Maurice Müller
Senior Content Manager
Maurice Müller es periodista y estratega de contenidos con experiencia en medios impresos y digitales. En Formalize, traduce temas complejos de cumplimiento y regulación en contenido claro y práctico para profesionales del cumplimiento, riesgos y seguridad de toda Europa.
Puntos clave
Las obligaciones para sistemas de IA de alto riesgo independientes (stand-alone) se posponen de agosto de 2026 a diciembre de 2027. Para la IA integrada en productos regulados, se trasladan a agosto de 2028.
Los modelos de IA de uso general (GPAI), los casos de uso prohibidos en general y las obligaciones generales de transparencia se siguen aplicando según el calendario original. Únicamente se han ajustado los requisitos de marca de agua del Art. 50(2), con un periodo de gracia hasta el 2 de diciembre de 2026 para los sistemas que ya están en el mercado.
Solo entre el 5 % y el 15 % de los sistemas de IA implantados en las organizaciones entran dentro del ámbito de aplicación de la Ley de IA de la UE, pero normativas adyacentes como el RGPD, NIS2 y DORA siguen aplicándose al resto.
El retraso responde a la ausencia de normas técnicas armonizadas ya finalizadas, no a una reducción de las exigencias regulatorias.
La inacción no es una estrategia: las labores de inventario, clasificación y gobernanza ya deberían estar en marcha.
¿Qué es la Ley de IA de la UE?
La Ley de IA de la UE (Reglamento (UE) 2024/1689) es una normativa de seguridad de productos que define requisitos específicos para los modelos y sistemas de IA implantados en la Unión Europea. Constituye el primer marco regulatorio global para la IA en Europa y se aplica directamente en todos los Estados miembros, a diferencia de una directiva, que requiere transposición nacional.
La Ley adopta un enfoque basado en el riesgo, dividiendo los sistemas de IA en cuatro niveles: riesgo inaceptable (prohibidos), riesgo alto, riesgo limitado y riesgo mínimo. La mayoría de las obligaciones de cumplimiento se concentran en la categoría de alto riesgo.
Uno de los errores más comunes que cometen las organizaciones es tratar la Ley de IA como si fuera una normativa de ciberseguridad. No lo es. Está arraigada en la legislación sobre seguridad de productos e incluye protecciones explícitas de los derechos fundamentales. Esta distinción es determinante para el modo en que las organizaciones abordan el cumplimiento y para definir qué equipos internos deben liderarlo. Un equipo de ciberseguridad por sí solo no será suficiente.
¿Qué es el Ómnibus Digital sobre IA y qué ha cambiado?
El Ómnibus Digital sobre IA es un conjunto de modificaciones específicas de la Ley de IA de la UE, adoptado formalmente en julio de 2026. Formaba parte de un esfuerzo de simplificación más amplio de la UE, impulsado en parte por la preocupación sobre la complejidad regulatoria expuesta en el informe Draghi de 2024 sobre la competitividad europea.
El motivo principal de la enmienda fue práctico: la mayoría de las normas técnicas necesarias para operativizar los requisitos de la Ley de IA para sistemas de alto riesgo no se habían finalizado. Sin esas normas, las organizaciones no disponían de una vía clara para demostrar su cumplimiento. El Ómnibus amplió los plazos para alinearlos con la fecha en la que se prevé que dichas normas estén disponibles.
Ampliación de plazos para sistemas de IA de alto riesgo
Los sistemas de IA de alto riesgo independientes (stand-alone) incluidos en el Anexo III (que abarcan casos de uso como herramientas de selección de personal, evaluación de solvencia crediticia, aplicación de la ley, educación y control fronterizo) ahora deben cumplir la normativa a más tardar el 2 de diciembre de 2027, ampliándose desde la fecha anterior del 2 de agosto de 2026.
Los sistemas de IA de alto riesgo integrados en productos regulados bajo el Anexo I (como dispositivos médicos, maquinaria y vehículos) se trasladan al 2 de agosto de 2028, ampliándose desde la fecha anterior del 2 de agosto de 2027.
Nuevas prohibiciones incorporadas
El Ómnibus introduce nuevas prácticas de IA prohibidas que abarcan los sistemas que generan imágenes íntimas no consentidas y material de abuso sexual infantil. Estas prohibiciones se aplican de forma inmediata.
Ajuste de las obligaciones de transparencia
Los requisitos de marca de agua y divulgación de contenidos sintéticos del Artículo 50(2) se aplican ahora a partir del 2 de diciembre de 2026 para los sistemas que ya están en el mercado. Los nuevos sistemas deberán cumplir estos requisitos desde la fecha en que se pongan en el mercado.
