El AI Act ya te obliga a algo desde el lunes: la matriz de Miuranews de qué aplica, a quién y desde cuándo

El 2 de agosto de 2026 era la fecha que casi todas las empresas europeas tenían marcada como el día en que el reglamento de inteligencia artificial les caía encima. Esa fecha se ha partido en dos. Las obligaciones caras —las de sistemas de alto riesgo, con evaluaciones de conformidad, sistemas de gestión de riesgos y documentación técnica— se han aplazado a diciembre de 2027 y agosto de 2028. Las baratas entraron en vigor puntualmente hace dos días. Y son justamente las que cualquiera puede comprobar desde fuera abriendo tu web.

Esa asimetría es la noticia práctica. Si tu empresa usa IA para cribar currículums, para decidir un crédito o para evaluar a empleados, acabas de ganar dieciséis meses. Si tu empresa tiene un chatbot en la web, publica contenido generado con IA o vende un producto que genera texto o imágenes, el plazo se te acabó el lunes.

El cambio llegó con una reforma del reglamento adoptada el 8 de julio, publicada el 24 y en vigor desde el 27 de julio. Es decir: seis días antes de la fecha límite que modificaba. Nadie con un plan de cumplimiento en marcha tuvo margen para replanificar nada. Si tu asesoría te mandó un calendario en primavera, está desactualizado.

Lo que se ha movido y lo que no

El aplazamiento no es menor. Los sistemas de alto riesgo autónomos —los del listado que incluye empleo, educación, servicios esenciales, crédito, seguros de vida y salud, migración o justicia— pasan del 2 de agosto de 2026 al 2 de diciembre de 2027: 487 días más. Los sistemas de IA embebidos en productos ya regulados, como maquinaria, juguetes o ascensores, pasan de agosto de 2027 a agosto de 2028: 366 días más. Los entornos controlados de pruebas que cada Estado debía tener operativos también se van un año, a agosto de 2027.

Lo que no se ha movido ni un día son las obligaciones de transparencia. Desde el 2 de agosto, quien pone en el mercado un sistema conversacional tiene que asegurarse de que el usuario sabe que está hablando con una máquina, salvo que resulte evidente. Quien despliega un sistema que genera o manipula imágenes, vídeo o audio de personas reales tiene que revelarlo. Quien publica textos generados por IA sobre asuntos de interés público tiene que decirlo, salvo que haya pasado por revisión humana con alguien que asuma la responsabilidad editorial. Y quien usa reconocimiento de emociones o categorización biométrica tiene que informar a las personas afectadas.

Hay un único respiro aquí: el marcado técnico del contenido sintético, el que debe ser legible por máquina, tiene una prórroga de cuatro meses para los sistemas que ya estaban en el mercado antes del 2 de agosto. Vence el 2 de diciembre de 2026. Quedan 120 días.

El desfase que nadie comenta

Hay un dato que ordena bien todo lo anterior. El régimen de multas del reglamento lleva operativo desde el 2 de agosto de 2025, hace 367 días. Las obligaciones de alto riesgo que ese régimen está diseñado para hacer cumplir no llegarán hasta dentro de 485 días. Entre una cosa y otra hay 852 días en los que la maquinaria sancionadora existe y buena parte del contenido sustantivo todavía no.

Eso no significa que no se pueda multar a nadie. Se puede, y por dos vías. La primera son las prácticas prohibidas, en vigor desde febrero de 2025: puntuación social, extracción masiva de imágenes faciales, reconocimiento de emociones en el trabajo y en la educación. Ahí la multa llega a 35 millones de euros o el 7% de la facturación mundial, la que sea mayor. La segunda, desde el lunes, son las obligaciones de transparencia y las multas que la Comisión puede imponer directamente a los proveedores de modelos de propósito general, con techo de 15 millones o el 3%.

Para pymes y start-ups el reglamento aplica el criterio inverso: se toma el importe o el porcentaje que resulte menor, no el mayor. Es una diferencia sustancial que suele perderse en los titulares sobre multas de 35 millones.

La parte española, todavía sin cerrar

Aquí conviene bajar el tono. El reglamento europeo es directamente aplicable, pero deja a cada Estado montar su régimen sancionador para lo que no cubre y designar a las autoridades que vigilan. En España ese desarrollo sigue en el Congreso: el proyecto de ley orgánica de gobernanza de la IA se publicó en junio de 2026 y no está aprobado. Reproduce los tramos europeos y añade uno propio para infracciones leves, pero mientras no salga, el mapa de quién te inspecciona y por qué no está cerrado del todo.

El caso más claro de este limbo es la obligación de alfabetización en IA, en vigor desde febrero de 2025: todas las empresas que usan IA deben garantizar un nivel mínimo de formación en su plantilla. Es una obligación real y lleva 548 días vigente, pero la sanción concreta depende del régimen nacional que todavía no existe. Cumplirla es barato; explicar por qué no se cumplió, en cuanto haya inspecciones, no lo será.

El "pero" de esta matriz

Dos advertencias honestas. La primera: la fecha de la nueva prohibición sobre generación de imágenes íntimas no consentidas y material de abuso infantil. El texto publicado en el diario oficial, en la parte que hemos podido consultar, no fija una fecha de aplicación distinta de forma explícita, mientras que varios análisis jurídicos independientes coinciden en situarla el 2 de diciembre de 2026. Hemos usado esa fecha por convergencia de fuentes, pero es el dato de toda la tabla que menos podemos garantizar.

La segunda: esta matriz es un mapa de exposición, no un dictamen. Clasificar un sistema concreto como de alto riesgo o no depende de matices que solo se resuelven caso por caso, y la propia reforma ha estrechado la definición de componente de seguridad para excluir los usos de mera asistencia u optimización. Si tu sistema está en la frontera, esta tabla te dice dónde mirar, no qué eres.

Metodología

Hemos partido del texto del Reglamento (UE) 2024/1689 y de la reforma que lo modifica, el Reglamento (UE) 2026/1744, publicado en el diario oficial el 24 de julio de 2026, para extraer las fechas de aplicación artículo por artículo y los importes de las multas. Sobre esa base hemos construido algo que el texto legal no ofrece: una traducción de cada obligación a una situación empresarial reconocible —tener un chatbot, cribar currículums, vender una máquina con IA dentro— con su rol correspondiente en el reglamento. Los días transcurridos y los días restantes están calculados a 4 de agosto de 2026. El mapeo situación-artículo, los cómputos de días y el cálculo de los aplazamientos son elaboración propia de Miuranews; las fechas, los artículos y los importes son dato de fuente.

GonzaloFundador

Madrileño enganchado a la tecnología desde pequeño. Trabajo en finanzas pero la inteligencia artificial es lo que me quita el sueño. Creé Miuranews para seguirla de cerca y contarla en español sin hype.

Todos sus artículos →