Seguimiento del AI Act 2026/27: estado de aplicación y qué cambia el Digital Omnibus

El seguimiento de la aplicación del AI Act de la UE resume los hitos vinculantes del Reglamento de IA (Reglamento (UE) 2024/1689) para los años 2026 y 2027. Las fechas clave: las obligaciones de transparencia del artículo 50 se aplican desde el 2 de agosto de 2026. Los sistemas generativos que ya estaban antes en el mercado deben incorporar el marcado legible por máquina a más tardar el 2 de diciembre de 2026. Tras el Digital Omnibus, las obligaciones de alto riesgo del anexo III no se aplican hasta el 2 de diciembre de 2027. Todos los datos, actualizados a octubre de 2026.

Este artículo está concebido como documento vivo. El Reglamento de IA está en plena fase de aplicación. El llamado Digital Omnibus (Reglamento (UE) 2026/1744) se publicó en el Diario Oficial el 24 de julio de 2026, está en vigor desde el 27 de julio de 2026 y ha aplazado varios plazos de forma vinculante. Alemania tiene su ley de aplicación desde finales de julio de 2026; Austria, en ese momento, aún no había presentado ningún borrador. Por eso indicamos qué se aplica ya y qué sigue pendiente.

Tres respuestas rápidas para directivos

• ¿Qué es relevante de inmediato? La transparencia del art. 50 se aplica desde el 2 de agosto de 2026. Los sistemas generativos que ya estaban antes en el mercado deben incorporar el marcado legible por máquina a más tardar el 2 de diciembre de 2026. Quien utilice chatbots, agentes de voz o IA generativa en el contacto con clientes está afectado, independientemente de su clasificación de alto riesgo.
• ¿Qué se ha aplazado? Con el Digital Omnibus, en vigor desde el 27 de julio de 2026, el alto riesgo del anexo III pasa al 2 de diciembre de 2027 y la IA del anexo I vinculada a la seguridad de los productos, al 2 de agosto de 2028. Las nuevas fechas son vinculantes.
• ¿Qué no se ha aplazado? Las prohibiciones (art. 5) y la alfabetización en IA (art. 4), desde el 2 de febrero de 2025; las obligaciones GPAI, desde el 2 de agosto de 2025, y el régimen sancionador. Eso sí, el Omnibus ha suavizado el contenido del art. 4. El aplazamiento no es carta blanca para posponer la gobernanza de la IA.

El seguimiento de la aplicación: fecha, obligación, estado

La siguiente tabla recoge los hitos centrales de la aplicación del Reglamento de IA para el periodo 2026-2028. El estado refleja la situación a octubre de 2026, es decir, tras la entrada en vigor del Digital Omnibus el 27 de julio de 2026.

Qué cambia el Digital Omnibus y qué no

El Digital Omnibus es el acontecimiento más importante del año en la aplicación del Reglamento. Al acuerdo político del 7 de mayo de 2026 le siguió la adopción formal, y desde el 27 de julio de 2026 está en vigor. Aplaza la mayor parte de las obligaciones materiales de alto riesgo:

• Anexo III (sistemas de alto riesgo independientes), por ejemplo, IA en recursos humanos (cribado de CV, evaluación del rendimiento), evaluación de la solvencia, fijación de precios en seguros, educación o infraestructuras críticas: del 2 de agosto de 2026 al 2 de diciembre de 2027.
• Anexo I (IA como componente de seguridad de productos regulados), por ejemplo, productos sanitarios, máquinas o ascensores: del 2 de agosto de 2027 al 2 de agosto de 2028. Además, el Omnibus restringe la definición de «componente de seguridad».
• Espacios controlados de pruebas para la IA (sandboxes): las autoridades nacionales deben crearlos a más tardar el 2 de agosto de 2027 (aplazado desde el 2 de agosto de 2026).

