Hoy, 24 de julio de 2026, se ha publicado en el Diario Oficial de la Unión Europea el Reglamento (UE) 2026/1744, conocido como Ómnibus Digital de IA. Entra en vigor el 27 de julio, tres días después. Si llevas meses escuchando «esto va a cambiar, pero todavía no ha cambiado», puedes dejar de escucharlo: ya cambió.
Voy a ahorrarte la lectura del texto legal completo, que no te la deseo ni a ti ni a nadie, y te voy a contar lo que de verdad te afecta si tienes una tienda online, un curso, una membresía, una consultora o cualquier negocio digital que use IA en algún punto de su operativa (spoiler: si usas un chatbot, un generador de imágenes o herramientas de personalización, te afecta).
Antes de entrar en materia, una aclaración que vale para todo el artículo: este Reglamento no relaja el Reglamento de IA de 2024 (el famoso AI Act). No lo desactiva, no lo suaviza en el fondo, no te libra de nada estructural. Lo que hace es reordenar plazos, aclarar zonas grises y evitar que tengas que cumplir dos normativas que se pisan entre sí. Es una reforma de calendario y de bisturí, no de demolición. Dicho esto, vamos al turrón.
Qué es exactamente y por qué ha tardado tanto
El AI Act (Reglamento UE 2024/1689) se aprobó en 2024 con un calendario de aplicación escalonado: unas obligaciones entraban en vigor antes, otras después, dando tiempo a las empresas y a los propios reguladores a prepararse. El problema es el de siempre: la ley iba más rápido que la infraestructura que la sostiene. Faltaban normas técnicas armonizadas, autoridades nacionales sin designar todavía, organismos de evaluación de conformidad sin acreditar. Exigir cumplimiento pleno el 2 de agosto de 2026, la fecha que estaba marcada en rojo en el calendario de medio sector digital europeo, habría significado pedirle a las empresas que cumplieran con una regla cuyo manual de instrucciones todavía no existía.
La Comisión Europea presentó la propuesta de este Ómnibus el 19 de noviembre de 2025. Ha pasado por trílogos, por un acuerdo político en mayo, por el voto del Parlamento el 16 de junio, por la aprobación del Consejo el 29 de junio, por la firma el 8 de julio y, hoy, por la publicación definitiva. Ocho meses de proceso legislativo para lo que en la práctica se resume en: reordenar fechas, afinar definiciones y añadir dos prohibiciones que nadie discute.
A quién afecta esto realmente
Si tienes un negocio digital en España o en la UE, te toca en alguna de estas capas:
Si usas IA en tu negocio (chatbots de atención al cliente, generadores de contenido, herramientas de personalización, recomendadores de producto): eres «desplegador» según la terminología del Reglamento, y tienes obligaciones de transparencia que no se han movido ni un día.
Si vendes o das acceso a herramientas de IA (agencias que desarrollan bots, SaaS con funcionalidades de IA integradas): eres «proveedor», y tu calendario de obligaciones sí ha cambiado, y bastante.
Si tu negocio está en un sector regulado (formación sanitaria, juguetes, dispositivos médicos, maquinaria): hay una pieza nueva sobre cómo se relaciona el AI Act con tu normativa sectorial, y merece la pena que la leas con calma más abajo.
Si eres autónomo o pyme: hay simplificaciones que ahora también alcanzan a empresas de mediana capitalización, así que si estás en ese rango de facturación, hay beneficios que antes no te tocaban y ahora sí.
Y una cosa importante que se suele pasar por alto: el Reglamento aplica también si tu empresa está fuera de la UE pero el resultado de tu sistema de IA se usa dentro de la Unión. La territorialidad del AI Act siempre ha sido generosa, y esto no lo toca.
El calendario real, sin marketing regulatorio
Aquí va la línea de tiempo actualizada. Guárdatela, porque es la que vas a necesitar consultar más de una vez este año.
