El 2 de agosto de 2026 llevaba dos años marcado en rojo en todas las presentaciones sobre el EU AI Act. Llegó hace dos días y se quedó medio vacío: cinco días antes, el Ómnibus Digital movió a diciembre de 2027 buena parte de lo que iba a caer ese día.
De ahí es fácil sacar la conclusión cómoda: hay prórroga, la AESIA todavía no tiene su ley, respiramos. Las dos primeras cosas son ciertas. La conclusión es falsa, y la agencia que la desmiente no es la AESIA: es la AEPD, que ya está sancionando con el Reglamento que sí lleva ocho años en vigor.
Ya escribí la referencia completa del Reglamento (UE) 2024/1689 en la guía práctica del EU AI Act para empresas españolas, y el plan de trabajo en cómo preparar a tu equipo antes de agosto de 2026. Esto es lo que queda en pie después de la fecha, con las cartas ya boca arriba.
Qué se llevó el ómnibus y qué dejó en pie
El Reglamento (UE) 2026/1744 —el Ómnibus Digital sobre IA— se aprobó el 8 de julio de 2026, se publicó en el DOUE el 24 y entró en vigor el 27 de julio. Modifica el Reglamento de IA para aligerar cargas y, sobre todo, para mover fechas:
| Bloque | Fecha original | Fecha tras el ómnibus |
|---|---|---|
| Alto riesgo del anexo III (art. 6.2): RR. HH., crédito, educación, justicia | 2 de agosto de 2026 | 2 de diciembre de 2027 |
| Alto riesgo integrado en productos regulados (anexo I) | 2 de agosto de 2027 | 2 de agosto de 2028 |
| Espacios controlados de pruebas | 2 de agosto de 2026 | 2 de agosto de 2027 |
| Transparencia del artículo 50 | 2 de agosto de 2026 | sin cambios |
| Prácticas prohibidas (art. 5) | 2 de febrero de 2025 | sin cambios |
| Modelos de propósito general | 2 de agosto de 2025 | sin cambios |
El ómnibus también reescribió el artículo 4. La alfabetización en IA pasa de "garantizar un nivel suficiente" a "adoptar medidas para apoyar la formación del personal": un deber de medios en vez de un deber de resultado. Sigue siendo obligatorio y vinculante, no es una recomendación. Lo que cambia es que ya no tienes que demostrar el nivel de cada persona: tienes que demostrar que haces algo, de forma continuada, y documentarlo.
Y añadió una prohibición nueva —contenido íntimo no consentido y material de abuso sexual infantil generado con IA— con transitorio hasta el 2 de diciembre de 2026.
Lo que sí quedó el 2 de agosto: el artículo 50
Esta es la parte que sobrevivió intacta al ómnibus, y es también la que afecta a más empresas pequeñas, porque no exige un sistema de alto riesgo ni una auditoría formal: exige un aviso.
- Si tu web tiene un chatbot o asistente de IA, el usuario tiene que poder saber que está hablando con una máquina. No basta con que se note — hay que decirlo.
- Si generas contenido con IA para redes, blog o email marketing — texto, imagen, audio o vídeo — y puede confundirse con contenido humano, hay que identificarlo como generado o manipulado por IA.
- Si usas IA para crear o editar imágenes, audio o vídeo de personas reales de forma que parezcan auténticos (los deepfakes de la norma), la obligación de etiquetarlo es todavía más directa.
La Comisión publicó en junio de 2026 un Código de buenas prácticas sobre marcado y etiquetado de contenido generado por IA, con opinión favorable en julio e iconos estandarizados. La adhesión es voluntaria y no crea ninguna obligación nueva: te da una forma acreditada de cumplir la que ya tienes.
La mayoría de empresas que he acompañado tenían resuelto el inventario y la formación, y no habían mirado ni una vez si su propio chat de la web dice en algún sitio que es IA.
España: la AESIA sigue sin su ley
El Reglamento es directamente aplicable y no necesita que España lo transponga para obligarte. Pero quién te inspecciona, con qué procedimiento y con qué infracciones tipificadas lo decide cada Estado miembro. Esa pieza aquí no está.
El Consejo de Ministros aprobó el 26 de mayo de 2026 el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, publicado en el Boletín Oficial de las Cortes Generales el 12 de junio. Es la norma que designa a la AESIA como autoridad de vigilancia del mercado, fija el procedimiento sancionador y tipifica las infracciones. Sigue en tramitación parlamentaria: ni votación definitiva, ni Senado, ni BOE.
Y no es cuestión de días. La ficha oficial de la iniciativa en el Congreso (121/000096) la sitúa en fase de enmiendas en la Comisión de Economía, Comercio y Transformación Digital, con el plazo ampliado hasta el 2 de septiembre de 2026. Después vienen ponencia, dictamen, Pleno —con mayoría absoluta, por ser ley orgánica— y Senado. Cuenta en trimestres, no en semanas.
Mientras no esté, una sanción específica del Reglamento de IA en España tiene un problema de cobertura: el principio de tipicidad exige que la infracción esté descrita en una norma con rango de ley. El hueco lleva abierto desde agosto de 2025, que es cuando el propio Reglamento pedía a los Estados tener listo su régimen sancionador.
Los tramos, cuando esté armado, los fija el Reglamento y no los cambia ninguna ley española: 35 M€ o el 7% de la facturación global por prácticas prohibidas, 15 M€ o el 3% por incumplir las obligaciones del artículo 99.4 —transparencia entre ellas—, y 7,5 M€ o el 1% por dar información incorrecta a las autoridades. Para pymes se aplica el tramo bajo de cada horquilla atendiendo a su viabilidad económica: es un criterio de graduación, no una exención.
