Michael Aim
Fundador y CEO
En el calendario original del AI Act, el 2 de agosto de 2026 debía marcar la entrada en aplicación de la mayoría de las obligaciones sobre sistemas de alto riesgo: gestión de riesgos documentada, gobernanza de los datos de entrenamiento, documentación técnica, supervisión humana, registro en la base de datos europea. Todo ello con sanciones que podían alcanzar los 15 millones de euros o el 3 % de la facturación mundial.
Después, el paquete de simplificación Digital Omnibus pasó del acuerdo político al derecho vigente: el reglamento (UE) 2026/1744, publicado en el Diario Oficial el 24 de julio y en vigor desde el 27 de julio de 2026, aplaza estas obligaciones al 2 de diciembre de 2027 para los sistemas del anexo III, y a agosto de 2028 para los sistemas de alto riesgo integrados en productos regulados.
El precedente del RGPD
La historia normativa reciente ya vivió esta escena. El RGPD dejó dos años entre su adopción y su aplicación; una parte de las organizaciones aprovechó ese plazo para construir su dispositivo, otra lo dejó pasar. En mayo de 2018, las primeras estaban preparadas; las segundas improvisaron con urgencia, y algunas todavía siguen improvisando.
Un aplazamiento normativo nunca es tiempo ganado: es tiempo asignado. La pregunta no es «¿cuándo llega el plazo?» sino «¿qué hay que haber construido para entonces?», porque el contenido de las obligaciones no cambia: inventario de sistemas, calificación de riesgos, gobernanza, documentación, evidencias.
Quién está realmente afectado por el «alto riesgo»
El anexo III cubre usos que muchas organizaciones practican sin pensarlo: selección de candidaturas y decisiones de RR. HH., scoring crediticio, acceso a la educación, biometría, gestión de infraestructuras críticas, servicios públicos esenciales. Y las obligaciones no recaen solo sobre los proveedores de estos sistemas: los implementadores, es decir, las organizaciones que los utilizan, tienen las suyas propias, desde la supervisión humana hasta el seguimiento del funcionamiento.
Muchas empresas son, por tanto, implementadoras de sistemas de alto riesgo sin saberlo, a través de una herramienta de RR. HH. o un módulo de scoring comprado ya hecho. La primera pregunta no es jurídica sino factual: ¿qué sistemas, comprados o construidos, funcionan realmente en nuestra organización, y para qué usos?
Lo que ya se aplica, con o sin aplazamiento
El debate sobre el aplazamiento no debe ocultar lo esencial: parte del reglamento ya se aplica. Las prácticas prohibidas, desde la puntuación social hasta ciertas identificaciones biométricas, lo están desde febrero de 2025. Las obligaciones de transparencia de los modelos de uso general rigen desde agosto de 2025. Y la exigencia de alfabetización en IA de los equipos ya afecta a todo empleador que despliegue estos sistemas. En cuanto a la transparencia del artículo 50, aplicable desde el 2 de agosto de 2026, la Comisión adoptó el 20 de julio sus directrices finales: sistemas conversacionales que se identifican como tales desde el primer intercambio, contenidos generados marcados en un formato legible por máquina, sin retroactividad para los contenidos anteriores.
Dicho de otro modo, el aplazamiento debatido solo afecta al bloque de alto riesgo; la base, en cambio, está en vigor. Una organización que espera «la aclaración del calendario» para ponerse manos a la obra ya va con retraso respecto a la parte estabilizada del texto.
Aprovechar el plazo como trayectoria
El enfoque racional no cambia ni un día: cartografiar los usos de la IA, incluidos los que entran a través de las herramientas del mercado; medir la madurez de la gobernanza con un marco de referencia estructurado; y convertir las brechas en un plan de acción con fecha, alineado con el calendario que finalmente se adopte. Quienes midan hoy elegirán su propio ritmo; quienes esperen al texto final sufrirán el ritmo ajeno.
Nuestro catálogo cuenta con 19 marcos de referencia de datos e IA para dotar de herramientas esta trayectoria, desde el marco de gobernanza hasta los requisitos normativos específicos. El calendario quizá vuelva a moverse; su punto de partida, en cambio, puede conocerse desde ya.