Ley de IA en España: el alto riesgo se aplaza a 2027

Si tu empresa usa inteligencia artificial para seleccionar personal, puntuar clientes, diagnosticar o vigilar instalaciones, probablemente te han dicho que el 2 de agosto de 2026 era la fecha límite. Es la fecha que repiten decenas de guías publicadas antes de este verano. Ya no es correcta: la Unión Europea aplazó el grueso de las obligaciones de alto riesgo del Reglamento de IA (AI Act) a diciembre de 2027 y agosto de 2028. Pero eso no significa que puedas dejarlo para entonces — hay obligaciones reales que ya son ley en España, y la autoridad que las vigila ya está operativa.

Lo que nadie te cuenta: el aplazamiento no es «todo el AI Act»

En junio de 2026, el Consejo y el Parlamento Europeo acordaron un paquete de simplificación conocido como el «Digital Omnibus on AI», publicado en el Diario Oficial de la UE el 24 de julio de 2026. Su justificación oficial: los estándares técnicos armonizados y las herramientas de certificación que las empresas necesitan para cumplir con el alto riesgo no estaban listos a tiempo.

El resultado, confirmado por el propio tablón legislativo del Parlamento Europeo:

• Sistemas de alto riesgo «standalone» (Anexo III: selección de personal, scoring de crédito, educación, biometría, sanidad, infraestructuras críticas) — su calendario de cumplimiento se traslada del 2 de agosto de 2026 al 2 de diciembre de 2027.
• Sistemas de alto riesgo embebidos en un producto ya regulado (Anexo I: maquinaria, dispositivos médicos, juguetes, ascensores…) — se traslada al 2 de agosto de 2028.

Es una diferencia de más de un año frente a la fecha que circula todavía en artículos y checklists de 2025. Es la tercera pieza de nuestra serie de cumplimiento normativo en España, después de revisar qué exige la NIS2 sin ley todavía y por qué el ENS no multa pero te saca del contrato.

Lo que SÍ sigue en vigor desde 2026, sin cambios

El aplazamiento es selectivo, no general. Estas tres obligaciones no se movieron:

1. Prácticas prohibidas (artículo 5): manipulación subliminal, scoring social, reconocimiento de emociones en el trabajo o la educación, categorización biométrica por datos sensibles. En vigor desde febrero de 2025, con sanciones de hasta 35 millones de euros o el 7% de la facturación mundial. 2. Modelos de IA de uso general — GPAI (artículos 51-56): obligaciones de transparencia técnica y gestión de riesgo para quien entrena o distribuye modelos grandes. En vigor desde agosto de 2025. 3. Transparencia y contenido sintético (artículo 50): etiquetar deepfakes, avisar cuando un usuario habla con una máquina y no con una persona, marcar el contenido generado por IA. Esta sí entra en vigor el 2 de agosto de 2026, sin cambios por el Omnibus.

Dicho de otro modo: si tu empresa usa un chatbot de atención al cliente, genera imágenes o vídeo con IA para marketing, o despliega un asistente que puede confundirse con una persona real, el artículo 50 te afecta ya — aunque tu sistema no sea «de alto riesgo».

Quién vigila esto en España: la AESIA

La Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) es la autoridad que España designó para vigilar el cumplimiento del Reglamento de IA. Se creó por Real Decreto 729/2023, con sede en el Palacio de la Terraza, en A Coruña — la primera agencia nacional de este tipo en toda la Unión Europea. Empezó a operar en junio de 2024 y tiene funciones de inspección, verificación y sanción, no solo de asesoramiento.

La AESIA ya actúa sobre lo que hoy es ley: en 2025 pasó a ser el organismo de referencia para la normativa española contra el contenido generado por IA sin etiquetar, el mismo terreno que cubre el artículo 50 del Reglamento europeo. El aplazamiento del alto riesgo a 2027 no toca estas competencias.