Pero la AEPD no necesita el AI Act para multarte
Aquí es donde se cae el razonamiento de "no hay ley, no hay riesgo".
La AEPD lo dijo por escrito en julio de 2025: puede supervisar y actuar frente a tratamientos de datos personales realizados mediante sistemas de IA —incluidos los prohibidos— con independencia del Reglamento de IA, porque su competencia no nace ahí. Nace del RGPD y de la LOPDGDD, que llevan en vigor desde 2018. En su propia nota reconoce que todavía no tiene formalmente atribuida la condición de autoridad de vigilancia del mercado a efectos del Reglamento de IA — y aclara que eso no altera en nada su condición de autoridad de protección de datos.
Traducido: si tu sistema de IA toca datos personales —y casi todos los tocan—, ya hay una agencia con competencia, con procedimiento sancionador rodado y con una década de resoluciones publicadas.
Y no es teórico. En el expediente PS/00431/2024 la AEPD sancionó a Aena con 10.043.002 euros por desplegar embarque con reconocimiento facial sin una evaluación de impacto válida: había recogido y almacenado de forma centralizada los datos biométricos de más de 62.000 pasajeros sin justificar que aquello fuera necesario ni proporcionado para agilizar el embarque. Además de la multa, ordenó suspender el tratamiento. No hizo falta ningún artículo del Reglamento de IA: bastó el artículo 35 del RGPD. Aena ha recurrido, pero el mensaje para cualquier empresa que esté montando biometría, videovigilancia inteligente o perfilado ya está enviado.
No es un caso aislado ni sólo cosa de grandes: la AEPD también ha sancionado el uso de biometría con IA para supervisar exámenes universitarios online. El patrón se repite — tecnología desplegada primero, evaluación de impacto después o nunca.
Quién más puede llamar a tu puerta
La AESIA no es la única casilla, ni siquiera cuando su ley llegue. El propio Reglamento reparte la vigilancia entre autoridades que ya existen:
- La AEPD, en todo lo que sea biometría, datos personales y tratamientos con impacto en derechos.
- Los supervisores financieros y de seguros —Banco de España, CNMV, DGSFP— para la IA dentro de entidades que ya supervisan.
- Las autoridades de consumo y competencia, cuando la IA entra en prácticas comerciales o en la relación con el consumidor.
- La normativa laboral, que desde 2021 ya obliga a informar a la representación de los trabajadores sobre los algoritmos que afectan a sus condiciones.
La pregunta útil no es "¿ya puede multarme la AESIA?". Es "¿por cuántas puertas distintas entra lo que estoy haciendo?".
Por qué un aplazamiento no es una prórroga
Tres razones, y ninguna es tranquilizadora.
Primera: lo aplazado es el alto riesgo, no todo. Si tu empresa usa IA para escribir, atender clientes o generar contenido, diciembre de 2027 no te afecta. El artículo 50 sí, y es de anteayer.
Segunda: las evidencias son retroactivas y no se fabrican después. El día que alguien pida el expediente, va a pedir qué formación diste, cuándo y a quién. Eso no se reconstruye. Quien empiece cuando salga el BOE llegará con meses de expediente vacío que ya no puede rellenar.
Tercera: el que pregunta primero no suele ser el inspector. Un pliego público, una aseguradora o un cliente grande que te pide acreditar tu gobernanza de IA llega bastante antes que cualquier agencia. Y ahí no vale un "lo tenemos controlado" sin papel detrás.
Qué hacer esta semana
No hace falta un plan a un año. Lo urgente cabe en unas semanas:
- Audita qué IA se usa de verdad, no sólo la que compraste. El checklist para auditar el uso de IA en tu equipo cubre las seis áreas, incluida la del "shadow AI" que nadie declara.
- Mira si esa IA toca datos personales. Si la respuesta es sí, tu riesgo inmediato no es el Reglamento de IA: es el RGPD, y ahí sí hay quien sanciona hoy.
- Revisa cualquier chatbot o contenido generado con IA que publiques de cara al público y añade el aviso del artículo 50. Es la tarea más rápida de la lista y la que más se olvida.
- Documenta la formación del artículo 4. Con la nueva redacción ya no tienes que acreditar el nivel de cada persona, pero sí que haces algo y de forma sostenida: cómo se estructura para dejar el expediente cerrado.
- Escribe la política interna de uso de IA, aunque sea de una página. Sin ella la formación queda suelta y sin marco.
Diagnóstico puntual o gobernanza continua: qué necesitas tú
Depende de dónde estés. Si no sabes qué IA hay realmente dentro de tu empresa ni qué datos toca, lo que necesitas es un diagnóstico: la auditoría de IA hace el inventario de herramientas, mapea los riesgos de datos y te dice, con hallazgos priorizados y no con una lista de buenas prácticas, dónde estás respecto a las dos normas.
Si ya sabes que tienes IA por todas partes y lo que te falta es una hoja de ruta que ordene qué se automatiza, qué se queda con decisión humana, qué arquitectura tiene sentido y cómo se forma cada perfil según el riesgo de lo que usa, eso es el Plan Director de IA: el documento de gobernanza completo, no un informe de cincuenta páginas que nadie vuelve a abrir.
No lo hagas por miedo a la AESIA — que es, ahora mismo, la agencia que menos debería preocuparte. La multa es el argumento que convence al departamento financiero, pero el motivo de fondo es el de siempre: no puedes gestionar lo que no has medido, y la mayoría de empresas no sabe con precisión cuánta IA usa ni qué datos le está dando. Si quieres saber dónde estás tú, agenda una sesión de diagnóstico gratuita de 30 minutos y lo revisamos juntos, sin discursos y sin vender un sello que no existe.