El calendario de aplicación del EU AI Act: qué se aplica y cuándo

Entrada en vigor y aplicación escalonada

El Reglamento (UE) 2024/1689 (el EU AI Act) entró en vigor el 1 de agosto de 2024, pero no surte efecto como un bloque único. El artículo 113 establece un calendario escalonado en el que cada capítulo resulta aplicable en fechas distintas, y una reforma de 2026 (el «Digital Omnibus on AI») aplazó varios plazos de alto riesgo. Para las organizaciones reguladas, esto significa que algunas obligaciones ya vinculan hoy, mientras que otras llegan en pasos claramente definidos hasta 2028.

Lo que ya se aplica: febrero y agosto de 2025

Dos hitos ya son vinculantes. Desde el 2 de febrero de 2025 se aplican las prohibiciones de determinadas prácticas de IA (artículo 5) y el deber de alfabetización en IA del personal (artículo 4). Desde el 2 de agosto de 2025 rigen las obligaciones para los proveedores de modelos GPAI, los órganos de gobernanza a escala de la UE y nacional, y el marco sancionador.

• 2 feb 2025 — Prácticas prohibidas (art. 5) y alfabetización en IA (art. 4)
• 2 ago 2025 — Obligaciones de modelos GPAI, órganos de gobernanza y sanciones

Lo que ya se aplica y lo que aún está por llegar: 2026, 2027 y 2028

Desde el 2 de agosto de 2026 se aplican las obligaciones de transparencia del artículo 50 —por ejemplo, informar de que se interactúa con una IA y etiquetar los contenidos generados por IA—. El próximo hito es el 2 de diciembre de 2026, cuando llega el deber de marcado de los proveedores (artículo 50, apartado 2). Las obligaciones de mayor calado, sin embargo, se desplazaron: la reforma «Digital Omnibus» de 2026 aplazó las obligaciones esenciales para los sistemas autónomos de IA de alto riesgo del anexo III —gestión de riesgos, gobernanza de datos, registro, documentación técnica y supervisión humana— del 2 de agosto de 2026 al 2 de diciembre de 2027. La IA de alto riesgo como componente de seguridad de productos ya regulados del anexo I (artículo 6, apartado 1) llega el 2 de agosto de 2028.

Este aplazamiento ya es derecho vigente, no una propuesta: el Digital Omnibus on AI fue refrendado por el Parlamento Europeo el 16 de junio de 2026 y aprobado definitivamente por el Consejo el 29 de junio de 2026, con la publicación en el Diario Oficial a continuación. Reordenó el calendario, pero dejó intacto el fondo de las obligaciones —y el régimen sancionador—. La referencia vinculante sigue siendo el texto adoptado del Reglamento (UE) 2024/1689 en su versión modificada.

El Digital Omnibus no solo aplazó plazos, también añadió nuevas prohibiciones: el artículo 5 prohíbe ahora expresamente los sistemas de IA que generan imágenes íntimas no consentidas («nudifiers») y material de abuso sexual infantil (CSAM). Estas nuevas prácticas prohibidas se aplican desde el 2 de diciembre de 2026.

Límites de las multas y qué hacer ahora

El artículo 99 establece tres niveles de multa, siempre el importe más elevado: hasta 35 M EUR o el 7 % del volumen de negocios anual mundial por prácticas prohibidas del artículo 5; hasta 15 M EUR o el 3 % por la mayoría de las demás infracciones; y hasta 7,5 M EUR o el 1 % por facilitar información incorrecta, incompleta o engañosa a las autoridades u organismos notificados. Dado que las sanciones se aplican desde agosto de 2025, este marco no es una preocupación futura, sino derecho ya vinculante.

En la práctica: elabore un inventario de todos los sistemas de IA que opera o adquiere, asígnelos a las categorías de riesgo del Reglamento y priorice los casos de uso del anexo III. Integre la formación en alfabetización de IA, documente la procedencia de los datos y la supervisión humana, y aclare su papel en cada sistema (proveedor, responsable del despliegue, importador o distribuidor), pues las obligaciones se calibran según ese papel.

• 35 M EUR / 7 % — prácticas prohibidas (art. 5)
• 15 M EUR / 3 % — la mayoría de las demás infracciones
• 7,5 M EUR / 1 % — información incorrecta a las autoridades