Entrada en vigor del AI Act: plazos 2024–2028 (octubre de 2026)

El calendario del Reglamento de IA de la UE escalona la aplicación del Reglamento (UE) 2024/1689 a lo largo de varios años: entrada en vigor el 1 de agosto de 2024, prácticas prohibidas y alfabetización en IA desde el 2 de febrero de 2025, obligaciones GPAI desde el 2 de agosto de 2025, aplicación general desde el 2 de agosto de 2026 y obligaciones de alto riesgo escalonadas hasta 2028. Con el Ómnibus Digital, todas las fechas de aplicación han quedado fijadas.

• Ya exigibles: prohibiciones (art. 5) y alfabetización en IA (art. 4) desde el 2 de febrero de 2025; obligaciones GPAI (arts. 51–55) desde el 2 de agosto de 2025.
• Desde el 2 de agosto de 2026: obligaciones de transparencia (art. 50) y control del cumplimiento por parte de las autoridades, además de las multas a proveedores de GPAI (art. 101).
• Obligaciones de alto riesgo: anexo III a partir del 2 de diciembre de 2027 y anexo I a partir del 2 de agosto de 2028, fijadas con carácter vinculante por el Reglamento Ómnibus Digital (UE) 2026/1744. El art. 26 (obligaciones de los responsables del despliegue), el art. 27 (FRIA, solo anexo III) y el art. 73 (obligación de notificación) afectan solo a los sistemas de alto riesgo y se aplican a partir de esas fechas.

Base jurídica y entrada en vigor

El Reglamento de IA de la UE es el Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial. Se publicó en el Diario Oficial el 12 de julio de 2024 y entró en vigor el 1 de agosto de 2024. Como reglamento directamente aplicable, rige en todos los Estados miembros de la UE sin necesidad de transposición nacional. Con la entrada en vigor solo empezó a correr el reloj: todavía no había obligaciones inmediatas.

El verdadero mecanismo está en el art. 113: el Reglamento de IA activa sus obligaciones en varias oleadas. Son precisamente estos plazos escalonados del Reglamento de IA los que hacen relevante el calendario para quienes toman decisiones, porque la fecha aplicable cambia según el rol (proveedor, responsable del despliegue, proveedor de GPAI) y la categoría de riesgo.

Tabla de hitos: el calendario del Reglamento de IA de un vistazo

El siguiente resumen muestra las fechas más importantes según el art. 113 y el art. 111 en la versión del Reglamento Ómnibus Digital (UE) 2026/1744. Este reglamento se publicó en el Diario Oficial el 24 de julio de 2026 y está en vigor desde el 27 de julio de 2026. Por tanto, las fechas de aplicación de la tabla son vinculantes.

Fase 1 (desde febrero de 2025): prohibiciones y alfabetización en IA

Desde el 2 de febrero de 2025 se aplican dos bloques que afectan a todo responsable del despliegue, con independencia de que un sistema se considere o no de alto riesgo.

Primero, las prácticas prohibidas (art. 5): ocho categorías totalmente prohibidas en la UE. Para las empresas en Europa es especialmente relevante el art. 5, apdo. 1, letra f), es decir, el reconocimiento de emociones en el lugar de trabajo y en centros educativos (con excepciones limitadas por motivos médicos o de seguridad). Un agente de HR analytics que deduzca el estado de ánimo, la concentración o el estrés de la plantilla a partir de vídeo, audio o datos biométricos está prohibido en el lugar de trabajo. El Reglamento Ómnibus Digital (UE) 2026/1744 ha añadido al art. 5 dos prohibiciones que se aplican a partir del 2 de diciembre de 2026: los sistemas de IA que generan deepfakes íntimos no consentidos y los sistemas de IA que generan material de abuso sexual infantil.

Segundo, la alfabetización en IA (art. 4): los proveedores y responsables del despliegue deben adoptar medidas para fomentar la alfabetización en IA de su personal y de las personas que se encargan del funcionamiento de sistemas de IA en su nombre. Desde el 27 de julio de 2026, el art. 4 en la versión del Reglamento (UE) 2026/1744 ya no exige un nivel de competencia determinado. La obligación se aplica a todos los niveles de riesgo, es decir, también a agentes internos de riesgo mínimo. No hace falta ningún certificado. Un programa de formación documentado sigue siendo la mejor prueba si una autoridad de supervisión lo solicita.

Fase 2 (desde agosto de 2025): obligaciones GPAI

Desde el 2 de agosto de 2025 se aplican las obligaciones para proveedores de modelos de IA de uso general (GPAI, arts. 51–55). Afectan al nivel del modelo, sobre el que se construye prácticamente cualquier agente moderno. Se considera modelo GPAI un modelo con una capacidad de cálculo de entrenamiento indicativa a partir de unos 10^23 FLOP y capaz de generar lenguaje; se considera GPAI con riesgo sistémico cuando el cálculo acumulado de entrenamiento supera los 10^25 FLOP (art. 51, apdo. 2). Las multas a proveedores de GPAI (art. 101) pasaron a ser exigibles el 2 de agosto de 2026; los modelos existentes introducidos en el mercado antes del 2 de agosto de 2025 tienen hasta el 2 de agosto de 2027 para adaptarse (art. 111, apdo. 3).

