Ley de IA en agosto de 2026: qué cambia y qué debe hacer tu empresa

La ley de IA que ya está aquí: qué cambia en agosto de 2026

Qué es la ley de IA de la Unión Europea

La Ley de Inteligencia Artificial (oficialmente Reglamento (UE) 2024/1689) regula el desarrollo, la comercialización y el uso de sistemas de inteligencia artificial, y la Eurocámara la presenta como la primera ley integral sobre IA del mundo. Aprobada por el Parlamento Europeo y el Consejo el 13 de junio de 2024, publicada en el Diario Oficial el 12 de julio de 2024 y en vigor desde el 1 de agosto de 2024, establece un marco basado en el riesgo: cuanto mayor es el peligro para la salud, la seguridad o los derechos fundamentales, más estrictas son las obligaciones.

Su ámbito es extraterritorial: aplica a cualquier sistema de IA comercializado o utilizado en la UE, sin importar dónde esté ubicado el proveedor. Esto significa que una empresa estadounidense, china o de cualquier otro país que ofrezca servicios de IA a ciudadanos europeos queda sujeta a la norma.

La supervisión se reparte entre la Oficina Europea de Inteligencia Artificial (dependiente de la Comisión, responsable de los modelos de propósito general), las autoridades nacionales de cada Estado miembro y, en España, la AESIA (Agencia Española de Supervisión de Inteligencia Artificial).

Por qué ahora: el 2 de agosto de 2026 y el Ómnibus Digital

La Ley de IA no se aplica de golpe: lo hace por fases. La fecha clave que marca un antes y un después es el 2 de agosto de 2026, cuando entran en vigor las obligaciones de transparencia del artículo 50, los poderes de ejecución de la Oficina de IA y el grueso del régimen sancionador.

Pero hay una novedad reciente que cambia el tablero: el Reglamento (UE) 2026/1744, conocido como Ómnibus Digital de IA, adoptado por el Consejo el 29 de junio de 2026, publicado en el Diario Oficial el 24 de julio de 2026 y en vigor desde el 27 de julio de 2026. Esta norma, parte del séptimo paquete ómnibus de simplificación europea, reescribe plazos y suaviza requisitos, pero no elimina obligaciones.

Eso sí, el Ómnibus no es un aplazamiento total: lo que se retrasa es la parte de alto riesgo, mientras que la transparencia, las sanciones y las obligaciones de los modelos de propósito general ya están activas.

Los cuatro niveles de riesgo

La Ley clasifica los sistemas de IA en cuatro categorías:

  • Riesgo inaceptable (prohibido): manipulación subliminal, explotación de vulnerabilidades, puntuación social, evaluación predictiva de delitos basada solo en perfiles, extracción masiva de imágenes para reconocimiento facial, reconocimiento de emociones en el trabajo y la educación, categorización biométrica por datos sensibles e identificación biométrica remota en tiempo real en espacios públicos. Estas prohibiciones están activas desde el 2 de febrero de 2025.
  • Alto riesgo: sistemas usados en educación, empleo y selección de personal, servicios esenciales, banca, sanidad, infraestructuras críticas, migración y justicia. Deben cumplir requisitos estrictos: gestión de riesgos, gobernanza de datos, documentación técnica, registro de actividad, supervisión humana, robustez y ciberseguridad, evaluación de conformidad y marcado CE.
  • Riesgo limitado (transparencia): chatbots, asistentes virtuales, contenido sintético y deepfakes. Obligación de informar de que se interactúa con una máquina y de etiquetar el contenido generado por IA.
  • Riesgo mínimo o nulo: la gran mayoría de los sistemas actuales (filtros de spam, videojuegos con IA). Sin obligaciones específicas.

El calendario actualizado tras el Ómnibus Digital

Obligación Fecha original Fecha actual Estado
Prácticas prohibidas (art. 5) 2 feb 2025 2 feb 2025 Activa
Obligaciones de modelos GPAI (cap. V) 2 ago 2025 2 ago 2025 Activa
Transparencia (art. 50) y poderes de ejecución 2 ago 2026 2 ago 2026 Activa
Marcado de contenido IA (sistemas previos al 2 ago 2026) 2 ago 2026 2 dic 2026 Transitorio
Nuevas prohibiciones: contenido íntimo no consentido y material de abuso sexual infantil (art. 5) — 2 dic 2026 Próxima
Alto riesgo Anexo III (independientes) 2 ago 2026 2 dic 2027 Aplazada
Alto riesgo Anexo I (integrados en productos) 2 ago 2027 2 ago 2028 Aplazada

Además, el Ómnibus aplaza al 2 de agosto de 2027 el plazo para que cada Estado miembro tenga operativo al menos un espacio controlado de pruebas (sandbox) para la IA.

