Digital Omnibus sobre IA adoptado: los nuevos plazos para 2027 y 2028

Todas las fechas de aplicación, antes y después del Omnibus¶

El Omnibus es un instrumento de calendario y simplificación. Reabrió el artículo 113, que establece cuándo empieza a aplicarse cada capítulo del Reglamento de IA de la UE, y trasladó las fechas de aplicación del alto riesgo. Dejó intacto el contenido del capítulo III: las mismas obligaciones de gestión de riesgos, gobernanza de datos, documentación técnica, registro de eventos, transparencia, supervisión humana, exactitud y gestión de la calidad llegan más tarde y con la misma estructura.

La Comisión había propuesto inicialmente un activador condicional vinculado a la disponibilidad de normas armonizadas, con una fecha límite. El texto adoptado usa fechas fijas del calendario, de modo que existe un único calendario sobre el que planificar.

Agosto de 2026 sigue vigente para un conjunto menor de obligaciones¶

Todo lo que ve el cliente mantiene el calendario original. El artículo 50 exige a los proveedores informar a las personas cuando interactúan con un sistema de IA, marcar el audio, las imágenes, el vídeo y el texto sintéticos en un formato legible por máquina, y exige a los responsables del despliegue indicar los ultrafalsos y el texto generado por IA que se publique para informar al público sobre asuntos de interés público. Los sistemas de reconocimiento de emociones y categorización biométrica deben informar a las personas expuestas a ellos. Todo ello se aplica desde el 2 de agosto de 2026.

La única concesión es un periodo transitorio breve: los sistemas generativos introducidos en el mercado antes del 2 de agosto de 2026 tienen hasta el 2 de diciembre de 2026 para implementar el marcado legible por máquina. Los sistemas introducidos después de esa fecha no tienen margen adicional.

Las prohibiciones del artículo 5 son exigibles desde el 2 de febrero de 2025, y el Omnibus añade dos más: los sistemas de IA que generan material de abuso sexual infantil y los sistemas que generan imágenes íntimas sin consentimiento, ambos prohibidos desde el 2 de diciembre de 2026. Las obligaciones para modelos de IA de uso general se aplican desde el 2 de agosto de 2025. El Omnibus también amplió las competencias de supervisión de la Oficina de IA a los sistemas de IA basados en modelos de IA de uso general y reformuló la obligación de alfabetización en IA del artículo 4 como una obligación de promover y fomentar la alfabetización en IA mediante medidas proporcionales.

Para la mayoría de las empresas que operan asistentes, copilotos y agentes orientados al cliente, el trabajo de agosto de 2026 se reduce a informar, etiquetar y conservar la evidencia de que ambos controles funcionan en producción. La lista de comprobación de diciembre de 2026 convierte las dos obligaciones de diciembre y las oleadas de 2027 y 2028 en tareas organizadas por rol y horizonte.

El registro sobrevive con una carga de datos menor¶

La Comisión propuso eliminar la obligación del artículo 49(2) de registrar los sistemas del Anexo III que un proveedor autoevalúa como no de alto riesgo conforme al artículo 6(3). El Parlamento y el Consejo rechazaron la eliminación y restablecieron la obligación con un conjunto de datos más pequeño.

Se eliminan dos entradas de la sección B del Anexo VIII. El punto 7 era el breve resumen de los motivos por los que el sistema se considera no de alto riesgo conforme al procedimiento del artículo 6(3). El punto 9 era la lista de Estados miembros en los que el sistema se había introducido en el mercado, puesto en servicio o puesto a disposición en la Unión.

El punto 6 permanece, por lo que el proveedor aún debe indicar qué condición del artículo 6(3) cumple su sistema. La evaluación subyacente no cambia: el artículo 6(3) sigue exigiendo que el proveedor documente la evaluación antes de introducir el sistema en el mercado, y el artículo 80 sigue permitiendo que una autoridad de vigilancia del mercado reabra la clasificación. El campo de la base de datos desaparece. El expediente que justifica la decisión debe seguir existiendo.

