Reglamento de IA de la UE, agosto de 2026: Qué está realmente en vigor y qué se ha retrasado hasta 2027

Última actualización: 4 de agosto de 2026

Si ha estado siguiendo las noticias sobre el Reglamento de IA de la UE (EU AI Act), probablemente haya visto titulares del tipo "La UE retrasa el plazo de cumplimiento del Reglamento de IA". Estos titulares son técnicamente ciertos y prácticamente engañosos. El retraso -que traslada las obligaciones de los sistemas de alto riesgo del Annex III de agosto de 2026 a diciembre de 2027- afecta a una sola parte del reglamento. Las demás partes no se han retrasado.

Desde el 2 de agosto de 2026, las obligaciones de transparencia del Article 50 y la aplicación ampliada de GPAI (Inteligencia Artificial de Propósito General) están en plena vigencia. Si su producto utiliza IA para interactuar con usuarios, genera contenido sintético o se construye sobre un modelo fundacional, las obligaciones le son aplicables ahora mismo. Este artículo es el calendario de cumplimiento que realmente necesita.

¿Qué está realmente en vigor bajo el Reglamento de IA de la UE?

A partir del 2 de agosto de 2026, las obligaciones de transparencia del Article 50 y los requisitos de cumplimiento de GPAI del Capítulo V están plenamente en vigor. Esto significa que los sistemas de IA que interactúan con usuarios deben revelar la naturaleza artificial de esa interacción, el contenido sintético debe ser detectable por máquinas, y las organizaciones que despliegan modelos de IA de propósito general por encima de determinados umbrales de capacidad deben cumplir con los requisitos de documentación, evaluación e información de incidentes. El aplazamiento del Annex III no afecta a estas disposiciones.

El calendario de cumplimiento del Reglamento de IA de la UE: todos los plazos

La enmienda Digital Omnibus -el paquete legislativo que trasladó el Annex III a diciembre de 2027- fue motivada por las preocupaciones de las autoridades reguladoras nacionales y la industria sobre la preparación para la implementación. No altera las disposiciones anteriores en el calendario.

¿En qué consisten las obligaciones de transparencia del Article 50 (en vigor ahora)?

Las obligaciones de transparencia del Article 50 exigen que los sistemas de IA que interactúan con personas físicas revelen la naturaleza artificial de esa interacción de forma clara y oportuna, a menos que el contexto lo haga evidente. El contenido de audio, vídeo, imagen y texto generado por IA debe llevar señales legibles por máquina que permitan detectar su origen sintético.

En concreto, desde el 2 de agosto de 2026:

• Los chatbots y asistentes de IA deben revelar que son IA al comienzo de la interacción, a menos que el usuario haya configurado explícitamente un contexto de juego de rol
• Los medios sintéticos -imágenes, vídeos y audios generados por IA- deben llevar marcas de agua o metadatos detectables por máquina conforme al Article 50(2) y (4)
• Los sistemas de reconocimiento de emociones y categorización biométrica deben revelar su funcionamiento a los sujetos, con excepciones limitadas

Las sanciones por incumplimiento del Article 50 se encuadran en el Article 99: hasta €15 millones o el 3 % del volumen de negocios anual mundial total, la cantidad que sea mayor, para los operadores; €7,5 millones o el 1,5 % para los proveedores de sistemas de IA de propósito general.

¿Qué exige el cumplimiento de GPAI en este momento?

El cumplimiento de GPAI según el Capítulo V exige que los proveedores de modelos fundacionales y las organizaciones que despliegan modelos por encima del umbral de 10^25 FLOP de cómputo de entrenamiento mantengan y publiquen documentación técnica, realicen pruebas adversariales y evaluaciones de red team, e informen sobre incidentes graves al European AI Office. Los proveedores de modelos GPAI con riesgo sistémico quedan sujetos además a requisitos de ciberseguridad e informes de eficiencia energética.

Obligaciones clave para las organizaciones que despliegan modelos GPAI de terceros (no solo para quienes los desarrollan):

1. Divulgación del caso de uso a los proveedores. Si utiliza un modelo GPAI para una aplicación de alto riesgo, debe informar al proveedor del modelo sobre el contexto de despliegue.
2. Diligencia debida sobre la documentación de cumplimiento del modelo. No puede eludir la responsabilidad señalando al proveedor del modelo.
3. Notificación de incidentes. Los incidentes graves que involucren sistemas GPAI deben notificarse a las autoridades nacionales competentes.

¿Cuáles son las prácticas prohibidas exigibles desde febrero de 2025?

