El 27 de julio de 2026 —hoy— ha entrado en vigor el Digital Omnibus sobre inteligencia artificial: el Reglamento (UE) 2026/1744, que modifica el Reglamento europeo de IA (AI Act, Reglamento (UE) 2024/1689) y, de forma más puntual, la normativa de aviación civil y de maquinaria. No es una ley nueva desde cero: es un paquete de simplificación que reordena plazos, suaviza algunas obligaciones y añade otras, después de que la Comisión Europea reconociera que el calendario original resultaba difícil de cumplir para muchas organizaciones, especialmente pymes.
Si tu empresa usa IA de cara a clientes —un chatbot, un asistente, un sistema que genera contenido— o está evaluando si alguno de sus sistemas es "de alto riesgo" según el AI Act, este cambio te afecta directamente. Este artículo recoge, con la mayor precisión posible y citando siempre la fuente, qué cambia, cuándo se aplica cada cosa y qué deberías revisar ya.
Qué es el Digital Omnibus, en una frase
Su nombre oficial es "Reglamento (UE) 2026/1744 del Parlamento Europeo y del Consejo, de 8 de julio de 2026, por el que se modifican los Reglamentos (UE) 2024/1689, (UE) 2018/1139 y (UE) 2023/1230 en lo que respecta a la simplificación de la aplicación de las normas armonizadas sobre inteligencia artificial (Digital Omnibus sobre IA)". Se publicó en el Diario Oficial de la UE el 24 de julio de 2026 y, según su propio texto, entra en vigor "el tercer día siguiente al de su publicación" —de ahí el 27 de julio—. No deroga el AI Act: lo reescribe en varios puntos concretos.
El nuevo calendario de obligaciones
Esta es la parte más operativa. Estas son las fechas confirmadas directamente en el texto del reglamento:
- 27 de julio de 2026 (hoy). El Digital Omnibus entra en vigor. Se aplican los artículos 102 a 110 del AI Act, que son modificaciones sectoriales sobre otras normas europeas (aviación, homologación de vehículos, equipos marinos, ferrocarriles, entre otras) —no obligaciones nuevas de carácter general para la mayoría de las empresas.
- 2 de agosto de 2026. Entran en aplicación las obligaciones de transparencia del artículo 50 del AI Act —esta fecha no la cambia el Digital Omnibus, sigue igual que en el texto original—. Es la que más directamente afecta a quien usa chatbots o genera contenido con IA; la desarrollamos en el siguiente apartado.
- 2 de diciembre de 2026. Dos cosas distintas confluyen en esta fecha: (a) entran en vigor las nuevas prohibiciones sobre contenido íntimo no consentido y material de abuso sexual infantil generado o manipulado por IA; y (b) termina el periodo de gracia de cuatro meses para el marcado técnico de contenido generado por sistemas que ya estaban en el mercado antes del 2 de agosto de 2026 (artículo 50.2).
- 2 de agosto de 2027. Cada Estado miembro debe tener operativo al menos un entorno controlado de pruebas ("sandbox regulatorio") nacional para IA. La Oficina de IA de la Comisión puede además crear uno propio a nivel de la UE, con acceso prioritario para pymes y empresas de mediana capitalización pequeña.
- 2 de diciembre de 2027. Fecha límite para cumplir las obligaciones de sistemas de alto riesgo clasificados por el artículo 6.2 y el Anexo III del AI Act —los casos de uso "independientes": biometría, infraestructuras críticas, educación, empleo, migración/asilo/control fronterizo, acceso a servicios esenciales, y ámbitos similares.
- 2 de agosto de 2028. Fecha límite para los sistemas de alto riesgo del artículo 6.1 y el Anexo I —IA que forma parte de un producto ya regulado por otra normativa europea (maquinaria, juguetes, dispositivos médicos, automoción, equipos marinos, etc.). Antes, ambas fechas (Anexo I y Anexo III) coincidían en agosto de 2026; el Digital Omnibus las separa y las retrasa porque, según reconoce el propio reglamento, aún faltaban estándares técnicos y autoridades nacionales competentes operativas para cumplir el calendario original.
¿Mi sistema es de alto riesgo? Anexo I frente a Anexo III
El Digital Omnibus no toca el listado de casos de uso de alto riesgo en sí —sigue siendo el mismo Anexo III del AI Act—, solo reordena cuándo se exige cumplirlo según a qué anexo pertenezca tu sistema:
Si tu IA es un sistema que opera por sí mismo (no forma parte de un producto físico ya regulado) y se usa en uno de los ámbitos sensibles listados en el Anexo III, el plazo que te aplica es diciembre de 2027. Si tu IA es un componente de seguridad dentro de un producto que ya necesita otro tipo de certificación europea (una máquina, un dispositivo médico, un vehículo), el plazo es agosto de 2028. La mayoría de los asistentes conversacionales de atención al cliente, ventas o soporte interno no encajan en ninguno de los dos supuestos —no son "de alto riesgo" per se—, pero si tu caso de uso toca alguno de esos ámbitos sensibles, conviene revisarlo con detalle caso por caso, porque la clasificación depende de la finalidad concreta del sistema, no solo del sector en que opera la empresa.
