El calendario real del Reglamento de IA: qué obliga desde agosto de 2026, qué se aplaza a 2027 y cómo afecta a la formación

El Ómnibus digital aplaza el alto riesgo a diciembre de 2027, pero el artículo 50 ya obliga desde el 2 de agosto de 2026. Calendario real y hoja de ruta.

El 2 de agosto de 2026 llevaba dos años marcado en rojo en todas las agendas de cumplimiento como el día de la «aplicación plena» del Reglamento europeo de Inteligencia Artificial. La fecha llegó, pero el guion cambió tres semanas antes: el Ómnibus digital aprobado en julio ha aplazado a diciembre de 2027 las obligaciones de los sistemas de alto riesgo —los que deciden sobre contrataciones, admisiones o evaluaciones— y, al mismo tiempo, ha dejado intacta la nueva capa de transparencia que ya obliga a chatbots, tutores virtuales y contenidos generados con IA. Mientras tanto, la ley española que debe activar las multas sigue en el Congreso. Esta es la foto real del calendario, sin mitos, y lo que el sector de la formación debe hacer con ella.

Desde su entrada en vigor el 1 de agosto de 2024, el Reglamento (UE) 2024/1689 —el primer marco integral del mundo para la inteligencia artificial— venía desplegando sus obligaciones por fases. Durante meses, guías comerciales, ebooks corporativos y presentaciones de proveedores repitieron el mismo mensaje: «en agosto de 2026 llega todo: las inspecciones, las multas, el alto riesgo». La realidad legislativa ha ido por otro camino, y conviene ordenarla con precisión, porque de estas fechas dependen decisiones muy concretas que los departamentos de formación y los centros están tomando ahora mismo: qué plataforma contratar, qué cláusulas firmar y qué formación impartir a la plantilla en lo que queda de 2026.

El calendario cambió sobre la bocina: qué es el Ómnibus digital

El 8 de julio de 2026, el Parlamento Europeo y el Consejo adoptaron el Reglamento (UE) 2026/1744, conocido como Ómnibus digital sobre IA. Se publicó en el Diario Oficial de la Unión Europea el 24 de julio y entró en vigor tres días después, el 27 de julio, «con carácter de urgencia», menos de una semana antes de que venciera el plazo que venía a modificar. Fue el desenlace de una negociación exprés: tras un primer trílogo fallido el 28 de abril, el acuerdo político llegó el 6 de mayo, el Consejo lo confirmó el 13 de mayo y el pleno del Parlamento lo votó el 16 de junio.

El motivo está confesado en el propio preámbulo de la norma: «el retraso en la disponibilidad de normas, especificaciones comunes y orientaciones alternativas», unido a que buena parte de los Estados miembros no tenía a punto sus autoridades de vigilancia. Exigir a las empresas el cumplimiento técnico del alto riesgo sin normas armonizadas publicadas era convocar un examen sin haber entregado el temario. La solución adoptada consiste en dos aplazamientos quirúrgicos: las obligaciones de los sistemas de alto riesgo del anexo III (los llamados «autónomos»: empleo, educación, crédito, seguros) se mueven del 2 de agosto de 2026 al 2 de diciembre de 2027, y las de los sistemas del anexo I (la IA integrada en productos ya regulados, como máquinas o productos sanitarios) pasan del 2 de agosto de 2027 al 2 de agosto de 2028. El paquete añade, además, una prórroga corta y muy concreta para el marcado técnico de contenidos que veremos después, y amplía las simplificaciones documentales pensadas para pymes a empresas de hasta 750 empleados.

Lo que ya obligaba antes de este verano (y no se ha movido un milímetro)

La primera oleada del Reglamento llegó el 2 de febrero de 2025 y sigue plenamente operativa. Por un lado, las prácticas prohibidas del artículo 5: manipulación subliminal, puntuación social y —esto se olvida a menudo en los departamentos de personas— el reconocimiento de emociones en el lugar de trabajo y en los centros educativos, salvo por motivos médicos o de seguridad. Un software que prometa medir la «actitud» del alumno por su cara durante una clase virtual no es un sistema de alto riesgo que pueda esperar a 2027: es una práctica prohibida desde febrero de 2025.

Por otro lado, la alfabetización en IA del artículo 4, que obliga a la vez a quienes desarrollan sistemas y a las empresas que simplemente los utilizan:

Artículo 4 del Reglamento (UE) 2024/1689 · «Alfabetización en materia de IA»

«Los proveedores y responsables del despliegue de sistemas de IA adoptarán medidas para garantizar que, en la mayor medida posible, su personal y demás personas que se encarguen en su nombre del funcionamiento y la utilización de sistemas de IA tengan un nivel suficiente de alfabetización en materia de IA, teniendo en cuenta sus conocimientos técnicos, su experiencia, su educación y su formación, así como el contexto previsto de uso de los sistemas de IA y las personas o los colectivos de personas en que se van a utilizar dichos sistemas.»

