Primero la mala noticia: la norma que leíste el año pasado ya no es esta
El Reglamento de IA —oficialmente el Reglamento (UE) 2024/1689— se modificó en 43 puntos en el verano de 2026. La norma modificadora es el Reglamento (UE) 2026/1744, conocido como Digital Omnibus on AI: se adoptó el 8 de julio de 2026, se publicó el 24 de julio y entró en vigor el 27 de julio.
No es un ajuste técnico menor. Aplazó, suavizó e introdujo además dos prohibiciones nuevas.
El calendario tal como está hoy
| Fecha | Qué entra en aplicación | Estado |
|---|---|---|
| 2 de febrero de 2025 | Prácticas prohibidas y obligación de alfabetización en materia de IA | en vigor |
| 2 de agosto de 2025 | Reglas de los modelos de uso general, gobernanza, el régimen sancionador | en vigor |
| 2 de agosto de 2026 | El inicio de la aplicación general: aquí están las reglas de transparencia | en vigor, desde hace seis semanas |
| 2 de diciembre de 2026 | Dos prácticas prohibidas nuevas; y vence el periodo de gracia del marcado legible por máquina para los sistemas ya comercializados | por llegar |
| 2 de agosto de 2027 | Plazo de cumplimiento de los modelos de uso general anteriores; espacios controlados de pruebas nacionales | por llegar |
| 2 de diciembre de 2027 | Requisitos de los sistemas de alto riesgo (los del anexo III) | aplazado |
| 2 de agosto de 2028 | Requisitos de los sistemas de alto riesgo (los integrados en productos) | aplazado |
Qué se aplazó y qué no
| Obligación | Fecha original | Fecha nueva |
|---|---|---|
| Sistemas de alto riesgo, anexo III | 02/08/2026 | 02/12/2027 |
| Sistemas de alto riesgo, integrados en un producto | 02/08/2027 | 02/08/2028 |
| Puesta en marcha de los espacios controlados de pruebas | 02/08/2026 | 02/08/2027 |
Y lo que no se aplazó: el artículo 50, es decir, las obligaciones de transparencia. Están vivas desde el 2 de agosto de 2026. Hay exactamente una concesión: los sistemas introducidos en el mercado antes del 2 de agosto de 2026 tienen hasta el 2 de diciembre de 2026 para implantar el marcado legible por máquina. La información sobre el chatbot y el etiquetado de deepfakes, en cambio, son obligatorios desde el 2 de agosto sin ningún periodo de gracia.
¿Proveedor o responsable del despliegue? De esto depende todo
El Reglamento conoce dos papeles, y tus obligaciones dependen de en cuál estés.
Eres responsable del despliegue si usas un sistema de IA bajo tu propia responsabilidad en tu actividad profesional. El uso privado y no profesional queda fuera de esto.
Eres proveedor si desarrollas un sistema de IA, o si introduces en el mercado o pones en servicio un sistema con tu propio nombre o marca. Para eso no hace falta que entrenes ningún modelo: basta con poner tu marca sobre un servicio ajeno y pasarlo adelante. Y la gratuidad no te exime: el texto del Reglamento dice «a cambio de un pago o gratuitamente» por igual.
La consecuencia práctica que mucha gente no termina de calcular: si en tu propia web corre un chatbot con tu marca, en esa relación es muy probable que seas proveedor, y entonces el deber de información del artículo 50, apartado 1, es tuyo.
Qué se aplica hoy a una empresa de diez personas
Suponiendo que usas herramientas de IA pero no desarrollas nada y no pasas nada adelante con tu nombre:
| Obligación | Desde | ¿Multable? |
|---|---|---|
| Incumplir las prácticas prohibidas, por ejemplo el reconocimiento de emociones en el trabajo | 02/02/2025 | sí, en la banda más alta |
| Apoyar la alfabetización en materia de IA entre tus compañeros | 02/02/2025 | no figura en ninguna banda de multa europea |
| Información sobre el chatbot: que el visitante sepa que habla con una máquina | 02/08/2026 | sí |
| Etiquetar un deepfake al publicarlo | 02/08/2026 | sí |
| Etiquetar un texto de IA sobre un asunto de interés público, si no hubo revisión editorial humana | 02/08/2026 | sí |
| Información en sistemas de reconocimiento de emociones o de categorización biométrica | 02/08/2026 | sí |
Y lo que hoy NO se te aplica: el capítulo entero de los sistemas de alto riesgo — sistema de gestión de riesgos, gobernanza de datos, documentación técnica, registros, supervisión humana, requisitos de precisión. Nada de eso muerde hasta diciembre de 2027 o agosto de 2028. Y las reglas de los modelos de uso general se dirigen al proveedor del modelo, no a ti.