Lo más relevante si usas un chatbot o un asistente de IA: el artículo 50
Esta es, con diferencia, la parte del AI Act con más impacto directo para quien —como los clientes de CORTEX— despliega un chatbot, un agente o un asistente conversacional. Las obligaciones de transparencia del artículo 50 se aplican desde el 2 de agosto de 2026 y la Comisión Europea publicó el 20 de julio de 2026 unas guías de aplicación junto con unas preguntas frecuentes que aclaran, con bastante detalle, qué implica en la práctica.
El reglamento distingue dos papeles, y es importante no confundirlos:
- Proveedor (quien construye el sistema de IA —en nuestro caso, CORTEX como plataforma): debe diseñar el sistema para que quede claro que se está interactuando con una IA, y debe marcar técnicamente el contenido generado (audio, imagen, vídeo, texto) de forma detectable como generado por IA.
- Responsable del despliegue ("deployer" —el cliente que pone el chatbot en su web o lo usa internamente): debe avisar cuando se usa reconocimiento de emociones o categorización biométrica, y debe etiquetar de forma clara los deepfakes y los textos generados por IA sobre asuntos de interés público que se publiquen sin revisión editorial humana real.
Sobre la obligación central —que la persona sepa que habla con una IA (artículo 50.1)—, la Comisión establece cuatro condiciones que deben darse a la vez para que se aplique: que sea un sistema de IA, que esté pensado para un intercambio bidireccional genuino (no solo recoger datos o dar respuestas automatizadas), que la interacción sea directa (la propia IA se comunica con la persona, sin un intermediario humano) y que sea con una persona física. Si se cumplen las cuatro, el aviso debe darse desde el primer contacto, de forma clara y perceptible. Solo se exime cuando resulta obvio para "una persona media, razonablemente informada, atenta y perspicaz" que está hablando con una IA —y la Comisión subraya que esta excepción debe interpretarse de forma restrictiva, no como regla general.
Los responsables del despliegue no pueden apoyarse únicamente en el marcado técnico que incorpora el proveedor para cumplir su propia obligación de etiquetar un deepfake: es un deber independiente y debe cumplirse igualmente.
Otros puntos concretos que conviene tener presentes:
- El marcado técnico de contenido generado (artículo 50.2) tiene excepciones: secuencias cortas de números o símbolos, código fuente, salidas máquina-a-máquina que nunca llegan a una persona, procesos industriales cerrados (salvo el resultado final), funciones de edición asistida estándar, y un supuesto limitado para contextos "business to business" o industriales.
- Un deepfake se define por tres criterios acumulativos: se parece a algo o alguien real o verosímil, ese sujeto existe, y da una falsa apariencia de autenticidad. Las obras artísticas, satíricas o de ficción tienen un deber de divulgación más ligero (que no entorpezca el disfrute de la obra), pero no quedan exentas.
- Para texto generado por IA sobre asuntos de interés público (política, administración pública, justicia, derechos fundamentales, seguridad pública, salud pública, medio ambiente, protección al consumidor, u otros debates públicos relevantes), la exención por "revisión editorial humana" es estricta: no basta una corrección ortográfica o un repaso superficial, tiene que haber un examen sustantivo por parte de alguien con criterio profesional sobre el contenido.
- El régimen sancionador de esta parte del AI Act puede alcanzar hasta 15 millones de euros o el 3% de la facturación mundial anual, aunque el propio reglamento contempla proporcionalidad para pymes y empresas de mediana capitalización pequeña.
La Comisión también ha adoptado un Código de Buenas Prácticas voluntario sobre transparencia de contenido generado por IA (publicado el 10 de junio de 2026, aplicable desde el 2 de agosto de 2026). Adherirse no es obligatorio —las obligaciones legales del artículo 50 lo son, con o sin código—, pero quien se adhiere puede apoyarse en sus medidas para demostrar cumplimiento; quien no se adhiere tiene que justificar por su cuenta, ante cada autoridad de vigilancia nacional, que sus propias medidas son adecuadas.
