Quedan dos semanas para el 2 de agosto de 2026, la fecha de aplicación general del Reglamento europeo de Inteligencia Artificial. Y justo ahora es cuando más ruido hay: hace tres semanas Bruselas aprobó el «ómnibus digital» que retoca el calendario, y conviven titulares que van desde «ya no hay que cumplir nada» hasta «multas millonarias en agosto». Ninguno de los dos es verdad.
Si tu pyme usa IA —un chatbot en la web, herramientas que generan textos o imágenes, un SaaS que filtra currículums—, esto es lo que te aplica de verdad, con las fechas contrastadas sobre los textos oficiales.
El calendario, después del ómnibus
El Reglamento (UE) 2024/1689 está en vigor desde agosto de 2024 y se aplica por fases. Lo que ha cambiado este verano es una de esas fases: el paquete de simplificación conocido como ómnibus digital —votado por el Parlamento Europeo el 16 de junio y adoptado por el Consejo el 29 de junio de 2026— aplaza las obligaciones de los sistemas de alto riesgo y mantiene todo lo demás.
Así queda el mapa:
| Obligación | Se aplica desde |
|---|---|
| Prácticas prohibidas y alfabetización en IA (arts. 5 y 4) | 2 de febrero de 2025 — ya en vigor |
| Modelos de IA de uso general (GPAI) | 2 de agosto de 2025 — ya en vigor |
| Transparencia (art. 50): chatbots, contenido generado | 2 de agosto de 2026 |
| Alto riesgo «independiente» del anexo III (RRHH, crédito, educación…) | 2 de diciembre de 2027 (antes: 2 de agosto de 2026) |
| Alto riesgo integrado en productos regulados (anexo I) | 2 de agosto de 2028 |
Lo que ya te obliga desde 2025 (aunque no lo supieras)
Dos bloques llevan más de un año aplicándose y casi nadie los tiene en el radar:
- Prácticas prohibidas. La mayoría suenan lejanas para una pyme (puntuación social, manipulación subliminal), pero hay una muy cercana: usar IA para inferir emociones de tus empleados en el trabajo está prohibido. Si algún software de RRHH o de atención al cliente presume de «análisis emocional» de tu plantilla, es un problema, no una funcionalidad.
- Alfabetización en IA (art. 4). Si tu equipo usa IA —aunque «solo» sea ChatGPT para redactar correos—, debes procurar que la use con un nivel suficiente de comprensión: qué hace, qué riesgos tiene, qué no debe meterse en ella. No exige certificados; exige formación proporcionada y poder demostrarla.
Lo que empieza el 2 de agosto: transparencia
La aplicación general del Reglamento llega con las obligaciones de transparencia del artículo 50, que son las que más pymes tocan en el día a día:
- Si tu web tiene un chatbot, debe quedar claro para el usuario que habla con una IA, salvo que sea evidente. Una línea de texto en la interfaz resuelve la mayoría de casos.
- Si publicas contenido hiperrealista generado o manipulado con IA («deepfakes»: imágenes, audio o vídeo que parecen reales), debes indicar que es artificial. Aplica también a campañas de marketing.
- Los proveedores de herramientas que generan contenido sintético deben marcarlo de forma legible por máquinas; los sistemas ya en el mercado antes del 2 de agosto tienen una prórroga corta, hasta el 2 de diciembre de 2026, para ese marcado.
Desde esa misma fecha, además, la Oficina de IA de la Comisión estrena poderes de supervisión sobre los grandes modelos, y en España la AESIA —la agencia de supervisión, con sede en A Coruña— ejerce la vigilancia de mercado, con capacidad de inspeccionar y requerir documentación.
Lo que se aplaza a 2027 (y por qué no conviene ignorarlo)
El ómnibus mueve al 2 de diciembre de 2027 las obligaciones de los sistemas de alto riesgo del anexo III. Para una pyme, los casos típicos no son ciencia ficción: software que filtra currículums o evalúa candidatos, sistemas que puntúan solvencia para dar crédito, herramientas de evaluación en formación. Si usas alguno como deployer, tus deberes (supervisión humana, registros, seguir las instrucciones del proveedor) también se mueven a esa fecha.
Dos matices importantes. Primero: el aplazamiento es una pista de aterrizaje, no una amnistía — la documentación y los contratos con proveedores llevan meses, no días. Segundo: el ómnibus no solo relaja; también añade una prohibición nueva contra la generación de imágenes íntimas no consentidas con IA.
Las multas, en cifras
El régimen sancionador del propio Reglamento marca los topes: hasta 35 millones de euros o el 7 % de la facturación global por prácticas prohibidas, y hasta 15 millones o el 3 % por incumplir la mayoría del resto de obligaciones, transparencia incluida. Para pymes y startups hay una regla de proporcionalidad expresa: se aplica la menor de las dos cuantías, no la mayor.
Plan de acción antes del 2 de agosto
- Inventaría la IA que usas. Incluye el SaaS con «funciones de IA» que nadie contrató a propósito: CRM, RRHH, soporte.
- Revisa el chatbot de tu web. Si no se identifica como IA, añade el aviso. Es la obligación más barata de cumplir de todo el Reglamento.
- Etiqueta el contenido generado. Define una norma interna simple: qué se marca, con qué texto y quién lo revisa antes de publicar.
- Documenta una formación básica para el equipo que usa IA. Dos horas bien dadas cubren el artículo 4 en la mayoría de pymes.
- Escribe a tus proveedores. Si usas herramientas de RRHH, crédito o evaluación, pídeles por escrito su calendario de adecuación al anexo III. Su respuesta te dice si tienes proveedor o problema.
Nuestra recomendación
Cumplir la capa de transparencia hoy cuesta poco: avisos, etiquetas y algo de formación. Improvisarlo con la AESIA preguntando costará bastante más. Y hay una lectura en positivo: ordenar tu IA para cumplir es el mismo trabajo que ordenarla para que rinda.
Si quieres adoptar IA con cabeza —automatizaciones que cumplen desde el diseño, sin humo—, así trabajamos y aquí puedes contarnos tu caso: te decimos en 24 h si podemos ayudarte y con qué alcance.