Qué exige ya el AI Act tras el Ómnibus

El reglamento se aplica por fases desde febrero de 2025, y el Ómnibus (Reglamento (UE) 2026/1744) modificó una parte del calendario. Este artículo distingue lo que ya se exige de lo que está por venir.

Lo que ya se exige

Hoy ya se aplican, entre otras:

Prácticas prohibidas, desde el 2 de febrero de 2025: ningún sistema puede utilizarse para los fines que prohíbe el art. 5.
Modelos de IA de uso general, desde el 2 de agosto de 2025: obligaciones para quienes los desarrollan (arts. 53 a 55). Los modelos ya comercializados antes de esa fecha tienen hasta el 2 de agosto de 2027 (art. 111.3).
Sanciones, desde el 2 de agosto de 2025: el régimen de multas del reglamento (art. 99), salvo las multas a proveedores de modelos de uso general (art. 101), que siguen la fecha general.
Transparencia, desde el 2 de agosto de 2026: avisar de que se interactúa con una IA y marcar el contenido generado (art. 50).

Las obligaciones de los sistemas de alto riesgo todavía no se aplican, porque el Ómnibus las aplazó.

Lo que movió el Ómnibus

El Ómnibus entró en vigor el 27 de julio de 2026 y modificó el calendario del art. 113:

Aplazó el alto riesgo. Para los sistemas de alto riesgo por su finalidad (anexo III), del 2 de agosto de 2026 al 2 de diciembre de 2027. Para la IA que es componente de seguridad de productos regulados (anexo I), del 2 de agosto de 2027 al 2 de agosto de 2028.
Añadió dos prohibiciones, aplicables desde el 2 de diciembre de 2026: los sistemas de IA que generan o manipulan imágenes, vídeos o audios de carácter íntimo o sexualmente explícito de una persona identificable sin su consentimiento, y los que generan material de abusos sexuales de menores (art. 5).
Concedió un periodo transitorio a la IA generativa comercializada antes del 2 de agosto de 2026: hasta el 2 de diciembre de 2026 para marcar el contenido que genera (arts. 50.2 y 111.4).

Lo que viene

Los próximos hitos, en orden cronológico:

2 de diciembre de 2026: se aplican las nuevas prohibiciones y termina el periodo transitorio del marcado de contenido.
1 de agosto de 2027: plazo para las directrices de la Comisión sobre la coordinación con la legislación sectorial del anexo I (art. 96.1.g).
2 de agosto de 2027: cada Estado miembro debe tener en marcha un espacio controlado de pruebas nacional (art. 57.1), y los modelos de uso general comercializados antes de agosto de 2025 deben cumplir sus obligaciones (art. 111.3).
2 de septiembre de 2027: plazo para las orientaciones de la Comisión, con un modelo voluntario, sobre el plan de vigilancia poscomercialización (art. 72).
2 de diciembre de 2027: se aplican los requisitos de los sistemas de alto riesgo por su finalidad (anexo III).
2 de agosto de 2028: se aplican esos mismos requisitos a la IA que es componente de seguridad de productos regulados (anexo I).
2 de agosto de 2030: plazo final para los sistemas de alto riesgo destinados a autoridades públicas que ya estuvieran en el mercado (art. 111.2).

Qué conviene hacer ahora

Las fechas son generales: cuál afecta a cada empresa depende de sus sistemas. Por eso conviene seguir este orden:

Identificar qué IA hay en la empresa, incluida la que se usa sin conocimiento de la organización.
Determinar el papel de la empresa respecto a cada sistema y el nivel de riesgo que puede tener.
Con ello, fijar el plazo aplicable a cada sistema y por dónde empezar.

El plazo real empieza con el inventario: sin él, no se sabe qué fecha corresponde a vuestra empresa. Es lo primero que hace el diagnóstico del equipo.

Fuentes: Reglamento (UE) 2024/1689, arts. 5, 50, 53 a 55, 57, 72, 96, 99, 101, 111 y 113; Reglamento (UE) 2026/1744 (Ómnibus), art. 1, puntos 7, 36, 39 y 40, art. 4 (entrada en vigor) y considerandos 37, 38, 40 y 41. Orientación general, no una determinación jurídica.