El 2 de agosto de 2026 llevaba dos años marcado como la gran fecha límite del EU AI Act. Seis días antes, la UE la aplazó. Y aun así, ese mismo 2 de agosto entraron en vigor obligaciones que sí aplican hoy — solo que no son las que todo el mundo esperaba. Voy a intentar dejar esto claro de una vez, porque he visto a bastante gente tratar el AI Act como un bloque único que "entra en vigor" o "no entra en vigor". No funciona así. El Reglamento (UE) 2024/1689 se aplica por fases desde agosto de 2024, y cada fase trae obligaciones distintas. Lo que cambió el mes pasado. El 27 de julio de 2026 entró en vigor el Reglamento (UE) 2026/1744 — el "Digital Omnibus sobre IA", propuesto por la Comisión Europea en noviembre de 2025 tras confirmarse que los estándares técnicos de apoyo no estarían listos a tiempo. Ese reglamento aplaza las obligaciones completas para sistemas de alto riesgo del Anexo III (empleo, educación, servicios esenciales, biometría, justicia, fuerzas de seguridad) del 2 de agosto de 2026 al 2 de diciembre de 2027. Los sistemas embebidos en productos regulados del Anexo I pasan a agosto de 2028. Aplazado no es cancelado. Si tu organización usa o planea usar un sistema que encaja en el Anexo III, seguirás necesitando gestión de riesgos, documentación técnica, trazabilidad y supervisión humana — solo que con quince meses más para construirlo. Quince meses que se consumen rápido si todavía no has clasificado qué sistemas usas.

Lo que SÍ está en vigor hoy, 24 de agosto de 2026

Desde febrero de 2025 — las ocho prohibiciones del artículo 5: manipulación subliminal, explotación de vulnerabilidades, scoring social, predicción individual de delitos, scraping masivo de rostros, reconocimiento de emociones en el trabajo o la educación, categorización biométrica por rasgos protegidos, e identificación biométrica remota en tiempo real por fuerzas de seguridad. También el deber de alfabetización en IA del artículo 4, que el Omnibus ha convertido en obligación de medios, no de resultado — pero sigue existiendo. Desde agosto de 2025 — las obligaciones de los proveedores de modelos de IA de propósito general (GPAI): documentación técnica, política de derechos de autor y un resumen público del contenido de entrenamiento. Desde el 2 de agosto de 2026 (hace tres semanas) — las obligaciones de transparencia del artículo 50: que quien hable con un chatbot lo sepa, que el contenido sintético lleve una marca detectable, que un deepfake se etiquete, y que el uso de reconocimiento de emociones o categorización biométrica se comunique a las personas afectadas. Y el 2 de diciembre de 2026 — dentro de poco más de tres meses — entran dos prohibiciones nuevas contra herramientas que generan imágenes íntimas no consentidas ("nudificación") y material de abuso sexual infantil. El punto ciego real: lo que el proveedor no cuenta. El artículo 53 obliga a los proveedores de modelos GPAI a documentar el modelo y resumir sus datos de entrenamiento. Pero los modelos de código abierto están exentos de la parte de documentación técnica — no del resumen de entrenamiento ni de la política de copyright. La ley, tal como está escrita, no cierra el hueco de documentación en el catálogo de modelos abiertos que cualquier equipo se descarga hoy mismo. Confirmarlo o auditarlo depende de quien lo integra. Construí Model Card Auditor por esa misma razón, antes de que esta fecha llegara: audita seis campos obligatorios de una model card de Hugging Face — limitaciones, sesgo, datos de entrenamiento, licencia, longitud de contexto, benchmarks — y puntúa qué falta. No es una herramienta de cumplimiento del AI Act. Es la misma disciplina aplicada un nivel más abajo: no asumas que "documentado" significa "completo".

Checklist para quien integra IA de terceros ahora mismo

1. Inventario primero. Lista cada sistema de IA de terceros en uso — SaaS con IA embebida, API de un modelo fundacional, modelo abierto descargado. Sin inventario no hay clasificación posible.
2. Contrasta cada uso contra el artículo 5. Si algo toca reconocimiento de emociones en plantilla o categorización biométrica, es ilegal desde febrero de 2025 — sin periodo de gracia.
3. Documenta la formación de quien opera o supervisa esos sistemas. Es una obligación de medios, pero sin evidencia escrita no puedes acreditarla.
4. Si usas un modelo GPAI, pide al proveedor la documentación del artículo 53. Si es un modelo abierto, probablemente no exista la parte técnica — audítalo tú mismo.
5. Revisa si tu integración es un chatbot, genera contenido sintético o usa reconocimiento de emociones o biometría. Si es así, el artículo 50 aplica desde el 2 de agosto, no en 2027.
6. Marca el 2 de diciembre de 2026: las herramientas generativas de imagen o vídeo necesitan salvaguardas contra contenido íntimo no consentido antes de esa fecha.
7. Clasifica igualmente los sistemas candidatos al Anexo III, aunque la obligación completa llegue en 2027. La gestión de riesgos y el logging no se construyen en una semana.
8. Si contratas con el sector público, ten en cuenta que los sistemas de alto riesgo ya desplegados por una administración tienen un límite fijo — 2 de agosto de 2030 — sin excepción por "sin cambios significativos".
9. No des por hecho que el Reglamento no te aplica por no tener sede en la UE. El artículo 2 lo activa también cuando el output del sistema se usa dentro de la Unión, un criterio más amplio que el del RGPD.
10. Registra en un documento vivo lo que el proveedor NO documenta. Ese registro es tu evidencia, tanto si te audita un regulador como si te audita un cliente.

¿Cuántos de estos diez puntos podrías responder hoy mismo sobre las herramientas de IA que ya usa tu equipo?