Digital Omnibus y AI Act 2026: qué cambia para tu empresa, qué no y por qué actuar ahora

Durante ocho meses, cualquier empresa con un sistema de IA en producción ha trabajado con dos calendarios a la vez: el del Reglamento (UE) 2024/1689 tal como se aprobó y el que prometía el acuerdo político de mayo. El 24 de julio de 2026 esa duplicidad terminó. El Diario Oficial de la Unión Europea publicó el Reglamento (UE) 2026/1744, el Ómnibus digital sobre IA, que entra en vigor el 27 de julio.

La pregunta que llegaba a PASSAS hasta esta semana era si había que cumplir el 2 de agosto. Ahora la pregunta correcta es otra: qué vence ese día y qué se ha desplazado a 2027 y 2028. El aplazamiento del alto riesgo es real y es amplio. La moratoria general no existe.

Qué es el Ómnibus digital sobre IA y cómo se cerró el proceso

El Ómnibus nació como la propuesta COM(2025) 836 final, presentada por la Comisión Europea el 19 de noviembre de 2025. Su objetivo era modificar el Reglamento (UE) 2024/1689 para retrasar la aplicación de las obligaciones más exigentes del AI Act, aligerar cargas administrativas para pymes y ajustar los plazos de cumplimiento a la disponibilidad real de las normas técnicas armonizadas, que acumulaban meses de retraso.

El recorrido legislativo fue el siguiente:

• 19 de noviembre de 2025: la Comisión publica el Ómnibus digital sobre IA.
• 13 de marzo de 2026: el Consejo adopta su mandato de negociación.
• 26 de marzo de 2026: el Parlamento Europeo aprueba su posición con 569 votos a favor, 45 en contra y 23 abstenciones.
• 28 de abril de 2026: primer trílogo sin acuerdo. El bloqueo fue la arquitectura del Anexo I y la evaluación de conformidad de la IA integrada en productos sujetos a normativa sectorial.
• 7 de mayo de 2026: segundo trílogo y acuerdo político provisional.
• 16 de junio de 2026: posición del Parlamento Europeo.
• 29 de junio de 2026: decisión del Consejo.
• 8 de julio de 2026: firma en Estrasburgo.
• 24 de julio de 2026: publicación en el DOUE.
• 27 de julio de 2026: entrada en vigor.

Desde el 27 de julio, el Reglamento (UE) 2024/1689 debe leerse en su versión modificada. No hay transposición pendiente ni desarrollo nacional que esperar: el Reglamento es obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro. La entrada en vigor a los tres días de la publicación, y no a los veinte habituales, responde a la proximidad del 2 de agosto. El legislador quiso que el calendario nuevo estuviera vigente antes de que venciera el antiguo.

El calendario que fija el Reglamento (UE) 2026/1744

El cambio de mayor alcance afecta a los sistemas de IA de alto riesgo. Las obligaciones del capítulo III, secciones 1, 2 y 3, que iban a ser exigibles el 2 de agosto de 2026, se desplazan según el tipo de sistema. Estas son las fechas vigentes:

• 27 de julio de 2026: entrada en vigor. Nueva redacción del artículo 4, nuevo artículo 4 bis y competencias reforzadas de la Oficina de IA.
• 2 de agosto de 2026: aplicación general del AI Act. Las obligaciones de transparencia del artículo 50 son exigibles sin aplazamiento.
• 2 de diciembre de 2026: nuevas prohibiciones del artículo 5. Fin de la transición del artículo 50.2 para los sistemas generativos introducidos en el mercado antes del 2 de agosto de 2026.
• 2 de agosto de 2027: los Estados miembros deben tener operativo al menos un espacio controlado de pruebas nacional.
• 2 de diciembre de 2027: alto riesgo del artículo 6.2 y Anexo III. Biometría, infraestructuras críticas, educación, empleo, servicios esenciales, migración, fronteras, fuerzas de seguridad y justicia. Aquí están la mayoría de los casos que afectan a empresas tecnológicas: herramientas de selección y evaluación de personal, modelos de scoring crediticio, plataformas de evaluación educativa y análisis de riesgo en seguros.
• 2 de agosto de 2028: alto riesgo del artículo 6.1 y Anexo I, es decir, la IA integrada como componente de seguridad en productos ya regulados por legislación sectorial. En la misma fecha deben estar integrados los requisitos correspondientes en el Reglamento (UE) 2023/1230 de máquinas.
• 2 de agosto de 2030: sistemas de alto riesgo de autoridades públicas ya introducidos en el mercado.

