Las obligaciones más exigentes de la Ley de IA de la UE para los operadores de sistemas de IA de alto riesgo se han aplazado a 2027 y 2028. El Ómnibus Digital sobre IA, Reglamento (UE) 2026/1744, se publicó en el Diario Oficial el 24 de julio de 2026 y está en vigor desde el 27 de julio de 2026. Modificó el art. 113 de la Ley de IA y fijó dos fechas nuevas: el 2 de diciembre de 2027 para los sistemas autónomos de alto riesgo del anexo III y el 2 de agosto de 2028 para la IA integrada en productos regulados del anexo I. Los motivos alegados fueron la complejidad de la implementación y la ausencia de normas armonizadas definitivas que los operadores y los organismos de evaluación de la conformidad necesitan para cumplir.
Para las pymes, esto significa más tiempo. La pregunta estratégica no es si aprovechar ese tiempo, sino cómo. Y el aplazamiento es acotado: el 2 de agosto de 2026 entraron en vigor, según lo previsto y sin verse afectadas por la prórroga, las obligaciones de transparencia del art. 50 y la facultad de la Comisión de multar a los proveedores de IA de propósito general conforme al art. 101.
Stand: 2026-08-11. Novedad respecto a la versión anterior de esta página: lo que a mediados de 2026 era un acuerdo político anunciado es ahora derecho vigente, el Reglamento (UE) 2026/1744 está en vigor desde el 27 de julio de 2026, y el hito del 2 de agosto de 2026 ya ha pasado, con las obligaciones de alto riesgo aplazadas pero la transparencia y la aplicación sobre GPAI ya vigentes.
Qué sigue en vigor y qué está cambiando
Según nuestra interpretación del panorama legislativo actual, lo siguiente permanece plenamente en vigor:
- Prácticas prohibidas (Art. 5, desde febrero de 2025): Las prohibiciones de vigilancia biométrica en tiempo real en espacios públicos, la puntuación social y determinadas técnicas manipuladoras siguen en pie y no se ven afectadas por ningún aplazamiento.
- Obligaciones GPAI (vigentes desde agosto de 2025, exigibles desde agosto de 2026): Los requisitos de transparencia y documentación para proveedores de modelos de IA de propósito general están vigentes, confirmados por las directrices publicadas por la Comisión Europea. Afectan principalmente a desarrolladores de modelos, los grandes laboratorios de IA, no a las pymes como operadoras.
- Obligaciones para operadores de sistemas de alto riesgo (Anexo III): Estaban previstas para el 2 de agosto de 2026 en la mayoría de las categorías. El Reglamento (UE) 2026/1744 las desplazó al 2 de diciembre de 2027 para los sistemas autónomos del anexo III y al 2 de agosto de 2028 para la IA integrada en productos regulados del anexo I.
La conclusión práctica: las organizaciones que se preparaban para agosto de 2026 ganan margen. Las que aún no han comenzado no deben interpretar el aplazamiento como una autorización para seguir esperando, las evaluaciones de conformidad, los sistemas de gestión de riesgos y la documentación técnica requieren meses de preparación.
Qué pymes están expuestas a obligaciones de alto riesgo
Muchos responsables de pymes asumen que la IA de alto riesgo es un problema de grandes corporaciones. Vale la pena revisar esa suposición. El Anexo III de la Ley de IA incluye categorías habituales en el día a día de las pymes:
- IA en recursos humanos, cribado automatizado de currículums, herramientas de clasificación o puntuación de candidatos con IA
- IA en crédito y evaluación financiera, herramientas de scoring crediticio, incluyendo productos SaaS utilizados por fintechs y prestamistas de menor tamaño
- IA en infraestructuras críticas, sistemas de gestión de redes de energía, abastecimiento de agua o transporte
- IA en educación y formación profesional, evaluación automatizada de exámenes, procesos de admisión gestionados por IA
Una pyme que utiliza una herramienta SaaS de selección de personal que filtra o clasifica candidaturas probablemente opera un sistema de IA de alto riesgo bajo este marco. Cuando las obligaciones del Anexo III sean exigibles, esa pyme deberá contar con sistemas de gestión de riesgos documentados, documentación técnica, procesos de supervisión humana y evaluaciones de conformidad completadas.
En cambio, una pyme que ejecuta un LLM local para consultas internas de bases de conocimiento, resúmenes de documentos o apoyo en redacción generalmente queda fuera del ámbito del Anexo III, siempre que no se tomen decisiones automatizadas con impacto significativo sobre personas físicas. Sin decisión administrativa automatizada, sin efecto relevante sobre una persona: en la mayoría de los casos, sin clasificación de alto riesgo. Esta es una ventaja regulatoria estructural de la infraestructura de IA local, independiente del argumento de protección de datos.
Descubre qué pueden hacer los sistemas de IA local para tu empresa: /local-ai.html.
El Ómnibus Digital: la norma que movió los plazos
El aplazamiento no llegó solo. Llegó a través del Ómnibus Digital sobre IA, Reglamento (UE) 2026/1744, la primera modificación sustantiva de la Ley de IA desde su adopción en 2024. El paquete estaba diseñado originalmente para crear más margen para el desarrollo de IA dentro del RGPD, incluyendo reglas más flexibles para el procesamiento de datos de entrenamiento. Según nuestra interpretación, varias de esas propuestas iniciales se acotaron durante el proceso legislativo antes de que el texto se aprobara definitivamente el 8 de julio de 2026.