Conviene decirlo aparte, porque muchos consultores sugieren lo contrario: el Reglamento de IA no impone ningún «registro general de uso de IA», no tienes que nombrar a un responsable de IA y no tienes que inscribirte en ninguna base de datos europea. La inscripción en la base de datos de la UE recae sobre los proveedores de sistemas de alto riesgo.
Una excepción que sí alcanza a muchas pequeñas empresas: si usas un sistema de IA para selección de personal, evaluación de empleados o estudio de solvencia, eso es categoría de alto riesgo según el anexo III. Desde diciembre de 2027 se le aplica el capítulo completo; mejor saberlo ahora que entonces.
Las dos prohibiciones nuevas que entran en diciembre
El Digital Omnibus no solo aplazó. Introdujo dos prácticas prohibidas nuevas, con efecto desde el 2 de diciembre de 2026: queda prohibido el sistema de IA que crea o manipula contenido íntimo realista de una persona real sin su consentimiento, y queda prohibida la producción o manipulación de contenido sexual sobre menores.
La prohibición es condicional: existe si producir ese contenido es la finalidad prevista del sistema, o si, por cómo está construido, eso resulta «razonablemente previsible y reproducible» sin medidas de seguridad adecuadas. En el responsable del despliegue solo entra el uso intencionado.
Esta prohibición está en la banda de multa más alta. Y no es teórica: en febrero de 2026 la autoridad irlandesa de protección de datos abrió una investigación de gran alcance por exactamente esta conducta contra la función generativa de una plataforma social, al amparo del RGPD, antes incluso de que la prohibición del Reglamento de IA entre en vigor.
Las multas y la regla que protege a las pequeñas empresas
| Por qué | Techo europeo | Qué entra en esta banda |
|---|---|---|
| Prácticas prohibidas | 35 millones de euros o el 7 % de la facturación anual global, lo que sea mayor | reconocimiento de emociones en el trabajo, puntuación social, extracción no selectiva de imágenes faciales |
| Incumplir la mayoría de las demás obligaciones, entre ellas las de transparencia | 15 millones de euros o el 3 %, lo que sea mayor | un deepfake sin etiquetar, un chatbot que oculta que es una máquina |
| Engañar a la autoridad | 7,5 millones de euros o el 1 % | información incorrecta o incompleta entregada en una inspección |
Y la frase que la mayoría de los resúmenes se calla: en una pyme, startups incluidas, el techo es la menor de las dos cifras, no la mayor. En una empresa con 2 millones de euros de facturación anual, el 7 % son 140.000 euros, no 35 millones. Además, los Estados miembros tienen que tener en cuenta los intereses de las pymes y su viabilidad económica al fijar la sanción.
El plazo para pagar efectivamente una multa es nacional y cambia de un país a otro: en Hungría, por ejemplo, son 30 días.
La ejecución nacional: ¿quién es la autoridad?
En la mayoría de los países, no la autoridad de protección de datos. Ese es el error más común, y es falso en casi todos los Estados miembros.
Designar los papeles era tarea nacional, y el plazo europeo era el 2 de agosto de 2025. No todos lo cumplieron, y el retraso no está en el mismo sitio: en unos países la autoridad existe pero el régimen sancionador no, y en otros al revés. Dos casos concretos, uno al lado del otro — abre el que te toque:
Hungría — la autoridad existe, y no es la de protección de datos
Según el artículo 1 del Decreto de Gobierno 344/2025 (X. 31.), el Gobierno situó la autoridad de vigilancia del mercado y el punto de contacto único en el ministro responsable del desarrollo empresarial, y la autoridad notificante en el organismo nacional de acreditación.