El Reglamento también introduce medidas de proporcionalidad por tamaño de empresa. Incorpora al AI Act la categoría de «pequeña empresa de mediana capitalización» tal como la define la Recomendación (UE) 2025/1099: empresas que no son pymes, ocupan a menos de 750 personas y cuyo volumen de negocios anual no excede de 150 millones de euros o cuyo balance general anual no excede de 129 millones. A estas empresas y a las pymes se les extienden medidas que antes solo cubrían a microempresas u operadores a pequeña escala: documentación técnica en formulario simplificado, sistema de gestión de la calidad proporcional al tamaño de la organización y acceso prioritario a los espacios controlados de pruebas de la Oficina de IA. Conviene leerlo como una simplificación de forma, no como una exención de fondo. El nivel de protección exigido no baja.

Si tus sistemas caen en el calendario de 2027 o 2028, el trabajo de clasificación y documentación es el mismo que describimos en AI Act Alto Riesgo. Lo que ha cambiado es la fecha, no el contenido.

El artículo 50 no se aplaza, y afecta a más empresas de las que creen estar afectadas

Esta es la parte que los titulares sobre el retraso del AI Act tienden a omitir. El artículo 50 está en el capítulo IV, fuera del bloque aplazado, y es exigible el 2 de agosto de 2026 en casi toda su extensión. No hace falta que el sistema sea de alto riesgo ni que sea generativo para quedar dentro.

Conviene distinguir apartado por apartado, porque el sujeto obligado cambia:

• Artículo 50.1 (proveedor): los sistemas destinados a interactuar directamente con personas físicas deben diseñarse de modo que la persona sepa que está interactuando con un sistema de IA, salvo que resulte evidente. Un chatbot de atención al cliente, un agente conversacional, un avatar o una interfaz de voz entran aquí.
• Artículo 50.2 (proveedor): los sistemas que generan audio, imagen, vídeo o texto sintético deben marcar sus salidas en un formato legible por máquina y detectable como generado o manipulado artificialmente. Los sistemas introducidos en el mercado antes del 2 de agosto de 2026 disponen de una transición de cuatro meses, hasta el 2 de diciembre. Los introducidos a partir de esa fecha lo cumplen desde el primer día.
• Artículo 50.3 (responsable del despliegue): quien utilice sistemas de reconocimiento de emociones o de categorización biométrica debe informar a las personas expuestas.
• Artículo 50.4 (responsable del despliegue): quien genere o manipule ultrasuplantaciones debe revelarlo, y quien publique texto generado por IA para informar al público sobre asuntos de interés público debe revelarlo también, salvo que exista revisión humana y alguien asuma responsabilidad editorial.
• Artículo 50.5: la información de los apartados anteriores debe darse de forma clara y distinguible a más tardar en el momento de la primera interacción o exposición, y cumplir los requisitos de accesibilidad aplicables.

El incumplimiento de las obligaciones del artículo 50 está sancionado en el artículo 99.4.g) con multas de hasta 15 millones de euros o el 3 % del volumen de negocios mundial total del ejercicio anterior, la cifra que sea superior. Para pymes y empresas emergentes se aplica la menor de las dos.

Lo que sigue vigente y lo que se prohíbe desde diciembre

Las prohibiciones del artículo 5 están en vigor desde el 2 de febrero de 2025. Clasificación biométrica encubierta, manipulación subliminal, puntuación social generalizada y reconocimiento de emociones en entornos laborales o educativos son ilegales hoy. El Ómnibus no las ha tocado. Sí ha añadido dos nuevas, aplicables desde el 2 de diciembre de 2026:

• Sistemas de IA que generen o manipulen imágenes, vídeos o audios realistas de las partes íntimas de una persona identificable, o de una persona identificable participando en actividades sexualmente explícitas, sin su consentimiento explícito. Son las aplicaciones de «nudificación».
• Sistemas de IA que generen o manipulen material de abusos sexuales de menores en el sentido de la Directiva 2011/93/UE.

El alcance de la prohibición se define con detalle. Para el proveedor, la introducción en el mercado está prohibida cuando esa generación es la finalidad prevista del sistema, y también cuando el diseño, el entrenamiento, la arquitectura o las funcionalidades hacen que sea un resultado razonablemente previsible y reproducible sin modificaciones técnicas sustanciales y el sistema carece de salvaguardias razonables y adecuadas. Para el responsable del despliegue, la prohibición se limita a usar el sistema con esa finalidad. Las sanciones del artículo 5 llegan a 35 millones de euros o el 7 % del volumen de negocios mundial.

Siguen igualmente vigentes dos bloques que no dependen del calendario de alto riesgo. El artículo 4, sobre alfabetización en materia de IA, aplica desde febrero de 2025 y ahora tiene nueva redacción: proveedores y responsables del despliegue deben adoptar medidas para apoyar la promoción de la alfabetización de su personal, y el texto aclara expresamente que la obligación no exige garantizar un nivel específico en ninguna persona concreta. Se aligera el estándar, la obligación permanece. Y las obligaciones de los modelos de IA de uso general están bajo el AI Act desde el 2 de agosto de 2025: documentación técnica, política de cumplimiento en materia de derechos de autor y códigos de buenas prácticas de la Oficina de IA.

