Respuesta corta: el Digital Omnibus, aprobado en junio de 2026, aplaza las obligaciones de alto riesgo del Reglamento europeo de IA (contratación de personal, scoring de solvencia) al 2 de diciembre de 2027. Lo que sí te exige el 2 de agosto de 2026: avisar cuando un chatbot o un contenido está generado por IA (artículo 50), y desde ese mismo día las autoridades pueden supervisar la alfabetización en IA del artículo 4, vigente desde febrero de 2025. Antes de fin de julio: formación del equipo documentada por escrito y una política interna breve.
Qué cambia exactamente el 2 de agosto (y qué aplaza el Digital Omnibus)
El Reglamento europeo de IA entró en vigor el 1 de agosto de 2024, pero su aplicación es escalonada y conviene no mezclar fechas. El 2 de febrero de 2025 ya empezaron a aplicarse dos piezas: las prohibiciones del artículo 5 (categorización biométrica sensible, puntuación social, técnicas subliminales manipuladoras) y la obligación de alfabetización en IA del artículo 4, de la que hablamos más abajo.
El 2 de agosto de 2026 iba a ser la fecha grande: la entrada en aplicación general del capítulo III (requisitos de los sistemas de alto riesgo y obligaciones del responsable del despliegue), salvo su sección 4, ya aplicable desde agosto de 2025. Ya no lo es. El Parlamento Europeo aprobó el paquete "Digital Omnibus" de IA el 16 de junio de 2026 y el Consejo de la UE le dio luz verde final el 29 de junio de 2026, aplazando esas obligaciones de alto riesgo al 2 de diciembre de 2027 para sistemas independientes y al 2 de agosto de 2028 para los sistemas de IA integrados en productos ya regulados por otras normas (maquinaria, dispositivos médicos, juguetes, Anexo I) (Consejo de la UE, 29-jun-2026) (Cumpleconia, 20-jun-2026) (Cuatrecasas). Solo falta la publicación en el Diario Oficial de la UE, prevista para las próximas semanas y, en cualquier caso, antes del propio 2 de agosto. Lo que sí sigue vigente ese día, sin cambios: el artículo 50 (transparencia: hay que advertir cuando se interactúa con un chatbot o cuando un contenido está generado o manipulado por IA), con una prórroga técnica solo para el marcado o watermarking hasta diciembre de 2026; la nueva prohibición de "nudifiers" y material de abuso sexual infantil, con periodo transitorio hasta diciembre de 2026; y el marco de gobernanza de modelos de uso general, en el que la AESIA (autoridad de supervisión operativa desde agosto de 2025) sigue trabajando. El régimen sancionador del artículo 99, vigente también desde agosto de 2025, se aplica a estas obligaciones que sí están activas, no todavía al capítulo de alto riesgo. Quien quiera consultar el texto legal completo, con todos sus anexos, lo tiene disponible en EUR-Lex.
Para no perderse entre fechas, esta es la foto completa a día de hoy:
| Obligación | ¿Exigible el 2-ago-2026? | Fecha que manda |
|---|---|---|
| Prohibiciones (art. 5): puntuación social, manipulación subliminal, biometría sensible | Sí | Vigente desde el 2-feb-2025 |
| Alfabetización en IA del equipo (art. 4) | Sí, y con supervisión de las autoridades nacionales desde ese día | Vigente desde el 2-feb-2025 |
| Transparencia (art. 50): avisar de chatbots y contenido generado por IA | Sí (solo el marcado técnico o watermarking tiene prórroga hasta dic-2026) | 2-ago-2026 |
| Obligaciones de alto riesgo (cap. III): selección de personal, scoring de solvencia | No | 2-dic-2027 (2-ago-2028 si va integrado en un producto ya regulado) |
| Régimen sancionador (art. 99) | Sí, para las obligaciones ya en aplicación | Vigente desde ago-2025 |
Qué es un despacho "responsable del despliegue" de IA de alto riesgo (y qué no lo es)
Antes de seguir, una precisión de calendario: lo que describimos a continuación (qué hace que un despacho sea "responsable del despliegue" de un sistema de alto riesgo) es la base sobre la que se construirán esas obligaciones cuando entren en aplicación, el 2 de diciembre de 2027 para sistemas independientes o el 2 de agosto de 2028 si van integrados en un producto ya regulado. No el 2 de agosto de 2026. Conocer ya estas categorías tiene sentido igualmente: cuanto antes sepas si tu despacho encaja en ellas, con más margen llegas al plazo real.
