La ley de IA que ya está aquí: qué cambia en agosto de 2026

Qué es la ley de IA de la Unión Europea

La Ley de Inteligencia Artificial (oficialmente Reglamento (UE) 2024/1689) es la primera legislación integral del mundo que regula el desarrollo, la comercialización y el uso de sistemas de inteligencia artificial. Aprobada por el Parlamento Europeo y el Consejo el 13 de junio de 2024, publicada en el Diario Oficial el 12 de julio de 2024 y en vigor desde el 1 de agosto de 2024, establece un marco basado en el riesgo: cuanto mayor es el peligro para la salud, la seguridad o los derechos fundamentales, más estrictas son las obligaciones.

Su ámbito es extraterritorial: aplica a cualquier sistema de IA comercializado o utilizado en la UE, sin importar dónde esté ubicado el proveedor. Esto significa que una empresa estadounidense, china o de cualquier otro país que ofrezca servicios de IA a ciudadanos europeos queda sujeta a la norma.

La supervisión se reparte entre la Oficina Europea de Inteligencia Artificial (dependiente de la Comisión, responsable de los modelos de propósito general), las autoridades nacionales de cada Estado miembro y, en España, la AESIA (Agencia Española de Supervisión de Inteligencia Artificial).

Por qué ahora: el 2 de agosto de 2026 y el Ómnibus Digital

La Ley de IA no se aplica de golpe: lo hace por fases. La fecha clave que marca un antes y un después es el 2 de agosto de 2026, cuando entran en vigor las obligaciones de transparencia del artículo 50, los poderes de ejecución de la Oficina de IA y el grueso del régimen sancionador.

Pero hay una novedad reciente que cambia el tablero: el Reglamento (UE) 2026/1744, conocido como Ómnibus Digital de IA, adoptado por el Consejo el 29 de junio de 2026, publicado en el Diario Oficial el 24 de julio de 2026 y en vigor desde el 27 de julio de 2026. Esta norma, parte del séptimo paquete ómnibus de simplificación europea, reescribe plazos y suaviza requisitos, pero no elimina obligaciones.

El error más caro que cometen muchas empresas es interpretar el Ómnibus como un «aplazamiento total». No lo es: lo que se aplaza es la parte de alto riesgo, mientras que la transparencia, las sanciones y las obligaciones de los modelos de propósito general ya están activas.

Los cuatro niveles de riesgo

La Ley clasifica los sistemas de IA en cuatro categorías:

• Riesgo inaceptable (prohibido): manipulación subliminal, explotación de vulnerabilidades, puntuación social, evaluación predictiva de delitos basada solo en perfiles, extracción masiva de imágenes para reconocimiento facial, reconocimiento de emociones en el trabajo y la educación, categorización biométrica por datos sensibles e identificación biométrica remota en tiempo real en espacios públicos. Estas prohibiciones están activas desde el 2 de febrero de 2025.
• Alto riesgo: sistemas usados en educación, empleo y selección de personal, servicios esenciales, banca, sanidad, infraestructuras críticas, migración y justicia. Deben cumplir requisitos estrictos: gestión de riesgos, gobernanza de datos, documentación técnica, registro de actividad, supervisión humana, robustez y ciberseguridad, evaluación de conformidad y marcado CE.
• Riesgo limitado (transparencia): chatbots, asistentes virtuales, contenido sintético y deepfakes. Obligación de informar de que se interactúa con una máquina y de etiquetar el contenido generado por IA.
• Riesgo mínimo o nulo: la gran mayoría de los sistemas actuales (filtros de spam, videojuegos con IA). Sin obligaciones específicas.

El calendario actualizado tras el Ómnibus Digital

Además, el Ómnibus recorta a la mitad el período de transición para aplicar soluciones de transparencia a contenidos generados artificialmente (de seis a tres meses) y aplaza al 2 de agosto de 2027 la obligación de que las autoridades nacionales establezcan espacios controlados de pruebas (sandboxes) para la IA.

Qué obliga la transparencia desde agosto de 2026

El artículo 50 afecta a más organizaciones que casi cualquier otra disposición, porque no se limita a los sistemas de alto riesgo. Aplica a cualquier sistema de IA usado en cuatro situaciones:

• Interacción directa con personas: los chatbots y asistentes virtuales deben informar de que se está hablando con una máquina. Los agentes de IA también entran en esta categoría.
• Generación de contenido sintético: los sistemas que producen audio, imagen, vídeo o texto deben marcar los resultados en formato legible por máquina para que puedan detectarse como generados artificialmente.
• Reconocimiento de emociones y categorización biométrica: los operadores deben informar a las personas expuestas.
• Deepfakes y texto de interés público: debe revelarse que el contenido ha sido generado o manipulado artificialmente, salvo que haya pasado por revisión humana y responsabilidad editorial.

La obligación de marcar el contenido se aplica también a los sistemas de código abierto, que no están exentos. Los sistemas ya en el mercado antes del 2 de agosto de 2026 tienen hasta el 2 de diciembre de 2026 para cumplir con el marcado legible por máquina.

