Por Samara Nacher El 2 de agosto de 2026 no obligaba a auditar los sistemas de IA de alto riesgo, aunque así se contó estos días en varios medios. Lo que sí entró en vigor esa fecha es la transparencia del contenido generado por IA (chatbots identificados, contenido sintético marcado): las obligaciones de alto riesgo se han retrasado a diciembre de 2027 y a agosto de 2028 por un Reglamento nuevo aprobado hace apenas unos días.
El Reglamento de IA (Reglamento (UE) 2024/1689, conocido como AI Act) nunca se aplicó de golpe: entró en vigor en 2024 y avanza por fases desde entonces. El 2 de agosto de 2026 es, en efecto, una fecha real del artículo 113, el día de la aplicación general de la norma. Pero no es el día en que arrancan todas las obligaciones, y menos las de los sistemas de IA de alto riesgo, que es justo lo que ha cambiado con el Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026. Aquí tienes la fecha exacta de cada cosa, sin ruido.
Qué obliga de verdad desde el 2 de agosto de 2026
Desde esa fecha son exigibles, de forma plena, estas tres piezas del Reglamento de IA:
- Transparencia del contenido generado por IA (artículo 50). Los chatbots y asistentes conversacionales deben informar de que la persona usuaria está interactuando con un sistema de IA, salvo que sea evidente por el contexto. El contenido sintético (imagen, audio, vídeo o texto generado o manipulado por IA) debe llevar marcas técnicas legibles por máquina que permitan identificarlo como tal.
- Más terreno sancionable. El marco general de sanciones (artículo 99) lleva aplicándose desde agosto de 2025, pero desde el 2 de agosto se activa además el artículo 101 (multas de la Comisión a proveedores de modelos de IA de uso general) y, al entrar en vigor la transparencia del artículo 50, ese régimen sancionador puede proyectarse también sobre su incumplimiento.
- Más capacidad de aplicación de AESIA y AEPD. Los organismos de supervisión en España, la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) y, en lo que toca a datos personales, la Agencia Española de Protección de Datos (AEPD), ganan capacidad efectiva para exigir el cumplimiento de las prohibiciones del artículo 5 y de la transparencia del artículo 50. Eso sí: el marco sancionador español todavía no está cerrado del todo. La Ley Orgánica que debe tipificar las infracciones y regular el procedimiento en España sigue en tramitación parlamentaria, lo que introduce cierta incertidumbre sobre el alcance práctico e inmediato de las primeras sanciones.
Si tu empresa usa un chatbot de atención al cliente, genera imágenes o textos con IA para marketing, o publica contenido sintético en cualquier canal, esta es la obligación que te toca de verdad desde el 2 de agosto. No la de la IA de alto riesgo.
Qué se ha retrasado: las nuevas fechas de la IA de alto riesgo
Aquí está la corrección de fondo. El calendario original del Reglamento de IA situaba en el 2 de agosto de 2026 el arranque de las obligaciones para los sistemas de IA de alto riesgo “standalone” (los del artículo 6.2 y el Anexo III). Ese calendario ha cambiado.
El Reglamento (UE) 2026/1744, conocido como Ómnibus Digital sobre IA, modifica el artículo 113 del Reglamento de IA y retrasa dos plazos:
- Alto riesgo “standalone” (artículo 6.2 + Anexo III). Es el grupo que más afecta a pymes: selección de personal, scoring crediticio, educación, acceso a servicios esenciales, actuación policial. Antes: 2 de agosto de 2026. Ahora: 2 de diciembre de 2027.
- Alto riesgo integrado en un producto ya regulado (artículo 6.1 + Anexo I). Maquinaria, dispositivos médicos, juguetes, entre otros. Antes: 2 de agosto de 2027. Ahora: 2 de agosto de 2028.
En la práctica: si tu empresa usa IA para preseleccionar currículums, calcular un scoring de riesgo, evaluar alumnado o cualquier otro uso del Anexo III, no tienes que tener listas ya las obligaciones de alto riesgo (evaluación de conformidad, gestión de riesgos, supervisión humana documentada). El nuevo plazo es diciembre de 2027.
Por qué se está contando mal
La confusión viene de mezclar dos fechas distintas del mismo artículo 113: la de aplicación general del Reglamento (2 de agosto de 2026, esa sí es correcta) con la fecha en la que todas las obligaciones, incluidas las de alto riesgo, están activas, que no es la misma. El Reglamento de IA se aplica por fases desde 2024, y el 2 de agosto de 2026 es una fecha más de ese calendario, no la última. Con el Reglamento (UE) 2026/1744 recién aprobado, la fase de alto riesgo se ha movido más allá.
Otra fecha a tener en cuenta: deepfakes íntimos y contenido sexual sintético
El Reglamento de IA incorpora también una nueva prohibición en el artículo 5: los deepfakes íntimos o de contenido sexual generados o manipulados sin consentimiento de la persona afectada, así como el material sintético de abuso sexual infantil, quedan prohibidos, y esta prohibición concreta será aplicable desde el 2 de diciembre de 2026.
El Código de Buenas Prácticas sobre contenido generado por IA
La transparencia del artículo 50 que entró en vigor el 2 de agosto ya tiene un marco de apoyo: el Código de Buenas Prácticas sobre contenido generado por IA está cerrado, con cerca de 190 firmantes entre proveedores de sistemas de IA, entre ellos Anthropic, el proveedor del modelo con el que trabajamos en SoyLegal360. Adherirse a este código facilita demostrar el cumplimiento del etiquetado del artículo 50 sin tener que construir el criterio técnico desde cero.
Qué tiene que hacer tu empresa a partir de ahora
Con las fechas ya claras, el orden de prioridades cambia poco respecto a lo que veníamos diciendo, pero se puede planificar con más margen:
- Ya, con la transparencia: revisa si tus chatbots, asistentes o generadores de contenido informan de que hablan con una IA, y si el contenido sintético que publicas lleva alguna forma de identificación.
- Con margen, con el alto riesgo: si tu empresa usa o piensa usar IA en selección de personal, scoring, evaluación educativa o similares (Anexo III), tienes hasta diciembre de 2027 para tener documentadas las obligaciones, pero conviene empezar a clasificar el riesgo ahora, no en 2027.
- Sin esperar: si necesitas saber en qué punto está tu empresa hoy, con la fecha exacta que le toca a cada sistema que usáis, nuestra auditoría de IA inventaría vuestros usos, los clasifica por nivel de riesgo y os dice qué obliga ya y qué obliga después. Si ya sabéis que hay que actuar, la adaptación de IA lo pone en marcha, y si necesitáis acompañamiento continuo, está el responsable de IA externalizado.
Puedes ver también nuestra guía completa sobre qué es una auditoría de IA, a quién obliga y qué revisa.