El aplazamiento es real. No incluye su chatbot.

Imagine la escena: julio de 2026, el director de un hotel en Marbella lee el titular «Bruselas retrasa las normas de IA hasta 2027» y cierra la carpeta con cierto alivio. El proyecto puede esperar. Mientras tanto, en la web del hotel, un asistente de chat contesta a huéspedes de Múnich y de Milán en su idioma, firma como «Laura» y nunca dice que Laura es un programa.

El titular era correcto. La conclusión, no. Lo que la UE aplazó es lo que muy pocas empresas de mis sectores tienen. Lo que tienen casi todas no se aplazó.

Lo que de verdad se aplazó.

El 24 de julio de 2026, el Diario Oficial de la UE publicó el Reglamento (UE) 2026/1744, de 8 de julio, conocido como Ómnibus Digital sobre IA, que modifica el Reglamento de Inteligencia Artificial. Según el análisis del despacho Cuatrecasas, su cambio más importante en la práctica es el calendario de los sistemas de alto riesgo. Los sistemas independientes del anexo III, en ámbitos como la biometría, el empleo, la educación, la migración o el acceso a servicios esenciales, quedan sujetos a esas normas desde el 2 de diciembre de 2027. Los integrados en productos regulados por la legislación europea de seguridad de productos, desde el 2 de agosto de 2028. La fecha original para ambos era el 2 de agosto de 2026.

La Comisión había propuesto una fecha flexible, ligada a que existieran normas técnicas. El Parlamento y el Consejo la rechazaron y escribieron fechas fijas en el texto. Ese detalle importa: los nuevos plazos no dependen de que antes ocurra nada más.

Lo que no se aplazó.

Las obligaciones de transparencia del artículo 50 se aplican desde el 2 de agosto de 2026. Un sistema de IA que interactúa directamente con personas debe estar diseñado para que sepan que hablan con una máquina, salvo que resulte evidente por el contexto. Las imágenes, audios o vídeos generados o manipulados con IA que pasarían por auténticos, lo que la ley llama ultrasuplantación, deben señalarse como tales por quien usa el sistema para crearlos. Solo el marcado técnico del contenido generado, para los proveedores cuyos sistemas ya estaban en el mercado antes de agosto, recibió una breve prórroga, hasta el 2 de diciembre de 2026.

También sigue el artículo 4. Proveedores y responsables del despliegue deben adoptar medidas para apoyar la alfabetización en IA de las personas que usan estos sistemas en su nombre. El Ómnibus suavizó la redacción, y el artículo aclara ahora que no exige un nivel concreto de alfabetización a nadie en particular. No suprimió la obligación. Las prácticas prohibidas del artículo 5 se aplican desde febrero de 2025, y el Ómnibus añadió dos más, sobre deepfakes sexuales sin consentimiento y material de abuso sexual infantil.

Lo aplazado es lo que casi nadie tiene. Lo que casi todos tienen ya se aplica.

El punto ciego: quizá el proveedor es usted.

La mayoría de las empresas da por hecho que las obligaciones son del fabricante del software. El reglamento define como proveedor a quien desarrolla un sistema de IA, o encarga su desarrollo, y lo pone en servicio con su propio nombre o marca. Una clínica que encarga un asistente a medida y lo lanza con su marca no es solo usuaria. Y el deber de diseñar el chatbot para que las personas sepan que es una máquina recae en el proveedor.

Tampoco se detiene en la frontera. El reglamento alcanza también a proveedores y responsables del despliegue establecidos fuera de la UE cuando la información de salida del sistema se utiliza en la Unión. Un hotel suizo cuyo asistente atiende a huéspedes de Alemania o de España no debería dar por hecho que estar en Suiza zanja la cuestión.

Dónde el alto riesgo está más cerca de lo que parece.

En mis sectores, pocas empresas fabrican sistemas de alto riesgo. Más de las que creen usan uno sin llamarlo así. El anexo III incluye, entre otros:

• Colegios e internados. Sistemas que deciden la admisión, evalúan los resultados del aprendizaje, determinan el nivel educativo adecuado o vigilan a los alumnos durante los exámenes.
• Selección de personal, en cualquier sector. Herramientas que filtran candidaturas o evalúan candidatos, incluida la función de cribado de la plataforma de empleo que un hotel usa cada temporada.
• Urgencias. Sistemas de triaje de pacientes en la atención sanitaria de urgencia.