El marco lo da la Ley LXXV de 2025, en vigor desde el 1 de diciembre de 2025 — la parte del entorno de pruebas regulatorio desde el 2 de agosto de 2026. El plazo europeo era el 2 de agosto: Hungría llegó tres o cuatro meses tarde, pero terminó la designación.
Dos detalles que deciden casos reales. La competencia exclusiva de la autoridad no alcanza a los asuntos de consumo (artículo 5.2). Su alcance territorial, en cambio, es amplio: la ley cubre también a proveedores y responsables del despliegue de terceros países siempre que la salida del sistema se use en Hungría.
La ley creó además un consejo nacional de IA que no tiene poder de decisión: hace propuestas y puede emitir recomendaciones. La multa impuesta hay que pagarla en 30 días.
España — la primera agencia de IA de la UE, sin la designación
En 2023 España fue el primer país de la UE en crear una agencia dedicada a la supervisión de la IA: la AESIA, con sede en A Coruña, por el Real Decreto 729/2023. Sobre el papel iba por delante de todos.
La designación formal del artículo 70 del Reglamento, sin embargo, sigue sin estar terminada. Tanto la designación como el régimen sancionador nacional están en un proyecto de ley que, en septiembre de 2026, continúa en fase de enmiendas en el Congreso — el plazo de enmiendas se ha prorrogado ya tres veces.
Eso tiene una consecuencia muy práctica: la AESIA hoy no puede imponer multas del Reglamento de IA, porque en derecho español una infracción solo puede crearla una norma con rango de ley, y todavía no la hay. La autoridad de protección de datos, en cambio, ya sanciona por el RGPD y no espera a nada.
Si el proyecto sale adelante, la supervisión será descentralizada: con qué autoridad te toque tratar dependerá del caso de uso — la AESIA, la autoridad de protección de datos, el banco central, los supervisores de valores y de seguros y el órgano del poder judicial se reparten el terreno. Y un malentendido frecuente: el responsable de IA obligatorio y el registro de IA que prevé el proyecto son solo para el sector público, no para las empresas privadas.
Tres malentendidos frecuentes
«Lo han aplazado todo a 2027.» No. Se aplazó el capítulo de alto riesgo. Las fechas de las prácticas prohibidas, de la alfabetización en materia de IA, de las reglas de los modelos de uso general y —lo que toca a más empresas— de las obligaciones de transparencia no se movieron.
«Como pyme estoy exenta.» No hay umbral de tamaño de empresa. Lo que hay: documentación técnica simplificada y gestión de la calidad simplificada para los proveedores, más el techo de multa más bajo. Las obligaciones en sí son idénticas.
«Me va a inspeccionar la autoridad de protección de datos.» Para ejecutar el Reglamento de IA, en la mayoría de los Estados miembros no. La autoridad de protección de datos supervisa el RGPD, que además de todo esto se aplica con toda su fuerza a cualquier uso de IA. Qué puedes subir siquiera lo cuenta en detalle el RGPD y la IA, pregunta a pregunta.
Lo que conviene llevarse
Si usas IA pero no pasas nada adelante con tu nombre, hoy te tocan cuatro cosas: las prácticas prohibidas, apoyar la alfabetización en materia de IA y —si publicas en abierto o tienes un chatbot— los deberes de etiquetado e información.
La autoridad es nacional y normalmente no es tu autoridad de protección de datos, el techo de multa en una pyme es la cifra menor, y del capítulo de alto riesgo no tienes que ocuparte hasta diciembre de 2027, salvo que uses IA para selección de personal o evaluación de empleados.
La parte práctica de los deberes de etiquetado —qué, dónde y cómo, junto con el juego de iconos europeo— la desarrolla etiquetar contenido de IA, paso a paso. Y la obligación de alfabetización se cumple con cuatro sesiones internas: el plan de formación explica qué pide la norma y qué no.
Y como este terreno cambia cada trimestre: las fechas de arriba reflejan la situación a 13 de septiembre de 2026.