El registro sigue ahora la fecha del Anexo III, el 2 de diciembre de 2027, junto con la base de datos de la UE del artículo 71. La guía de registro explica quién registra qué y cómo difiere la carga del Anexo VIII del expediente técnico del Anexo IV.

La FRIA se traslada con el Anexo III¶

La evaluación de impacto en los derechos fundamentales del artículo 27 es una obligación del responsable del despliegue vinculada a los sistemas de alto riesgo del Anexo III, por lo que sigue la nueva fecha del 2 de diciembre de 2027. Se aplica a organismos regidos por el Derecho público, entidades privadas que prestan servicios públicos y responsables del despliegue de IA utilizada para evaluar la solvencia o la puntuación crediticia y para evaluar riesgos y fijar precios en seguros de vida y salud.

Conviene planificar dos aspectos de la FRIA incluso con la fecha posterior. La evaluación describe el proceso de despliegue, el periodo y la frecuencia de uso, las categorías de personas afectadas, los riesgos concretos de daño para ellas, las medidas de supervisión humana y las vías de reparación si se materializa un riesgo. La mayor parte de ese contenido solo existe cuando el sistema está diseñado y se ha decidido el modelo de supervisión, por lo que la redacción debe comenzar meses antes del plazo.

El segundo aspecto es el artículo 27(4): una evaluación de impacto relativa a la protección de datos realizada conforme al RGPD puede complementarse con la FRIA en lugar de duplicarse. Los equipos que ya realizan EIPD para puntuación crediticia o fijación de precios de seguros cuentan con un punto de partida útil. La guía de la plantilla FRIA recorre las seis secciones y el generador de FRIA gratuito prepara un primer borrador estructurado.

Qué permanece durante los dieciséis meses adicionales¶

El Omnibus trasladó fechas en un reglamento. La exposición que hace que un agente de IA sea arriesgado en una función regulada se extiende a varios marcos.

• El artículo 50 llega a tiempo. La información y el marcado de contenidos se aplican desde el 2 de agosto de 2026 a todo sistema de IA que hable con una persona o produzca contenido sintético.
• Los regímenes sectoriales no cambian. Las obligaciones de resiliencia operativa de DORA, el paquete europeo contra el blanqueo de capitales, el RGPD, las expectativas de los supervisores nacionales y las reglas prudenciales de riesgo de modelos se aplican a una decisión impulsada por IA igual que a cualquier otra.
• El artículo 22 del RGPD sigue rigiendo las decisiones automatizadas. Una decisión crediticia o sobre siniestros tomada sin intervención humana significativa conlleva derecho a revisión humana, explicación y una vía para impugnarla, independientemente de cuándo empiece a aplicarse el capítulo III.
• Los incidentes mantienen su propio calendario. Una alerta cerrada por error, una llamada a una herramienta con permisos excesivos o un agente que actúa siguiendo una instrucción inyectada en el prompt causa perjuicio al cliente y genera una conversación con el supervisor el día en que ocurre.
• La capacidad de evaluación de la conformidad no aumenta con el plazo. Los organismos notificados, las normas armonizadas y los equipos de auditoría interna avanzan a la misma velocidad. La cola del 2 de diciembre de 2027 es la misma cola, más adelante.
• EN 18286 superó la votación formal y continúa el trabajo de las normas complementarias. DIN informa de la votación formal positiva, y BSI informa de la publicación nacional como BS EN 18286:2026 el 24 de julio. La página de la Comisión actualizada por última vez el 27 de julio sigue describiendo como pendiente la publicación final de CEN/CENELEC. prEN 18228 (gestión de riesgos), prEN 18283 (sesgo) y prEN 18284 (gobernanza de datos) siguen en desarrollo. La revisión de fuentes oficiales del 28 de julio no encontró ninguna referencia de EN 18286 en el DOUE. El calendario de normas sigue las etapas actuales y el proceso separado de citación de la Comisión.

