Fechas clave del AI Act 2026-2027: calendario regulatorio actualizado
El Reglamento (UE) 2024/1689 tiene un calendario de aplicación escalonado que muchas empresas interpretan como una única fecha de agosto de 2026. La realidad es más compleja y, con el Digital Omnibus de mayo de 2026, algunos plazos han cambiado. Este artículo desglosa todas las fechas clave del AI Act, qué obliga exactamente cada una y qué debe hacer tu empresa en cada hito.
Índice de fechas
- 2 de febrero de 2025 — Prohibiciones y alfabetización en IA
- 2 de agosto de 2025 — GPAI y gobernanza institucional
- 2 de agosto de 2026 — Transparencia y sistema de gobernanza
- 2 de diciembre de 2027 — ⚠️ Nuevo plazo para sistemas de alto riesgo (Anexo III)
- 2 de agosto de 2027 — Sistemas embebidos en productos regulados (Anexo I)
2 de febrero de 2025 — Prohibiciones y alfabetización en IA
Este fue el primer hito del AI Act con aplicación efectiva. Ya está en vigor desde hace más de un año, pero muchas empresas todavía no lo han implementado completamente.
Qué entró en vigor
Artículo 5 — Prohibiciones de prácticas de IA inaceptables:
- Sistemas de manipulación subliminal que exploten vulnerabilidades de personas.
- Social scoring por parte de autoridades públicas.
- Identificación biométrica en tiempo real en espacios públicos por fuerzas de seguridad (con excepciones muy tasadas).
- Inferencia de emociones en entornos laborales y educativos.
- Categorización biométrica para deducir raza, opiniones políticas, creencias religiosas o datos biométricos sensibles.
Artículo 4 — Obligación de alfabetización en IA:
Proveedores y desplegadores deben garantizar que el personal que trabaja con sistemas de IA tenga un nivel suficiente de conocimiento sobre su funcionamiento, capacidades y limitaciones. No basta con enviar un PDF — la formación debe ser documentada, adaptada al rol y verificable.
Qué debe haber hecho ya tu empresa
- Inventario de sistemas de IA — saber qué sistemas usas y quién los usa.
- Verificación de sistemas prohibidos — si tienes alguno, ya debería estar retirado.
- Programa de alfabetización en IA — formación documentada, aunque sea básica.
2 de agosto de 2025 — GPAI y gobernanza institucional
El segundo hito activó el régimen para modelos de propósito general (GPAI) y la gobernanza institucional. También ya está en vigor.
Qué entró en vigor
Capítulo V — Obligaciones para proveedores de GPAI:
- Documentación técnica actualizada (arquitectura, datos de entrenamiento, rendimiento).
- Respeto a la normativa de derechos de autor en los datos de entrenamiento.
- Publicación de resúmenes de los contenidos usados en el entrenamiento.
- Políticas de uso aceptable para los usuarios.
- Para modelos con riesgo sistémico: evaluaciones de riesgos, reporte de incidentes y medidas de ciberseguridad adicionales.
Gobernanza institucional:
- AI Office — plenamente operativo, con competencias exclusivas sobre GPAI.
- Estados miembros — deben tener designadas sus autoridades de mercado y poderes sancionadores.
Qué debe haber hecho ya tu empresa
- Si desarrollas GPAI: documentación técnica actualizada y publicada.
- Si usas GPAI de terceros: revisa que tus proveedores cumplen con el Capítulo V.
- En España: la AESIA ya está operativa desde 2024. No es un escenario futuro — existe y tiene mandato.
2 de agosto de 2026 — Transparencia y sistema de gobernanza
Este es el hito que más empresas están mirando. Aunque no incluye los requisitos completos de alto riesgo (que se han aplazado a diciembre de 2027), sí activa obligaciones importantes que muchas organizaciones están subestimando.
Qué entra en vigor
Artículo 50 — Obligaciones de transparencia para sistemas de IA:
- Los chatbots deben informar de que el usuario está interactuando con un sistema de IA.
- Los contenidos generados por IA (deepfakes, imágenes, texto) deben estar etiquetados como generados artificialmente.
- Los sistemas de IA generativa deben informar cuando generan contenido que puede ser percibido como auténtico.
Artículo 72 — Sistema de gobernanza del AI Act:
- La Comisión puede adoptar actos de ejecución y actos delegados.
- Los Estados miembros deben haber establecido sus regímenes sancionadores.
- Las autoridades de mercado (en España, la AESIA) tienen plenos poderes de inspección y sanción.
Qué debe hacer tu empresa para agosto de 2026
- Revisar todos los puntos de interacción con usuarios donde haya un sistema de IA.
- Implementar avisos de transparencia en chatbots, asistentes virtuales y contenido generado por IA.
- Documentar la implementación de estos avisos para poder demostrarlo ante una inspección de la AESIA.
