Este domingo se cumple una de las fechas del Reglamento europeo de IA, y la mayoría de lo que se está publicando sobre ella no es exacto. Circulan estos días artículos que anuncian para el 2 de agosto la llegada de las obligaciones de sistemas de alto riesgo: selección de personal, evaluación crediticia, gestión de infraestructuras. No es así. El Digital Omnibus, publicado y en vigor desde el 27 de julio, las desplazó al 2 de diciembre de 2027.
Merece la pena separar las dos listas, porque confundirlas lleva a los dos errores caros: correr detrás de una obligación que no toca, o ignorar la que sí.
Lo que entra en vigor el 2 de agosto
Las obligaciones de transparencia del artículo 50. Son dos ideas sencillas. La primera: cuando una persona interactúa con un sistema de IA, tiene que saberlo. La segunda: el contenido generado o manipulado artificialmente, sea audio, imagen, vídeo o texto, debe ir marcado de forma que su origen sintético sea detectable.
Aplican de inmediato a los sistemas que se introduzcan en el mercado a partir de esa fecha. Para los que ya estaban operando antes, el marcado tiene un periodo transitorio hasta el 2 de diciembre de 2026.
Lo que no entra
Los sistemas de alto riesgo del Anexo III se van al 2 de diciembre de 2027. La IA embebida en productos con legislación sectorial propia, como juguetes o embarcaciones, llega aún más tarde: agosto de 2028. Y dos nuevas prohibiciones, la generación de contenido íntimo sin consentimiento y de material de abuso sexual infantil, entran en diciembre de este año.
Si diriges una empresa que no fabrica IA
La mayoría de las organizaciones no son proveedores de sistemas de IA. Son usuarios. Y para un usuario, la fecha de este domingo se traduce en tres cosas concretas y nada más:
- Si tienes un chatbot atendiendo a clientes, tiene que quedar claro que es una máquina. No en la política de privacidad: en la conversación.
- Si publicas contenido generado con IA, textos, imágenes o vídeo, hay que marcarlo. Y aquí la pregunta incómoda suele ser otra: ¿sabes en qué partes de tu organización se está generando ya ese contenido?
- Si compras IA a un proveedor, la obligación no desaparece por estar externalizada. Conviene tenerlo por escrito en el contrato antes de necesitarlo.
Hay una cuarta que no empieza el domingo pero que casi nadie ha cerrado: la alfabetización en IA del artículo 4 aplica desde febrero de 2025, y es ahora cuando las autoridades nacionales empiezan a supervisarla. En España esa autoridad es la AESIA.
El calendario se ha movido dos veces en un año. Lo que no se mueve es el inventario: saber dónde hay IA en tu organización, quién la puso y qué datos toca. Esa lista sirve para cualquier fecha que venga después.
Lo que yo haría esta semana
No es un proyecto de cumplimiento. Son un par de tardes: recorrer las áreas donde ya se usa IA, apuntar quién es el responsable de cada uso, revisar si algún punto de contacto con cliente es un sistema automático sin avisar, y mirar qué dicen los contratos de los proveedores que la incorporan.
Ese inventario es también la respuesta a la pregunta que llegará en diciembre de 2027, cuando las obligaciones de alto riesgo dejen de ser futuro. La diferencia entre las organizaciones que llegan tranquilas a esas fechas y las que llegan corriendo no está en la fecha. Está en si alguien mantiene la lista al día durante los dieciséis meses intermedios.
Si te interesa el problema de fondo, la adopción de agentes de IA por delante de su gobierno, lo desarrollamos en Gobernar los agentes de IA.