Sanciones: cuánto cuesta incumplir

El régimen sancionador del artículo 99 es el más severo de la regulación digital europea, por encima incluso del RGPD:

• Prácticas prohibidas: hasta 35 millones de euros o el 7 % de la facturación mundial anual, lo que sea mayor.
• Incumplimiento de obligaciones de modelos GPAI: hasta 15 millones o el 3 % de la facturación mundial.
• Otras infracciones de sistemas de IA: hasta 7,5 millones o el 1 % de la facturación mundial.
• No responder a solicitudes de información: multas adicionales, con los mismos topes según el tipo de infracción.

La Oficina de IA dispone de poderes de investigación (solicitudes de información, evaluaciones de modelos, inspecciones) y de sanción, y ha puesto en marcha herramientas de denuncia y de alerta para ciudadanos y empleados.

España: la AESIA y el contexto nacional

En España, la autoridad competente es la AESIA, la Agencia Española de Supervisión de Inteligencia Artificial, organismo público encargado de garantizar el uso ético y seguro de la IA y de supervisar que entidades públicas y privadas cumplan la normativa. La agencia ya publica guías divulgativas sobre los derechos de transparencia del artículo 50 y coordina la supervisión con la Oficina Europea de IA.

El panorama global: UE, Estados Unidos y China

La Ley de IA europea no existe en el vacío. En 2026 conviven tres modelos regulatorios muy distintos:

• Unión Europea: el marco más prescriptivo del mundo, con cuatro niveles de riesgo y las multas más altas de la historia de la regulación tecnológica.
• Estados Unidos: sin una ley federal de IA. La Orden Ejecutiva 14365 (diciembre de 2025) y su continuación de junio de 2026 establecen marcos voluntarios y buscan frenar la regulación estatal. En paralelo, los estados legislan por su cuenta: 145 leyes estatales aprobadas en 2025 y más de 1.500 proyectos de ley en el primer semestre de 2026. La única ley federal específica es la Take It Down Act, sobre deepfakes no consentidos.
• China: sin una ley unificada, pero con un sistema de capas de medidas administrativas. Su administración de ciberseguridad registra 868 servicios de IA generativa (abril de 2026), el único registro nacional público de este tipo en el mundo.

Para una empresa que opera internacionalmente, esto significa tres marcos de cumplimiento incompatibles entre sí y un mismo sistema de IA expuesto a los tres.

Errores comunes al preparar el cumplimiento

• Confundir el aplazamiento parcial con uno total: el Ómnibus retrasa el alto riesgo, pero la transparencia, las sanciones y las obligaciones GPAI ya están activas. Desacelerar todo por el «más tiempo» es el error más caro.
• Delegar todo en el departamento legal: la Ley de IA es un reglamento técnico-operativo; se cumple desde el diseño del producto, no desde el contrato.
• No hacer inventario de activos de IA: sin saber qué sistemas se usan y en qué categoría de riesgo caen, no se puede planificar nada.
• Ignorar la alfabetización en IA (artículo 4): la obligación de formar al personal que diseña, opera o supervisa sistemas de IA es de las más citadas en los verificadores de cumplimiento.
• No revisar los contratos con proveedores de modelos: si tu empresa integra un modelo de propósito general de terceros, las cláusulas de cumplimiento deben estar revisadas.
• Olvidar el registro de incidentes: la notificación de fallos graves a la autoridad nacional es obligatoria y su ausencia agrava las sanciones.

Resumen práctico

• La Ley de IA (Reglamento UE 2024/1689) es la primera regulación integral del mundo y aplica a cualquier sistema usado en la UE, venga de donde venga.
• El 2 de agosto de 2026 entran en vigor la transparencia (art. 50), los poderes de ejecución y el régimen sancionador: hasta 35 millones o el 7 % de la facturación mundial.
• El Ómnibus Digital (Reglamento UE 2026/1744) aplaza el alto riesgo a diciembre de 2027 y agosto de 2028, pero no toca la transparencia ni las sanciones.
• Los chatbots deben avisar de que son IA, los deepfakes deben etiquetarse y el contenido sintético debe marcarse de forma legible por máquina.
• En España supervisa la AESIA; en Europa, la Oficina de IA de la Comisión.
• Checklist básico: inventario de sistemas, clasificación de riesgo, política interna, formación (AI literacy), transparencia, evaluación de riesgo, registro de incidentes y revisión de contratos con proveedores.
• Estados Unidos y China siguen modelos distintos: sin ley federal en el primer caso, con capas administrativas en el segundo. Tres marcos, tres cargas de cumplimiento.

Referencias externas:

• Comisión Europea — AI Act (marco regulatorio)
• Comisión Europea — Marco de ejecución de la Ley de IA
• Consejo de la UE — Luz verde al Ómnibus Digital de IA (29 jun 2026)
• Garrigues — Publicado el Reglamento de Ómnibus Digital de IA
• Parlamento Europeo — EU AI Act: primera regulación de IA
• EU AI Act — Guía práctica del artículo 50
• AESIA — Agencia Española de Supervisión de IA
• AI Act Service Desk — Plataforma única de información