Reglamento de IA de la UE: qué cambia el 2 de diciembre de 2026 (lista de comprobación)

Las fechas, de diciembre de 2026 en adelante¶

El Digital Omnibus sobre IA reescribió el artículo 113, el que fija cuándo se aplica cada parte del Reglamento. El resultado es una secuencia de fechas fijas. El artículo 113 consolidado fija el 2 de diciembre de 2026 para las nuevas prohibiciones del artículo 5(1), párrafo primero, letras (ba) y (bb), y del artículo 5(1a) y (1b); el 2 de diciembre de 2027 para los sistemas del anexo III; y el 2 de agosto de 2028 para los sistemas integrados en productos. El artículo 111 consolidado recoge las fechas transitorias: el 2 de diciembre de 2026 para el marcado de los sistemas generativos ya introducidos en el mercado, el 2 de agosto de 2027 para los modelos de IA de uso general anteriores y el 2 de agosto de 2030 para los sistemas de alto riesgo que utilizan las autoridades públicas. La página del marco de IA de la Comisión resume las mismas fechas.

Todo lo que empezó a aplicarse el 2 de agosto de 2026 sigue aplicándose. La guía de agosto de 2026 trata esa capa en detalle: la transparencia del artículo 50 para proveedores y responsables del despliegue, la aplicación del artículo 101 frente a los proveedores de modelos de IA de uso general y las obligaciones de los modelos del capítulo V vigentes desde agosto de 2025.

Primer cambio: dos nuevas prohibiciones con un techo de sanción del 7 %¶

El Omnibus añadió dos prácticas al artículo 5, ambas aplicables desde el 2 de diciembre de 2026. Quedan prohibidos los sistemas de IA que generan o manipulan material de abuso sexual infantil y los que generan o manipulan imágenes sexuales o íntimas realistas de una persona identificable sin su consentimiento. La prohibición alcanza al proveedor cuando ese resultado es la finalidad prevista del sistema o un resultado razonablemente previsible y reproducible sin una modificación técnica significativa.

Las infracciones del artículo 5 se sitúan en el nivel más alto de sanciones del artículo 99: hasta 35 millones de EUR o el 7 % del volumen de negocios anual mundial total, lo que sea mayor para una empresa. Ese nivel se aplica a las prohibiciones originales desde el 2 de febrero de 2025; las dos nuevas categorías se suman el 2 de diciembre de 2026.

El trabajo de cumplimiento es concreto. Un equipo que ofrece generación de imágenes, vídeo o audio necesita pruebas adversariales que cubran ambas categorías, un comportamiento de rechazo que resista la paráfrasis y la presión sobre las instrucciones del sistema, y conservar los resultados de las pruebas. Un responsable del despliegue que integra un generador de terceros necesita la misma garantía por escrito del proveedor.

Segundo cambio: termina el periodo de gracia del marcado¶

El artículo 50(2) exige a los proveedores de sistemas que generan audio, imagen, vídeo o texto sintéticos marcar los resultados en un formato legible por máquina y hacerlos detectables como generados o manipulados artificialmente, en la medida en que sea técnicamente viable. La obligación empezó a aplicarse el 2 de agosto de 2026 para los sistemas introducidos en el mercado desde esa fecha. Los sistemas que ya estaban en el mercado antes del 2 de agosto de 2026 recibieron un único periodo transitorio, conforme al artículo 111(4), que termina el 2 de diciembre de 2026.

Dos documentos de la Comisión fijan el listón práctico. El Código de buenas prácticas sobre marcado y etiquetado de contenido generado por IA, definitivo desde el 10 de junio de 2026, es voluntario y describe técnicas de marcado y etiquetado; un proveedor que no lo firme demuestra el cumplimiento por otra vía. Las directrices del artículo 50, publicadas el 20 de julio de 2026, fijan el alcance de cada obligación. Contraste su diseño de marcado con ambos antes de diciembre.

A partir del 2 de diciembre de 2026 desaparece para esta obligación la distinción entre sistemas antiguos y nuevos. El incumplimiento se sitúa en el nivel del artículo 99(4)(g): hasta 15 millones de EUR o el 3 % del volumen de negocios anual mundial, lo que sea mayor. La lista de comprobación del artículo 50 cubre el conjunto completo de controles de transparencia, incluidas las obligaciones de información y de etiquetado de ultrafalsificaciones, que no tuvieron periodo de gracia.

Lista del proveedor: este trimestre (antes del 2 de diciembre de 2026)¶

Tareas para el rol de proveedor, ordenadas para que primero vayan las que tienen fecha fija en diciembre.

