1. Tu caso
2. Resultado
Calendario real del Reglamento de IA
| Fecha | Qué pasa | Estado |
|---|---|---|
| 1-8-2024 | Entra en vigor el Reglamento (UE) 2024/1689. | cumplido |
| 2-2-2025 | Prácticas prohibidas (art. 5) y alfabetización en IA (art. 4). | cumplido |
| 2-8-2025 | Obligaciones de los proveedores de modelos de propósito general (GPAI). | cumplido |
| 2-8-2026 | Transparencia (art. 50), supervisión de la AESIA y régimen sancionador pleno. | vigente |
| 2-12-2026 | Prohibiciones nuevas: imágenes íntimas sin consentimiento y material de abuso infantil. | próximo |
| 2-12-2027 | Alto riesgo del Anexo III: expediente, conformidad y registro. Antes era el 2-8-2026. | aplazado |
| 2-8-2028 | Alto riesgo embebido en productos regulados (Anexo I). Antes era el 2-8-2027. | aplazado |
Qué exige a cada rol, en corto
El reglamento reparte deberes entre quien construye el sistema y quien lo usa. Estos son los que aparecen en una revisión real, sin la retórica de las guías genéricas:
Si desarrollas o vendes el sistema (proveedor de alto riesgo)
- Sistema de gestión de riesgos durante todo el ciclo de vida (art. 9).
- Gobernanza de datos: conjuntos representativos, sin sesgos y documentados (art. 10).
- Documentación técnica según Anexo IV (art. 11) y registro automático de eventos (art. 12).
- Instrucciones de uso con capacidades, límites y nivel de exactitud (art. 13).
- Supervisión humana por diseño, con medidas de «parada» reales (art. 14).
- Exactitud, robustez y ciberseguridad declaradas y probadas (art. 15).
- Sistema de gestión de la calidad (art. 17) y evaluación de la conformidad con marcado CE y declaración UE (arts. 43, 47, 48).
- Alta en la base de datos europea de sistemas de alto riesgo (art. 49) y vigilancia poscomercialización (art. 72).
Si lo usas en tu empresa (responsable del despliegue de alto riesgo)
- Usar el sistema conforme a las instrucciones del proveedor (art. 26.1); si lo usas fuera de uso previsto, pasas a ser proveedor (art. 25).
- Asignar supervisión humana a personas con competencia, autoridad y medios (art. 26.2).
- Cuidar los datos de entrada: que sean pertinentes y suficientes para el caso (art. 26.4).
- Conservar los registros generados al menos 6 meses, o el plazo que fije la ley sectorial (art. 26.6).
- Informar a la plantilla y a sus representantes antes de ponerlo en marcha en el trabajo (art. 26.7).
- Notificar al proveedor o distribuidor los riesgos graves y los incidentes (art. 26.5) y a las autoridades si hay daño.
- Evaluación de impacto en derechos fundamentales si estás en los supuestos del art. 27 (Administración, servicios públicos, puntos 2 a 8 del Anexo III).
- Registrar el sistema en la base de datos de la UE cuando seas organismo público (art. 49.3).
Si es riesgo limitado: chatbots, voz y contenido sintético (art. 50)
- Avisar de forma clara y en el primer punto de contacto de que se interactúa con una IA, no con una persona (art. 50.1).
- Marcar el contenido sintético de forma legible por máquina y detectable (art. 50.2); si el sistema ya estaba en el mercado antes del 2-8-2026, aplica el periodo transitorio del Ómnibus.
- Declarar el deepfake como contenido manipulado, aunque sea arte o sátira (art. 50.4).
- Informar a las personas expuestas a reconocimiento de emociones o categorización biométrica (art. 50.3).
- Revisar contratos y DPA con el proveedor: quién asume el aviso y con qué texto.
Si es riesgo mínimo
- Nada específico del Reglamento de IA más allá de la alfabetización del art. 4.
- Sigue aplicando el RGPD: base jurídica, información, minimización y, si hay decisiones automatizadas, art. 22.
- Si más adelante el sistema evalúa personas, revisa el Anexo III antes de ampliarlo.
En todos los casos
- Alfabetización en IA del equipo (art. 4), exigible desde el 2-2-2025: no tiene multa propia en el art. 99.4, pero se pide en cualquier inspección.
- Inventario de sistemas de IA con rol (proveedor o responsable del despliegue), uso previsto y responsable interno.
- En España vigila la AESIA; el régimen sancionador ya está plenamente aplicable desde el 2-8-2026.
Cuatro cosas que se siguen diciendo y no son verdad
«En agosto de 2026 ya me obligaba todo el reglamento de alto riesgo.»
No. El Reglamento (UE) 2026/1744, publicado el 24-07-2026 y en vigor desde el 27-07-2026, aplazó el Anexo III al 2-12-2027 y el Anexo I al 2-8-2028. Lo que sí entró en vigor el 2-8-2026 es la transparencia del art. 50.
«El Ómnibus deroga obligaciones, así que ya no hay que hacer nada.»
Aplaza fechas, no suprime deberes: gestión de riesgos, datos, documentación técnica, supervisión humana y registro siguen en el texto y se exigirán en diciembre de 2027.
«Si no formo a la plantilla me caen 15 millones.»
El art. 4 no está en la lista tasada del art. 99.4, así que no tiene ese techo sancionador. Se exige igual como medida de cumplimiento y sale en cualquier auditoría.
«Como soy pyme, las multas no me aplican.»
Se aplican, pero el art. 99.6 limita la sanción de las pymes y startups al porcentaje de facturación, no al importe absoluto en euros.
Qué hacemos nosotros con esto
En Plataforma IA automatizamos procesos de pymes y dejamos el sistema documentado para que pase una revisión: inventario de sistemas de IA, clasificación de riesgo, avisos del artículo 50 en los canales que ya usas y expediente para el 2 de diciembre de 2027. Trabajamos desde Madrid con clientes de toda España.
Antes de decidir nada, pon números: la calculadora de ROI de automatización te dice cuánto cuesta hoy el proceso y en cuántos meses se amortiza. Si facturas con VeriFactu, el generador de QR tributario resuelve la parte fiscal.