AI Act tras el Ómnibus digital: qué se ha aplazado y qué tiene que cumplir ya una pyme

Qué ha pasado

El Reglamento (UE) 2026/1744, de 8 de julio de 2026, conocido como Ómnibus digital sobre IA, modifica el Reglamento Europeo de Inteligencia Artificial (AI Act). Se publicó en el Diario Oficial de la UE el 24 de julio y entró en vigor el 27 de julio de 2026, días antes de que llegara la gran fecha de aplicación del AI Act: el 2 de agosto de 2026.

Su objetivo es simplificar y dar más tiempo a quien tiene que cumplir las obligaciones más pesadas. Pero no lo retrasa todo.

El calendario, tal como queda

El Ómnibus también añade una prohibición nueva: los sistemas diseñados para generar imágenes íntimas no consentidas o material de abuso sexual infantil.

Lo que no se ha aplazado: la transparencia

Para una pyme que usa IA de cara al cliente, esta es la parte importante. Desde el 2 de agosto de 2026:

• Si un sistema de IA conversa con personas, estas deben saber que hablan con una IA, salvo que resulte evidente. El aviso tiene que llegar, como tarde, en la primera interacción. Afecta a chatbots en la web, asistentes de WhatsApp, agentes que responden correos o voces que atienden el teléfono.
• Las imágenes, audios o vídeos generados o manipulados que parezcan reales (deepfakes) deben indicarse como tales.
• El texto generado con IA que se publique para informar al público sobre asuntos de interés general también debe identificarse, salvo que haya pasado por revisión humana y alguien asuma la responsabilidad editorial.

Además, quienes desarrollan sistemas que generan contenido deben marcarlo técnicamente para que se pueda detectar. Para los sistemas generativos que ya estaban en el mercado antes de agosto, el Ómnibus da un periodo transitorio corto para ese marcado técnico. Las obligaciones de aviso, en cambio, no tienen prórroga.

Los incumplimientos de transparencia pueden sancionarse con multas de hasta 15 millones de euros o el 3 % de la facturación mundial. Para las pymes se aplica la menor de las dos cantidades, pero sigue siendo una cifra seria.

Formar al equipo sigue siendo obligatorio, con matices

El artículo 4 pedía «garantizar un nivel suficiente de alfabetización en IA» de quienes usan estos sistemas en la empresa. El Ómnibus lo reescribe: ahora se exige adoptar medidas para que lo tengan, sin garantizar un nivel concreto para cada persona. Pasa de ser una obligación de resultado a una de medios.

En la práctica, conviene poder enseñar tres cosas:

1. Un inventario de las herramientas de IA que se usan y para qué.
2. Formación adaptada a cada puesto, con fecha: no necesita lo mismo quien supervisa un agente que quien redacta con un asistente.
3. Una política interna breve: qué datos no se introducen, qué se revisa siempre y a quién se consulta.

La norma pide además a la Comisión y a los Estados que apoyen especialmente a las pymes en este esfuerzo.

Lo que sí se aplaza: el alto riesgo

Los sistemas de alto riesgo del anexo III son los que deciden o influyen de forma importante en la vida de las personas: seleccionar candidatos, evaluar o despedir trabajadores, conceder crédito, decidir el acceso a servicios esenciales o a la educación. Sus obligaciones (gestión de riesgos, documentación técnica, registros, supervisión humana) pasan del 2 de agosto de 2026 al 2 de diciembre de 2027.

Esto importa a despachos laboralistas, asesorías que gestionan personal y departamentos de RR. HH. que usan IA para filtrar currículos o evaluar a empleados. Un sistema que solo prepara información para que una persona decida puede quedar fuera, pero hay que analizar cada caso. Tener más tiempo no es motivo para esperar: el diseño con supervisión humana real se puede hacer ya.

Lista de comprobación para una pyme

• Inventario. ¿Qué herramientas de IA usáis y quién las usa?
• Aviso de IA. ¿Tu chatbot, asistente de WhatsApp o agente de correo dice que es una IA en el primer mensaje?
• Contenido generado. ¿Etiquetas las imágenes y vídeos generados que parecen reales?
• Formación. ¿Hay formación por puesto, con fecha, y una política interna?
• Alto riesgo. ¿Usáis IA para seleccionar, evaluar o decidir sobre personas? Si es así, empieza a preparar el cumplimiento de 2027.
• Supervisión humana. ¿Las acciones con consecuencias pasan por una persona? Lo explicamos en supervisar agentes de IA.
• RGPD. El AI Act no sustituye al RGPD: base legal, información y decisiones automatizadas siguen aplicándose.

Cómo lo resolvemos en un empleado digital

Los empleados digitales que construimos se presentan como IA cuando hablan con clientes o terceros, piden aprobación humana antes de cualquier acción con consecuencias y dejan registro de lo que hacen. No es solo cumplimiento: es lo que permite confiar en ellos. El resto de riesgos (errores, datos, costes) los repasamos en agentes de IA en la empresa: riesgos, RGPD y AI Act.

En España, la autoridad de supervisión del AI Act es la AESIA, y la ley orgánica que concretará las sanciones nacionales sigue en tramitación. Este artículo es informativo: para un caso concreto, consulta con un asesor jurídico y revisa el texto consolidado del reglamento.