En junio todos leímos el mismo titular: “Bruselas retrasa el Reglamento de IA.” Esto es lo que el titular no contaba sobre el Reglamento de IA de la UE (EU AI Act) — y lo que implica si operas sistemas de IA en un negocio regulado.
Lo que sí se movió
El Ómnibus Digital — con acuerdo político en mayo y luz verde final del Consejo el 29 de junio de 2026 — aplazó las obligaciones de alto riesgo del Anexo III (scoring crediticio, selección de personal, biometría y sistemas similares) de agosto de 2026 al 2 de diciembre de 2027, y la IA de alto riesgo integrada en productos regulados al 2 de agosto de 2028. Esa parte del titular es cierta. (Matiz formal: a fecha de hoy el texto aún espera su publicación en el Diario Oficial.)
Lo que no se movió
Las obligaciones de transparencia del artículo 50 se aplican desde el 2 de agosto de 2026. Si tus sistemas hablan con clientes o generan contenido, los deberes de divulgación y marcado llegan en semanas, no en años: los chatbots deben identificarse, el contenido sintético debe marcarse de forma legible por máquina, y los deepfakes y textos de interés público generados por IA deben etiquetarse. La Comisión publicó su Código de Buenas Prácticas sobre Transparencia el 10 de junio de 2026; los sistemas ya en mercado tienen período de gracia solo para el marcado legible por máquina — hasta el 2 de diciembre de 2026. El régimen sancionador del Reglamento se aplica desde ese mismo 2 de agosto: hasta 15M€ o el 3% de la facturación global.
España fue en dirección contraria. Mientras Bruselas ampliaba plazos, el Gobierno remitió a las Cortes su proyecto de ley — el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA — el 26 de mayo de 2026, con sanciones de hasta 35M€ o el 7% de la facturación y la AESIA como autoridad de vigilancia. Dato relevante para el sector financiero: según el proyecto, el Banco de España supervisará el cumplimiento en las entidades financieras. La AESIA ya ha publicado dieciséis guías de implementación. La maquinaria de supervisión se construye durante el “retraso.”
Tu supervisor nunca hizo pausa. Las prioridades supervisoras del BCE para 2026–28 sitúan la gobernanza de la IA dentro de la supervisión bancaria, y la EBA ha señalado que los marcos existentes de gobernanza y externalización ya se aplican a la IA de los bancos. Si estás supervisado, el calendario que vincula es el de tu supervisor, no el de Bruselas.
El patrón que se repite
Los equipos tratan la gobernanza como un problema de plazos. No lo es. Es un problema de arquitectura: añadir a posteriori evidencias, control de acceso y trazas de auditoría a un sistema que salió sin ellos cuesta varias veces más que diseñarlos desde el principio. Las organizaciones que usen los próximos diecisiete meses para construir sistemas gobernados — inventario de IA, clasificación de riesgos, supervisión humana real y no ceremonial, logs que reconstruyen decisiones — no solo cumplirán en diciembre de 2027. Serán las que pasen las revisiones de seguridad en días y no en trimestres, que es lo que en la práctica decide quién llega a producción. Ese es el trabajo detrás de nuestras prácticas de Gobernanza y Confianza de IA e IA Agéntica y Automatización con Agentes.
¿Respiro o trampa? Un respiro para el papeleo. Una trampa para quien lo lea como permiso para parar.
Esta es una lectura de práctica profesional, no asesoramiento jurídico. Si una obligación concreta afecta a tu negocio, verifícala contra los textos finales.
Dónde podemos ayudar: Si el artículo 50 o la planificación del Anexo III están en tu hoja de ruta del tercer trimestre, Gobernanza y Confianza de IA cubre inventario, clasificación de riesgos y evidencias listas para auditoría. Para controles e inventarios de agentes en producción, consulta IA Agéntica y Automatización con Agentes. Reserva un Taller de Discovery — respondemos con una evaluación directa, no con una secuencia comercial.
Preguntas frecuentes
¿El Reglamento de IA se ha retrasado del todo?
No. El Ómnibus Digital aplazó las obligaciones de alto riesgo del Anexo III al 2 de diciembre de 2027 (y la IA de alto riesgo integrada al 2 de agosto de 2028), pero las obligaciones de transparencia del artículo 50 se aplican desde el 2 de agosto de 2026.
¿Qué entra en vigor el 2 de agosto de 2026?
Transparencia del artículo 50: chatbots identificados, contenido sintético marcado de forma legible por máquina, y etiquetado de deepfakes y textos de interés público generados por IA. El régimen sancionador del Reglamento también se aplica desde esa fecha.
¿España también ha retrasado sus obligaciones de IA?
Fue en dirección contraria: el Gobierno remitió a las Cortes el proyecto de ley orgánica el 26 de mayo de 2026, con sanciones propias y la AESIA como autoridad. La maquinaria de supervisión se construye durante el «retraso» europeo.
¿El retraso es un respiro o una trampa?
Un respiro para el papeleo del Anexo III; una trampa para quien lo lea como permiso para parar. Usar los meses para inventario de IA, clasificación de riesgos, supervisión humana real y logs que reconstruyen decisiones es arquitectura — no un aplazamiento eterno.