• Cierre el marcado legible por máquina en cada sistema generativo introducido en el mercado antes del 2 de agosto de 2026. Compruebe que el marcado sobrevive a sus rutas reales de salida: respuestas de la API, exportaciones de archivos, visores integrados. Deje constancia de si sigue el Código de buenas prácticas u otro método.
• Haga pruebas de equipo rojo sobre las dos nuevas prohibiciones. Ejecute pruebas adversariales estructuradas de generación de material de abuso sexual infantil y de imágenes íntimas sin consentimiento en cada modelo y sistema que introduzca en el mercado. Conserve los planes y los resultados.
• Vuelva a comprobar la información del artículo 50(1) en los sistemas interactivos: a más tardar en la primera interacción, clara y distinguible, en cada idioma que atiende la superficie.
• Registre la evidencia. Para cada control, conserve un registro de que se ejecutó: marcado aplicado por cada canal de salida, información servida por superficie, comportamiento de rechazo por ciclo de pruebas.
• Confirme su posición de clasificación. Registre el razonamiento del artículo 6 para cada sistema, incluida cualquier posición de que un sistema queda fuera del anexo III. El clasificador de riesgos recorre la lógica del anexo III.

Lista del responsable del despliegue: este trimestre (antes del 2 de diciembre de 2026)¶

Un responsable del despliegue utiliza un sistema de IA bajo su propia autoridad. La mayoría de las empresas tienen este rol en la mayor parte de su parque de IA.

• Inventaríe las superficies generativas. Enumere cada lugar donde su organización publica o distribuye medios generados por IA, incluidos los recursos de marketing producidos con herramientas de terceros.
• Obtenga compromisos por escrito de los proveedores para el cierre del marcado del 2 de diciembre de 2026 en cualquier producto generativo lanzado antes del 2 de agosto de 2026, y para el comportamiento de rechazo en las dos nuevas categorías prohibidas.
• Mantenga en marcha la información sobre ultrafalsificaciones y texto de interés público. Estas obligaciones del responsable del despliegue del artículo 50(4) se aplican desde el 2 de agosto de 2026 y no cambian; vincule cada aviso a una prueba de regresión en cada versión.
• Revise las herramientas internas. Una herramienta interna de imágenes capaz de producir imágenes íntimas de una persona identificable entra en el ámbito de las nuevas prohibiciones aunque no se publique ningún resultado.
• Registre que los controles se activaron. Un registro escrito en el momento de la interacción responde a un supervisor más rápido que un documento de política.

Lista del proveedor: 2027 (hasta el 2 de diciembre de 2027)¶

El capítulo III llega a los sistemas independientes del anexo III el 2 de diciembre de 2027, con el mismo contenido de siempre: gestión de riesgos (artículo 9), gobernanza de datos (artículo 10), documentación técnica (artículo 11), registros (artículo 12), transparencia hacia los responsables del despliegue (artículo 13), diseño de la supervisión humana (artículo 14), precisión y solidez (artículo 15) y el sistema de gestión de la calidad del artículo 17. La guía de plazos del Omnibus recoge cada fecha que se movió.

• Primer semestre de 2027: ponga en funcionamiento la gestión de riesgos y la gobernanza de datos con evidencia, y haga que los registros del artículo 12 capturen los campos que necesitará el expediente técnico del anexo IV.
• Primer semestre de 2027: diseñe la supervisión humana en el producto. El artículo 14 pide una persona capaz de interpretar el resultado, anularlo y detener el sistema; eso requiere una interfaz y un registro.
• Segundo semestre de 2027: reúna el expediente del anexo IV y haga funcionar el sistema de gestión de la calidad del artículo 17 con evidencia de auditoría interna. EN 18286:2026, citada en el Diario Oficial el 14 de octubre de 2026, es la norma armonizada para ese sistema; consulte EN 18286 citada en el Diario Oficial. Las pequeñas empresas de mediana capitalización pueden usar los formularios de documentación simplificados que el Omnibus les extendió.
• Segundo semestre de 2027: elija la vía de evaluación de la conformidad y, cuando se exija un organismo notificado, resérvelo. Su capacidad no crece con el plazo.
• Antes del 2 de diciembre de 2027: registre conforme al artículo 49, incluidos los sistemas autoevaluados como no de alto riesgo según el artículo 6(3) con la carga reducida del anexo VIII, y firme la declaración de conformidad.

Lista del responsable del despliegue: 2027 (hasta el 2 de diciembre de 2027)¶

Las obligaciones del responsable del despliegue del artículo 26 y la evaluación de impacto en los derechos fundamentales del artículo 27 siguen la fecha del anexo III.

