El 27 de julio de 2026 entró en vigor la Ley Ómnibus de IA de la UE, la primera modificación sustancial de la Ley de IA desde 2024. Esta ley retrasa el plazo para la IA de alto riesgo, fijado para el 2 de agosto de 2026, pero mantiene las obligaciones de transparencia y cumplimiento en su fecha original. Los sistemas independientes de alto riesgo tienen ahora plazo hasta el 2 de diciembre de 2027. Los sistemas integrados en productos de alto riesgo tienen plazo hasta el 2 de agosto de 2028. Las normas de transparencia del artículo 50, las facultades de aplicación de la IA de propósito general (GPAI) y la autoridad de vigilancia del mercado siguen entrando en vigor el 2 de agosto de 2026.
Si su plan de cumplimiento se basó en la fecha original, la presión disminuyó. Sin embargo, la Ley Ómnibus se diseñó para simplificar, no para revertir, y tres obligaciones quedaron sin cambios.
¿A quién afecta esto?
- Cualquier organización cuyo sistema de IA produzca resultados que lleguen a usuarios, clientes o ciudadanos de la UE, independientemente de dónde tenga su sede la empresa.
- Los proveedores, las organizaciones que desarrollan o comercializan sistemas de IA, y los implementadores, las organizaciones que los utilizan, tienen obligaciones distintas en virtud de la Ley.
- Inteligencia artificial de propósito general (IAPG) Las obligaciones se aplican a cualquier persona que proporcione un modelo de propósito general y a cualquier persona que lo incorpore, incluidos los modelos comerciales integrados en un producto.
- Las prácticas prohibidas se aplican universalmente, independientemente del sector o el tamaño, y están en vigor desde febrero de 2025.
- Anexo III Las obligaciones de alto riesgo se aplican a casos de uso específicos: empleo y gestión de trabajadores, calificación crediticia y acceso a seguros, educación, infraestructura crítica, aplicación de la ley, migración y control de fronteras.
- Artículo 50 La transparencia se aplica ampliamente a cualquier organización que utilice un chatbot, genere contenido sintético o use IA en interacciones con clientes, independientemente de si el sistema subyacente se considera de alto riesgo o no.
Las dos fechas del reinicio del ómnibus
- Plazo límite de alto riesgo para sistemas independientes del Anexo III: de agosto de 2026 al 2 de diciembre de 2027.
- Plazo de entrega de alto riesgo, sistemas del Anexo I integrados en el producto: de agosto de 2026 al 2 de agosto de 2028.
- Requisito de alfabetización en IA: se flexibiliza, pasando de "garantizar una alfabetización suficiente" a "adoptar medidas que apoyen el desarrollo de la alfabetización".“
- Obligaciones de marca de agua: se añade un período transitorio de cuatro meses para los sistemas que ya estén en el mercado antes de agosto de 2026.
Lo que aún se requiere el 2 de agosto de 2026
- Obligaciones de transparencia del artículo 50: divulgación cuando alguien interactúa con un sistema de IA, etiquetado del contenido generado por IA, marcado de deepfakes.
- Las autoridades nacionales de vigilancia del mercado obtienen facultades para investigar y sancionar las infracciones a la Ley de IA.
- Los poderes de ejecución de la Comisión Europea sobre los proveedores de GPAI se activan
- Las obligaciones de cumplimiento de GPAI, vigentes desde agosto de 2025, estarán sujetas a sanciones reales.
- Por otra parte, una nueva prohibición de imágenes íntimas no consensuales y de IA generadora de deepfakes entrará en vigor el 2 de diciembre de 2026, según su propio calendario.
La Oficina de IA ya ha iniciado acciones coercitivas contra los medios sintéticos incluso antes de que llegara la fase de alto riesgo, lo que demuestra que la capa de control está funcionando ahora, y no esperando a 2027.
Los organismos de normalización siguen con retraso.
Esta es la primera enmienda a la Ley desde su aprobación, y las normas técnicas armonizadas para el cumplimiento en situaciones de alto riesgo siguen con retraso, lo que explica en parte la demora inicial. Considerar diciembre de 2027 como fecha fija es una apuesta a que no habrá cambios de aquí a entonces.
El trabajo de conformidad de alto riesgo, la documentación de gobernanza de datos, la gestión de riesgos y el diseño de la supervisión humana requieren años para desarrollarse adecuadamente. El tiempo adicional solo tiene valor si se utiliza para construir esa base ahora, en lugar de esperar hasta que se acerque la fecha límite.
Nada de eso cambia lo que debe hacerse en días. Cualquier empresa que tenga un chatbot de cara al cliente, una función de generación de contenido o un modelo de terceros integrado necesita que la divulgación y el etiquetado del Artículo 50 funcionen antes del 2 de agosto, independientemente de si sus sistemas de alto riesgo se vieron afectados por el retraso.