Es una obligación de medios, graduada según el perfil de cada trabajador y el contexto de uso: no impone un curso concreto, ni un número de horas, ni un certificado oficial, pero sí exige poder demostrar que la empresa ha tomado medidas proporcionadas. En Expeforma la analizamos a fondo cuando publicamos qué cambia de verdad con la alfabetización en IA obligatoria y cómo montar una formación bonificada que resista una inspección, y antes, en nuestra guía general del AI Act para empresas. La tercera pieza de este bloque ya vigente son los modelos de IA de uso general (GPAI), cuyos proveedores —los grandes laboratorios— arrastran obligaciones de documentación, derechos de autor y seguridad desde el 2 de agosto de 2025.

La novedad real del 2 de agosto de 2026: la transparencia del artículo 50

Lo que sí estrenamos este verano es la capa de transparencia del artículo 50, pensada para la IA de adopción masiva: chatbots, generadores de contenido, sistemas biométricos permitidos. Es la parte del Reglamento que más usuarios va a tocar en el día a día, y obliga desde el 2 de agosto de 2026. La primera regla afecta a cualquier sistema que converse con personas:

Artículo 50.1 del Reglamento (UE) 2024/1689

«Los proveedores garantizarán que los sistemas de IA destinados a interactuar directamente con personas físicas se diseñen y desarrollen de forma que las personas físicas de que se trate estén informadas de que están interactuando con un sistema de IA, excepto cuando resulte evidente desde el punto de vista de una persona física razonablemente informada, atenta y perspicaz, teniendo en cuenta las circunstancias y el contexto de utilización.»

La excepción de lo «evidente» es más estrecha de lo que parece: un asistente comercial en la web de un centro de formación o un tutor virtual dentro de un campus sí necesitan aviso, y el criterio de las directrices europeas es que la información llegue en la primera interacción, de forma clara y distinguible. Enterrarla en los términos y condiciones no cumple. La segunda regla afecta al contenido: los proveedores de sistemas generativos —incluidos los de uso general— «velarán por que los resultados de salida del sistema de IA estén marcados en un formato legible por máquina y que sea posible detectar que han sido generados o manipulados de manera artificial» (artículo 50.2). Aquí está la única concesión temporal del Ómnibus en este terreno: los sistemas comercializados antes del 2 de agosto de 2026 disponen hasta el 2 de diciembre de 2026 para incorporar ese marcado técnico. Es una regla transitoria limitada, no un aplazamiento del artículo 50.

La tercera regla mira a quien usa la tecnología, el «responsable del despliegue»: quien genere o manipule con IA imágenes, audio o vídeo que constituyan una ultrafalsificación —el término oficial para el deepfake— deberá hacer «público que estos contenidos o imágenes han sido generados o manipulados de manera artificial» (artículo 50.4), con salvedades para obras creativas o satíricas y para los textos que hayan pasado una revisión editorial humana con responsable identificable. Y sigue vigente el deber de informar a las personas expuestas a sistemas permitidos de reconocimiento de emociones o categorización biométrica. Como contamos al analizar la formación en uso seguro de agentes de IA, esta capa de transparencia es también una herramienta interna de gobernanza: obliga a las organizaciones a saber, antes que nada, dónde hay IA en sus procesos. Completa el estreno del verano otra pieza menos visible: desde este mismo 2 de agosto la Comisión Europea puede imponer multas directamente a los proveedores de modelos de uso general que incumplan sus obligaciones.

El alto riesgo respira hasta diciembre de 2027, y es lo que más toca a la formación

El aplazamiento estrella del Ómnibus afecta al anexo III, la lista de sistemas de alto riesgo «autónomos». Dos de sus ocho categorías caen de lleno en nuestro sector. En empleo y gestión de trabajadores: los sistemas que criban currículums, puntúan candidatos, deciden promociones o extinciones o monitorizan el rendimiento. En educación y formación profesional: los que determinan el acceso o la admisión a programas formativos, evalúan los resultados del aprendizaje, asignan niveles o vigilan exámenes (el llamado proctoring). Cuando el 2 de diciembre de 2027 estas obligaciones despierten, sus proveedores deberán acreditar gestión de riesgos, gobernanza de los datos de entrenamiento, documentación técnica, registros de actividad, supervisión humana efectiva y alta en la base de datos europea; y las entidades que los usen asumirán los deberes del artículo 26, entre ellos utilizarlos conforme a las instrucciones del fabricante, encomendar la supervisión a personas competentes y controlar la pertinencia de los datos de entrada.

Conviene retener dos matices. Primero, el aplazamiento no borra la clasificación: un LMS con evaluación automática de alumnos será alto riesgo en diciembre de 2027 exactamente igual que lo iba a ser en agosto de 2026, y los contratos de plataforma que se están firmando o renovando este otoño seguirán vivos en esa fecha. Segundo, los sistemas ya comercializados antes del plazo solo quedan atrapados por el régimen nuevo si sufren una modificación sustancial, lo que convierte la trazabilidad de versiones del proveedor en una cláusula contractual valiosa. Dieciséis meses parecen mucho; en ciclos de compra de software corporativo, son una renovación y media.