• Clasifique sus despliegues frente al anexo III y registre el razonamiento. La evaluación de la solvencia, la fijación de precios del seguro de vida y de salud, las decisiones de empleo y el acceso a servicios esenciales son los desencadenantes empresariales habituales.
• Redacte pronto las FRIA de los sistemas incluidos. La evaluación describe el proceso de despliegue, las personas afectadas, los riesgos concretos, las medidas de supervisión y las vías de reparación; gran parte de ese contenido solo existe cuando el modelo de supervisión está decidido.
• Asigne responsables de supervisión por sistema de alto riesgo, con autoridad para suspender el uso, y registre sus intervenciones.
• Compruebe la preparación de los proveedores. Pida a cada proveedor su plan de evaluación de la conformidad, las instrucciones de uso y la interfaz de registros; las obligaciones del artículo 26 dan por supuesto que existen.
• Aproveche las EIPD existentes. El artículo 27(4) permite complementar una evaluación de impacto relativa a la protección de datos del RGPD en lugar de duplicarla.

2028: IA integrada en productos y el solapamiento sectorial¶

La IA de alto riesgo que es componente de seguridad de un producto cubierto por la legislación de armonización del anexo I, como máquinas, productos sanitarios o ascensores, sigue la evaluación de la conformidad sectorial ya exigida para ese producto. El capítulo III se aplica a esos sistemas desde el 2 de agosto de 2028.

El Omnibus también abordó el solapamiento entre el Reglamento de IA y la legislación sectorial de productos. Los análisis de Orrick, Gibson Dunn y Cooley indican que la Comisión queda facultada para limitar los requisitos del Reglamento de IA cuando la legislación sectorial imponga obligaciones equivalentes, con un acto delegado sobre esos solapamientos previsto antes del 2 de agosto de 2028, y que los sistemas de IA cubiertos por el Reglamento de máquinas quedan en gran medida fuera del ámbito paralelo del Reglamento de IA. El artículo 111 consolidado confirma una fecha distinta: los proveedores y responsables del despliegue de sistemas de alto riesgo destinados a ser utilizados por autoridades públicas tienen hasta el 2 de agosto de 2030. Confirme el alcance exacto de cada exclusión sectorial en el texto del Diario Oficial antes de basarse en él.

• Proveedores de IA integrada: alinee el trabajo del capítulo III con el ciclo de conformidad sectorial del producto y reutilice la estructura del anexo IV en ambos expedientes.
• Responsables del despliegue que compran productos regulados con IA: pregunte qué régimen considera prioritario el proveedor y lleve el plan de 2028 al contrato.
• Ambos roles: siga el acto delegado sobre solapamientos sectoriales; determina cuánta documentación duplicada exigirá realmente la ola de 2028.

Supervisión y la categoría de pequeña empresa de mediana capitalización¶

Dos cambios estructurales del Omnibus determinan con quién tratará y bajo qué régimen. La Comisión describe unas facultades reforzadas de la Oficina de IA y una supervisión centralizada de los sistemas basados en modelos de IA de uso general. Los análisis de bufetes añaden detalle: la Oficina de IA tiene competencia de supervisión exclusiva sobre los sistemas de IA basados en un modelo de uso general cuando el mismo proveedor o grupo suministra ambos, y sobre los sistemas de IA integrados en plataformas y motores de búsqueda en línea de muy gran tamaño designados con arreglo a la Ley de Servicios Digitales, con facultades que incluyen investigaciones, inspecciones, compromisos vinculantes y multas. Para un sistema basado en GPAI, la conversación con el supervisor se traslada a Bruselas.

El Omnibus también extendió a las pequeñas empresas de mediana capitalización las simplificaciones antes reservadas a las pymes. Orrick sitúa los umbrales en menos de 750 empleados y hasta 150 millones de EUR de volumen de negocios o 129 millones de EUR de balance, con referencia a la Recomendación (UE) 2025/1099 de la Comisión, con plantillas de documentación simplificadas, gestión de la calidad proporcionada, acceso prioritario a los espacios de pruebas y sanciones proporcionadas. Una organización cercana a esos umbrales debería confirmar ya su condición, porque cambia la carga de trabajo del artículo 17 y del anexo IV para 2027.

La evidencia es el hilo común¶

Cada punto de las listas anteriores termina igual: demuestre que el control funcionó el día que importaba. El canal de marcado, el aviso, el rechazo, la decisión de supervisión y el razonamiento de clasificación necesitan un registro producido mientras se hacía el trabajo.

En esa capa opera KLA. KLA Policy Engine evalúa una Decision Request antes de que se ejecute una acción gobernada de un agente, Decision Desk retiene los resultados require_approval para una persona designada y Evidence Room produce un Sealed Evidence Bundle que un tercero puede verificar sin conexión. Construir esa capa durante el trabajo de transparencia de diciembre de 2026 hace que la evidencia de alto riesgo de 2027 exista como subproducto de la operación, y el centro del Reglamento de IA de la UE vincula cada obligación con el control que produce su registro.