El 2 de agosto de 2026, la Unión Europea activa la fase más ambiciosa de su reglamento de inteligencia artificial. Dos años después de su entrada en vigor, el EU AI Act (Reglamento UE 2024/1689) alcanza su aplicación plena para la mayoría de empresas que operan en Europa: obliga a clasificar los sistemas de IA según su nivel de riesgo, a cumplir requisitos estrictos de transparencia y documentación, y a registrar los sistemas considerados de alto riesgo en una base de datos pública europea. No es una advertencia futura: es ley en vigor y el reloj ya corre.
El reglamento estructura los sistemas de IA en cuatro niveles. En la cima están las prácticas directamente prohibidas desde febrero de 2025: manipulación subliminal, puntuación social de ciudadanos o identificación biométrica masiva en espacios públicos. Por debajo, los sistemas de alto riesgo —los que afectan a empleo, crédito, educación o infraestructuras críticas— son el núcleo de lo que entra en juego este agosto. Estos sistemas deben implementar gestión de riesgos, documentación técnica, supervisión humana y registros de auditoría antes de esa fecha. Un tercer nivel, el de riesgo limitado, incluye herramientas como los chatbots de atención al cliente: aquí la obligación principal es la transparencia. Si un usuario habla con una IA, tiene que saberlo desde el primer momento.
Qué deben hacer las empresas ahora
Las obligaciones no son iguales para todos. Si una empresa desarrolla un sistema de IA, es proveedora y asume la mayor carga de cumplimiento: evaluación de conformidad, marcado CE y documentación técnica exhaustiva. Pero si simplemente despliega o usa un sistema de terceros —un CRM con IA integrada, una herramienta de selección de personal— también tiene obligaciones propias como operadora: usar el sistema según las instrucciones del proveedor, mantener supervisión humana y conservar los registros generados. No se puede delegar toda la responsabilidad al proveedor.
Las sanciones son uno de los elementos que más han captado la atención del sector. Las multas pueden alcanzar los 35 millones de euros o el 7% de la facturación global anual, lo que sea mayor. Para las infracciones más graves —desplegar sistemas prohibidos—, esa cifra es el techo máximo. Para incumplimientos de transparencia el régimen es menos severo, pero no trivial. Y el reglamento tiene alcance extraterritorial: si una empresa fuera de la UE ofrece servicios a usuarios europeos, también queda dentro de su ámbito, igual que ocurrió con el RGPD.
En España, la supervisión recae sobre la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña. España fue el primer país de la UE en crear un organismo específico para vigilar la IA, y la AESIA ya ejerce funciones sancionadoras desde agosto de 2025. Cuenta con cuerpo de inspección propio y ha iniciado colaboraciones con el Ministerio de Igualdad para abordar sesgos de género en los sistemas supervisados.
El comodín que lo complica todo: el Digital Omnibus
Aquí viene el giro. En noviembre de 2025, la Comisión Europea lanzó el llamado Digital Omnibus, un paquete de enmiendas para simplificar la regulación digital. Una de sus propuestas principales es aplazar las obligaciones para sistemas de alto riesgo hasta diciembre de 2027, un retraso de 16 meses respecto al plazo original. El Consejo de la UE acordó esa extensión el 13 de marzo de 2026, y el Parlamento Europeo votó su posición alineada el 26 de marzo. Ahora está pendiente el trílogo entre las tres instituciones para cerrar el texto definitivo.
¿Por qué el retraso? Hay dos razones concretas. La Comisión incumplió su propio plazo de febrero de 2026 para publicar las guías técnicas que permiten a las empresas saber exactamente cómo clasificar sus sistemas. Sin esas guías, cumplir la ley se convierte en un ejercicio de interpretación arriesgado. Además, solo 8 de los 27 estados miembros han designado sus autoridades nacionales competentes, lo que hace inviable una supervisión coordinada a escala europea.
Pero ojo: el Digital Omnibus no aplaza todo. Las prohibiciones absolutas del artículo 5 siguen en vigor desde febrero de 2025. Las obligaciones de transparencia del artículo 50 —que los usuarios sepan cuándo interactúan con una IA— mantienen el 2 de agosto como fecha límite. Y la obligación de formación básica en IA para todos los empleados que trabajen con estos sistemas, recogida en el artículo 4, tampoco ha sido modificada. Dicho de otro modo: que los plazos de alto riesgo se estiren no significa que las empresas puedan bajar la guardia.
Los críticos del Omnibus advierten de que el aplazamiento no es neutral. Organizaciones como Corporate Europe Observatory señalan que el retraso beneficia principalmente a la industria tecnológica, que ha tenido un peso desproporcionado en las consultas que dieron forma al paquete. El riesgo, según voces del Parlamento Europeo, es que algunos de los sistemas más sensibles escapen definitivamente al control regulatorio si el aplazamiento va acompañado de cláusulas de no retroactividad.
Para las empresas españolas, el mensaje práctico es claro: el Digital Omnibus todavía no es ley. Hasta que el trílogo concluya y el texto se publique en el Diario Oficial de la UE, el calendario original sigue siendo el de referencia legal. Prepararse para agosto de 2026 sigue siendo la decisión más segura, tanto desde el punto de vista del cumplimiento como de la reputación ante clientes y socios europeos.