Ley de IA de la UE: qué cambios el 2 de diciembre de 2026 (lista de verificación)

Las fechas, desde diciembre de 2026 en adelante¶

El [Ómnibus Digital sobre IA] (/blog/eu-ai-act-omnibus-new-deadlines) recableó el Artículo 113, el artículo que establece cuándo se aplica cada parte de la Ley. El resultado es una secuencia de fechas de calendario fijas. La [página del marco de IA de la Comisión] (https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai) confirma la fecha del 2 de diciembre de 2027 para los sistemas del Anexo III y el 2 de agosto de 2028 para los sistemas integrados en el producto, y describe la prohibición de diciembre de 2026 sobre la generación de contenido íntimo no consensuado.

Todo lo que se aplicó el 2 de agosto de 2026 sigue siendo aplicable. La [guía de agosto de 2026] (/blog/eu-ai-act-august-2026-what-still-applies) cubre esa capa en detalle: la transparencia del Artículo 50 para proveedores e implementadores, la aplicación del Artículo 101 contra proveedores de modelos de IA de propósito general y las obligaciones del modelo del Capítulo V vigentes desde agosto de 2025.

Primer cambio: dos nuevas prohibiciones con un techo de penalización del 7%¶

El Ómnibus añadió dos prácticas al Artículo 5, ambas aplicables a partir del 2 de diciembre de 2026. Están prohibidos los sistemas de inteligencia artificial que generen o manipulen material de abuso sexual infantil y los sistemas de inteligencia artificial que generen o manipulen imágenes sexuales o íntimas realistas de una persona identificable sin su consentimiento. La prohibición alcanza a un proveedor cuando esa salida es el propósito previsto del sistema o un resultado razonablemente previsible y reproducible sin modificaciones técnicas significativas.

Las infracciones del artículo 5 se encuentran en el nivel de sanción más alto del artículo 99: hasta 35 millones de euros o el 7% del volumen de negocios anual total mundial, lo que sea mayor para una empresa. Ese nivel se aplica a las prohibiciones originales desde el 2 de febrero de 2025; las dos nuevas categorías se unirán a ella el 2 de diciembre de 2026.

El trabajo de cumplimiento es concreto. Un equipo que envía generación de imágenes, videos o audio necesita cobertura de pruebas adversas contra ambas categorías, un comportamiento de rechazo que sobreviva la paráfrasis y la presión del sistema, y ​​retener los resultados de las pruebas. Un implementador que incorpora un generador de terceros necesita la misma garantía por escrito del proveedor.

Segundo cambio: finaliza el período de gracia de calificación¶

El artículo 50(2) exige que los proveedores de sistemas que generan audio, imágenes, vídeos o textos sintéticos marquen los resultados en un formato legible por máquina y los hagan detectables como generados o manipulados artificialmente, en la medida en que sea técnicamente posible. El derecho se aplicó el 2 de agosto de 2026 a los sistemas comercializados a partir de esa fecha. Los sistemas que ya estaban en el mercado antes del 2 de agosto de 2026 recibieron un período de transición, que finaliza el 2 de diciembre de 2026.

A partir del 2 de diciembre de 2026 desaparece para esta obligación la distinción entre sistemas antiguos y nuevos. El incumplimiento se sitúa en el nivel del artículo 99, apartado 4, letra g): hasta 15 millones de euros o el 3 % del volumen de negocios anual mundial, lo que sea mayor. La [lista de verificación del artículo 50] (/blog/eu-ai-act-article-50-checklist-chatbots-copilots-ai-agents) cubre todo el conjunto de controles de transparencia, incluidos los deberes de divulgación y etiquetado de deepfake que no conllevaban ningún período de gracia.

Lista de verificación de proveedores: este trimestre (antes del 2 de diciembre de 2026)¶

Elementos de trabajo para el rol de proveedor, ordenados de modo que los elementos con fechas difíciles de diciembre sean lo primero.