Igual de importante es lo que el Omnibus no aplaza: la fecha de aplicación del art. 5 (prohibiciones) y del art. 4 (alfabetización en IA), las obligaciones GPAI (arts. 51-55), la transparencia del art. 50 a partir del 2 de agosto de 2026 y el régimen sancionador. Aun así, ha intervenido en el contenido. El art. 4 ya solo exige medidas para fomentar la alfabetización en IA, no un nivel determinado. En el art. 50, apdo. 2, los sistemas generativos que estaban en el mercado antes del 2 de agosto de 2026 obtienen un periodo transitorio hasta el 2 de diciembre de 2026; los sistemas nuevos deben aplicar el marcado desde su comercialización. Los grandes despachos de abogados coinciden en advertir que el aplazamiento no debe leerse como una invitación a pausar la gobernanza de la IA. Como novedad se añaden prohibiciones de sistemas de IA destinados a generar contenido íntimo no consentido y material de abuso sexual infantil generado por IA («nudification apps»). Se aplican a partir del 2 de diciembre de 2026.

Art. 50: las obligaciones de transparencia en detalle

Para la mayoría de las empresas en Europa, y en especial para las agencias de marketing, el art. 50 es el plazo con más relevancia operativa de 2026, porque se aplica independientemente de la clasificación de alto riesgo. El Reglamento establece cuatro obligaciones:

En la práctica, esto significa que quien tenga un chatbot u opere un agente de voz debe garantizar que se informa de que es una IA (la excepción de «evidente por el contexto» se interpreta de forma restrictiva: una voz que suena humana tiene que identificarse como IA). Quien difunda contenido generativo necesita un marcado legible por máquina. Para vídeos de productos o de influencers similares a deepfakes, la obligación de divulgación de los responsables del despliegue se aplica en toda su extensión.

Obligaciones GPAI: ya plenamente exigibles

Las obligaciones para los modelos de IA de uso general (arts. 51-55) se aplican desde el 2 de agosto de 2025 y afectan al nivel del modelo que hay debajo de prácticamente cualquier stack de agentes. Datos clave: las multas GPAI (art. 101, hasta 15 millones de euros o el 3 %) son exigibles desde el 2 de agosto de 2026; el Omnibus no ha aplazado esta fecha. Los modelos antiguos introducidos en el mercado antes del 2 de agosto de 2025 (por ejemplo, de la clase GPT-4) tienen hasta el 2 de agosto de 2027 para cumplir plenamente (art. 111, apdo. 3).

La distinción entre GPAI y GPAI con riesgo sistémico depende de la capacidad de cómputo: a partir de 10 elevado a 25 FLOP de cómputo de entrenamiento acumulado se presume que existe riesgo sistémico (art. 51, apdo. 2). Quien firme el código de buenas prácticas para la GPAI (publicado el 10 de julio de 2025) puede apoyarse en él para demostrar que cumple sus obligaciones (art. 53, apdo. 4, art. 55, apdo. 2). Esto no crea una presunción legal de conformidad. Sin embargo, la Comisión tiene en cuenta los compromisos asumidos en el código al fijar las multas (art. 101, apdo. 1).

Ejemplo práctico: agente de voz en el servicio de atención al cliente

Una pyme de la región DACH (Alemania, Austria y Suiza) planea poner en marcha en junio de 2027 un agente de voz para su línea de atención al cliente entrante. ¿Qué plazos son vinculantes?

