Europa decidió regular la inteligencia artificial antes que nadie y con una ley general, no con parches sectoriales. El Reglamento (UE) 2024/1689 —la AI Act o ley europea de inteligencia artificial— entró en vigor el 1 de agosto de 2024, pero sus obligaciones llegan por oleadas, y en 2026 el calendario ha cambiado de forma sustancial con el llamado Ómnibus Digital. Si tu empresa usa IA, si desarrollas modelos o si simplemente consumes contenidos generados por máquinas, estas son las fechas que te afectan.
Una ley ordenada por riesgo
La filosofía del reglamento es sencilla: a más riesgo, más obligaciones. En la cúspide están los usos de riesgo inaceptable, directamente prohibidos. Debajo, los sistemas de alto riesgo —los que intervienen en contratación, crédito, educación, servicios esenciales o identificación biométrica— soportan los requisitos más pesados: gestión de riesgos, calidad de datos, documentación, supervisión humana y registro. Los sistemas de riesgo limitado deben cumplir deberes de transparencia. Y la inmensa mayoría de aplicaciones corrientes, de riesgo mínimo, quedan libres de obligaciones nuevas, con códigos de conducta voluntarios.
Lo que ya se aplica
La primera oleada llegó el 2 de febrero de 2025: desde ese día están prohibidas en la UE prácticas como la puntuación social de los ciudadanos, las técnicas manipuladoras que causan daño, el raspado indiscriminado de imágenes faciales de internet o ciertos reconocimientos de emociones en el trabajo y la enseñanza. Ese mismo día empezaron a regir los deberes de alfabetización en IA para las organizaciones que operan estos sistemas.
La segunda oleada, el 2 de agosto de 2025, trajo las obligaciones para los proveedores de modelos de IA de propósito general —los grandes modelos que están detrás de los asistentes y generadores actuales—: documentación técnica, información a los desarrolladores que integran esos modelos y medidas adicionales para los modelos con riesgo sistémico. También quedó en pie la arquitectura de gobernanza, con la Oficina de IA de la Comisión al frente.
Agosto de 2026: la era de la transparencia
El 2 de agosto de 2026 se produjo la aplicación general del reglamento, y con ella los deberes de transparencia del artículo 50, que son los que el ciudadano nota en su vida diaria: los sistemas que conversan con personas deben dejar claro que se trata de una máquina; los contenidos sintéticos —imágenes, audio, vídeo y texto generados o manipulados por IA, incluidos los deepfakes— deben marcarse como tales; y quien usa reconocimiento de emociones o categorización biométrica debe informar a las personas afectadas. Desde esa fecha, además, la Comisión puede ejercer plenamente sus poderes de supervisión sobre los modelos de propósito general.
El aplazamiento del alto riesgo
La gran novedad de 2026 es el Ómnibus Digital sobre IA, el Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026, que mueve las dos fechas más temidas por la industria. Las obligaciones para los sistemas de alto riesgo del anexo III —selección de personal, solvencia crediticia, acceso a educación y servicios esenciales— pasan del 2 de agosto de 2026 al 2 de diciembre de 2027. Y las de los sistemas integrados en productos regulados del anexo I —juguetes, ascensores, productos sanitarios, equipos radioeléctricos— se van al 2 de agosto de 2028. Bruselas justificó el respiro en la disponibilidad tardía de normas técnicas y de autoridades nacionales de supervisión.
El aplazamiento no es una amnistía: el mismo Ómnibus añade dos prohibiciones nuevas que se aplicarán desde el 2 de diciembre de 2026, contra los sistemas que generan imágenes íntimas no consentidas y material de abuso sexual infantil. Y fija el 2 de agosto de 2027 como fecha límite para que los modelos de propósito general comercializados antes de agosto de 2025 se adapten por completo.
La ley ya no es un anuncio de futuro: prohibiciones, modelos generales y transparencia se aplican hoy; lo aplazado es solo el bloque de alto riesgo.
Las multas, para tomarlo en serio
El régimen sancionador tiene dientes: las prácticas prohibidas pueden castigarse con multas de hasta 35 millones de euros o el 7% de la facturación mundial anual, la cifra mayor de las dos. El resto de infracciones graves llega hasta 15 millones o el 3%, y aportar información incorrecta a las autoridades, hasta 7,5 millones o el 1%. Son techos pensados para que ni siquiera un gigante tecnológico pueda presupuestar el incumplimiento como un coste más.
La conclusión práctica es que la AI Act ha dejado de ser un debate de expertos para convertirse en un calendario de cumplimiento con fechas ya vencidas y otras acercándose. Europa, con sus ritmos y sus rectificaciones —esta misma ley muestra cómo decide la Unión cuando legisla y cuando un país aspira a entrar en ella—, ha puesto sobre la mesa el primer marco completo del mundo. La carrera ya no es por escribir la norma: es por aplicarla.