El Reglamento habla de "responsable del despliegue" (deployer, en el texto original en inglés) para referirse a quien usa un sistema de IA bajo su propia autoridad en el ejercicio de su actividad profesional, aunque no lo haya desarrollado ni lo comercialice. Un despacho que contrata un software de selección de personal con IA para filtrar currículos, o una asesoría o inmobiliaria que usa una herramienta de scoring para valorar la solvencia de un inquilino o de un cliente antes de firmar, actúa como responsable del despliegue y asume responsabilidad propia, no solo la del proveedor de la herramienta (Hispacolex).
Hay dos casos que el Anexo III del Reglamento cataloga sin ambigüedad como alto riesgo y que afectan de forma directa a despachos y agencias: la contratación y gestión de personal (publicar ofertas dirigidas, filtrar candidaturas, evaluar rendimiento) y la evaluación de la solvencia o el establecimiento de la puntuación crediticia de personas físicas. Fuera de esos dos supuestos hay una zona más gris (herramientas internas de triaje de expedientes, apoyo a due diligence, análisis de riesgo documental) que no encaja con la misma claridad en el Anexo III y conviene revisar caso por caso, idealmente con tu asesoría legal, antes de asumir que tu despacho es (o no es) responsable del despliegue de alto riesgo para esa herramienta concreta.
Lo que queda fuera de esta categoría es el uso corriente de un asistente generalista (ChatGPT, Copilot, Gemini) para redactar borradores, resumir documentos o preparar correos. Ahí la obligación que manda es la transparencia del artículo 50: advertir cuando un contenido dirigido al público está generado o manipulado por IA, en los supuestos que la norma concreta.
La alfabetización en IA (artículo 4) lleva vigente desde febrero de 2025
Esta es la obligación que más fácil pasa desapercibida en un despacho pequeño, precisamente porque no genera un titular tan llamativo como las multas millonarias. El artículo 4 obliga a proveedores y responsables del despliegue a garantizar, en la medida de lo posible, un nivel suficiente de alfabetización en IA de su personal y de cualquier persona que opere sistemas de IA por cuenta del despacho, teniendo en cuenta sus conocimientos técnicos, experiencia, formación y el contexto de uso de la herramienta. Lleva en vigor desde el 2 de febrero de 2025, no desde agosto de 2026 (Hispacolex). Y el universo de afectados crece deprisa: según el INE, el 21,1 % de las empresas españolas de 10 o más empleados ya usaba IA en el primer trimestre de 2025, y en las de menos de diez el porcentaje subió 5,9 puntos en un año, hasta el 13,4 % (INE, encuesta TIC en empresas, oct-2025). Cada una de esas empresas quedó sujeta al artículo 4 en el momento en que su equipo empezó a usar la herramienta.
En la práctica, para un despacho de tamaño mediano o pequeño esto es más manejable de lo que suena. La propia Comisión Europea, en su Q&A oficial sobre el artículo 4, aclara que no hace falta certificado alguno ni formación homologada: basta un registro interno de las sesiones formativas y de las medidas adoptadas, adaptadas al perfil del personal y al contexto de uso. La misma fuente confirma el dato que da sentido a este artículo: las autoridades nacionales de vigilancia empiezan a supervisar y hacer cumplir esta obligación el 2 de agosto de 2026 (Comisión Europea, AI Literacy Q&A). Traducido: una sesión formativa, interna o con un proveedor externo, sobre qué herramientas de IA usa el equipo, qué datos de clientes no se pueden introducir en ellas y qué verificación mínima hay que hacer antes de dar por bueno un resultado; y constancia por escrito de quién asistió, cuándo y sobre qué contenidos. Sin ese papel, la formación, si existió, no sirve de mucho ante una inspección o una reclamación.
El régimen sancionador: proporcional, pero no gratuito para las pymes
El artículo 99 fija tres escalones de multa: hasta 35 millones de euros o el 7 % de la facturación global anual por incumplir las prohibiciones del artículo 5; hasta 15 millones o el 3 % por el resto de obligaciones (incluidas, cuando entren en aplicación, las del responsable del despliegue de sistemas de alto riesgo); y hasta 7,5 millones o el 1 % por facilitar información incorrecta o engañosa a las autoridades (Cumpleconia). Para pymes y startups el Reglamento aplica un criterio más favorable: la multa que corresponda será siempre la cifra menor entre el porcentaje y el importe fijo, nunca la mayor (Hispacolex).