Otros cambios que conviene leer

El Reglamento no se limita a mover fechas. Hay cuatro modificaciones con efecto práctico inmediato.

Nuevo artículo 4 bis. Se crea una base jurídica excepcional para tratar categorías especiales de datos personales con la finalidad de detectar y corregir sesgos. Ya existía para proveedores de sistemas de alto riesgo en el antiguo artículo 10.5, que queda suprimido, y ahora se extiende a los responsables del despliegue de alto riesgo y a proveedores y responsables del despliegue de otros sistemas y modelos de IA. Las condiciones son estrictas y acumulativas: que no baste con datos sintéticos o anonimizados, seudonimización y medidas punteras de seguridad, control y documentación de accesos, prohibición de transferencia a terceros, supresión en cuanto el sesgo esté corregido y constancia motivada en el registro de actividades de tratamiento. El artículo no desplaza al RGPD, se acumula a él.

Se estrecha la definición de componente de seguridad. Los sistemas de IA destinados únicamente a asistencia al usuario, optimización del rendimiento, eficiencia del servicio, automatización, comodidad o control de calidad no se consideran componentes de seguridad. Estar integrado en un producto regulado ya no basta por sí solo para arrastrar la clasificación de alto riesgo. La excepción se mantiene: si el fallo del sistema puede poner en peligro la salud y la seguridad, sigue siendo componente de seguridad.

Limitación por equivalencia sectorial. Para el alto riesgo del artículo 6.1, la aplicación de los requisitos de los artículos 9 a 15 y 17 a 25 podrá limitarse cuando la legislación sectorial de armonización ofrezca un nivel de protección equivalente o superior y la limitación no reduzca la protección global. La Comisión debe concretarlo mediante actos delegados antes del 2 de agosto de 2027.

Oficina de IA. Pasa a tener competencia exclusiva de supervisión sobre los sistemas de IA basados en modelos de uso general cuando sistema y modelo los desarrolla el mismo proveedor o proveedores de la misma empresa, con excepciones cuando exista supervisión sectorial específica. La Comisión asume además los poderes de autoridad de vigilancia del mercado cuando el sistema de IA sea, o esté integrado en, una plataforma en línea o un motor de búsqueda de muy gran tamaño del Reglamento (UE) 2022/2065. Se añade un Anexo XIV con la lista de códigos de sistemas de IA que delimita el alcance de la designación de los organismos notificados: códigos AIP para sistemas regulados por legislación de producto, AIB para sistemas biométricos del Anexo III y AIH para tipos y tecnologías subyacentes.

La equivalencia FRIA-DPIA, ahora Derecho vigente

Esta modificación pasa desapercibida en la mayoría de análisis y es, probablemente, la que tiene mayor impacto práctico para responsables del despliegue.

El AI Act exige a ciertos deployers de alto riesgo completar una FRIA, la evaluación de impacto relativa a los derechos fundamentales del artículo 27, antes del primer uso del sistema. El RGPD exige una DPIA, la evaluación de impacto relativa a la protección de datos del artículo 35, cuando el tratamiento pueda suponer un riesgo elevado. Para un deployer de alto riesgo que además trata datos personales, que en la práctica es casi siempre, las dos evaluaciones han convivido como documentos separados con un solapamiento material considerable.

El artículo 27.4 en su redacción vigente permite que, cuando alguna de las obligaciones de la FRIA ya se cumpla mediante la DPIA, el responsable del despliegue incluya referencias cruzadas a las secciones pertinentes de esa DPIA o incorpore sus partes relevantes a la FRIA. La Oficina de IA debe elaborar un modelo de cuestionario, incluida una herramienta automatizada, para facilitarlo.

La equivalencia no es automática. La DPIA cubre la protección de datos personales. La FRIA cubre el impacto sobre todos los derechos fundamentales de la Carta: no discriminación, dignidad, acceso a la justicia, derechos laborales, libertad de expresión. Una DPIA estándar no llega ahí. Lo que el artículo 27.4 abre es la posibilidad de un documento integrado que cumpla simultáneamente el artículo 35 del RGPD y el artículo 27 del AI Act. Para un deployer de RRHH con un sistema de evaluación o selección de candidatos, esa integración es la vía más eficiente: un solo proceso, un solo análisis jurídico, listo para diciembre de 2027.

Por qué actuar ahora tiene más sentido que esperar

El aplazamiento al 2 de diciembre de 2027 puede parecer una invitación a dejar el cumplimiento para el año que viene. Hay tres razones por las que ese razonamiento tiene un coste real.