Primero el inventario, todo lo demás viene después.
- Inventariar todos los sistemas de IA en uso en toda la organización, incluidas las herramientas cuya adquisición nunca se haya aprobado formalmente.
- Clasifique cada sistema según las categorías de prohibido, alto riesgo, GPAI y obligación de transparencia.
- Confirme que los mecanismos de divulgación y etiquetado del Artículo 50 estén vigentes para todo lo que esté dirigido al cliente.
- Redefinir la hoja de ruta de alto riesgo para las nuevas fechas sin interrumpir el trabajo subyacente de gobernanza de datos.
- Asignar la responsabilidad del seguimiento regulatorio continuo, ya que este marco ya ha cambiado una vez este año.
Una secuencia de cuatro años, no una sola fecha.
- Desde ahora hasta el 2 de agosto de 2026: Finalizar el inventario y la clasificación de los sistemas de IA; confirmar que los mecanismos del Artículo 50 están activos; documentar el uso de GPAI en toda la pila de proveedores.
- Hasta finales de 2026: Construir la base de gobernanza de datos para los sistemas del Anexo III, capacitación en documentación de datos, linaje, controles de acceso, en el nuevo cronograma.
- Hasta 2027: Evaluaciones de conformidad completas y documentación técnica para sistemas autónomos de alto riesgo antes del 2 de diciembre de 2027.
- Hasta 2028: Extender el mismo trabajo a los sistemas de alto riesgo integrados en los productos antes del 2 de agosto de 2028.
Cómo ayuda BigID
Cada obligación en este marco, ya sea actual o diferida, se basa en la misma pregunta: ¿sabe la organización qué datos alimentan sus sistemas de IA, de dónde provienen y quién puede acceder a ellos?.
- Documentación sobre gobernanza de datos del Anexo III: descubre y clasifica Los datos de entrenamiento, validación y prueba que respaldan un sistema de IA, por lo que "los datos son representativos y están libres de errores" es un hallazgo documentado en lugar de una afirmación.
- IA de sombra y el inventario del sistema: expone los modelos y las herramientas de IA que realmente se ejecutan en el entorno, incluidas aquellas para las que nadie envió una solicitud, cerrando la brecha con la que comienzan la mayoría de los ejercicios de clasificación.
- Trazado de datos dentro y fuera de los flujos de IA: Los mapas muestran cómo se mueven los datos sensibles y regulados. en entrenamiento, ajuste fino y indicaciones, y dónde se ubican posteriormente los resultados del modelo.
- Gobernanza del acceso para datos de entrenamiento y de salida: muestra quién y qué puede acceder a los datos que respaldan un modelo, los requisitos de supervisión del Anexo III sobre evidencia de control de acceso que se solicitan
- Preparación para el Artículo 50: La misma capa de descubrimiento que encuentra la IA oculta es la que identifica qué sistemas están generando contenido en primer lugar.
- Evidencia de auditoría y conformidad: convierte el trabajo de inventario, clasificación y linaje en documentación que se sostiene cuando una autoridad de vigilancia del mercado la solicita.
Un modelo que otros reguladores están observando.
En Ley de AI de la UE Se suponía que sería el modelo definitivo para la regulación de la IA, la forma GDPR Se convirtió en el modelo para la privacidad. La Ley Ómnibus complejiza esa historia sin debilitarla. Muestra a un regulador respondiendo a la brecha entre lo que legisló y lo que los organismos de normalización y las empresas pudieron cumplir a tiempo, al tiempo que se mantiene firme en los aspectos que considera innegociables: prohibiciones, transparencia y autoridad para hacer cumplir la ley.
El patrón que conviene observar, tanto en la UE como en cualquier otro lugar donde se elaboren normas sobre IA, es el siguiente: las fechas vinculadas a los derechos fundamentales y la confianza pública se priorizan y se mantienen fijas, mientras que las fechas relacionadas con la conformidad técnica se ajustan a los plazos que la realidad permite. La base de la gobernanza de datos es la única inversión que se mantiene independientemente de qué plazo individual se modifique a continuación.
Prepárese para la siguiente fase del cumplimiento de la normativa sobre IA.
La Ley de IA de la UE sigue evolucionando, pero un requisito permanece constante: las organizaciones necesitan visibilidad sobre sus sistemas de IA, los datos que utilizan y los riesgos que conllevan. Descubra cómo BigID ayuda a inventariar los activos de IA, clasificar los datos confidenciales y construir una base sólida para la gobernanza de la IA y el cumplimiento normativo.
Autor