• Art. 50, apdo. 1, desde el 2 de agosto de 2026: el agente debe identificarse como IA al inicio de la conversación. Con la puesta en marcha en junio de 2027, la divulgación es obligatoria desde el primer día.
• Art. 4, desde el 2 de febrero de 2025: la empresa debe adoptar medidas que fomenten la alfabetización en IA del personal que trabaja con el sistema. Un programa de formación documentado es la mejor prueba. El art. 99 no prevé un tramo de multas propio para el art. 4; si una infracción se sanciona o no, lo regulan los Estados miembros (art. 99, apdo. 1).
• Codecisión según el Derecho laboral nacional: antes de la puesta en funcionamiento hay que implicar al comité de empresa (en Alemania, § 87 Abs. 1 Nr. 6 BetrVG; en Austria, § 96 y § 96a ArbVG). Esto suele añadir 3-6 meses al calendario. El art. 26, apdo. 7, del Reglamento de IA exige además informar a los representantes de los trabajadores y a los empleados afectados en cuanto el sistema se considere de alto riesgo.
• Evaluación de alto riesgo: mientras el agente se limite al triaje y al enrutamiento y no tome decisiones sobre el acceso a servicios esenciales, queda fuera del anexo III. Si accede a datos de RR. HH. o de crédito, puede pasar a los puntos 4 o 5 del anexo III. En ese caso, a partir del 2 de diciembre de 2027 se aplicaría el régimen completo de alto riesgo.

Así pues, el cuello de botella está en la codecisión, no en la fecha de alto riesgo de diciembre de 2027: con una puesta en marcha en junio de 2027, debe empezar a más tardar a finales de 2026. La obligación de divulgación del art. 50 se aplica de todos modos desde agosto de 2026.

Aplicación nacional en la región DACH (octubre de 2026)

• Alemania: la Ley de vigilancia del mercado y fomento de la innovación en inteligencia artificial (KI-MIG) entró en vigor el 29 de julio de 2026. Desde entonces, la Bundesnetzagentur es la autoridad de vigilancia del mercado, el punto de contacto único y el organismo de reclamaciones para el Reglamento de IA. En los ámbitos de productos plenamente armonizados siguen siendo competentes las autoridades establecidas, como la BaFin en el sector financiero.
• Austria: según la ORF, a finales de julio de 2026 aún no había un proyecto de ley del Gobierno para la aplicación ni una autoridad de vigilancia del mercado designada conforme al art. 70; la Cancillería Federal se remitió a las conversaciones en curso. Por ahora, la KI-Servicestelle de la RTR tiene funciones de asesoramiento. A nivel sectorial, la FMA complementa la supervisión del sector financiero.
• Suiza: no hay multas directas del Reglamento de IA; la FINMA (Guidance 08/2024) y Swissmedic siguen siendo competentes a nivel sectorial. Desde el 1 de abril de 2025, los ciberataques contra infraestructuras críticas deben notificarse a la Oficina Federal de Ciberseguridad (BACS). Está previsto que una ley de aplicación del Convenio del Consejo de Europa sobre IA salga a consulta pública antes de finales de 2026. A través del art. 2, apdo. 1, letra c), quedan cubiertas las empresas suizas cuyos resultados de IA se utilicen en la UE.

Nota: este análisis editorial no sustituye al asesoramiento jurídico. A octubre de 2026 siguen pendientes, sobre todo, las directrices definitivas de la Comisión sobre alto riesgo y la aplicación en Austria. Revisa ambas antes de cualquier decisión, como mínimo una vez por trimestre.

Para agencias y B2B: cómo llevar el cumplimiento a la práctica ya

Para las agencias de marketing, la obligación más evidente se adelanta: quien desarrolle para sus clientes chatbots, agentes de voz o recursos generativos para campañas comparte desde el 2 de agosto de 2026 la responsabilidad en materia de transparencia. El 2 de diciembre de 2026 solo cuenta para el marcado legible por máquina en sistemas generativos que ya estaban en el mercado antes de agosto de 2026; los sistemas nuevos deben aplicar el marcado desde su comercialización. En el modelo de marca blanca, la trampa del «rebranding» del art. 25 puede hacer que la agencia asuma el papel completo de proveedor. Para los directivos B2B, los plazos de alto riesgo aplazados no son motivo para relajarse, sino una ventana de planificación. En Blck Alpaca ayudamos a empresas de toda Europa a inventariar sus agentes, mapear los plazos de cada sistema y poner en marcha a tiempo los procesos de transparencia, marcado y codecisión. Escríbenos para un análisis de cumplimiento estructurado antes de que entren en vigor los plazos de alto riesgo de 2027.