EU AI Act después del Digital Omnibus: nuevas fechas y qué hacer ahora
El 24 de julio de 2026 se publicó en el Diario Oficial de la Unión Europea el Reglamento (UE) 2026/1744, conocido como Digital Omnibus sobre IA. Modifica el Reglamento de Inteligencia Artificial (EU AI Act) y mueve varias fechas clave. Muchas empresas lo leyeron como “hay más tiempo”. Es cierto solo en parte: varias obligaciones ya se aplican y los clientes europeos no esperan a la fecha límite para preguntar cómo se gobierna la IA.
Qué fechas cambian
Sistemas de alto riesgo del anexo III (por ejemplo, IA usada en selección de personal, evaluación de solvencia o acceso a servicios esenciales): pasan del 2 de agosto de 2026 al 2 de diciembre de 2027.
Sistemas de alto riesgo del anexo I (IA integrada en productos regulados, como dispositivos médicos o maquinaria): del 2 de agosto de 2027 al 2 de agosto de 2028.
Marcado de contenido generado por IA (artículo 50.2): los proveedores con sistemas en el mercado antes del 2 de agosto de 2026 tienen hasta el 2 de diciembre de 2026.
Alfabetización en IA (artículo 4): la obligación se suaviza. Las empresas deben apoyar el desarrollo de la alfabetización en IA de su personal, sin tener que garantizar un nivel concreto.
Qué ya se aplica
Prácticas de IA prohibidas: desde el 2 de febrero de 2025.
Modelos de IA de uso general y régimen sancionador: desde el 2 de agosto de 2025.
Aplicación general del reglamento, incluidas las obligaciones de transparencia del artículo 50: desde el 2 de agosto de 2026.
Nueva prohibición incorporada por el Omnibus (sistemas que generan material de abuso sexual infantil o imágenes íntimas no consentidas): desde el 2 de diciembre de 2026.
Por qué no conviene esperar a 2027
Primero, porque los clientes ya preguntan. Los cuestionarios de seguridad y de due diligence de bancos, aseguradoras y grandes empresas europeas incluyen secciones sobre el uso de IA, los datos con los que se entrena y la supervisión humana. Segundo, porque inventariar y clasificar los sistemas de IA lleva meses, sobre todo cuando la IA está dentro de herramientas de terceros. Y tercero, porque catorce meses para el anexo III es poco tiempo si hay que documentar, evaluar riesgos y formar equipos.
Un plan en cinco pasos
Inventario. Listar los sistemas de IA que la empresa desarrolla, integra o usa, incluidas las funciones de IA de proveedores SaaS.
Clasificación. Ubicar cada sistema en la escala de riesgo del EU AI Act: prohibido, alto riesgo, obligaciones de transparencia o riesgo mínimo.
Rol. Definir si la empresa actúa como proveedor, responsable del despliegue, importador o distribuidor, porque las obligaciones cambian en cada caso.
Sistema de gestión. Implantar políticas, evaluación de impacto, gestión de riesgos, controles sobre datos y modelos y supervisión humana. ISO/IEC 42001 da la estructura para hacerlo de forma ordenada.
Evidencias. Mantener documentación técnica, registros, evaluaciones y formación del personal listas para un cliente o un regulador.
Dónde encaja ISO 42001
ISO/IEC 42001 no sustituye al cumplimiento del EU AI Act, pero aporta el sistema de gestión (riesgos, roles, documentación y mejora continua) sobre el que se apoyan muchas de sus obligaciones. Las normas armonizadas que darán presunción de conformidad todavía están en desarrollo, por lo que empezar con ISO 42001 es la forma más práctica de avanzar sin rehacer el trabajo después. Más detalle en nuestra guía de consultoría ISO 42001.
Cómo te ayuda White Hat Security Solutions
Con el IA Risk Engine de GoverniFY inventarías y clasificas los sistemas de IA y los mapeas a ISO 42001 y al EU AI Act desde la misma plataforma de gobernanza integrada (SGGI) que ya usas para ISO 27001 o el ENS.
Si quieres saber en qué punto está tu empresa, haz el autodiagnóstico gratuito GoverniFY Compass: son 10 minutos y recibes el resultado al instante.
Fuente: Reglamento (UE) 2026/1744, publicado en el Diario Oficial de la UE el 24 de julio de 2026, que modifica el Reglamento (UE) 2024/1689.
Comentarios