| Fecha | Qué pasa | Situación |
|---|---|---|
| 2 feb 2025 | Prácticas prohibidas (versión original) y alfabetización en IA | Ya en vigor |
| 2 ago 2025 | Obligaciones para modelos GPAI (de propósito general) | Ya en vigor |
| 2 ago 2026 | Obligaciones de transparencia del artículo 50: informar al usuario de que interactúa con IA | Se mantiene, no se mueve |
| 2 dic 2026 | Nuevas prohibiciones: contenido íntimo no consentido y CSAM generado por IA | Nueva |
| 2 dic 2026 | Fin del periodo transitorio para marcar contenido sintético en sistemas ya introducidos antes del 2 ago 2026 | Nueva |
| 2 ago 2027 | Plazo para que los Estados miembros creen sandboxes regulatorios | Aplazada |
| 2 dic 2027 | Obligaciones de alto riesgo del Anexo III (empleo, educación, infraestructuras críticas, scoring crediticio) | Aplazada desde ago 2026 |
| 2 ago 2028 | Obligaciones de alto riesgo del Anexo I (sistemas integrados en productos regulados: dispositivos médicos, juguetes, maquinaria) | Aplazada desde ago 2027 |
Fíjate en el patrón: lo que se aplaza es el alto riesgo. Lo que no se mueve ni un milímetro es la transparencia. Y esto es justo lo que más le importa a la mayoría de negocios digitales que no desarrollan sistemas de scoring crediticio ni de selección de personal, pero sí usan un chatbot en su web o generan imágenes con IA para sus redes.
Lo que de verdad te toca el bolsillo: las dos prohibiciones nuevas
El artículo 5 del AI Act incorpora, a partir del 2 de diciembre de 2026, dos prohibiciones nuevas:
Queda prohibida la generación de contenido íntimo o sexual sin consentimiento (las famosas apps «nudifier») y la creación de material de abuso sexual infantil mediante sistemas de IA.
No hace falta que te explique por qué esto no admite matices. Lo relevante para ti, si tienes o gestionas una herramienta que genera imágenes, vídeo o contenido sintético de cualquier tipo (aunque sea para fines completamente legítimos, como personalización de producto o marketing visual), es que tienes hasta el 2 de diciembre de 2026 para tener salvaguardas técnicas: filtros de prompts, controles de salida, mecanismos de rechazo documentados. Las sanciones aquí no son simbólicas: hasta 35 millones de euros o el 7% de la facturación mundial anual, lo que sea mayor. Es el tramo sancionador más alto de todo el Reglamento, al mismo nivel que las prácticas prohibidas más graves.
Si tu negocio no genera contenido audiovisual con IA, esta parte no te afecta directamente. Pero si trabajas con proveedores que sí lo hacen (agencias de imagen generada por IA, herramientas de retoque, generadores de avatares para tu marca), sí te conviene preguntarles qué están haciendo al respecto. Tu reputación también está en juego cuando subcontratas.
Transparencia: la parte que no se mueve y la que más ignoráis
El artículo 50 obliga a informar a la persona usuaria de que está interactuando con un sistema de IA. Esto entra en vigor el 2 de agosto de 2026, sin cambios. Si tienes un chatbot en tu web, si usas un asistente conversacional para atención al cliente, si generas contenido con IA que se presenta como si fuera humano, esto te afecta desde ya.
La parte que sí trae novedad es el marcado de contenido sintético (el famoso watermarking del artículo 50.2): la obligación de que el contenido generado por IA (audio, imagen, vídeo, texto) lleve una marca legible por máquina que permita identificarlo como generado artificialmente. Si tu herramienta ya estaba en el mercado antes del 2 de agosto de 2026, tienes un periodo transitorio hasta el 2 de diciembre de 2026 para implementarlo. Si es una herramienta nueva que lanzas después de esa fecha, la obligación es inmediata, sin margen.
La consecuencia práctica: si estás pensando en lanzar una herramienta de generación de contenido con IA este año, hazlo antes del 2 de agosto si quieres los cuatro meses de margen. Después de esa fecha, el reloj corre desde el primer día.
Alto riesgo: el aplazamiento que probablemente no te libra de nada
Aquí viene la parte donde más gente se relaja de más. Los sistemas de alto riesgo del Anexo III (empleo, educación, infraestructuras críticas, scoring crediticio, gestión de fronteras, entre otros) tenían fecha de cumplimiento el 2 de agosto de 2026. Ahora se aplaza al 2 de diciembre de 2027. Los sistemas integrados en productos regulados del Anexo I (dispositivos médicos, juguetes, maquinaria, embarcaciones) se aplazan del 2 de agosto de 2027 al 2 de agosto de 2028.