España: la agencia existe; la ley de las multas, todavía no

Queda la pregunta que más se repite en los seminarios: «¿y quién me va a inspeccionar a mí?». En España, la AESIA —Agencia Española de Supervisión de la Inteligencia Artificial, creada por el Real Decreto 729/2023 con sede en A Coruña— está llamada a ser la autoridad de vigilancia y el punto de contacto único. Pero su brazo sancionador depende de una norma que aún no existe: el proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA, aprobado por el Consejo de Ministros el 26 de mayo de 2026, publicado en el Boletín de las Cortes el 12 de junio y que, con el plazo de enmiendas cerrado el 30 de junio, sigue su tramitación en la Comisión de Economía, Comercio y Transformación Digital del Congreso. Ya analizamos su esqueleto cuando era anteproyecto, en marzo de 2025; la arquitectura se mantiene: AESIA como eje, con la AEPD en protección de datos, el CGPJ en justicia, el Banco de España y la CNMV en crédito y la DGSFP en seguros.

El cuadro sancionador previsto replica los techos europeos y los completa por abajo: hasta 35 millones de euros o el 7 % del volumen de negocio mundial para las prácticas prohibidas, hasta 15 millones o el 3 % para el resto de infracciones muy graves —ahí entra la transparencia del artículo 50—, hasta 7,5 millones o el 1 % para las graves y hasta 500.000 euros o el 0,5 % para las leves, siempre con la regla protectora de que a las pymes se les aplica la cuantía menor. Mientras la ley no se apruebe, no hay cauce nacional para imponer estas multas, y esa es la distancia entre el marketing del miedo y el Boletín Oficial: quien anuncie «inspecciones masivas de la AESIA este agosto» va por delante del legislador. Pero cuidado con la lectura contraria: la AEPD sigue sancionando por RGPD los tratamientos de datos con IA, los derechos de los afectados son exigibles ante los tribunales, y toda la documentación que no se genere ahora será exactamente la que falte cuando el régimen se active.

Qué significa todo esto para quien gestiona formación

El sector de la formación tiene una posición peculiar ante este Reglamento: está doblemente afectado. Como cualquier empresa, debe alfabetizar a su propia plantilla en el uso de la IA. Y como sector productivo, fabrica y consume precisamente los sistemas que el anexo III vigila: plataformas que admiten alumnos, evalúan aprendizajes y vigilan exámenes. La traducción operativa, hoy, es concreta. Si el campus virtual incorpora un tutor conversacional o un chatbot de atención, el aviso de que se trata de una IA debe estar activo ya, visible en la primera interacción. Si el catálogo incluye materiales generados con IA —vídeos con avatares, locuciones sintéticas, manuales redactados con modelos generativos—, el marcado técnico corresponde al proveedor de la herramienta, pero la política editorial es cosa del centro: una revisión humana documentada, con responsable identificable, además de mejorar el producto, saca los textos publicados del supuesto de declaración obligatoria del artículo 50.4.

Si la plataforma evalúa automáticamente o hace proctoring, diciembre de 2027 es la fecha que debe figurar en la próxima renovación del contrato: conviene exigir al proveedor, por escrito, su hoja de ruta de cumplimiento del alto riesgo, igual que en su día se pidieron los anexos de encargado del tratamiento del RGPD. Si alguien ofrece analítica de emociones en el aula, la respuesta corta es que no: prohibida desde febrero de 2025. Y en cuanto a la alfabetización de la plantilla, el plan por perfiles —qué necesita saber quién usa un generador de textos frente a quién configura un agente— es bonificable con el crédito de formación, como desarrollamos al estudiar por qué fracasan los cursos genéricos de IA y qué aportan los tutores de IA privada entrenados con los manuales de la propia empresa.

El calendario, fecha a fecha

El 2 de agosto de 2026 no ha sido ni el apocalipsis regulatorio que anunciaban algunas guías comerciales ni el indulto que celebran otros. Ha sido algo más útil: un calendario por fin realista, con una obligación nueva y verificable —la transparencia— y una ventana de dieciséis meses para preparar la de verdad exigente, la del alto riesgo. Esa ventana es una oportunidad competitiva para los centros y departamentos de formación que lleguen con el inventario hecho, los avisos activados, la plantilla alfabetizada y las cláusulas firmadas. Quien confunda aplazamiento con archivo repetirá en el otoño de 2027 las prisas que el RGPD provocó en la primavera de 2018, solo que esta vez con las fechas anunciadas con año y medio de antelación.

Este artículo tiene carácter divulgativo y no constituye asesoramiento jurídico. Para el análisis de un supuesto concreto, consulte con el equipo técnico de su entidad organizadora o con asesoramiento especializado.