Fase 3 (desde agosto de 2026): aplicación general y transparencia

Desde el 2 de agosto de 2026, el Reglamento de IA se aplica con carácter general y las autoridades velan por su cumplimiento. Para los responsables del despliegue de agentes de IA, lo que más pesa es el art. 50 (transparencia); para los proveedores de GPAI se suman las multas del art. 101. En cambio, el art. 26 (obligaciones de los responsables del despliegue) afecta solo a los sistemas de IA de alto riesgo y se aplica a partir del 2 de diciembre de 2027 (anexo III) o del 2 de agosto de 2028 (anexo I). La evaluación de impacto relativa a los derechos fundamentales (FRIA) del art. 27 solo afecta a determinados responsables del despliegue de sistemas del anexo III y se aplica a partir del 2 de diciembre de 2027. También la obligación de notificar incidentes graves del art. 73 afecta solo a los proveedores de sistemas de alto riesgo. Para el marcado del art. 50 existe un periodo transitorio: los proveedores de sistemas de IA generativa introducidos en el mercado antes del 2 de agosto de 2026 deben implantar, a más tardar el 2 de diciembre de 2026, el marcado en formato legible por máquina según el art. 50, apdo. 2. Todas las demás obligaciones del art. 50 se aplican desde el 2 de agosto de 2026.

Fase 4 (a partir de 2027/2028): sistemas de alto riesgo

Inicialmente, las obligaciones de alto riesgo debían aplicarse el 2 de agosto de 2026 para el anexo III y el 2 de agosto de 2027 para el anexo I (art. 6, apdo. 1). El Reglamento Ómnibus Digital (UE) 2026/1744, en vigor desde el 27 de julio de 2026, aplaza ambas fechas:

• Anexo III (categorías autónomas de alto riesgo como RR. HH., crédito, seguros o infraestructuras críticas): al 2 de diciembre de 2027.
• Anexo I (IA como componente de seguridad en productos regulados, por ejemplo productos sanitarios y máquinas): al 2 de agosto de 2028.

Ambas fechas son vinculantes desde la entrada en vigor del Ómnibus. El aplazamiento afecta a las obligaciones de alto riesgo del capítulo III, secciones 1 a 3, que incluyen también el art. 26 y el art. 27. No se han aplazado el art. 4 (alfabetización, con nueva redacción), el art. 5 (prohibiciones), las normas GPAI, el art. 50 ni el régimen sancionador. Para el marcado según el art. 50, apdo. 2, solo existe el periodo transitorio para sistemas existentes hasta el 2 de diciembre de 2026.

Periodos transitorios y sanciones: un ejemplo de cálculo

Los periodos transitorios del Reglamento de IA solo despliegan su efecto a través del régimen sancionador. Los tres niveles del art. 99:

Se aplica en cada caso el importe más alto. Un ejemplo concreto: una empresa mediana de la región DACH (Alemania, Austria y Suiza) con una facturación anual de 40 millones de euros y 180 empleados (pyme según la definición de la UE) utiliza desde agosto de 2026 un agente de IA de desarrollo propio en atención al cliente. El agente no informa a los clientes de que están hablando con una IA. Como proveedor, la empresa infringe así el art. 50, apdo. 1, lo que corresponde al nivel 2: el 3 % de 40 millones de euros son 1,2 millones de euros, y el importe máximo absoluto es de 15 millones de euros. Sin el estatus de pyme, sería determinante el importe más alto, es decir, hasta 15 millones de euros.

No obstante, para pymes y start-ups rige la regla especial del art. 99, apdo. 6: se aplica el menor de los dos valores, en el ejemplo, por tanto, hasta 1,2 millones de euros. Desde el Reglamento (UE) 2026/1744, este límite se aplica también a las pequeñas empresas de mediana capitalización (SMC), aunque solo a las multas del art. 99, apdos. 4 y 5. Para las infracciones del art. 4 (alfabetización en IA), el Reglamento de IA no prevé un régimen sancionador propio. Las sanciones correspondientes las regulan los Estados miembros conforme al art. 99, apdo. 1.

Para agencias y responsables de decisiones B2B

El mensaje para la hoja de ruta: el Ómnibus ha aplazado sobre todo las fechas de alto riesgo. Para el art. 50, apdo. 2, solo hay un periodo transitorio para sistemas existentes hasta el 2 de diciembre de 2026. La alfabetización en IA (art. 4) es exigible desde febrero de 2025 y la transparencia según el art. 50, desde agosto de 2026. Por eso, las agencias de marketing y los equipos B2B deberían poner en marcha ya dos cosas: un programa documentado de alfabetización en IA y un inventario de todos los puntos de interacción con IA de cara al cliente para la transparencia del art. 50. Quien utilice agentes en RR. HH., concesión de créditos u otros ámbitos del anexo III aprovecha el tiempo hasta diciembre de 2027 para la clasificación de riesgos, las obligaciones de los responsables del despliegue del art. 26 y, cuando sea obligatoria, la FRIA. Blck Alpaca ayuda a empresas de toda Europa a blindar sus stacks de agentes frente a la parte vinculante del calendario.

Nota: este artículo tiene carácter meramente informativo y no constituye asesoramiento jurídico. Para valorar de forma vinculante tu caso concreto de uso de IA, recurre a asesoramiento jurídico especializado.