Pero, y esto es importante, la estructura de fondo no cambia: evaluación de conformidad, documentación técnica, supervisión humana, trazabilidad, registro en la base de datos de la UE. Lo que tienes es más tiempo, no menos obligación. Si tu sistema entra en alguna de estas categorías, el aplazamiento es una oportunidad para construir bien la documentación, no una excusa para archivarla en el cajón de «ya lo veré».
Y algo que se suele olvidar: incluso los sistemas que no son de alto riesgo deben registrarse en la base de datos de la UE, aunque con un procedimiento más ligero. No es «si eres de alto riesgo, te registras; si no, tan tranquilo».
La clarificación que le interesa a quien vende juguetes, dispositivos médicos o maquinaria con IA
Si tu negocio toca alguno de estos sectores, hay una novedad que te ahorra dolores de cabeza: se aclara la interacción entre el AI Act y la normativa sectorial de seguridad de producto. Los productos cubiertos por el Reglamento de maquinaria quedan excluidos de la aplicación directa del régimen de alto riesgo del AI Act (la Comisión podrá incorporar requisitos de IA mediante actos delegados dentro del propio Reglamento de maquinaria). Para el resto de productos del Anexo I, la Comisión podrá limitar la aplicación de las obligaciones del AI Act cuando la normativa sectorial ya ofrezca un nivel de protección equivalente o superior.
Además, se estrecha la definición de «componente de seguridad»: un sistema de IA que solo asiste, optimiza o mejora la eficiencia de un producto no se considera automáticamente de alto riesgo por el mero hecho de estar integrado en un producto regulado, salvo que su fallo pueda poner en peligro la salud o la seguridad. Esto es relevante si vendes, por ejemplo, juguetes con funciones de IA que sugieren actividades o personalizan contenido: no todo lo que «tiene IA dentro» es automáticamente de alto riesgo.
Lo que se suaviza (un poco) para tu día a día
Hay tres cambios menores que valen la pena mencionar porque te quitan carga administrativa real:
Alfabetización en IA (artículo 4): ya no se exige un nivel concreto de formación por persona, sino que se adopten medidas de apoyo al desarrollo de esa alfabetización. Es una obligación más flexible, menos susceptible de checklist imposible de cumplir al pie de la letra.
Datos sensibles para detectar sesgos: se amplía la legitimación para tratar categorías especiales de datos personales con el fin de detectar y corregir sesgos, y ya no se limita solo a proveedores de sistemas de alto riesgo, sino a cualquier proveedor o desplegador de sistemas de IA o de modelos GPAI, siempre bajo un estándar estricto de necesidad.
Empresas de mediana capitalización: las simplificaciones que antes eran solo para pymes y startups ahora también alcanzan a este tramo intermedio de empresas. Si estás creciendo y ya no encajas en «pyme» pero tampoco eres una gran corporación, esto te interesa.
La AI Office gana músculo
La Oficina de IA de la Comisión Europea amplía su competencia de supervisión a todos los sistemas basados en modelos GPAI desarrollados por el mismo proveedor, y también a los sistemas integrados en plataformas y motores de búsqueda muy grandes sujetos a la Ley de Servicios Digitales. Se crea además una base legal explícita para que la AI Office coopere con las autoridades nacionales. Traducción: menos fragmentación entre países, pero más escrutinio centralizado. Si tu negocio depende de un modelo de IA de un proveedor grande (piensa en los modelos que usas vía API), es la AI Office quien va a vigilar más de cerca a ese proveedor, no tanto a ti directamente, salvo que tú mismo desarrolles el modelo.
Tu hoja de ruta: qué hacer y cuándo
Te la dejo dividida en tres bloques, de lo urgente a lo que puedes planificar con calma.
Ya, antes del 2 de agosto de 2026:
Revisa si tu web, tu chatbot o tus herramientas de generación de contenido informan con claridad de que la persona está interactuando con un sistema de IA. Esto es obligatorio desde el 2 de agosto y no ha cambiado.
Haz inventario de tus herramientas de generación de contenido sintético. Si están en el mercado antes del 2 de agosto, tienes hasta diciembre para el marcado técnico. Si las lanzas después, la obligación corre desde el primer día.
Revisa si algún sistema de generación de imagen, audio o vídeo que uses o vendas podría tener usos indebidos previsibles relacionados con contenido íntimo no consentido. Documenta qué salvaguardas técnicas tienes ya y cuáles necesitas antes de diciembre.