Qué hacer ya, aunque el alto riesgo te dé hasta 2027

El aplazamiento compra tiempo, no lo elimina. Antes de que llegue diciembre de 2027:

• Revisa si usas prácticas prohibidas sin saberlo: un sistema de scoring de empleados que infiere su estado de ánimo, o una herramienta de selección que puntúa por datos que no debería usar, puede caer en el artículo 5 — vigente ya, sin periodo de gracia.
• Etiqueta el contenido sintético que publicas: imágenes, vídeo o voz generados por IA en marketing o atención al cliente necesitan el aviso del artículo 50 desde agosto de 2026.
• Documenta desde ahora los sistemas de alto riesgo que uses (selección de personal, crédito, educación): los estándares técnicos que fijan CÓMO se cumple en 2027 se están publicando ya, y la documentación de calidad de datos y gestión de sesgos no se construye en una tarde cuando se acerque el plazo.

Si no tienes claro en qué categoría cae lo que usas, nuestro equipo revisa la exposición real de tu empresa al Reglamento de IA y al resto del marco de cumplimiento (NIS2, ENS) en una auditoría de ciberseguridad. Los principios de fondo para gobernar la IA dentro de la empresa, más allá de la fecha límite legal, los tratamos en nuestra guía de ética y regulación de la IA para CTOs.

Preguntas frecuentes

¿Mi empresa tiene hasta 2027 para cumplir con el Reglamento de IA? Solo para las obligaciones de alto riesgo del Anexo III (y hasta 2028 si el sistema va embebido en un producto regulado del Anexo I). Las prácticas prohibidas, las obligaciones de los modelos de uso general y la transparencia del artículo 50 no se aplazaron y son ley ya.

¿Qué pasa si mi chatbot o mis imágenes generadas por IA no avisan de que son IA? Incumples el artículo 50 desde el 2 de agosto de 2026, independientemente de si tu sistema es de alto riesgo o no. Es una obligación de transparencia, no de clasificación de riesgo.

¿Qué es exactamente la AESIA y puede sancionar a una pyme? Es la autoridad española de vigilancia del mercado de IA, con sede en A Coruña, operativa desde 2024 y con funciones de inspección y sanción. Puede actuar sobre cualquier empresa, grande o pequeña, que incumpla las obligaciones ya vigentes.

¿Por qué se aplazó el alto riesgo si la ley ya estaba aprobada? Porque los estándares técnicos armonizados y las herramientas de certificación necesarias para que las empresas demuestren que cumplen no estaban listos a tiempo — lo reconoce el propio proceso legislativo europeo al justificar el paquete «Digital Omnibus».

¿Las multas de hasta 35 millones de euros aplican ya? Sí, para las infracciones que ya están en vigor (prácticas prohibidas, GPAI, transparencia). Para el alto riesgo, el régimen sancionador empieza a aplicarse cuando lo haga la propia obligación: 2027 o 2028 según el caso.

El ejemplo de que esta obligación no es solo teórica ya existe, aunque llegó por otra vía: la AEPD multó a Aena con más de 10 millones de euros por desplegar reconocimiento facial —justo uno de los usos de alto riesgo del Anexo III— sin la evaluación de impacto que exige el RGPD. El Reglamento de IA puede esperar a 2027, pero el RGPD exige esa evaluación desde hoy.

Mientras llega 2027, algunas empresas no esperan a la ley: Iberdrola, Konecta e Inetum ya tienen la certificación voluntaria ISO/IEC 42001, que exige hoy, auditada por un tercero, buena parte de la misma gobernanza de IA que el Reglamento hará obligatoria en 2027.

---

Este artículo analiza el estado del Reglamento de IA europeo y su autoridad de supervisión en España; no es asesoramiento legal. Si gestionas sistemas de IA en selección de personal, crédito, salud o biometría, conviene una revisión específica con tu asesoría legal y una auditoría técnica de cumplimiento.