AI Act desde el 2 de agosto de 2026: qué cambia realmente

El 2 de agosto no reinicia el calendario del AI Act. Algunas obligaciones ya se aplicaban desde 2025, mientras que ahora comienza la aplicación general del Reglamento, entran nuevas exigencias de transparencia y aumenta la relevancia práctica de la supervisión sobre obligaciones ya vigentes.

Para las empresas, el cambio consiste en separar tres planos que no deben confundirse: qué empieza a aplicarse ahora, qué ya era exigible y qué mantiene un periodo transitorio. Esa distinción evita tanto retrasar controles vigentes como anticipar requisitos cuyo calendario todavía no ha llegado.

Nuevas obligaciones de transparencia del artículo 50

Desde el 2 de agosto, determinados supuestos del artículo 50 exigen informar sobre la intervención de sistemas de IA o sobre la naturaleza artificial de determinados contenidos. La obligación cambia según el sistema y según si la empresa actúa como provider o deployer, por lo que no existe una regla general de etiquetar todo lo generado con IA.

Para una empresa, la pregunta útil no es únicamente qué exige el artículo, sino quién debe garantizar que se cumple. Un equipo de producto puede controlar la interfaz de un chatbot, comunicación puede publicar contenido sintético y RRHH utilizar una herramienta que incorpore reconocimiento de emociones o categorización biométrica. Si legal conoce la obligación pero el área que opera el sistema desconoce el control, la responsabilidad sigue sin estar resuelta.

Las obligaciones de transparencia del artículo 50 del AI Act tienen condiciones y excepciones específicas que conviene revisar en su pieza propia. Aquí importa otra consecuencia: cada supuesto aplicable necesita un responsable operativo, una forma concreta de cumplirlo y una evidencia que permita demostrar después qué se hizo.

Supervisión y aplicación efectiva de obligaciones ya vigentes

El cambio de agosto no afecta únicamente a obligaciones nuevas. También entra en una fase más efectiva la supervisión de disposiciones que ya eran aplicables, por lo que una política interna debe poder traducirse en controles y evidencias verificables.

La alfabetización en IA es un buen ejemplo: su obligación no nace ahora, así que llegar al 2 de agosto no concede un plazo adicional. Lo mismo ocurre con otras disposiciones cuyo calendario comenzó antes. El marco regulador del AI Act de la Comisión Europea permite comprobar qué parte del Reglamento corresponde a cada fase.

Para una empresa, la consecuencia es concreta: debe poder identificar los sistemas afectados, justificar su papel y saber quién responde de cada medida. El detalle sobre inventario, evidencias y responsables lo veremos después, donde realmente sirve para actuar.

El período transitorio hasta el 2 de diciembre de 2026

Hay una excepción temporal importante. Los sistemas introducidos en el mercado antes del 2 de agosto de 2026 disponen hasta el 2 de diciembre de 2026 para adaptarse específicamente a la obligación de marcado y detección del contenido generado o manipulado prevista en el artículo 50.2.

¿Amplía esa fecha todo el artículo 50? No. No retrasa, por ejemplo, la información sobre interacción con IA ni extiende automáticamente hasta diciembre las obligaciones relativas a deepfakes. Tampoco exige etiquetar retroactivamente contenidos que ya habían sido generados y puestos a disposición antes del 2 de agosto.

La empresa debe comprobar, por tanto, si dispone realmente de esa transición: qué sistema estaba ya en el mercado y si la adaptación pendiente corresponde al artículo 50.2. Interpretar diciembre como una prórroga general puede dejar otras obligaciones fuera de cumplimiento.

Qué se aplaza y qué sigue siendo exigible

El AI Omnibus modificó el calendario de los principales requisitos para sistemas de alto riesgo, que ya no empiezan a aplicarse el 2 de agosto de 2026. El cambio da más tiempo para preparar estándares, documentación y mecanismos de cumplimiento, pero no altera la aplicación general del Reglamento.

Para una empresa, el matiz es esencial: se aplazan determinadas obligaciones de alto riesgo, no el AI Act en su conjunto.

Sistemas de alto riesgo: nuevas fechas y alcance del aplazamiento

Los sistemas clasificados como de alto riesgo por los casos de uso del Anexo III, entre ellos determinados usos en empleo, educación, biometría, servicios esenciales o justicia, tendrán sus principales requisitos aplicables desde el 2 de diciembre de 2027.

Para los sistemas vinculados a productos regulados del Anexo I, como determinados componentes de seguridad integrados en maquinaria u otros productos sujetos a legislación europea específica, la fecha pasa al 2 de agosto de 2028.

La diferencia obliga a clasificar antes de planificar. Un sistema utilizado para seleccionar candidatos y otro integrado en un producto regulado pueden quedar sujetos a calendarios distintos, aunque ambos lleguen a considerarse de alto riesgo.

Por qué el aplazamiento no detiene el cumplimiento empresarial

Las obligaciones que ya eran aplicables siguen vigentes y las nuevas exigencias de transparencia del artículo 50 continúan operando desde agosto. Por tanto, el aplazamiento no justifica detener inventarios, controles o responsabilidades que correspondan a otras partes del Reglamento.

