Hay dos plazos más cercanos, el 2 de diciembre de 2026. Una nueva prohibición impide generar imágenes íntimas o sexualmente explícitas de personas identificables sin su consentimiento. La misma disposición prohíbe generar material de abuso sexual infantil. En esa fecha vence también el plazo para que los sistemas generativos comercializados antes del 2 de agosto de 2026 marquen sus resultados de salida según el artículo 50(2). Si contratas a un proveedor la generación de texto o imágenes, pregúntale ya cómo lo va a cumplir.
Qué es el Ómnibus y dónde leerlo
El Ómnibus digital sobre IA es el Reglamento (UE) 2026/1744, de 8 de julio de 2026. Modifica el Reglamento (UE) 2024/1689, el AI Act. Ese número es el que tienes que buscar en EUR-Lex.
El calendario tal como queda
- Prohibiciones y alfabetización en IA: 2 de febrero de 2025.
- Gobernanza y modelos de IA de uso general: 2 de agosto de 2025.
- Aplicación general, con la transparencia del artículo 50: 2 de agosto de 2026.
- Nueva prohibición del artículo 5(1) y fin del plazo del artículo 50(2) para los sistemas generativos comercializados antes del 2 de agosto de 2026: 2 de diciembre de 2026.
- Guía de la Comisión sobre el plan de seguimiento poscomercialización, que interesa a los proveedores de sistemas de alto riesgo: 2 de septiembre de 2027.
- Obligaciones de alto riesgo para los ámbitos del Anexo III: 2 de diciembre de 2027. Son el capítulo III, secciones 1 a 3: cómo se clasifica un sistema, qué requisitos debe cumplir y qué obligaciones tienen proveedores y responsables del despliegue.
- Las mismas obligaciones para la IA integrada en productos regulados del Anexo I: 2 de agosto de 2028.
La página de la Comisión sobre el AI Act confirma la entrada en vigor del Ómnibus el 27 de julio de 2026 y las fechas del 2 de agosto de 2026, el 2 de diciembre de 2027 y el 2 de agosto de 2028. Al escribir esto no pudimos abrir el texto del reglamento en EUR-Lex. El resto procede de análisis publicados del texto del DOUE, de nicfab y del Future of Privacy Forum (FPF). Son los puntos del 2 de diciembre de 2026, los cambios de los artículos 4 y 6(3), la definición de small mid-cap y los números de artículo de las medidas para pymes. Contrástalos con el reglamento antes de tomar decisiones con ellos.
Lo que ya te afecta: la transparencia del artículo 50
Para la mayoría de las pymes, esta es la parte que importa hoy.
- El proveedor de un sistema que interactúa con personas, como un chatbot, debe diseñarlo para que se les informe de que es una IA, salvo que resulte obvio.
- Los proveedores de sistemas que generan audio, imagen, vídeo o texto sintético deben marcar los resultados de salida en un formato legible por máquina.
- Quien despliega reconocimiento de emociones o categorización biométrica debe informar a las personas expuestas.
- Quien despliega ultrasuplantaciones (deepfakes) debe revelarlo. Lo mismo vale para los textos publicados sobre asuntos de interés público. Quedan fuera los que han pasado por revisión humana o control editorial y tienen a alguien que asume la responsabilidad editorial de la publicación.
- La información debe darse de forma clara y distinguible, como tarde en la primera interacción o exposición.
Las obligaciones dependen, por tanto, de tu papel. Un chatbot que desarrollas tú y pones en tu web lo diseñas tú, aviso incluido. En un chatbot contratado, ese deber de diseño recae en el proveedor. Pon por escrito en el contrato que el chatbot avisa de que es una IA, y comprueba que tu configuración no oculta el aviso. Marcar los resultados de salida también corresponde al proveedor, que en las herramientas contratadas es el tercero que te las vende. Revelar una ultrasuplantación corresponde a quien la despliega, es decir, a ti cuando la publicas.