Qué se puede construir en dieciséis meses¶

Un programa de cumplimiento supera una auditoría cuando la organización puede mostrar qué hizo realmente un sistema en una fecha concreta, quién lo autorizó, qué controles se activaron y qué decidió una persona. Los sistemas que realizan el trabajo deben producir esa evidencia mientras el trabajo sucede.

Dieciséis meses bastan para trasladar la gobernanza de la documentación al camino de ejecución. El trabajo siguiente es valioso por sí mismo y es el mismo trabajo que el capítulo III exigirá en diciembre de 2027.

• Haga inventario y clasifique. Nombre cada sistema de IA, su finalidad prevista, su rol de proveedor o responsable del despliegue y su estado en el Anexo III. Registre el razonamiento del artículo 6(3) cuando sostenga que un sistema no es de alto riesgo. Es la entrada para el registro, la FRIA y el expediente técnico.
• Ponga la política en el camino de ejecución. Codifique los límites bajo los que opera un agente como reglas exigibles que se ejecuten antes de una llamada a una herramienta, para que el registro de una acción bloqueada exista porque el bloqueo ocurrió. El KLA Policy Engine evalúa cada Decision Request en el punto de la acción.
• Convierta la supervisión humana en una superficie operativa. La supervisión del artículo 14 requiere una persona que pueda interpretar el resultado, anularlo y detener el sistema. Hace falta una cola, un responsable, un nivel de servicio y un registro de lo decidido. Decision Desk es donde se gestionan esas Decision Requests.
• Capture el linaje durante la ejecución. Las entradas, llamadas a herramientas, versiones de modelos, decisiones de política, aprobaciones y resultados deben estar en un registro por ejecución. Lineage Explorer reconstruye un caso concreto; Audit Trail conserva el historial con evidencia de manipulación.
• Construya una vez el paquete de evidencia. La documentación técnica del artículo 11, los registros del artículo 12, los registros de gestión de la calidad del artículo 17 y el plan de vigilancia poscomercialización del artículo 72 se basan en las mismas ejecuciones subyacentes. Evidence Room produce un Sealed Evidence Bundle que un tercero puede verificar sin acceso a sus sistemas.
• Gobierne el cambio. Una modificación sustancial conforme al artículo 3(23) reabre la evaluación de la conformidad. Versione, revise y apruebe los releases ahora para que el vínculo entre una versión de producción y su evidencia se mantenga después.
• Mapee los controles a los marcos que ya reporta. Control Mapping relaciona los artículos del Reglamento de IA de la UE con ISO/IEC 42001, DORA y las bibliotecas de controles internas, de modo que una prueba de control responda a varios revisores.

Una secuencia de dieciséis meses¶

La secuencia siguiente parte de una empresa que ya utiliza IA en una función regulada y tiene como objetivo el 2 de diciembre de 2027 para las obligaciones del Anexo III. Ajuste el inicio si el trabajo de información del artículo 50 sigue pendiente.

Cómo cambia esto la conversación sobre el presupuesto de 2026¶

La respuesta más probable a un aplazamiento de dieciséis meses es pausar el programa y reasignar el equipo. Eso convierte un cambio de calendario en una brecha de capacidades, porque las partes del trabajo con más plazo de entrega son las primeras que se recortan: instrumentación, captura de evidencia, personal de supervisión y decisiones de clasificación de las que depende todo lo demás.

Una posición defendible para 2026 mantiene financiado el trabajo de la capa de ejecución y deja que la documentación siga las nuevas fechas. La instrumentación debe diseñarse dentro de los sistemas mientras se construyen. Añadir después la captura de evidencia a un agente que lleva un año funcionando es la versión más cara del mismo proyecto.

La guía de requisitos del Reglamento de IA de la UE contiene el mapa completo de obligaciones, y el calendario de plazos muestra las fechas escalonadas según el perfil de su sistema.