Ojo: es un criterio de graduación, la multa se calcula igual. La AESIA es operativa como autoridad de supervisión desde agosto de 2025, y desde el 2 de agosto de 2026 puede inspeccionar el cumplimiento de la transparencia del artículo 50 y de la alfabetización del artículo 4 (el capítulo de alto riesgo, aplazado a 2027, todavía no). Que las primeras sanciones tarden en llegar, como suele pasar tras cualquier norma nueva, no elimina el riesgo de no tener nada preparado: si llega una inspección o una reclamación de un cliente, el despacho que no pueda enseñar ni la formación documentada ni el aviso de contenido generado por IA parte con una desventaja considerable frente al que sí puede.
Check-list de 5 acciones antes de fin de julio
No hace falta un proyecto de meses para llegar con lo mínimo cubierto al 2 de agosto de 2026. Con el aplazamiento del capítulo de alto riesgo, dos de estos cinco puntos son los que de verdad no admiten espera para esa fecha: la formación documentada (artículo 4) y la política que cubra el aviso de contenido generado por IA (artículo 50). Los otros tres te dan una base ordenada para llegar mejor preparado al plazo real de diciembre de 2027:
- Inventario de herramientas de IA en uso: qué softwares con IA usa el despacho (incluidos los que trae integrados el CRM, el gestor de expedientes o el ERP), quién los usa y para qué tarea concreta.
- Clasificación de riesgo de cada una: ¿encaja en selección de personal o evaluación de solvencia (alto riesgo, Anexo III, exigible desde el 2 de diciembre de 2027)? ¿Es un asistente generalista de apoyo (riesgo limitado, sujeto ya a la transparencia del artículo 50)? Ante la duda, consulta antes de decidir por tu cuenta.
- Política interna breve: dos o tres páginas bastan para un despacho pequeño. Qué herramientas están aprobadas, qué datos de clientes no se pueden introducir en ellas, cómo se avisa cuando un contenido dirigido a clientes está generado por IA (artículo 50) y quién verifica los resultados antes de firmarlos.
- Formación documentada del equipo: fecha, contenido y asistentes. Es la prueba de que cumples el artículo 4 (vigente desde febrero de 2025), no solo la intención de cumplirlo.
- Persona responsable designada por escrito: quien supervisa las herramientas de mayor riesgo y mantiene el registro del contacto con los proveedores de esas soluciones.
Ninguno de estos cinco puntos exige contratar una gran consultora de cumplimiento normativo. Basta con sentarse a hacerlo antes de que la fecha pase y quede como otro asunto pendiente.
Cómo lo vemos en Summum
El cumplimiento del Reglamento de IA y la estrategia digital de un despacho van de la mano: el mismo criterio con el que documentas qué herramientas de IA usas internamente sirve para saber cómo te está representando la IA de cara al exterior. Si nunca has comprobado qué responde ChatGPT o Gemini cuando alguien les pregunta por un despacho como el tuyo en tu zona, nuestro test de visibilidad en IA gratuito te lo muestra en un par de minutos. Y si tu despacho trabaja el marketing jurídico de forma más estructurada, en nuestras páginas de marketing jurídico para abogados y marketing para despachos explicamos cómo lo enfocamos, sin promesas que no podamos sostener con datos.
Si además todavía te queda saldo del bono del Kit Digital y estabas esperando un motivo para renovar herramientas de gestión o ciberseguridad, este es buen momento para revisarlo: parte de esa digitalización puede servirte también para ordenar el inventario de herramientas que ahora te pide el Reglamento de IA.
Si quieres que revisemos contigo, sin compromiso, qué parte de esto afecta de verdad a las herramientas concretas que usa tu despacho, cuéntanos tu caso. No hacemos auditorías legales (para eso está tu asesoría o un despacho de cumplimiento normativo), pero si el tema es cómo comunicarlo a tus clientes o cómo se traduce en tu presencia digital, ahí sí podemos ayudarte.
Fuentes y referencias
- Consejo de la Unión Europea — Artificial Intelligence: Council gives final green light to simplify and streamline rules (29-jun-2026)
- Cumpleconia — Digital Omnibus y AI Act: qué se aplazó y qué cumple tu pyme en agosto 2026 (20-jun-2026)
- Cuatrecasas — Acuerdo político sobre el Reglamento Omnibus Digital sobre IA (7-may-2026)
- Hispacolex — Lo que exige el Reglamento de IA a tu empresa antes del 2 de agosto (15-jun-2026; anterior al acuerdo del Digital Omnibus, válido para la definición de responsable del despliegue y los importes sancionadores, no para el calendario de alto riesgo)
- Comisión Europea — AI Literacy: Questions & Answers (última actualización 19-nov-2025)
- INE — Encuesta sobre el uso de TIC y del comercio electrónico en las empresas, primer trimestre 2025 (22-oct-2025)
- EUR-Lex — Reglamento (UE) 2024/1689 (texto completo)