Alfabetización en IA: redacción más suave, la obligación se mantiene
El Ómnibus cambia el artículo 4. Antes la empresa debía asegurar un nivel suficiente de alfabetización en IA; ahora debe adoptar medidas que apoyen su desarrollo. El texto aclara también que no exige que ninguna persona alcance un nivel concreto. Tanto FPF como nicfab indican que la obligación sigue en el texto final. Lo sabemos por sus análisis, no por el DOUE, así que es lo primero que conviene comprobar en EUR-Lex.
Lo que tienes que poder enseñar son las medidas adoptadas. Una guía interna sobre qué sistemas de IA puede usar la plantilla, sesiones breves de formación o una persona de referencia para dudas son medidas que puedes documentar.
Qué ofrece el Ómnibus a las empresas pequeñas
El Ómnibus define las pymes con la Recomendación 2003/361/CE y crea la categoría de «small mid-caps». El análisis de FPF las describe como empresas con menos de 750 empleados y una facturación anual que no supera los 150 millones de euros. Confirma esa definición en el propio reglamento.
Los análisis recogen cuatro medidas, pensadas sobre todo para quien es proveedor de sistemas de alto riesgo:
- documentación técnica simplificada (artículo 11(1));
- un sistema de gestión de la calidad proporcionado (artículo 17(2));
- acceso prioritario a los espacios controlados de pruebas (artículo 57(3a));
- un límite de multas para las small mid-caps (artículo 99(6a)).
Los análisis que hemos usado no explican cómo se fija ese límite, así que lee el artículo 99(6a) antes de contar con él. Una pyme que solo usa IA de terceros rara vez tendrá que aplicar estas medidas.
El proveedor que considera que un sistema no es de alto riesgo según el artículo 6(3) debe seguir registrándolo, con menos información que antes. El nuevo artículo 4a ofrece una base jurídica para tratar categorías especiales de datos personales con el fin de detectar y corregir sesgos. Hay que cumplir todas sus condiciones a la vez. Solo te interesa cuando usas esos datos para encontrar y corregir sesgos en un sistema de IA.
Qué hacer este trimestre
Empieza por un inventario de los sistemas y automatizaciones con IA de la empresa. Incluye chatbots, generación de texto o imágenes, extracción de documentos y clasificación. Incluye también las funciones de IA del software que ya pagas, como el CRM, la herramienta de recursos humanos o el paquete ofimático. En cada uno, anota si la empresa es proveedor o responsable del despliegue.
Después revisa los que tocan el artículo 50. Comprueba que los chatbots avisan de que son una IA. Luego mira lo que publicas. Las ultrasuplantaciones siempre necesitan aviso. Los textos sobre asuntos de interés público también, salvo que se hayan revisado bajo la responsabilidad editorial de alguien. Según nuestra lectura del artículo 50(4), los textos de marketing corrientes quedan fuera. El proveedor de la herramienta sigue teniendo que marcarlos en formato legible por máquina.
Luego pregúntate si algún sistema puede caer en un ámbito del Anexo III. Entre los ejemplos de la Comisión están la biometría, las infraestructuras críticas y la educación. El anexo recoge más ámbitos, así que léelo con tu inventario delante. Las directrices de la Comisión sobre clasificación de alto riesgo siguen pendientes, así que consulta con un abogado cuando la respuesta no esté clara. Para un sistema que entre en ese ámbito, aprovecha el margen hasta el 2 de diciembre de 2027 para preparar documentación, supervisión humana y seguimiento.
Por último, pon por escrito las medidas de alfabetización en IA que ya tienes.
Cómo construimos las automatizaciones
Cuando DisruptiveCats construye extracción de documentos para un cliente, cada campo lleva la frase de la que procede y una puntuación de confianza. Los casos dudosos los decide una persona. De cada valor extraído puedes ver de dónde sale y si lo ha confirmado alguien. Eso no basta por sí solo para cumplir el AI Act.
Fuentes
- AI Act – Shaping Europe’s digital future European Commission (Última actualización: 2026-08-03)
- Digital Omnibus on AI: Regulation EU 2026/1744 Is Published in the Official Journal (2026)
- The AI Act implementation timeline: What changes under the AI Omnibus? Future of Privacy Forum (2026-07-28 actualizado 2026-08-05)
- Article 50: Transparency Obligations for Providers and Deployers of Certain AI Systems (Texto del Reglamento UE 2024/1689)