Para estos usos hay tiempo hasta diciembre de 2027, y conviene aprovecharlo. Descubrir a finales de 2027 que la herramienta de admisiones es de alto riesgo es tarde, porque la supervisión humana, los registros y un contrato serio con el proveedor no se construyen en un mes.

Imágenes: la regla que inmobiliarias y hoteles pasan por alto.

Inmobiliarias y hoteles publican cada vez más imágenes hechas con IA: salones amueblados en pisos vacíos, terrazas con un atardecer que nunca ocurrió, habitaciones con una luz que no tienen. Cuando una imagen se parece a un lugar real y pasaría por auténtica, entra en la regla de las ultrasuplantaciones y debe señalarse como generada o manipulada. La ley permite un aviso discreto en obras evidentemente artísticas o de ficción. La foto de un piso en venta no lo es.

Suiza: todavía sin ley de IA, pero ya con una regla.

Suiza no tiene hoy una legislación específica sobre IA. El 12 de febrero de 2025, el Consejo Federal encargó al Departamento Federal de Justicia y Policía un anteproyecto para consulta antes de que acabe 2026, centrado en transparencia, protección de datos, no discriminación y supervisión, para que Suiza pueda ratificar el convenio del Consejo de Europa sobre IA, que firmó en marzo de 2025.

Eso no significa que no se aplique nada. El Comisionado Federal de Protección de Datos y Transparencia (PFPDT) considera que la ley de protección de datos vigente se aplica directamente a la IA. Según su lectura, quien habla con un modelo de lenguaje tiene derecho a saber si trata con una máquina y si lo que escribe se usa para mejorar el programa o para otros fines. Los programas que falsifican caras, imágenes o voces de personas identificables deben señalarse con claridad, y un tratamiento de alto riesgo exige una evaluación de impacto. En la práctica, para el chatbot, una clínica de Zúrich y un hotel de Málaga llegan a un deber muy parecido por caminos distintos.

Mi posición.

Construyo automatizaciones con IA, y a cualquier cliente le aconsejaría leer el aplazamiento al revés: como tiempo para hacer con calma los deberes del alto riesgo, no como excusa para retrasar la transparencia que ya debe. En un asistente me importa más la primera frase que la personalidad: quién habla, que es automático y cómo llegar a una persona. En una casa de lujo, el huésped perdona a una máquina. No perdona que le engañen.

Lo que yo revisaría.

• Cada uso de IA en la empresa. Chat de la web, WhatsApp, respuestas de correo, imágenes, selección de personal, admisiones, informes.
• La primera frase del asistente. Que diga que es automático y ofrezca una persona.
• Quién es el proveedor. Si el sistema se hizo para usted y funciona con su nombre, lea el artículo 50 como si se lo dirigieran a usted.
• Las imágenes. Cuáles están generadas o retocadas con IA, y dónde se indica.
• Las personas. Qué formación recibe el equipo que usa estas herramientas, y si queda documentada.

Un calendario que no espera.

1. Esta semana

   Hacer el inventario

   Cada herramienta de IA, quién la suministra y con qué nombre funciona.

2. Este mes

   Corregir la transparencia

   La primera frase del asistente, un aviso en las imágenes realistas hechas con IA y una vía visible hacia una persona.

3. Final de 2026

   Seguir el anteproyecto suizo

   Debe estar listo antes de que acabe el año y mostrará qué añade Suiza.

4. Antes de diciembre de 2027

   Clasificar el alto riesgo

   Admisiones, evaluación, selección, triaje: decidir con su abogado qué usos entran en el anexo III.

Una pregunta para hacerse antes de que termine el año. Si mañana le preguntaran quién es el proveedor del asistente de su web, ¿contestaría con el nombre de una empresa o con el suyo? Esta nota explica por qué la respuesta puede no ser la que espera.

Y otra para quien lleva el marketing: ¿cuántas imágenes de su web se generaron con IA, y lo dice alguna?

Si quiere que revise sus asistentes, sus imágenes y sus automatizaciones desde este ángulo, empiece por el Diagnóstico Estratégico. Si un uso concreto es de alto riesgo es una valoración jurídica que corresponde a su abogado.