Tampoco conviene esperar hasta 2027 o 2028 para analizar sistemas que probablemente entren en el régimen de alto riesgo. Identificar ahora su finalidad, proveedores, datos implicados y responsables permite utilizar el tiempo adicional para preparar el cumplimiento en lugar de descubrir esas dependencias cuando se acerque la fecha límite.

La consecuencia práctica es sencilla: reordenar prioridades, no paralizarlas. Lo exigible ahora debe estar funcionando; lo aplazado debe incorporarse a una hoja de ruta acorde con su fecha, complejidad y exposición.

Qué debe revisar ahora una empresa

La primera acción no es añadir avisos a todas las herramientas con IA, sino saber qué sistemas utiliza la organización, para qué los usa y qué papel ocupa en cada caso. Una misma empresa puede ser responsable del despliegue de una solución externa y proveedor de otra que desarrolla bajo su propia marca.

Esta matriz permite traducir el calendario regulatorio a comprobaciones concretas:

Situación empresarial	Estado desde agosto de 2026	Qué revisar ahora	Evidencia útil
Sistema que interactúa con personas	Aplicable desde 2/08/2026	Si debe informarse de que se interactúa con IA	Aviso, interfaz y criterio aplicado
Sistema que genera o manipula contenido sintético	Aplicable, con transición limitada en ciertos sistemas anteriores	Marcado legible por máquina y detección del origen artificial	Especificación técnica y pruebas
Reconocimiento de emociones o categorización biométrica	Aplicable cuando entra en el artículo 50	Información facilitada a las personas afectadas	Avisos y procedimiento de uso
Deepfakes o ciertos contenidos de interés público	Aplicable desde 2/08/2026	Cómo se comunica su generación o manipulación artificial	Política de publicación y muestras
Personal que utiliza sistemas de IA	Ya era aplicable	Si la alfabetización se ajusta al contexto y responsabilidad	Formación, criterios y registros
Sistema potencialmente de alto riesgo	Principales requisitos aplazados	Clasificación, proveedores, datos, responsables y hoja de ruta	Inventario y plan de cumplimiento

La matriz no sustituye el análisis jurídico, pero permite detectar una carencia frecuente: tener medidas aisladas sin saber qué obligación cubren ni quién responde de ellas.

Inventario, uso y papel jurídico en cada sistema de IA

Un inventario útil debe registrar al menos finalidad, responsable interno, proveedor, personas afectadas y contexto de uso. Con esa información puede determinarse si la empresa actúa como proveedor, responsable del despliegue u otro operador y qué obligaciones le corresponden.

Utilizar una solución externa no elimina automáticamente las responsabilidades propias. El proveedor puede responder de determinadas capacidades técnicas mientras la empresa que despliega el sistema debe cumplir obligaciones vinculadas a cómo lo utiliza o comunica sus resultados.

Controles, evidencias y responsables para demostrar cumplimiento

Cada obligación debería traducirse en un control, un responsable y una evidencia localizable. Una política, un aviso o una formación aportan poco si nadie puede explicar qué requisito cubren, qué sistemas afectan o quién debe intervenir cuando el control falla.

La dificultad aparece cuando la obligación y la capacidad de ejecutarla están repartidas. Legal puede interpretar el requisito, tecnología conocer el sistema y negocio decidir cómo se utiliza. La organización necesita conectar esas piezas y saber quién aplica la medida, quién conserva la evidencia y quién responde por el resultado.

Esto también afecta a obligaciones anteriores, como la alfabetización en IA. La formación en inteligencia artificial y AI Act debe responder al contexto y responsabilidad de quienes utilizan los sistemas, no convertirse en una evidencia genérica que sustituya al resto de la gobernanza.

Qué preparar ahora aunque una obligación todavía no sea exigible

Los plazos de 2027 y 2028 reducen la urgencia jurídica de determinados requisitos de alto riesgo, pero no eliminan las dependencias organizativas. Si para cumplir habrá que obtener documentación de un proveedor, modificar procesos, renegociar contratos o preparar supervisores, el trabajo previo empieza antes que la obligación.

La decisión no es adelantar artificialmente todo el régimen. Es determinar ahora quién seguirá la transición, qué información falta, qué áreas deberán intervenir y qué hitos obligarán a revisar el sistema.

El aplazamiento aporta margen solo cuando existe un responsable de utilizar ese tiempo. Esperar a la fecha límite para reconstruir sistemas, proveedores y responsabilidades convierte una transición útil en una carrera de cumplimiento.

Conclusiones

El 2 de agosto de 2026 no transforma el AI Act en una lista completamente nueva de obligaciones. Cambia algo más operativo: determinados requisitos ya deben funcionar y poder demostrarse, mientras otros continúan sujetos a transición.

Para las empresas, eso obliga a conectar regulación y responsabilidad. Saber que existe una obligación aporta poco si nadie conoce qué sistema afecta, quién debe aplicarla, qué evidencia debe conservarse o quién puede intervenir cuando el control falla.

Los aplazamientos de 2027 y 2028 ofrecen tiempo, pero solo resulta útil cuando alguien tiene la responsabilidad de prepararlos. La decisión desde agosto es, por tanto, doble: ejecutar lo que ya corresponde y asignar dueño a lo que viene después.