Las prácticas prohibidas del Article 5 son exigibles desde el 2 de febrero de 2025. Estas son las líneas rojas -no obligaciones que cumplir, sino cosas que no pueden hacerse independientemente de la capacidad técnica:

• Puntuación social por parte de autoridades públicas o de quienes actúen en su nombre -calificación de personas físicas en función de su comportamiento social con efectos perjudiciales
• Manipulación subliminal -IA que explota vulnerabilidades subconscientes para alterar conductas de manera perjudicial
• Explotación de vulnerabilidades de grupos protegidos -dirigirse a personas mayores, con discapacidad o en situación de desventaja económica
• Identificación biométrica remota en tiempo real en espacios públicos por parte de las fuerzas del orden, con excepciones muy limitadas
• Inferencia de emociones en entornos laborales y educativos -con excepciones muy limitadas para sistemas de seguridad
• Vigilancia predictiva basada únicamente en perfilado sin justificación a nivel individual
• Recopilación masiva e indiscriminada de imágenes faciales de internet o de circuitos cerrados de televisión para crear bases de datos de reconocimiento facial

Si su producto toca alguna de estas categorías, la prohibición lleva dieciocho meses activa. No existe período transitorio.

¿Qué se ha retrasado y hasta cuándo?

El aplazamiento de diciembre de 2027 se aplica específicamente a los sistemas de alto riesgo del Annex III -sistemas utilizados en:

• Decisiones de contratación y RRHH (cribado de CV, evaluación de entrevistas, asignación de promociones)
• Puntuación de crédito y acceso a servicios financieros
• Admisión, evaluación y seguimiento educativos
• Sistemas de diagnóstico sanitario
• Sistemas biométricos y de perfilado en la aplicación de la ley
• Gestión de infraestructuras críticas
• Migración, asilo y control de fronteras
• Administración de justicia

El aplazamiento se introdujo a través del paquete legislativo Digital Omnibus y tiene por objeto dar a las organizaciones de estos sectores tiempo adicional para construir los procesos de evaluación de conformidad, la documentación técnica y los sistemas de gestión de riesgos al nivel exigido.

Lo que el aplazamiento no significa: las organizaciones que desarrollan sistemas del Annex III no quedan exentas -se les concede más tiempo para lograr el cumplimiento. El European AI Office ha dejado claro que las organizaciones deben utilizar este período para construir la infraestructura de cumplimiento, no para diferir el compromiso con el reglamento.

El plazo de August 2028 se aplica a la IA integrada en productos del Annex I -componentes de IA en productos de consumo regulados como productos sanitarios, maquinaria y sistemas de automoción, donde los marcos de seguridad de productos existentes necesitan alinearse con la clasificación de riesgos del Reglamento de IA.

¿Qué deben hacer ahora mismo las empresas de SaaS e IA?

Si su producto utiliza IA de cualquier forma con la que los usuarios interactúan, esta es la lista de verificación de cumplimiento priorizada para agosto de 2026:

1. Auditar la exposición al Article 50. ¿Algún sistema de IA de su producto interactúa con usuarios finales? Si la respuesta es sí, los requisitos de divulgación están en vigor.
2. Implementar la divulgación de interacción. Añada una divulgación clara de IA al inicio de la sesión para chatbots, asistentes y contenido generado por IA. No tiene que ser intrusiva -tiene que estar presente.
3. Evaluar el contenido sintético generado. Si su producto genera imágenes, audio o vídeo mediante IA, necesita un plan para las marcas de agua legibles por máquina. Los estándares técnicos están aún en proceso de finalización, pero incorporar metadatos a su pipeline de generación ahora es el camino seguro.
4. Documentar el uso de modelos GPAI. Si despliega GPT-4o, Claude, Gemini, Llama 3 o modelos equivalentes: documente el caso de uso, la versión del modelo, el alcance de las capacidades y su proceso de respuesta ante incidentes.
5. Confirmar su cadena de notificación de incidentes. Identifique su autoridad nacional competente. Conozca el umbral de notificación y el plazo correspondiente a su jurisdicción.
6. Revisar la lista de prácticas prohibidas frente a la hoja de ruta de su producto. Si algo en su pipeline toca las categorías del Article 5, eso es un freno legal inmediato, no un elemento de planificación de cumplimiento.
7. Actualizar su programa de alfabetización en IA. Las obligaciones de alfabetización en IA del Article 4 están en vigor desde febrero de 2025. Cualquier empleado que opere sistemas de IA debe tener un conocimiento documentado y suficiente de la tecnología.

Nuestro trabajo de VAPT y cumplimiento de seguridad se intersecta directamente con los requisitos técnicos del Reglamento de IA, especialmente para organizaciones donde los componentes de IA están integrados en sistemas vinculados a la seguridad. Consulte también nuestra guía de despliegue bancario y LLM para arquitectura de cumplimiento específica por sector.

¿Es "cumpliremos cuando sea obligatorio" una estrategia segura?

No. Para las disposiciones que ya están en vigor -las prohibiciones del Article 5 (febrero de 2025), el Capítulo V de GPAI (agosto de 2025) y la transparencia del Article 50 (2 de agosto de 2026)- esto no es una cuestión de planificación, sino de aplicación. Las autoridades nacionales competentes están operativas en todos los Estados miembros de la UE. Las sanciones están activas. La ventana transitoria para estas disposiciones está cerrada.