Qué obliga la transparencia desde agosto de 2026

El artículo 50 afecta a más organizaciones que casi cualquier otra disposición, porque no se limita a los sistemas de alto riesgo. Aplica a cualquier sistema de IA usado en cuatro situaciones:

  • Interacción directa con personas: los chatbots y asistentes virtuales deben informar de que se está hablando con una máquina. Los agentes de IA también entran en esta categoría.
  • Generación de contenido sintético: los proveedores de sistemas que producen audio, imagen, vídeo o texto deben marcar los resultados en un formato legible por máquina (marcas de agua, metadatos u otras técnicas) para que pueda detectarse que son artificiales. La obligación no alcanza a las funciones de apoyo a la edición estándar ni a los sistemas que no alteran sustancialmente los datos que aporta quien los usa.
  • Reconocimiento de emociones y categorización biométrica: los operadores deben informar a las personas expuestas.
  • Deepfakes y texto de interés público: quien use la IA para crear o manipular imágenes, audio o vídeo que imitan a personas, lugares o hechos reales y pueden pasar por auténticos debe revelar que son artificiales; si forman parte de una obra manifiestamente creativa, satírica, artística o de ficción, basta con advertirlo sin estropear la obra. Los textos generados o manipulados con IA que se publican para informar sobre asuntos de interés público también deben identificarse, salvo que hayan pasado por revisión humana o control editorial y una persona física o jurídica asuma la responsabilidad editorial. En la práctica, saber detectar bulos e imágenes editadas es la otra cara de la moneda.

La obligación de marcar el contenido se aplica también a los sistemas de código abierto, que no están exentos. Los sistemas ya en el mercado antes del 2 de agosto de 2026 tienen hasta el 2 de diciembre de 2026 para cumplir con el marcado legible por máquina.

Sanciones: cuánto cuesta incumplir

El régimen sancionador (artículos 99 y 101) llega más lejos que el RGPD, cuyo tope es de 20 millones de euros o el 4 % de la facturación:

  • Prácticas prohibidas: hasta 35 millones de euros o el 7 % de la facturación mundial anual, lo que sea mayor.
  • Incumplimiento de las obligaciones de los modelos GPAI o de otras obligaciones de los operadores, incluida la transparencia del artículo 50: hasta 15 millones o el 3 % de la facturación mundial.
  • Información inexacta, incompleta o engañosa a las autoridades: hasta 7,5 millones o el 1 %. En los modelos GPAI, no atender una solicitud de información tiene el mismo tope de 15 millones o el 3 %.

Son topes, no tarifas: la cuantía depende de la naturaleza, la gravedad y la duración de la infracción, del tamaño del infractor y de su cooperación, entre otros factores. En las multas del artículo 99, a las pymes y empresas emergentes se les aplica la menor de las dos cifras (importe o porcentaje), y el Ómnibus extiende esa regla a las pequeñas empresas de mediana capitalización, salvo en las prácticas prohibidas.

La Oficina de IA dispone de poderes de investigación (solicitudes de información, evaluaciones de modelos, inspecciones) y de sanción, y ha puesto en marcha herramientas de denuncia y de alerta para ciudadanos y empleados.

España: la AESIA y el contexto nacional

En España, la principal autoridad competente es la AESIA, la Agencia Española de Supervisión de Inteligencia Artificial, organismo público encargado de garantizar el uso ético y seguro de la IA y de supervisar que entidades públicas y privadas cumplan la normativa. La agencia ya publica guías divulgativas sobre los derechos de transparencia del artículo 50 y coordina la supervisión con la Oficina Europea de IA.

Pero no es la única: el propio reglamento encarga la vigilancia de algunos sistemas de alto riesgo a otros supervisores, como los financieros cuando los usan bancos u otras entidades financieras, o las autoridades de protección de datos (u otras con garantías equivalentes) en ámbitos como la policía, las fronteras o la justicia.

El panorama global: UE, Estados Unidos y China

La Ley de IA europea no existe en el vacío. En 2026 conviven tres modelos regulatorios muy distintos:

  • Unión Europea: el marco más prescriptivo de los tres, con cuatro niveles de riesgo y multas de hasta el 7 % de la facturación mundial.
  • Estados Unidos: sin una ley federal general de IA. La Orden Ejecutiva 14365 (diciembre de 2025) defiende un marco nacional «mínimamente gravoso» y crea un grupo de trabajo del Departamento de Justicia para impugnar las leyes estatales que choquen con esa política. En paralelo, los estados legislan por su cuenta: según el seguimiento de MultiState, aprobaron 145 leyes sobre IA en 2025, y en marzo de 2026 ya sumaban más de 1.500 proyectos presentados en el año. En el plano federal, la Take It Down Act (mayo de 2025) castiga la difusión intencionada de imágenes íntimas no consentidas, incluidos los deepfakes, y obliga a las plataformas a retirarlas.
  • China: sin una ley unificada, pero con un sistema de capas de medidas administrativas. Entre ellas, un registro de servicios de IA generativa ante la Administración del Ciberespacio, que publica periódicamente la lista de nuevos servicios inscritos.

Para una empresa que opera internacionalmente, esto significa tres marcos de cumplimiento incompatibles entre sí y un mismo sistema de IA expuesto a los tres.

Errores comunes al preparar el cumplimiento

  • Confundir el aplazamiento parcial con uno total: frenar todo el proyecto de cumplimiento por tener «más tiempo» es el error más caro, porque el aplazamiento afecta sobre todo al alto riesgo.
  • Delegar todo en el departamento legal: la Ley de IA es un reglamento técnico-operativo; se cumple desde el diseño del producto, no desde el contrato.
  • No hacer inventario de activos de IA: sin saber qué sistemas se usan y en qué categoría de riesgo caen, no se puede planificar nada.
  • Ignorar la alfabetización en IA (artículo 4): la obligación de formar al personal que diseña, opera o supervisa sistemas de IA es de las más citadas en los verificadores de cumplimiento.
  • No revisar los contratos con proveedores de modelos: si tu empresa integra un modelo de propósito general de terceros, las cláusulas de cumplimiento deben estar revisadas.
  • Olvidar el registro de incidentes: la notificación de fallos graves a la autoridad nacional es obligatoria y su ausencia agrava las sanciones.

Preguntas frecuentes

¿La ley de IA afecta a mi empresa si solo uso un chatbot?

Sí. Desde el 2 de agosto de 2026, cualquier sistema que interactúe con personas (chatbots, asistentes virtuales, agentes de voz) debe informar de que es una IA, salvo que resulte evidente por el contexto. La obligación aplica a cualquier sistema usado en la UE, venga de donde venga.

¿Tengo que etiquetar los textos que escribo con ayuda de IA?

Solo si el texto se publica para informar al público sobre asuntos de interés público, y ni siquiera entonces si ha pasado por una revisión humana o un control editorial y alguien, sea una persona o una empresa, responde editorialmente de su publicación. El marcado legible por máquina es otra obligación: recae en los proveedores de las herramientas de IA, no en quien escribe.

¿Cuánto cuesta incumplir la Ley de IA?

Depende de la infracción, y las cifras son topes. Las prácticas prohibidas pueden acarrear multas de hasta 35 millones de euros o del 7 % del volumen de negocio mundial; incumplir otras obligaciones, como la transparencia del artículo 50 o las de los modelos de propósito general, hasta 15 millones o el 3 %; y dar información inexacta o engañosa a las autoridades, hasta 7,5 millones o el 1 %. En el caso de las pymes, se aplica la menor de las dos cifras.

¿La ley se aplica a empresas de fuera de la UE?

Sí. Basta con que el sistema de IA se comercialice o se use en la UE, aunque el proveedor tenga su sede fuera. Una compañía de Estados Unidos o de China que venda servicios de IA en Europa tiene que cumplirla igual que una europea.

¿Qué aplaza el Ómnibus Digital y qué no?

Aplaza las obligaciones de alto riesgo (Anexo III a diciembre de 2027 y Anexo I a agosto de 2028). No retrasa, en cambio, la transparencia del artículo 50, el régimen de multas ni las obligaciones de los modelos GPAI, que ya se aplican. La única concesión en transparencia es un margen para el marcado: los sistemas generativos ya comercializados pueden cumplirlo hasta el 2 de diciembre de 2026.

Resumen práctico

  • La Ley de IA (Reglamento UE 2024/1689), primera ley integral de IA del mundo según la Eurocámara, rige para todo sistema que se use en la UE, sea cual sea su origen.
  • El 2 de agosto de 2026 entran en vigor la transparencia (art. 50), los poderes de ejecución y el régimen sancionador: hasta 35 millones o el 7 % de la facturación mundial.
  • El Ómnibus Digital (Reglamento UE 2026/1744) aplaza el alto riesgo a diciembre de 2027 y agosto de 2028, pero mantiene la transparencia y las sanciones; solo el marcado de los generadores de contenido que ya estaban en el mercado tiene margen hasta diciembre de 2026.
  • Los chatbots deben avisar de que son IA, los deepfakes deben etiquetarse y el contenido sintético debe marcarse de forma legible por máquina.
  • En España la autoridad principal es la AESIA, junto a supervisores sectoriales en algunos casos; en Europa, la Oficina de IA de la Comisión.
  • Checklist básico: inventario de sistemas, clasificación de riesgo, política interna, formación (AI literacy), transparencia, evaluación de riesgo, registro de incidentes y revisión de contratos con proveedores.
  • Estados Unidos y China siguen modelos distintos: sin ley federal general en el primer caso, con capas administrativas en el segundo. Tres marcos, tres cargas de cumplimiento.

Referencias externas:

Este artículo es divulgativo y no constituye asesoramiento jurídico. La normativa sigue evolucionando, así que conviene comprobar el texto vigente en EUR-Lex. Para casos concretos, consulta con un profesional especializado.

Chloe

Modelos: glm-5.2, Deepseek V4 y Qwen 3.5 + x/flux2-klein:9b

Estupidez Artificial es un blog experimental escrito con distintos modelos de inteligencia artificial
(Revisión humana posterior).