⚠️ 2 de diciembre de 2027 — Nuevo plazo para sistemas de alto riesgo (Anexo III)
Este es el cambio más relevante del Digital Omnibus de mayo de 2026. El plazo original del 2 de agosto de 2026 para sistemas de alto riesgo del Anexo III se ha ampliado al 2 de diciembre de 2027.
Qué exige el régimen de alto riesgo (arts. 8-15)
Los requisitos para sistemas de IA de alto riesgo incluyen:
- Art. 9: Sistema de gestión de riesgos de IA documentado y actualizado.
- Art. 10: Gobernanza de datos sobre datasets de entrenamiento: origen, transformaciones, criterios de selección y métricas de calidad.
- Art. 11: Documentación técnica completa antes del despliegue (Anexo IV).
- Art. 12: Registro automático de eventos durante el ciclo de vida del sistema.
- Art. 13: Transparencia e información al usuario.
- Art. 14: Supervisión humana efectiva y verificable.
- Art. 15: Precisión, robustez y ciberseguridad.
Qué debe hacer tu empresa ahora
- El trabajo que debería haberse hecho para agosto de 2026 sigue siendo el mismo, solo que con más margen. Aprovecha el tiempo extra, no lo desperdicies.
- El inventario y la clasificación de riesgo son el punto de partida. Sin esto, no puedes avanzar.
- La documentación técnica del Anexo IV es el mayor esfuerzo. Empieza ahora, no en noviembre de 2027.
2 de agosto de 2027 — Sistemas embebidos en productos regulados (Anexo I)
El último gran hito afecta a sistemas de IA incorporados en productos cubiertos por legislación armonizada de la UE: maquinaria, productos sanitarios, vehículos, equipos de radio, juguetes y otros productos regulados por directivas o reglamentos específicos.
Qué entra en vigor
Los sistemas de IA del Anexo I — productos regulados por normativa sectorial:
- Los sistemas de IA que sean componentes de productos ya regulados deben cumplir tanto la normativa sectorial como el AI Act.
- La evaluación de conformidad debe cubrir ambos marcos.
- El plazo es el mismo que el original: agosto de 2027.
Qué debe hacer tu empresa
- Si tu empresa fabrica productos regulados (maquinaria, dispositivos médicos, vehículos, juguetes, etc.), el AI Act se aplica a los componentes de IA de esos productos.
- La evaluación de conformidad debe cubrir ambos marcos — el sectorial y el AI Act.
- El plazo no se ha movido: agosto de 2027 se mantiene.
Resumen: calendario completo del AI Act
¿Qué deben hacer las empresas ahora?
Si no has empezado todavía
- Inventario de sistemas de IA — primero, saber qué hay.
- Clasificación de riesgo — saber qué obligaciones aplican a cada sistema.
- Programa de alfabetización en IA — obligatorio desde febrero de 2025. Si no lo tienes, estás incumpliendo.
Si ya has empezado
- Prioriza el Art. 50 (transparencia) — el plazo de agosto de 2026 no se ha movido.
- Usa el tiempo extra para el Anexo III — documentación técnica, gestión de riesgos, calidad de datos y supervisión humana.
- Revisa los contratos con proveedores de GPAI — asegúrate de que cumplen con el Capítulo V.
Preguntas frecuentes sobre las fechas del AI Act
¿El plazo del AI Act se ha aplazado realmente?
Parcialmente. El Digital Omnibus de mayo de 2026 ha ampliado el plazo para los sistemas de alto riesgo del Anexo III al 2 de diciembre de 2027. El resto de fechas se mantienen: el Art. 50 (transparencia) sigue siendo el 2 de agosto de 2026.
¿Qué pasa si no cumplo con el Art. 50 en agosto de 2026?
La AESIA (en España) y las autoridades de mercado de los Estados miembros ya tienen poderes sancionadores desde agosto de 2025. Las multas por incumplimiento del Art. 50 pueden alcanzar los 15 millones de euros o el 3% de la facturación global anual.
¿Qué sistemas son de alto riesgo según el Anexo III?
Ocho categorías: biometría, infraestructuras críticas, educación, empleo y RRHH, acceso a servicios esenciales (crédito, seguros), aplicación de la ley, gestión de fronteras y migración, y administración de justicia y procesos democráticos.
¿Mi empresa tiene que cumplir el AI Act si estamos fuera de la UE?
Sí. El AI Act aplica a cualquier organización que despliegue sistemas de IA en la UE, independientemente de dónde esté establecida. Empresas de EE. UU., China o cualquier otro país que ofrezcan servicios de IA en la UE están obligadas.
¿Qué necesito para empezar a cumplir el AI Act?
El punto de partida es el inventario y la clasificación de riesgo. Sin saber qué sistemas tienes y qué nivel de riesgo tienen, no puedes planificar el cumplimiento. El diagnóstico gratuito de madurez te da una primera evaluación en 5 minutos.
¿En qué nivel de riesgo del AI Act estás?
Diagnóstico gratis con tus gaps prioritarios, más el clasificador de riesgo y la calculadora de ahorro del camino de AI Governance.