Para los sistemas de alto riesgo del Annex III retrasados hasta diciembre de 2027, la estrategia de esperar hasta 2027 para iniciar el trabajo de evaluación de conformidad es estructuralmente peligrosa. La evaluación de conformidad por terceros, la documentación técnica y la implementación del sistema de gestión de riesgos requieren entre doce y dieciocho meses para sistemas complejos. Las organizaciones que comiencen a principios de 2027 no estarán listas para diciembre de 2027.

Las empresas que salgan del ciclo de cumplimiento del Reglamento de IA de la UE en la posición más sólida serán aquellas que hayan aprovechado el aplazamiento del Annex III para construir una infraestructura de cumplimiento robusta -no para diferir el compromiso con el reglamento.

---

Seven Labs apoya a los equipos de productos de IA con arquitectura orientada al cumplimiento, evaluación de seguridad y marcos de documentación GPAI. Si está evaluando la exposición de su producto al Reglamento de IA de la UE, inicie una conversación acotada con nuestro equipo.

---

<script type="application/ld+json"> { "@context": "https://schema.org", "@graph": [ { "@type": "Article", "@id": "https://www.sevenlabs.site/blogs/eu-ai-act-august-2026-whats-live-vs-delayed#article", "headline": "EU AI Act August 2026: What's Actually Live vs What Just Got Delayed to 2027", "description": "Article 50 transparency obligations and GPAI compliance requirements are live now as of August 2, 2026. The delay to December 2027 applies only to Annex III high-risk systems. The full EU AI Act compliance calendar.", "datePublished": "2026-08-04", "dateModified": "2026-08-04", "author": { "@type": "Organization", "name": "Seven Labs", "url": "https://www.sevenlabs.site" }, "publisher": { "@type": "Organization", "name": "Seven Labs", "logo": { "@type": "ImageObject", "url": "https://res.cloudinary.com/dywx7ldqr/image/upload/v1779223334/media/img_01.png" } }, "mainEntityOfPage": { "@type": "WebPage", "@id": "https://www.sevenlabs.site/blogs/eu-ai-act-august-2026-whats-live-vs-delayed" }, "keywords": ["EU AI Act", "Article 50", "GPAI compliance", "Annex III", "AI regulation 2026", "Digital Omnibus", "AI transparency obligations"], "articleSection": "AI Compliance & Regulation" }, { "@type": "FAQPage", "mainEntity": [ { "@type": "Question", "name": "What is actually in force right now under the EU AI Act?", "acceptedAnswer": { "@type": "Answer", "text": "As of August 2, 2026, Article 50 transparency obligations and GPAI compliance requirements under Chapter V are in full effect. AI systems that interact with users must disclose the AI nature of the interaction, synthetic content must be machine-detectable, and organisations deploying GPAI models above capability thresholds must meet documentation and incident reporting requirements." } }, { "@type": "Question", "name": "What are the Article 50 transparency obligations now live?", "acceptedAnswer": { "@type": "Answer", "text": "From August 2, 2026: chatbots and AI assistants must disclose their AI nature at interaction start; AI-generated images, video, and audio must carry machine-detectable watermarks; emotion recognition and biometric categorisation systems must disclose their operation to subjects. Penalties reach €15 million or 3% of global annual turnover." } }, { "@type": "Question", "name": "What got delayed in the EU AI Act and until when?", "acceptedAnswer": { "@type": "Answer", "text": "The Digital Omnibus amendment delayed Annex III high-risk AI system obligations from August 2026 to December 2027. Annex III covers AI used in recruitment, credit scoring, education, healthcare diagnostics, law enforcement, and critical infrastructure. Annex I product-embedded AI (medical devices, automotive, machinery) is delayed to August 2028." } }, { "@type": "Question", "name": "Is 'we will comply when it is required' a safe EU AI Act strategy?", "acceptedAnswer": { "@type": "Answer", "text": "No. Article 5 prohibitions (February 2025), GPAI Chapter V (August 2025), and Article 50 transparency (August 2, 2026) are already enforceable - the window has closed. For Annex III delayed to December 2027, conformity assessment and documentation work takes 12-18 months. Starting in early 2027 will not achieve readiness by December 2027." } }, { "@type": "Question", "name": "What EU AI Act obligations apply to SaaS companies right now?", "acceptedAnswer": { "@type": "Answer", "text": "SaaS companies with AI-facing features must: implement Article 50 interaction disclosure for AI chatbots and assistants; plan synthetic content watermarking; document all GPAI model deployments with use-case and incident response chains; comply with Article 5 prohibitions (no social scoring, subliminal manipulation, or prohibited biometric practices); and run AI literacy programmes for staff operating AI systems." } } ] } ] } </script>