AI Act · Actualizado · Septiembre 2026

Ómnibus Digital y AI Act: qué se aplaza (y qué no) para tu empresa

En agosto, media España soltó el aire al leer que «el AI Act se aplaza a 2027». Y ahí, exactamente ahí, empieza el problema.

Un directivo lee el titular, respira aliviado y devuelve el proyecto de cumplimiento al cajón. Lógico. Pero lo que se aplazó no es lo que afecta a su empresa. Se movió la parte que obliga a una minoría —los sistemas de alto riesgo— y se dejó intacta, en vigor y sancionable, la parte que usa la mayoría: el chatbot de la web, el aviso de que un contenido lo generó una IA, la prohibición de ciertos usos y el deber de formar a la plantilla.

El Ómnibus Digital es real, es importante y da oxígeno a quien lo necesitaba. Pero interpretarlo como «no hay nada que hacer» es la forma más rápida de acumular un incumplimiento que ya se puede multar hoy. Separemos el ruido de la norma.

Qué es el Ómnibus Digital y por qué llega ahora

El Ómnibus Digital —formalmente Reglamento (UE) 2026/1744— es la primera modificación del AI Act (Reglamento UE 2024/1689) desde que este se aprobó en junio de 2024. Se publicó en el Diario Oficial de la Unión Europea el 24 de julio de 2026 y entró en vigor tres días después, el 27 de julio de 2026. Las prisas no fueron casualidad: Bruselas quería cerrar las reglas nuevas antes del 2 de agosto de 2026, cuando iban a activarse las obligaciones de alto riesgo originales.

El motivo de fondo es poco épico: el ecosistema no estaba listo. Las normas técnicas armonizadas que las empresas necesitan para saber si su documentación cumple no llegaban a tiempo, y muchas autoridades y organismos de evaluación aún no estaban designados. Obligar a cumplir con un manual de instrucciones que todavía no existe no tenía sentido. Así que el legislador movió las fechas.

Qué SÍ se aplaza (y a quién afecta de verdad)

El aplazamiento afecta a los sistemas de alto riesgo, que el AI Act divide en dos grupos con dos calendarios distintos.

Anexo III — sistemas autónomos de alto riesgo: hasta el 2 de diciembre de 2027

Un salto de 16 meses respecto a la fecha original. Aquí entran los usos de IA en áreas sensibles como:

• Recursos humanos: cribado automático de currículums, asignación de tareas o evaluación del desempeño.
• Scoring crediticio y decisiones sobre seguros o servicios esenciales.
• Biometría e identificación de personas.
• Educación y formación profesional (acceso o evaluación).
• Infraestructuras críticas, aplicación de la ley, migración y fronteras, y justicia.

Para estos sistemas, las obligaciones duras —gestión de riesgos, gobernanza de datos, documentación técnica, supervisión humana, registro en la base de datos europea— no serán exigibles hasta diciembre de 2027.

Anexo I — IA embebida en productos regulados: hasta el 2 de agosto de 2028

Es la IA integrada en productos que ya tienen su propia legislación de seguridad: dispositivos médicos, maquinaria, juguetes o ascensores, entre otros. Aquí el plazo se amplía 12 meses para alinearlo con los ciclos de evaluación de conformidad de esos productos.

Qué NO se aplaza (aquí está la trampa)

Y llegamos a lo que de verdad importa para la mayoría de empresas españolas. Estas obligaciones ya están en vigor y son sancionables hoy. El Ómnibus Digital no las tocó.

A eso se suman las prácticas prohibidas del Artículo 5 (en vigor desde febrero de 2025): manipulación subliminal, «social scoring», reconocimiento de emociones en el trabajo o en centros educativos, o el rastreo masivo de rostros. Aquí no hay plazo que valga: están vetadas y punto.

El calendario completo, fecha por fecha

• 2 feb 2025

  Prácticas prohibidas (Art. 5) y alfabetización en IA (Art. 4). En vigor

• 2 ago 2025

  Obligaciones de los modelos de propósito general (GPAI). En vigor

• 2 ago 2026

  Transparencia (Art. 50) y régimen general de supervisión. En vigor

• 2 dic 2026

  Marcado del contenido generado por IA (sistemas ya en mercado) y plazo de la nueva prohibición. Próximo

• 2 dic 2027

  Sistemas de alto riesgo del Anexo III (RRHH, scoring, biometría…). Aplazado

• 2 ago 2028

  IA de alto riesgo embebida en productos regulados (Anexo I). Aplazado

¿Y esto qué significa para una pyme española?

Si tu empresa es como la mayoría, no desarrollas sistemas de alto riesgo: usas IA de riesgo mínimo (un chatbot, ChatGPT para redactar, un recomendador de productos). Para ese uso cotidiano el AI Act siempre fue ligero, y el Ómnibus lo confirma: ningún registro obligatorio, ninguna evaluación formal de conformidad.

Pero «ligero» no es «nada». Las obligaciones que sí te aplican —transparencia, alfabetización y no incurrir en prácticas prohibidas— ya están activas.

Y un detalle que muchos pasan por alto: aunque las obligaciones del AI Act para un sistema de RRHH o de scoring se hayan aplazado a 2027, el RGPD sigue aplicando hoy. Si tomas decisiones automatizadas sobre personas (art. 22 RGPD), necesitas base jurídica, información al interesado, posibilidad de impugnación y, muy probablemente, una evaluación de impacto. El aplazamiento del AI Act no aplaza el RGPD. Nunca lo hizo.

5 cosas que tu empresa debería hacer antes de que acabe 2026

1. Haz inventario de tu IA. Lista todas las herramientas que usas (chatbots, IA generativa, RRHH, scoring, análisis) y clasifícalas por nivel de riesgo. No puedes cumplir lo que no sabes que tienes.
2. Cumple ya la transparencia. ¿Tienes chatbot? Avísalo. ¿Publicas contenido hecho con IA? Identifícalo. Es exigible desde agosto de 2026.
3. Forma a tu plantilla. La alfabetización en IA es la obligación más económica y la que antes te piden acreditar. Documenta la formación.
4. Revisa que no usas prácticas prohibidas. Atención especial al reconocimiento de emociones en entornos laborales y a cualquier tratamiento biométrico sin garantías.
5. Si tienes alto riesgo, no te relajes. Usa los 16 meses de margen para construir gobernanza de datos, documentación y supervisión humana. Y recuerda: el RGPD ya te obliga mientras tanto.

Preguntas frecuentes

Fuentes oficiales: Reglamento (UE) 2026/1744 (Ómnibus Digital sobre IA), DOUE de 24 de julio de 2026; Reglamento (UE) 2024/1689 (AI Act); Comisión Europea, paquete «Digital Omnibus». Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.