pasa por alto
El artículo 50 no se ha modificado en su contenido: solo cambia el apartado 7, que trata de códigos de buenas prácticas. Las obligaciones se aplican desde el 2 de agosto de 2026.
Pero el Ómnibus añade un apartado 4 al artículo 111 con una regla de transición estrecha: los proveedores de sistemas que generen contenido sintético y que se hubieran introducido en el mercado antes del 2 de agosto de 2026 tienen hasta el 2 de diciembre de 2026 para cumplir el artículo 50, apartado 2. Solo el apartado 2, que es el marcado en formato legible por máquina, y solo para sistemas preexistentes. Las obligaciones del responsable del despliegue, apartados 1, 3 y 4, se aplican desde agosto sin transición alguna. Confundir las dos cosas es el error más caro de este bloque.
Qué haría esta semana
Cuatro cosas, por orden de esfuerzo:
- Revisar cualquier calendario de cumplimiento interno que sitúe el inicio de la supervisión o de las sanciones en agosto de 2026, y corregirlo a agosto de 2025.
- Comprobar si algún sistema propio o contratado entra en el anexo III. Si la respuesta es no, el aplazamiento a 2027 sencillamente no le afecta y no tiene por qué ocuparle tiempo.
- Si hay un chatbot, un asistente o cualquier generación de contenido de cara al exterior, mirar el artículo 50 con la fecha de agosto de 2026 en la mano.
- Documentar lo que ya se hace en materia de formación. Con la nueva redacción del artículo 4, lo que queda es la medida y su prueba.
Los dieciséis meses adicionales del alto riesgo son tiempo para prepararse, no para no hacer nada. La documentación, el registro y la supervisión humana que exige el capítulo III no se montan en un trimestre, y en diciembre de 2027 la montaña será la misma con menos aire.
Si está poniendo en marcha un proyecto piloto de IA local, el momento de fijar los hábitos de documentación es ahora: el rastro que genere el piloto es exactamente lo que sostendrá una declaración de conformidad más adelante. Y si lo que necesita es ordenar la parte de formación, nuestra formación sobre el Reglamento de IA está estructurada para dejar constancia de lo que se ha hecho, que es lo que el artículo 4 pide en su versión actual.