Lo que no ha cambiado
La estructura central de la Ley de IA se mantiene inalterada. El marco de clasificación basado en el riesgo, los cuatro niveles, las obligaciones para los modelos de IA de uso general (GPAI) y el papel de supervisión de la Oficina de IA permanecen intactos. La ampliación de plazos no se aplica a las obligaciones de los modelos GPAI ni a los casos de uso prohibidos con carácter general que ya están en vigor.
¿A quién se aplica la Ley de IA de la UE?
La Ley de IA distingue principalmente entre dos funciones a lo largo de la cadena de valor de la IA.
Los proveedores son organizaciones que desarrollan un sistema de IA y lo introducen en el mercado o lo ponen en servicio bajo su propio nombre o marca comercial. Esto incluye a las organizaciones que desarrollan sistemas de IA únicamente para uso interno: si crea un sistema que nunca ha estado antes en el mercado y lo despliega internamente, se le considera proveedor en virtud de la Ley.
Los implantadores (deployers) son organizaciones que utilizan un sistema de IA en un contexto profesional. Si utiliza una herramienta de IA desarrollada por un proveedor externo, usted es el implantador. Sus obligaciones dependerán de la clasificación de riesgo del sistema y de aquello de lo que el proveedor sea responsable por contrato.
Un matiz importante: si un implantador utiliza un sistema de IA de una forma que el proveedor no previó o prohibió explícitamente en sus condiciones de servicio (por ejemplo, aplicando una herramienta de uso general a un caso de uso de alto riesgo), el implantador puede convertirse por defecto en el proveedor de un sistema de alto riesgo.
Determinar su función para cada sistema que utilice o desarrolle es el primer paso en cualquier programa de cumplimiento de IA. La plataforma de cumplimiento de la Ley de IA de la UE de Formalize está diseñada específicamente para implantadores, ayudando a los equipos a mapear sistemas de IA, clasificar casos de uso y mantener documentación lista para auditorías en un solo lugar.
¿Cuáles son los pasos clave para el cumplimiento?
La ampliación de plazos no cambia la labor de cumplimiento. Cambia el momento en que las obligaciones pasan a ser exigibles.
Crear y mantener un inventario de IA
Documente cada sistema de IA que su organización provea o implante. Para cada sistema, responda: ¿constituye un sistema de IA según la Ley? ¿Cuál es su función (proveedor o implantador)? ¿Puede documentar y defender ese razonamiento ante un auditor?
Clasificar cada sistema
Determine la clasificación de riesgo para cada sistema de IA en función de su caso de uso y contexto. La clasificación no es un ejercicio puntual. Si un sistema cambia de finalidad o se utiliza en un nuevo contexto, su clasificación puede cambiar. Tenga en cuenta que algunas guías nacionales sobre la clasificación de la Ley de IA han sido criticadas por tratarla como un ejercicio de ciberseguridad: las directrices a nivel de la UE de la Oficina de IA deben ser la referencia principal.
Evaluar sus obligaciones y acordar una matriz RACI con los proveedores
Para cada sistema, determine qué obligaciones se aplican y quién es responsable de qué. Si implanta un sistema de IA de alto riesgo desarrollado por un proveedor externo, este debería poder explicar su hoja de ruta de cumplimiento con respecto al plazo límite de diciembre de 2027.
Traducir los requisitos en una gobernanza operativa
Los requisitos deben convertirse en políticas, procesos, programas de formación y procedimientos de supervisión. No se trata de documentar por el mero hecho de hacerlo: es la base para la preparación ante auditorías, la recogida de evidencias y el control continuo.
Supervisar de forma continua
El cumplimiento no es un proyecto con fecha de finalización. Los sistemas de IA cambian, los casos de uso evolucionan y las guías regulatorias se desarrollan. Integre la supervisión en las operaciones habituales, no solo en los esfuerzos de última hora previos a la fecha límite.
Nota sobre PYMES y pequeñas empresas de mediana capitalización (small mid-caps)
Dado que la mayoría de las empresas de la UE son PYMES, el Ómnibus Digital también amplía las medidas de simplificación existentes. Las PYMES y las empresas emergentes (startups) —y no solo las microempresas como ocurría anteriormente— pueden demostrar ahora de forma simplificada el cumplimiento de ciertos elementos del sistema obligatorio de gestión de la calidad para sistemas de IA de alto riesgo. Otras medidas de alivio se han extendido a la categoría de reciente creación de Pequeñas Empresas de Mediana Capitalización (SMC, por sus siglas en inglés), definidas como organizaciones que no son PYMES, emplean a menos de 750 personas y tienen un volumen de negocios anual que no supera los 150 millones de euros o un balance general anual que no supera los 129 millones de euros.