• Cierre el marcado legible por máquina en todos los sistemas generativos comercializados antes del 2 de agosto de 2026. Verifique que el marcado sobreviva a sus rutas de salida reales: respuestas API, exportaciones de archivos, visores integrados.
• Compare las dos nuevas prohibiciones. Ejecute pruebas adversas estructuradas para CSAM y generación de imágenes íntimas no consensuadas en cada modelo y sistema que coloque en el mercado. Conserve los planes y resultados de las pruebas.
• Volver a verificar la divulgación del Artículo 50(1) sobre sistemas interactivos: informado a más tardar en la primera interacción, claro y distinguible, en cada idioma al que sirve la superficie.
• Registre la evidencia. Para cada control, mantenga un registro de lo que se ejecutó: marcado aplicado por tubería de salida, divulgación servida por superficie, comportamiento de rechazo por ciclo de prueba.
• Confirme su posición de clasificación. Registre el razonamiento del Artículo 6 para cada sistema, incluida cualquier posición en la que un sistema esté fuera del alcance del Anexo III. El clasificador de riesgos sigue la lógica del Anexo III.

Lista de verificación del implementador: este trimestre (antes del 2 de diciembre de 2026)¶

Un implementador ejecuta un sistema de IA bajo su propia autoridad. La mayoría de las empresas desempeñan esta función en la mayor parte de su patrimonio de IA.

• Superficies generativas de inventario. Enumere todos los lugares donde su organización publica o distribuye medios generados por IA, incluidos los activos de marketing producidos con herramientas de terceros.
• Obtenga compromisos del proveedor por escrito para el cierre de marcado del 2 de diciembre de 2026 en cualquier producto generativo que se haya enviado antes del 2 de agosto de 2026, y para el comportamiento de rechazo en las dos nuevas categorías prohibidas.
• Mantener activas las divulgaciones de textos de interés público y deepfake. Estas obligaciones del implementador en virtud del artículo 50(4) se aplican desde el 2 de agosto de 2026 y continúan sin cambios; vincule cada divulgación a una verificación de regresión del tiempo de publicación.
• Verifique las herramientas internas. Una herramienta de imágenes interna que puede producir imágenes íntimas de una persona identificable está dentro del alcance de las nuevas prohibiciones incluso cuando no se publica ningún resultado.
• Registro que controla los disparos. Un registro escrito en el momento de la interacción responde a un supervisor más rápido que un documento de política.

Lista de verificación de proveedores: 2027 (hasta el 2 de diciembre de 2027)¶

El Capítulo III llega para los sistemas independientes del Anexo III el 2 de diciembre de 2027, con la misma sustancia que siempre tuvo: gestión de riesgos (Artículo 9), gobernanza de datos (Artículo 10), documentación técnica (Artículo 11), registro (Artículo 12), transparencia para los implementadores (Artículo 13), diseño de supervisión humana (Artículo 14), precisión y solidez (Artículo 15) y el sistema de gestión de calidad del Artículo 17. La Guía de fechas límite ómnibus enumera todas las fechas que cambiaron.

• Primer semestre de 2027: operar la gestión de riesgos y la gobernanza de datos con evidencia y hacer que el registro del Artículo 12 capture los campos que necesitará el archivo técnico del Anexo IV.
• Primer semestre de 2027: diseñar supervisión humana en el producto. El artículo 14 solicita una persona que pueda interpretar la salida, anularla y detener el sistema; eso requiere una interfaz y un registro.
• S2 2027: ensamblar el archivo del Anexo IV y ejecutar el QMS del Artículo 17 con evidencia de auditoría interna. Las pequeñas empresas de mediana capitalización pueden utilizar los formularios de documentación simplificados que Omnibus les ha extendido.
• S2 2027: elija la ruta de evaluación de la conformidad y, cuando se requiera un organismo notificado, reservela. La capacidad no crece con la fecha límite.
• A más tardar el 2 de diciembre de 2027: registrarse con arreglo al artículo 49, incluidos los sistemas autoevaluados como no de alto riesgo con arreglo al artículo 6, apartado 3, con la carga útil reducida del anexo VIII, y firmar la declaración de conformidad.

Lista de verificación del implementador: 2027 (hasta el 2 de diciembre de 2027)¶

Las obligaciones del implementador en el artículo 26 y la evaluación de impacto sobre los derechos fundamentales del artículo 27 siguen la fecha del Anexo III.

• Clasifique sus despliegues según el Anexo III y registre el razonamiento. La evaluación de la solvencia, la fijación de precios de riesgo de seguros de vida y salud, las decisiones laborales y el acceso a servicios esenciales son los factores desencadenantes empresariales comunes.
• Redactar las FRIA con anticipación para los sistemas dentro del alcance. La evaluación describe el proceso de implementación, las personas afectadas, los riesgos específicos, las medidas de supervisión y las soluciones; la mayor parte de ese contenido existe sólo una vez que se decide el modelo de supervisión.
• Asignar propietarios de supervisión por sistema de alto riesgo, con autoridad para suspender el uso y registrar sus intervenciones.
• Verificar la preparación del proveedor. Solicitar a cada proveedor su plan de evaluación de la conformidad, instrucciones de uso e interfaz de registro; Los derechos del artículo 26 suponen que esos insumos existen.
• Utilizar las EIPD existentes. El artículo 27(4) permite complementar, en lugar de duplicar, una evaluación del impacto de la protección de datos del RGPD.

