El AI Act —el Reglamento europeo de Inteligencia Artificial— ya no es una norma en el horizonte: es la realidad regulatoria que tu empresa debe gestionar ahora mismo. Y en las últimas semanas, ese escenario ha cambiado de forma significativa. El 26 de marzo de 2026, el Parlamento Europeo aprobó con 569 votos a favor su posición sobre el llamado Ómnibus Digital de IA, una modificación sustancial que ajusta plazos y endurece prohibiciones. Si tu empresa utiliza herramientas de inteligencia artificial —y casi todas lo hacen ya, aunque sea sin saberlo— esto te afecta directamente. ¿Sabes realmente en qué punto estás y qué debes hacer antes de agosto de 2026?
Actualización clave: aquella posición del Parlamento fue solo la primera fase del proceso. Apenas seis semanas después, el 7 de mayo de 2026, el Parlamento Europeo y el Consejo de la UE alcanzaron un acuerdo político provisional sobre el Ómnibus Digital: las obligaciones del AI Act para los sistemas de IA de alto riesgo del Anexo III quedan aplazadas del 2 de agosto de 2026 al 2 de diciembre de 2027, y las del Anexo I al 2 de agosto de 2028. Este artículo recoge el proceso completo, desde el voto parlamentario del 26 de marzo hasta el acuerdo alcanzado el 7 de mayo, con el estado más reciente y vigente a día de hoy.
Qué es el Ómnibus Digital de IA y por qué ha sacudido el cumplimiento normativo
El AI Act (Reglamento (UE) 2024/1689) entró en vigor el 1 de agosto de 2024. Desde entonces, ha ido desplegando sus obligaciones por fases: en febrero de 2025 comenzaron a aplicarse las normas sobre prácticas prohibidas y alfabetización en IA; en agosto de 2025, las relativas a los modelos de propósito general (GPAI). El siguiente hito era el 2 de agosto de 2026, fecha en la que debían entrar en vigor las obligaciones para los sistemas de IA de alto riesgo.
Sin embargo, durante 2025 fue quedando en evidencia que la infraestructura regulatoria no estaba lista. Los estándares armonizados europeos llegaban con retraso. Las guías de implementación de la Comisión no estaban completadas. Y al menos 12 Estados miembros no habían designado sus autoridades nacionales competentes en el plazo establecido. Ante esta realidad, la Comisión Europea presentó en noviembre de 2025 el Digital Omnibus on AI, una propuesta para ajustar el calendario y simplificar algunos aspectos de aplicación.
El Parlamento Europeo aprobó su posición negociadora el 26 de marzo de 2026 con 569 votos a favor, 45 en contra y 23 abstenciones. Ese mandato abre la negociación formal (trílogo) entre el Parlamento y el Consejo de la UE para acordar el texto definitivo, que deberá publicarse en el Diario Oficial antes del 2 de agosto de 2026 para que los nuevos plazos sean vinculantes.
En España, la autoridad supervisora es la AESIA (Agencia Española de Supervisión de la Inteligencia Artificial), con sede en A Coruña, que desde agosto de 2026 tendrá plenas competencias para investigar, exigir medidas correctoras y proponer sanciones.
Las nuevas fechas clave del AI Act: lo que cambia y lo que no
El punto central del Ómnibus Digital es la modificación del calendario de obligaciones para los sistemas de IA de alto riesgo. Pero no todos los plazos cambian de la misma manera, y es fundamental entender la diferencia.
Sistemas de alto riesgo independientes (Anexo III)
Estos son los sistemas que involucran categorías de uso de mayor impacto social: biometría, infraestructuras críticas, educación, empleo y recursos humanos, acceso a servicios esenciales, aplicación de la ley, gestión de fronteras y administración de justicia. Para ellos, el texto parlamentario propone trasladar la fecha de obligación desde el 2 de agosto de 2026 al 2 de diciembre de 2027.
Sistemas integrados en productos regulados (Anexo I)
Los sistemas de IA embebidos en productos ya cubiertos por normativa sectorial europea (equipos médicos, maquinaria, juguetes, etc.) se beneficiarían de un plazo adicional mayor: hasta el 2 de agosto de 2028.
Obligaciones que siguen vigentes en agosto de 2026
Y aquí está el mensaje crítico para cualquier empresario: aunque el trílogo ya concluyó con el acuerdo político del 7 de mayo de 2026, el texto definitivo todavía debe adoptarse formalmente y publicarse en el Diario Oficial de la UE, así que el plazo legal del 2 de agosto de 2026 sigue siendo técnicamente vinculante hasta ese momento. Además, independientemente de cuándo se formalice, varias obligaciones se mantienen con plena vigencia:
- La obligación de alfabetización en IA (art. 4): toda empresa que use sistemas de IA debe garantizar que su personal tiene formación suficiente para operar con ellos de forma segura. Vigente desde febrero de 2025, aunque el Ómnibus suaviza el verbo de «garantizar» a «promover».