Antes de que termine 2026:
Haz una evaluación documentada de riesgos de uso indebido para cualquier sistema generativo que tengas o vendas, con controles técnicos y de gobernanza claros antes del 2 de diciembre.
Determina si algún sistema tuyo entra en el Anexo III o el Anexo I. Aunque los plazos se han aplazado, tener la clasificación hecha te permite planificar recursos con cabeza, en lugar de a última hora.
Regístrate en la base de datos de la UE si te corresponde, aunque hayas concluido que no eres de alto riesgo: el procedimiento es más ligero, pero sigue siendo obligatorio.
De cara a 2027 y 2028:
Si tienes un sistema de alto riesgo del Anexo III, usa el margen hasta diciembre de 2027 para construir de verdad la documentación técnica, la supervisión humana y los registros de trazabilidad. No lo dejes para el último trimestre: las normas armonizadas europeas pueden sufrir más retrasos, y no quieres depender de eso.
Si vendes productos regulados con IA integrada (Anexo I), planifica la conformidad conjunta con tu normativa sectorial y el AI Act, y mantente atenta a los actos delegados de la Comisión que pueden simplificarte la vida en este punto.
Diseña, aunque sea de forma sencilla, un programa interno de formación sobre IA para quien desarrolle, despliegue o supervise estos sistemas en tu equipo.
Preguntas que me vais a hacer (así que las respondo ya)
«Tengo un chatbot de atención al cliente en mi web, hecho con una herramienta externa. ¿Soy proveedora o desplegadora?»
Eres desplegadora. No has desarrollado el sistema, lo usas. Tu obligación principal es la transparencia: que quien hable con el bot sepa que es un bot. Si además personalizas mucho ese sistema o lo integras de forma que cambia su finalidad, conviene revisarlo caso por caso, pero para el 90% de negocios que instalan un chatbot de terceros, la responsabilidad de fondo sobre el sistema recae en quien lo desarrolla.
«Uso IA para generar imágenes de producto o contenido para redes. ¿Estoy en el saco de las prohibiciones nuevas?»
No, salvo que generes contenido íntimo o sexual sin consentimiento o material de abuso infantil, que doy por hecho que no es tu caso. Lo que sí te toca es la transparencia y, si el contenido se difunde como si no fuera generado por IA, el marcado técnico cuando llegue su fecha. No es lo mismo «generar imágenes de producto con IA» que «las prohibiciones del artículo 5», aunque las noticias a veces las mezclen en el mismo titular.
«¿Tengo que hacer algo ya mismo o puedo esperar a que pase el verano?»
Si tienes chatbot o generas contenido con IA de cara al público, revisa la transparencia antes del 2 de agosto. Es la única fecha de este calendario que cae literalmente la semana que viene. Todo lo demás tiene meses o años de margen, así que respira, pero no lo pierdas de vista.
«¿Esto sustituye al RGPD o a la LSSI?»
No. El AI Act y su Ómnibus regulan sistemas de inteligencia artificial. El RGPD sigue regulando el tratamiento de datos personales, y la LSSI sigue regulando servicios de la sociedad de la información. Si tu chatbot recoge datos de contacto, sigues necesitando tu aviso de privacidad y tu base legal de tratamiento, exactamente igual que antes. Son capas normativas distintas que a veces se solapan, no una que reemplaza a la otra.
Lo que quiero que te lleves de este artículo
Este Ómnibus no es una amnistía. Es una reprogramación de plazos y una aclaración de zonas grises que llevaban meses generando incertidumbre real en el sector. La arquitectura del AI Act sigue intacta: clasificación por riesgo, prohibiciones, obligaciones de transparencia, supervisión de modelos de propósito general. Lo que cambia es cuándo tienes que tener cada pieza lista, y en algunos puntos, con qué exigencia.
Si tu negocio usa IA de cara al público, la fecha que de verdad te importa este año es el 2 de agosto de 2026, no el 2 de diciembre de 2027. Y si generas o vendes contenido sintético, tu fecha es el 2 de diciembre de 2026. El resto del calendario es importante, pero no urgente todavía. Aprovecha ese margen para construir bien, no para archivar el tema.
Este artículo se basa en el texto del Reglamento (UE) 2026/1744, publicado en el Diario Oficial de la Unión Europea el 24 de julio de 2026, y en el análisis jurídico disponible a esa misma fecha. Si tu negocio necesita una revisión concreta de cómo te afecta esta reforma, para eso estoy.
