Si habías marcado agosto de 2026 en el calendario como el «precipicio de alto riesgo» del Reglamento de IA, el Ómnibus Digital (luz verde final del Consejo Europeo, junio de 2026) cambió el panorama. Las obligaciones de alto riesgo del anexo III pasan al 2 de diciembre de 2027. El alto riesgo integrado del anexo I pasa al 2 de agosto de 2028. Los sandboxes regulatorios se amplían hasta el 2 de agosto de 2027.
Eso es un alivio real para el crédito, la selección de personal y la IA integrada crítica para la seguridad. No son vacaciones para una empresa operativa típica que despliega agentes de cara al cliente y asistentes generativos.
Este artículo es el calendario del operador — fechas precisas por cada garantía — no urgencia comercial. Lectura narrativa más profunda: El «retraso» del Reglamento de IA: ¿respiro o trampa?.
El calendario que sigue importando (2026–2028)
| Obligación | Fecha | Quién debe preocuparse |
|---|---|---|
| Transparencia del artículo 50 (contenido generado por IA, chatbots, medios sintéticos) | 2 ago. 2026 | Organizaciones que despliegan IA generativa ante clientes o ciudadanos |
| Fin del periodo de gracia de marcado / detección | 2 dic. 2026 | Equipos que dependen de medidas técnicas provisionales |
| Obligaciones de alto riesgo del anexo III | 2 dic. 2027 | Crédito, empleo, servicios esenciales, aplicación de la ley, migración, justicia, procesos democráticos |
| Alto riesgo integrado del anexo I | 2 ago. 2028 | Fabricantes / integradores de componentes de seguridad de producto regulados |
El artículo 50 atrapa a los equipos que piensan «nosotros no somos de alto riesgo». Tu bot de soporte, tu asistente de marketing o tu agente de mensajería a huéspedes puede activar obligaciones de transparencia sin clasificación del anexo III.
Qué debe hacer un operador normal en 2026
Un camino intermedio proporcionado — ni pánico, ni pausa estratégica:
1. Inventaría lo que realmente corre
Las hojas de cálculo fantasma de «quién compró qué copiloto» no son gobernanza. Lista:
- Nombre y responsable del agente o asistente
- Propósito y categorías de datos que toca
- Modelos y regiones
- Quién aprueba las acciones externas
- Si los clientes saben que interactúan con IA (artículo 50)
2. Separa el trabajo del artículo 50 de la planificación del anexo III
| Vía de trabajo | Foco 2026 | Foco 2027+ |
|---|---|---|
| Artículo 50 / transparencia | Avisos, patrones de divulgación, registro para la generación de cara al cliente | Mantener a medida que evolucionan las funciones |
| Anexo III alto riesgo | Solo si estás realmente dentro del alcance — hoja de ruta hacia 2027 | Conformidad, gestión de riesgos, documentación |
| Agentes de operaciones internas | Control de acceso, colas de aprobación, retención | Igual — no sobreconstruyas para anexos diferidos que no te aplican |
3. Evidencia que ya piden los cuestionarios de seguridad
Los compradores empresa y los marcos públicos quieren saber:
- ¿Qué modelos? ¿A qué datos pueden acceder los agentes?
- ¿Quién aprobó el despliegue? ¿Puedes demostrarlo?
- ¿Hay supervisión humana en las acciones con consecuencias?
Esas preguntas llegan se aplique o no el anexo III en 2026.
4. Ignora dos modos de fallo
Compra por pánico: una «plataforma Reglamento de IA» de seis cifras que produce PDFs que nadie hace cumplir.
Pausa estratégica: «lo revisaremos en 2027» mientras los agentes en la sombra se multiplican y los contratos se renuevan sobre copilotos SaaS opacos.
Agentes en concreto — controles prácticos
Para agentes gobernados (nuestro día a día):
- Herramientas de mínimo privilegio — MCP/APIs, no contraseñas de administrador amplias
- Aprobación humana antes de envíos a huéspedes/clientes
- Registros por llamada — modelo, herramienta, marca temporal, aprobador
- Despliegue regional acordado para datos personales
- Control de pausa que detiene el agente sin desmontar integraciones
Encaja con los entregables de Gobernanza y Confianza de IA y IA Agéntica y Automatización con Agentes — no política teórica.
Qué pueden despriorizar la mayoría de los operadores por ahora
- La conformidad completa del anexo III si no estás en los casos de uso de alto riesgo listados
- La seguridad de producto integrada (anexo I) si no eres un integrador fabricante
- Reescribir todo el sistema de TI por «preparación para el Reglamento de IA» sin acotar por artículo
No despriorizar: la transparencia con el cliente donde aplique el artículo 50, los datos personales bajo el RGPD, o las cláusulas contractuales que tus clientes ya te envían.
Por qué la precisión gana citas
La mayoría del contenido en español todavía vende el antiguo precipicio de alto riesgo de agosto. Ser precisos — artículo 50 en vigor en agosto de 2026, anexo III diferido a diciembre de 2027 — es una señal de confianza de bajo coste con legal, compras y motores de respuesta.
Preferimos perder una venta basada en el miedo antes que fechar mal una obligación.
Conseguir ayuda sin presupuesto de miedo
La escalera de abajo es contexto de cuando se escribió esta nota. El trabajo público actual es un presupuesto Web & eCommerce o US → EMEA.
| Paso | Coste | Resultado |
|---|---|---|
| Las cifras de abajo son contexto de cuando se escribió esta nota. El trabajo público actual es un presupuesto de paquete. |
| Auditoría de Eficiencia | Gratis | Chequeo honesto de alcance | | Taller de Discovery | 1.950 € | Plan escrito: qué artículos tocan tus agentes, qué evidencia construir primero | | Piloto con gobernanza | desde 4.800 € | Flujo en producción con registros y colas de aprobación |
Si tu dirección todavía tiene una sola fecha en una diapositiva, pide presupuesto de paquete o lee El «retraso» del Reglamento de IA: ¿respiro o trampa?. El trabajo público actual es Web & eCommerce y US → EMEA.
Preguntas frecuentes
¿Somos de alto riesgo según el Reglamento de IA?
La mayoría de los agentes de hostelería, servicios mid-market y operaciones internas no son de alto riesgo del anexo III por defecto. El scoring de crédito, la selección de personal, los servicios esenciales y categorías similares del anexo III afrontan obligaciones de alto riesgo diferidas al 2 dic. 2027. Pregunta qué anexo y qué artículo aplican — no «Reglamento de IA sí/no».
¿Qué sigue pasando en agosto de 2026?
Las obligaciones de transparencia del artículo 50 para contenido generado por IA y ciertos sistemas de cara al cliente — incluyendo muchos bots de soporte y asistentes generativos — con el periodo de gracia de marcado terminando el 2 dic. 2026. Esa fecha no se movió con el anexo III.
¿Qué evidencias debemos conservar?
Inventario de agentes (propósito, datos, aprobadores), registros de llamadas a modelos/herramientas, aprobación humana en acciones externas, EIPD donde los datos personales lo justifiquen, y avisos de transparencia donde aplique el artículo 50. Las políticas que nadie usa no cuentan.
¿Debemos comprar ya una plataforma de cumplimiento de seis cifras?
Solo si encaja con obligaciones que realmente debéis en 2026–27. Muchos equipos necesitan primero controles proporcionados y evidencia auditable — no estantería sin usar. Un Taller de Discovery puede separar el trabajo del artículo 50 de la planificación diferida del anexo III.