- Las obligaciones de transparencia para sistemas que generan contenido sintético (audio, imagen, vídeo, texto): marcado de agua (watermarking). Plazo propuesto: 2 de noviembre de 2026.
- Las prácticas prohibidas: cualquier empresa que opere sistemas de IA en las categorías de riesgo inaceptable (scoring social, manipulación subliminal, vigilancia masiva no autorizada) ya está incumpliendo desde agosto de 2024.
La estrategia prudente, como señalan los expertos en derecho digital, es prepararse como si agosto de 2026 fuera la fecha real y planificar como si diciembre de 2027 fuera la fecha probable de aplicación efectiva.
La nueva prohibición que más importa: los «nudifiers» y los deepfakes no consentidos
Más allá de los plazos, el Ómnibus Digital introduce una novedad de gran calado jurídico y social: la prohibición expresa de los sistemas de IA capaces de generar o manipular imágenes íntimas no consentidas, comúnmente conocidos como nudifiers o generadores de deepfakes sexuales.
Esta práctica pasa a ser considerada de riesgo inaceptable, el nivel más alto de la pirámide del AI Act, equiparable a la vigilancia masiva o el reconocimiento de emociones en contextos sensibles. La posición del Consejo incluye además una referencia explícita al material de abuso sexual infantil.
Esta prohibición ya no es solo una propuesta: con el acuerdo político del 7 de mayo de 2026 entre el Parlamento y el Consejo, la prohibición de los nudifiers entra en vigor de forma inmediata, sin esperar a la adopción formal del resto del paquete Ómnibus.
Para las empresas, esto tiene una implicación práctica concreta: si en su cadena de suministro tecnológico o entre sus herramientas de trabajo existe algún sistema que podría permitir este tipo de generación de contenido, su uso está prohibido con independencia del Ómnibus, y las sanciones son las más elevadas del reglamento.
El régimen sancionador del AI Act establece tres niveles:
- Uso de sistemas de IA prohibidos: hasta 35 millones de euros o el 7% de la facturación mundial anual (el importe mayor).
- Incumplimiento de obligaciones para sistemas de alto riesgo: hasta 15 millones de euros o el 3% de la facturación mundial anual.
- Suministro de información incorrecta a autoridades: hasta 7,5 millones de euros o el 1,5% de la facturación mundial anual.
En España, estas sanciones serán propuestas por la AESIA y tramitadas a través de la Administración General del Estado.
Qué deben hacer las empresas españolas ahora mismo
La ventana temporal que abre el Ómnibus Digital no es un salvoconducto para no hacer nada. Es precisamente la oportunidad para llegar mejor preparadas cuando llegue la fecha definitiva. Estos son los pasos prioritarios para cualquier empresa española que use herramientas de inteligencia artificial:
1. Inventariar todos los sistemas de IA en uso
Muchas empresas utilizan IA sin ser plenamente conscientes de ello: herramientas de filtrado de currículums, sistemas de scoring crediticio, asistentes de atención al cliente, herramientas de análisis de imágenes, modelos de recomendación… El primer paso es saber exactamente qué sistemas se usan, quién los provee y para qué finalidad.
2. Clasificar el nivel de riesgo según el AI Act
Una vez identificados, hay que clasificarlos: ¿son de riesgo mínimo, limitado, alto o inaceptable? Esta clasificación determina qué obligaciones aplican. Un chatbot de atención al cliente no tiene las mismas exigencias que un sistema de selección de personal o de control biométrico de empleados.
3. Revisar los contratos con proveedores tecnológicos
El AI Act establece obligaciones tanto para los providers (quienes desarrollan y comercializan sistemas de IA) como para los deployers (quienes los despliegan y usan). Si tu empresa es deployer, debes asegurarte de que el contrato con el proveedor recoge las obligaciones de información, transparencia y documentación técnica que exige el reglamento.
4. Formar a tu equipo en alfabetización en IA
La obligación de formación ya está en vigor. Aunque el Ómnibus suaviza levemente la redacción, la diligencia exigida sigue siendo alta. Tu personal debe entender qué hace el sistema de IA que usa, cuáles son sus limitaciones, cómo detectar errores y cómo aplicar supervisión humana cuando sea necesario.