La conclusión práctica para las pymes: no contar con una relajación del RGPD para casos de uso de IA. La protección de datos sigue siendo la limitación más estricta, con independencia de lo que finalmente contenga el Ómnibus.
Por qué la IA en la nube sigue siendo estructuralmente arriesgada
El aplazamiento de la Ley de IA no toca el RGPD. Los LLMs en la nube alojados fuera de la UE, con independencia de los acuerdos contractuales, siguen sujetos a las leyes de sus jurisdicciones de origen, que en algunos casos permiten el acceso de las autoridades a los datos almacenados. Las decisiones de adecuación de la UE pueden revocarse políticamente; las cláusulas contractuales tipo no protegen frente a demandas de acceso extraterritorial.
Los LLMs locales, ejecutados en hardware propio dentro de la red de la empresa, eliminan estos riesgos de forma estructural: sin transferencia de datos, sin procesamiento por terceros, sin exposición a cambios en los acuerdos bilaterales de protección de datos. Para profundizar en qué significa la soberanía de datos en la práctica: /data-sovereignty.html.
Cuatro pasos que las pymes pueden dar ahora
Un plazo revisado es una oportunidad. Así es como aprovecharlo:
1. Crear un inventario de IA
¿Qué sistemas de IA están en uso? ¿Qué decisiones toman y con qué impacto sobre personas, empleados, candidatos, clientes o usuarios finales? Un inventario honesto es la base de cualquier postura de cumplimiento e identifica riesgos con independencia de los plazos regulatorios.
2. Verificar la aplicabilidad del Anexo III
¿Algún sistema del inventario cae en una categoría de alto riesgo? Si es así: las evaluaciones de conformidad y los sistemas de gestión de riesgos requieren un tiempo de preparación que se mide en meses, no en días. Empezar ahora significa llegar a 2027 preparado, no con prisas.
3. Migrar cargas de trabajo a infraestructura local
Los operadores de sistemas de IA local tienen ventajas estructurales para cumplir las obligaciones del operador: control total sobre la configuración del sistema, los registros y las pistas de auditoría. Las dependencias de la nube hacen que los requisitos de documentación y supervisión humana sean significativamente más difíciles y costosos de cumplir.
4. Comenzar a documentar hoy
Incluso para sistemas de IA que no son de alto riesgo: documenta qué modelo se ejecuta, dónde, para qué fin y con qué datos. En dieciocho meses, reconstruir esa información costará mucho más que crearla hoy. La buena documentación de gobernanza de IA es un activo duradero.
Si tu empresa puede acogerse a la subvención Kit Digital para financiar la implantación de IA local, puedes consultar cómo en /kit-digital.html.
Freshlab ayuda a las pymes a construir infraestructura LLM local que sea robusta desde el punto de vista regulatorio y escalable operativamente. Nuestro proyecto piloto ofrece un entorno de IA local funcional en seis semanas, sin nube, sin dependencia de proveedor, con capacidad de auditoría desde el primer día.
Conclusión
El aplazamiento de las obligaciones de alto riesgo de la Ley de IA de la UE hasta 2027-2028 da a las pymes más margen. No cambia el RGPD, y no cambia la lógica estratégica de construir infraestructura de IA local y soberana. Las organizaciones que aprovechen este tiempo para construir un inventario, detectar exposición de alto riesgo y migrar a infraestructura local estarán significativamente mejor posicionadas que quienes traten el aplazamiento como un permiso para seguir esperando.
¿Quieres saber cómo te afecta la Ley de IA de la UE? Contáctanos y te ayudamos a evaluar tu exposición e identificar los próximos pasos.
Preguntas frecuentes
¿Cuándo se aplican de verdad las obligaciones de alto riesgo?
Desde el 2 de diciembre de 2027 para los sistemas autónomos del anexo III y desde el 2 de agosto de 2028 para la IA integrada en productos regulados del anexo I. Ambas fechas provienen del Reglamento (UE) 2026/1744, que modificó el art. 113.
¿El aplazamiento afecta a todo el Reglamento de IA?
No. Afecta al capítulo III, secciones 1 a 3, es decir al grueso de las obligaciones de alto riesgo. La alfabetización, las prácticas prohibidas, la transparencia, la gobernanza y el régimen sancionador mantienen sus fechas.
¿Desde cuándo se aplican la supervisión y las sanciones?
Desde el 2 de agosto de 2025. El capítulo VII con las autoridades nacionales y el capítulo XII con las sanciones se aplican desde esa fecha por el art. 113, párrafo tercero, letra b, que el Ómnibus no tocó. Queda fuera el art. 101, las multas de la Comisión a proveedores GPAI, que rigen desde el 2 de agosto de 2026.
¿Un LLM local de uso interno es de alto riesgo?
Por lo general no. El anexo III enumera usos concretos como selección de personal, solvencia, biometría o infraestructuras críticas. La búsqueda documental interna, los resúmenes de reuniones o la redacción de textos no aparecen ahí.