¿Qué ocurre con los sistemas de IA no cubiertos por la Ley de IA de la UE?
Este es uno de los puntos más importantes que deben entenderse. Según la propia evaluación de impacto de la Comisión Europea, solo entre el 5 % y el 15 % de los sistemas de IA implantados en las organizaciones entran dentro del ámbito de aplicación de la Ley de IA de la UE.
Eso no significa que el resto no estén regulados.
El RGPD se aplica a cualquier sistema de IA que procese datos personales, lo que abarca la mayoría de las herramientas de IA utilizadas en las operaciones comerciales diarias. Las organizaciones son responsables, como responsables o encargadas del tratamiento, de lo que introducen en los sistemas de IA. Como mínimo, esto exige definir o actualizar las políticas internas, los criterios de clasificación de datos y las instrucciones de uso.
NIS2 y DORA se aplican a las organizaciones incluidas en sus respectivos ámbitos de aplicación, y los sistemas de IA que afecten a infraestructuras críticas, gestión de incidentes o riesgos de terceros son previsiblemente relevantes para esas obligaciones de cumplimiento, aunque la interacción entre las normas sectoriales y la Ley de IA puede ser compleja y depende del contexto.
Las regulaciones sectoriales específicas, como las que regulan los productos sanitarios, los servicios financieros y las infraestructuras críticas, también pueden imponer requisitos a los sistemas de IA que quedan fuera del ámbito de aplicación de la Ley de IA de la UE.
Los estándares internacionales, como la ISO 42001 y el Marco de Gestión de Riesgos de IA del NIST, proporcionan estructuras de gobernanza útiles, pero no equivalen al cumplimiento de la Ley de IA de la UE. Una organización con una implantación madura de la norma ISO 42001 encontrará más sencillo el camino hacia el cumplimiento de la Ley de IA, pero ambos marcos tienen objetivos diferentes y no pueden sustituirse el uno por el otro.
¿Cómo se conecta la gobernanza de la IA con los marcos de GRC existentes?
Para las organizaciones que ya gestionan NIS2, DORA, ISO 27001 o el RGPD, la gobernanza de la IA no es un programa independiente. Es una extensión de la infraestructura de cumplimiento existente.
Las capacidades centrales son las mismas: evaluar el riesgo, mapear controles, recopilar evidencias y mantener la preparación para auditorías. Lo que cambia es la materia objeto de análisis. Los sistemas de IA, sus casos de uso y la forma en que se gobiernan sustituyen a los marcos regulatorios con los que los equipos de cumplimiento están acostumbrados a trabajar.
Las organizaciones que ya cuentan con flujos de trabajo de GRC estructurados están mejor posicionadas para absorber los requisitos de gobernanza de la IA porque el modelo operativo les resulta familiar. A menudo, el reto no reside en entender lo que debe hacerse, sino en conectar a los equipos adecuados y garantizar que los sistemas de IA se inventaríen y clasifiquen antes de su despliegue, y no después.
Cómo empezar
El punto de partida práctico es un inventario. Antes de poder realizar cualquier clasificación, mapeo de obligaciones o diligencia debida con proveedores, necesita una visión clara de qué sistemas de IA provee u ofrece su organización, qué hacen y quién es el responsable de los mismos.
A partir de ahí, el trabajo resulta ampliamente familiar para cualquier equipo de cumplimiento: clasificar, evaluar obligaciones, asignar la propiedad, documentar y recopilar evidencias de forma continua, en lugar de hacerlo mediante un esfuerzo de última hora previo a la fecha límite.
Formalize ofrece soporte para la gobernanza de la IA como parte de un marco de GRC más amplio, lo que incluye el mapeo de sistemas de IA, flujos de trabajo de evaluación de riesgos, gestión de incidentes y configuraciones predefinidas tanto para implantadores (deployers) bajo la Ley de IA de la UE como para organizaciones que implementan la norma ISO 42001. Para las organizaciones que ya utilizan Formalize para gestionar NIS2, DORA o la ISO 27001, la gobernanza de la IA se encaja dentro de la misma estructura en lugar de gestionarse como un flujo de trabajo independiente.