5. Preparar la documentación técnica y de gobernanza
Para los sistemas de alto riesgo, el AI Act exige documentación técnica detallada, registros de eventos, evaluaciones de impacto en derechos fundamentales y mecanismos de supervisión humana. Aunque el plazo se ha extendido, documentar estos procesos requiere tiempo y recursos. Quien empiece ahora llegará sin prisas al nuevo plazo.
Desde DataIbérica ayudamos a empresas españolas de cualquier tamaño a realizar este inventario, clasificación y adaptación a las exigencias del AI Act y del RGPD, con un enfoque práctico y proporcional a la realidad de cada organización.
Preguntas frecuentes sobre el AI Act y el Ómnibus Digital
¿Qué es exactamente el Ómnibus Digital de IA?
Es una propuesta legislativa de la Comisión Europea (COM(2025) 836) que modifica el Reglamento de IA (AI Act) principalmente en lo relativo a los plazos de aplicación para sistemas de alto riesgo. El Parlamento Europeo aprobó su posición el 26 de marzo de 2026 con 569 votos a favor. Esa posición sirvió de base para el acuerdo político provisional alcanzado con el Consejo de la UE el 7 de mayo de 2026, que ya fija las nuevas fechas (ver más abajo). Falta todavía la adopción formal del texto definitivo y su publicación en el Diario Oficial de la UE.
¿Sigue siendo válido el plazo del 2 de agosto de 2026?
Formalmente sí, hasta que el texto definitivo se publique en el Diario Oficial de la UE. Pero desde el acuerdo político del 7 de mayo de 2026 entre el Parlamento y el Consejo, las nuevas fechas (2 de diciembre de 2027 para el Anexo III, 2 de agosto de 2028 para el Anexo I) son ya el escenario prácticamente seguro. La estrategia recomendada sigue siendo la misma: prepararse como si agosto de 2026 fuera la fecha real y planificar como si las nuevas fechas fueran el plazo definitivo.
¿Mi empresa tiene que cumplir el AI Act si no desarrolla IA, solo la usa?
Sí. El AI Act establece obligaciones tanto para los proveedores de sistemas de IA como para los deployers, es decir, las organizaciones que los despliegan en sus procesos aunque no los hayan desarrollado ellas mismas. Si usas un sistema de IA de alto riesgo (por ejemplo, para selección de personal o puntuación de riesgos), tienes obligaciones propias de cumplimiento.
¿Qué es la AESIA y qué papel tiene en España?
La AESIA (Agencia Española de Supervisión de la Inteligencia Artificial) es la autoridad nacional designada en España para supervisar el cumplimiento del AI Act, con sede en A Coruña. Tiene competencias para investigar incumplimientos, imponer medidas correctoras y proponer sanciones ante la Administración General del Estado.
¿Qué son los «nudifiers» que ahora prohíbe el AI Act?
Son sistemas de IA capaces de generar o manipular imágenes íntimas sexualmente explícitas de personas identificables sin su consentimiento (deepfakes sexuales). El Ómnibus Digital los incluye expresamente en la categoría de prácticas de riesgo inaceptable, prohibidas con las sanciones más altas del reglamento: hasta 35 millones de euros o el 7% de la facturación global. Esta prohibición ya está en vigor de forma inmediata desde el acuerdo político del 7 de mayo de 2026 entre el Parlamento y el Consejo, sin esperar a la adopción formal de todo el paquete Ómnibus Digital.
¿Qué ocurre si mi empresa no cumple y la AESIA abre una investigación?
La AESIA puede requerir información, realizar inspecciones, imponer medidas cautelares y proponer sanciones económicas significativas. Además, una investigación puede generar daño reputacional, especialmente si se hace pública. La prevención a través del cumplimiento proactivo es siempre mucho más económica que la gestión de una crisis regulatoria.
Conclusión: el tiempo del Ómnibus Digital es tiempo para prepararse, no para esperar
El Ómnibus Digital de IA no ha relajado el AI Act: lo ha recalibrado. Las fechas se han extendido para dar tiempo a que la infraestructura regulatoria y empresarial esté lista, pero las obligaciones de fondo siguen siendo las mismas. Las empresas que aprovechen esta ventana para ordenar sus inventarios, clasificar sus sistemas, revisar contratos y formar a sus equipos llegarán con ventaja a los nuevos plazos.
En España, la AESIA ya está operativa y tiene plenas competencias a partir de agosto de 2026. No esperes a que llamen a tu puerta para empezar a trabajar en el cumplimiento del AI Act.
Si necesitas revisar el cumplimiento de tu empresa, contacta con DataIbérica. Te ayudamos a evaluar tu situación real frente al AI Act y al RGPD, y a construir un plan de cumplimiento proporcionado y eficaz.
Fuentes:
