Atención: Europa ha retrasado las obligaciones de los sistemas de IA de alto riesgo, pero eso no significa que haya retrasado todo el AI Act

La Unión Europea ha introducido uno de los cambios más importantes en el calendario del AI Act desde su aprobación. El denominado AI Omnibus, que entró en vigor el 27 de julio de 2026, amplía considerablemente los plazos para aplicar las obligaciones más exigentes correspondientes a determinados sistemas de inteligencia artificial clasificados como de alto riesgo. Pero interpretar esta decisión como un aplazamiento general del AI Act sería un error. Europa ha retrasado una parte concreta del Reglamento, no el Reglamento completo. Mientras algunas obligaciones de alto riesgo se desplazan hasta diciembre de 2027 o agosto de 2028, otras normas relacionadas con prácticas prohibidas, alfabetización en IA, modelos de propósito general, gobernanza y transparencia ya están activas.

La modificación responde fundamentalmente a un problema práctico. Las empresas necesitan normas armonizadas, especificaciones técnicas y orientaciones suficientemente claras para poder demostrar que un sistema de alto riesgo cumple los requisitos europeos. La disponibilidad de algunos de esos instrumentos se estaba produciendo demasiado cerca de las fechas inicialmente previstas. La UE ha preferido ampliar el calendario para evitar que proveedores y empresas tengan que implantar sistemas de cumplimiento sobre estándares todavía incompletos. Esto supone más tiempo para adaptarse, pero no elimina las obligaciones ni reduce la importancia de los sistemas de alto riesgo.

Dos nuevas fechas que todas las empresas deben conocer

El nuevo calendario diferencia fundamentalmente entre dos grandes categorías. Para determinados sistemas clasificados como de alto riesgo conforme al artículo 6.2 y el Anexo III, las principales obligaciones se desplazan al 2 de diciembre de 2027. Aquí aparecen usos especialmente sensibles porque pueden afectar a derechos fundamentales, seguridad o acceso a oportunidades esenciales. Entre ellos se encuentran determinados sistemas relacionados con biometría, infraestructuras críticas, educación y formación profesional, empleo y gestión de trabajadores, acceso a determinados servicios esenciales, migración, asilo, control de fronteras y otros ámbitos establecidos por el Reglamento.

La segunda fecha fundamental es el 2 de agosto de 2028. A partir de entonces se aplicarán las correspondientes reglas de alto riesgo para determinados sistemas de IA integrados en productos sometidos a legislación europea de seguridad incluida en el Anexo I. Aquí pueden aparecer, dependiendo de las condiciones establecidas por el Reglamento, sistemas incorporados a maquinaria, dispositivos médicos, determinados vehículos, ascensores, equipos de protección y otros productos regulados.

Para numerosas empresas industriales, sanitarias y tecnológicas, disponer hasta 2028 representa un margen considerable. Pero desarrollar, validar, documentar y certificar sistemas complejos puede requerir años, por lo que utilizar ese tiempo como un periodo de inactividad sería precisamente la estrategia equivocada.

Qué significa realmente que un sistema sea de alto riesgo

El AI Act no considera de alto riesgo cualquier inteligencia artificial potente. La clasificación depende fundamentalmente del uso y del contexto.

Un modelo generativo utilizado para resumir documentos internos no se convierte automáticamente en alto riesgo por ser avanzado. En cambio, un sistema utilizado para tomar o apoyar determinadas decisiones sobre contratación, promoción profesional, acceso a educación, servicios esenciales o infraestructuras puede entrar en categorías sometidas a requisitos mucho más estrictos.

Esta diferencia resulta fundamental para las empresas. La pregunta correcta no es simplemente “¿utilizamos inteligencia artificial?”, sino “¿para qué la utilizamos y qué consecuencias puede producir sobre las personas?”

Un mismo modelo puede alimentar un chatbot corporativo ordinario y, simultáneamente, formar parte de otra aplicación sometida al régimen de alto riesgo. Por eso la clasificación debe realizarse sobre el sistema, su finalidad prevista y su utilización concreta, no únicamente sobre el nombre del modelo utilizado.

Recursos Humanos debe prestar especial atención

Uno de los ámbitos empresariales donde esta cuestión tendrá mayor repercusión es Recursos Humanos. El Anexo III contempla determinados sistemas destinados a contratación o selección de personas, especialmente cuando intervienen en el análisis y filtrado de solicitudes o en la evaluación de candidatos. También incluye determinados sistemas utilizados para tomar decisiones que afectan a condiciones laborales, promoción, terminación de relaciones contractuales, asignación de tareas basada en determinadas características o comportamientos y monitorización y evaluación del rendimiento.

Esto significa que el uso empresarial de IA en RR. HH. debe analizarse con mucha más profundidad que una simple contratación de software. Una herramienta que ayuda a redactar una oferta de empleo no plantea necesariamente el mismo escenario que otra que clasifica automáticamente candidatos, puntúa currículos o influye directamente en decisiones sobre trabajadores.

Las empresas disponen ahora de más tiempo antes de la aplicación de determinadas obligaciones de alto riesgo, pero precisamente ese margen debería utilizarse para inventariar herramientas, revisar contratos con proveedores y determinar qué sistemas pueden acabar incluidos en estas categorías.

Qué tendrán que hacer los proveedores de sistemas de alto riesgo

Cuando entren plenamente en aplicación las obligaciones correspondientes, los proveedores de sistemas de alto riesgo deberán cumplir una arquitectura de control mucho más exigente que la aplicable a herramientas ordinarias. Entre otros elementos, el AI Act establece requisitos relacionados con gestión de riesgos, gobierno y calidad de datos, documentación técnica, conservación de registros, transparencia, instrucciones de uso, supervisión humana, precisión, robustez y ciberseguridad.

También deberá existir un sistema de gestión de calidad y procedimientos destinados a mantener el cumplimiento durante el ciclo de vida del producto.

El concepto esencial es que Europa quiere que los sistemas utilizados en decisiones especialmente delicadas puedan ser evaluados, documentados, supervisados y auditados.

Una empresa que desarrolla un algoritmo para decidir quién obtiene acceso a una oportunidad esencial no puede limitarse a afirmar que “la inteligencia artificial funciona bien”. Tendrá que disponer de evidencias que permitan justificar su diseño, comportamiento, controles y riesgos.

Las empresas que utilizan estos sistemas también tendrán responsabilidades

Otro error habitual consiste en pensar que todo el peso del AI Act corresponde al fabricante del software. El Reglamento distingue claramente entre proveedores y deployers, es decir, las organizaciones que utilizan sistemas de inteligencia artificial bajo su autoridad.

Dependiendo del sistema y del contexto, los responsables del despliegue pueden tener obligaciones relacionadas con utilización conforme a las instrucciones, supervisión humana, monitorización del funcionamiento, conservación de determinados registros y otras medidas previstas por el Reglamento.

Esto afecta directamente a compañías que adquieren tecnología desarrollada por terceros. Comprar una herramienta compatible con el AI Act no significa necesariamente que la empresa usuaria quede automáticamente libre de responsabilidades.

La gobernanza deberá cubrir, por tanto, toda la cadena: quién desarrolla el sistema, quién lo comercializa, quién lo integra, quién lo utiliza, quién supervisa sus resultados y quién toma finalmente la decisión.

Pero el resto del AI Act continúa avanzando

Aquí está la cuestión que las empresas no deberían perder de vista. El aplazamiento de determinadas obligaciones de los sistemas de alto riesgo no ha detenido el calendario general del AI Act.

Las prohibiciones de determinadas prácticas de IA y las obligaciones relacionadas con alfabetización en inteligencia artificial comenzaron a aplicarse el 2 de febrero de 2025. Las obligaciones correspondientes a determinados proveedores de modelos de IA de propósito general —GPAI— comenzaron a aplicarse posteriormente, con reglas transitorias específicas.

Y desde el 2 de agosto de 2026 son aplicables las obligaciones de transparencia del artículo 50, que afectan, entre otros supuestos, a determinadas interacciones con sistemas de IA, deepfakes y contenidos generados o manipulados artificialmente.

Por tanto, una compañía puede disponer hasta diciembre de 2027 para determinadas obligaciones relacionadas con un sistema de contratación considerado de alto riesgo y, simultáneamente, tener obligaciones que ya debe cumplir hoy sobre otras herramientas utilizadas en marketing, atención al cliente, generación de contenidos o comunicación.

El AI Act funciona como un calendario, no como una única fecha

Ésta es probablemente la forma más sencilla de entender la regulación europea. No existe un único día en el que “entre en vigor el AI Act”. El Reglamento funciona mediante un calendario escalonado.

Algunas obligaciones comenzaron en 2025. Otras lo han hecho en 2026. Las principales reglas de determinadas categorías de alto riesgo se desplazan a diciembre de 2027 y las correspondientes a determinados sistemas integrados en productos regulados tendrán hasta agosto de 2028.

Para una empresa, esto significa que el cumplimiento debe gestionarse mediante una matriz de obligaciones y fechas, no mediante una única cuenta atrás.

Cada sistema debería tener identificado al menos su finalidad, proveedor, responsable interno, datos utilizados, usuarios afectados, categoría regulatoria potencial y fecha a partir de la cual deben cumplirse las obligaciones correspondientes.

Qué debería hacer una empresa durante este tiempo adicional

La ampliación del calendario ofrece una oportunidad extraordinaria para evitar una implantación precipitada. Las organizaciones deberían aprovecharla para realizar un inventario completo de sistemas de IA y distinguir aquellos que pueden entrar en categorías de alto riesgo.

El siguiente paso consiste en revisar los procesos empresariales. Recursos Humanos debería analizar contratación, evaluación y promoción; las áreas de Riesgos y Compliance deberían identificar decisiones sensibles; las compañías industriales deberían estudiar aplicaciones incorporadas a maquinaria y productos; y las organizaciones que operan en sectores regulados deberían analizar específicamente sus casos de uso.

Después será necesario revisar proveedores y contratos. Una empresa debería saber si el proveedor considera el producto de alto riesgo, qué documentación proporcionará, cómo garantiza la trazabilidad, qué registros conserva, cómo gestiona actualizaciones y qué mecanismos de supervisión humana ofrece.

Finalmente deberá preparar procedimientos internos. No bastará con tener tecnología conforme. Habrá que determinar quién puede utilizarla, quién supervisa los resultados, cuándo interviene una persona, qué ocurre ante un error y qué evidencias se conservan.

El aplazamiento no debe convertirse en una excusa

El mayor peligro del cambio de calendario puede ser psicológico: que algunas empresas interpreten 2027 o 2028 como fechas suficientemente lejanas y decidan no actuar todavía.

Sería un error.

Una gran organización puede necesitar meses simplemente para descubrir todas las herramientas de inteligencia artificial que ya utilizan sus departamentos. Después deberá clasificarlas, negociar con proveedores, adaptar contratos, modificar procesos, formar empleados, implantar controles y construir mecanismos de documentación.

Además, la tecnología continuará evolucionando mientras avanza la regulación. Los agentes serán más autónomos, los sistemas empresariales integrarán más modelos y la frontera entre una herramienta que simplemente recomienda y otra que influye materialmente en una decisión puede volverse cada vez más difícil de distinguir.

Europa ha concedido más tiempo para cumplir determinadas obligaciones. No ha concedido más tiempo para empezar a prepararse.

La lectura para el CEO

El nuevo calendario proporciona a las empresas algo muy valioso: tiempo. Pero ese tiempo debería utilizarse para construir gobierno, no para retrasarlo.

El consejo de administración debería pedir ya un inventario de los sistemas utilizados, identificar aquellos que pueden entrar en categorías de alto riesgo y establecer responsables claros del cumplimiento de inteligencia artificial. Dirección debería conocer qué herramientas se utilizan para seleccionar personas, evaluar empleados, tomar decisiones sensibles o controlar infraestructuras y productos regulados.

La estrategia correcta consiste en trabajar simultáneamente con dos calendarios: cumplir ahora las obligaciones que ya están activas y preparar con suficiente antelación aquellas que llegarán en 2027 y 2028.

El mensaje, por tanto, es muy diferente a afirmar que Europa ha retrasado el AI Act.

Europa ha retrasado determinadas obligaciones de los sistemas de alto riesgo para permitir una implantación más clara y técnicamente viable. El resto de la regulación continúa avanzando y una parte importante ya se aplica.

El AI Act ya es una competencia de dirección

Comprender qué obligaciones están vigentes, cuáles han cambiado y qué sistemas pueden considerarse de alto riesgo empieza a formar parte de las responsabilidades de cualquier directivo que esté implantando inteligencia artificial.

El Curso Superior en Inteligencia Artificial para Directivos (CSIAD) de THE INTELLIGENCE Institute incorpora la dimensión regulatoria de la IA para que presidentes, CEOs, directores generales y altos ejecutivos puedan entender el AI Act, evaluar sus implicaciones empresariales y construir una estrategia de adopción compatible con el nuevo marco europeo.

Descubre el CSIAD – Curso Superior en Inteligencia Artificial para Directivos