2028: IA integrada en el producto y la cuestión de la superposición sectorial¶

La IA de alto riesgo que es un componente de seguridad de un producto cubierto por la legislación de armonización del Anexo I, como maquinaria, dispositivos médicos o ascensores, sigue la evaluación de conformidad sectorial ya requerida para ese producto. El Capítulo III aplica a dichos sistemas a partir del 2 de agosto de 2028.

El Ómnibus también abordó la superposición entre la Ley de IA y la ley de productos sectoriales. Los análisis de Orrick, Gibson Dunn y Cooley informan que la Comisión está facultada para limitar los requisitos de la Ley de IA cuando la legislación sectorial impone obligaciones equivalentes, con un acto delegado sobre esas superposiciones previsto para el 2 de agosto de 2028, y que los sistemas de IA cubiertos por el Reglamento de Maquinaria están en gran medida fuera del alcance paralelo de la Ley de IA. Esas empresas también informan de un aplazamiento hasta el 2 de agosto de 2030 para determinados sistemas de alto riesgo utilizados por las autoridades públicas. Confirme el alcance exacto de cada excepción con el texto del Diario Oficial antes de basarse en él.

• Proveedores de IA integrada: alinear el trabajo del Capítulo III con el ciclo de conformidad sectorial para el producto anfitrión y reutilizar la estructura del Anexo IV en ambos archivos.
• Los implementadores que compran productos regulados con IA interna: preguntan qué régimen considera líder el proveedor y obtienen el plan 2028 en el contrato.
• Ambas funciones: realizar un seguimiento del acto delegado de superposición sectorial; determina cuánta documentación duplicada realmente requiere la ola de 2028.

Supervisión y categoría de mediana capitalización pequeña¶

Dos cambios estructurales generales determinan con quién se tratará y bajo qué régimen. La Comisión describe poderes reforzados de la Oficina de IA y supervisión centralizada de sistemas construidos sobre modelos de IA de propósito general. Los análisis de los bufetes de abogados añaden detalles: la Oficina de IA tiene competencia exclusiva de supervisión sobre los sistemas de IA construidos sobre un modelo de propósito general en el que el mismo proveedor o grupo suministra ambos, y sobre los sistemas de IA integrados en plataformas en línea de gran tamaño y motores de búsqueda designados bajo la Ley de Servicios Digitales, con poderes que incluyen investigaciones, inspecciones, compromisos vinculantes y multas. Para un sistema basado en GPAI, la conversación sobre supervisión se traslada a Bruselas.

El Ómnibus también amplió las simplificaciones previamente reservadas para las pymes a las pequeñas empresas de mediana capitalización. Orrick informa que los umbrales son menos de 750 empleados y hasta 150 millones de euros de facturación o 129 millones de euros de balance total, basándose en la Recomendación de la Comisión (UE) 2025/1099, con plantillas de documentación simplificadas, gestión de calidad proporcionada, acceso prioritario a la zona de pruebas y sanciones proporcionadas. Una organización que se acerque a esos umbrales debería establecer su estatus ahora, porque cambia la carga de trabajo del Artículo 17 y el Anexo IV para 2027.

La evidencia es el hilo conductor¶

Cada elemento de la lista de verificación anterior termina de la misma manera: muestra que el control se ejecutó el día que importaba. El proceso de calificación, la divulgación, el rechazo, la decisión de supervisión y el razonamiento de clasificación necesitan un registro elaborado mientras se realizaba el trabajo.

Ésa es la capa en la que opera el ELK. KLA Policy Engine evalúa una solicitud de decisión antes de que se ejecute la acción de un agente gobernado, Decision Desk contiene los resultados de require_approval para un humano designado y Evidence Room produce un paquete de evidencia sellada que un tercero puede verificar sin conexión. La construcción de esa capa durante el trabajo de transparencia de diciembre de 2026 significa que la evidencia de alto riesgo de 2027 existe como un subproducto de la operación, y el [centro de la Ley de IA de la UE] (/eu-ai-act) asigna cada obligación al control que produce su registro.