La primera es que el margen del alto riesgo llega hasta 2027 y 2028, pero el artículo 50 vence en días. Cualquier empresa con un chatbot, un agente, un avatar, una interfaz de voz o una función que publique texto generado sobre asuntos de interés público tiene una obligación exigible el 2 de agosto de 2026, sin que el sistema tenga que ser generativo ni de alto riesgo. Es la obligación con el plazo más corto y la que más empresas creen, erróneamente, que no les afecta.

La segunda es el coste del cumplimiento bajo presión. La AESIA está operativa, con guías publicadas y coordinación con la AEPD. Empezar la clasificación de sistemas, el gap analysis y la documentación técnica ahora, con casi año y medio de margen, cuesta menos que hacerlo con noventa días de plazo o en respuesta a un requerimiento de autoridad. Las autoridades de supervisión no están esperando a diciembre de 2027 para familiarizarse con los sistemas bajo su jurisdicción.

La tercera es la ventaja competitiva. En 2027, clientes empresariales, inversores y plataformas de distribución europeas van a exigir documentación de cumplimiento del AI Act. Quien empiece en 2026 tendrá esa documentación lista y habrá absorbido el coste a lo largo de dieciocho meses. Quien espere hasta finales de 2027 lo hará en un mercado con escasez de capacidad de cumplimiento, a precios que lo reflejan.

Desde PASSAS ofrecemos AI Act Compliance para deployers: clasificación de sistemas, documentación completa y FRIA integrada con DPIA cuando aplica. Si no tienes claro en qué situación está tu empresa, el primer paso útil es una videoconsulta (90€ IVA incluido, descontables del encargo si finalmente te proponemos uno): en una sesión determinamos exactamente qué tienes que resolver y en qué plazo.

Preguntas frecuentes

¿Qué obligaciones vencen el 2 de agosto de 2026 pese al Ómnibus?

Las obligaciones de transparencia del artículo 50 en su conjunto: identificación del sistema de IA en la interacción directa (50.1), marcado de contenido sintético (50.2, con transición hasta el 2 de diciembre de 2026 solo para sistemas introducidos en el mercado antes del 2 de agosto), información en reconocimiento de emociones y categorización biométrica (50.3), revelación de ultrasuplantaciones y de textos de interés público generados por IA (50.4) y los requisitos de claridad y accesibilidad del 50.5. Las prohibiciones del artículo 5 llevan vigentes desde febrero de 2025 y las obligaciones de los modelos de uso general desde agosto de 2025.

¿Qué se ha aplazado exactamente y hasta cuándo?

Las obligaciones del capítulo III, secciones 1, 2 y 3, sobre sistemas de alto riesgo. Hasta el 2 de diciembre de 2027 para los sistemas clasificados de alto riesgo por el artículo 6.2 y el Anexo III, y hasta el 2 de agosto de 2028 para los del artículo 6.1 y el Anexo I, integrados en productos regulados por legislación sectorial. El aplazamiento alcanza tanto a proveedores como a responsables del despliegue.

¿La equivalencia FRIA-DPIA elimina la necesidad de hacer la FRIA?

No de forma automática. El artículo 27.4 permite incluir en la FRIA referencias cruzadas a las secciones pertinentes de la DPIA, o incorporar sus partes relevantes, cuando las obligaciones ya se cumplan por esa vía. Una DPIA estándar no cubre el espectro completo de derechos fundamentales que exige la FRIA: no discriminación, dignidad, acceso a la justicia, derechos laborales o libertad de expresión. Un documento integrado que cumpla a la vez el artículo 35 del RGPD y el artículo 27 del AI Act evita la duplicación sin sacrificar el ámbito de ninguna de las dos evaluaciones.

¿Qué son las nuevas prohibiciones y desde cuándo se aplican?

Desde el 2 de diciembre de 2026 quedan prohibidos los sistemas de IA destinados a generar o manipular material íntimo no consentido de personas identificables y los destinados a generar o manipular material de abusos sexuales de menores. La prohibición alcanza también a los sistemas en los que ese resultado sea razonablemente previsible y reproducible sin salvaguardias técnicas razonables y adecuadas. Las sanciones del artículo 5 llegan a 35 millones de euros o el 7 % del volumen de negocios mundial total.

¿Cuándo conviene empezar el proceso de clasificación de sistemas de IA?

Ahora. La clasificación no depende de ningún plazo aplazado: es el primer paso necesario para cualquier decisión de cumplimiento. Saber si tus sistemas son de alto riesgo, de riesgo limitado o de riesgo mínimo determina qué tienes que hacer y en qué plazo, y es también lo que te dice si el artículo 50 te alcanza el 2 de agosto. En el artículo sobre AI Act para startups encontrarás el marco completo de clasificación por roles y niveles de riesgo.