Otros cambios sustantivos que trae el Digital Omnibus
La alfabetización en IA deja de ser una obligación de resultado
El AI Act original obligaba a "garantizar" un nivel suficiente de alfabetización en IA del personal. El Digital Omnibus lo suaviza: ahora las organizaciones deben "tomar medidas para apoyar el desarrollo" de esa alfabetización, y el propio texto aclara expresamente que esto "no exige garantizar ningún nivel específico de alfabetización en IA de ninguna persona en particular". Sigue siendo una obligación real —solo cambia de "asegurar un resultado" a "hacer un esfuerzo razonable"—, y la Comisión y los Estados miembro publicarán ejemplos prácticos y recomendaciones de referencia.
Nueva base para tratar datos sensibles y detectar sesgos
Se añade un nuevo artículo 4a que permite —no obliga— tratar categorías especiales de datos personales cuando sea estrictamente necesario para detectar y corregir sesgos algorítmicos, bajo condiciones estrictas: que no existan alternativas suficientes (datos sintéticos o anonimizados), medidas de seguridad y pseudonimización de última generación, control de acceso estricto y documentado, prohibición de ceder esos datos a terceros, borrado en cuanto se corrija el sesgo o termine el plazo de conservación, y justificación documentada de la necesidad. Para sistemas de alto riesgo esto ya estaba contemplado; el Omnibus lo extiende también a otros proveedores y responsables del despliegue cuando el sesgo pueda afectar a la salud, la seguridad, los derechos fundamentales o suponer discriminación prohibida por el derecho de la Unión.
Más margen para pymes y empresas de mediana capitalización pequeña
El reglamento introduce definiciones formales de "pyme" y "SMC" (empresa de mediana capitalización pequeña) y, sobre esa base, amplía varias facilidades: documentación técnica simplificada (con un formulario estandarizado que los organismos notificados deben aceptar), un sistema de gestión de calidad proporcional al tamaño de la organización, la opción de sistema de gestión de calidad simplificado —antes solo para microempresas, ahora para todas las pymes, incluidas las startups—, y acceso prioritario al futuro sandbox de la UE.
La Oficina de IA gana más autoridad de supervisión
La Comisión se compromete a dotar de más recursos humanos, financieros y técnicos a la Oficina de IA. Su competencia exclusiva, antes limitada a los modelos de propósito general, se extiende ahora también a los sistemas de IA construidos sobre esos modelos cuando pertenecen al mismo grupo empresarial que los desarrolla. Además, cuando un sistema de IA forme parte de una plataforma o buscador en línea de muy gran tamaño (bajo la Ley de Servicios Digitales), la Oficina de IA asume también los poderes de una autoridad de vigilancia del mercado sobre ese sistema.
Checklist: qué revisar ahora
A partir de todo lo anterior, esto es lo que recomendamos priorizar si tu organización usa o despliega sistemas de IA:
- Actualiza tu hoja de ruta de cumplimiento con las nuevas fechas —sobre todo si tenías anotado agosto de 2026 como plazo único para todo lo "de alto riesgo": ya no es así.
- Reclasifica tus sistemas de IA: identifica cuáles, si alguno, encajan en el Anexo I (integrados en un producto regulado) o el Anexo III (uso independiente en un ámbito sensible).
- Si tienes un chatbot, asistente o agente conversacional de cara a usuarios, confirma que avisa desde el primer mensaje que están hablando con una IA —salvo que sea evidente por el propio contexto—.
- Si tu sistema genera imágenes, audio, vídeo o texto, revisa si necesitas marcado técnico detectable como contenido de IA, y si tu contenido se publicó antes del 2 de agosto de 2026 (tienes de margen hasta el 2 de diciembre de 2026 para ese marcado, pero no para las demás obligaciones del artículo 50).
- Revisa tu política de alfabetización en IA del personal: el estándar legal bajó de "garantizar" a "apoyar el desarrollo", pero conviene que quede documentado igualmente.
- Si necesitas tratar datos sensibles para detectar sesgos en tus sistemas, revisa si tu caso encaja en las condiciones del nuevo artículo 4a antes de hacerlo.
- Si eres pyme o empresa de mediana capitalización pequeña, comprueba si puedes acogerte a la documentación técnica o al sistema de gestión de calidad simplificados.
- Revisa los contratos con tus proveedores de tecnología de IA (incluido CORTEX) para confirmar quién asume qué papel —proveedor o responsable del despliegue— y qué obligaciones corresponden a cada parte.
- Valora si te interesa adherirte al Código de Buenas Prácticas de la Comisión sobre transparencia de contenido generado por IA, como vía para demostrar cumplimiento con menos carga administrativa.
- Adapta tu estructura de gobernanza interna de la IA —inventario, control de accesos, documentación, auditoría, políticas y trazabilidad— para que puedas demostrar en cualquier momento qué hace tu IA y bajo qué reglas opera.
El contexto normativo, que gestiona cada organización
Este artículo resume, con la mayor fidelidad posible a las fuentes oficiales, un reglamento europeo extenso y técnico. Hay puntos que el propio texto deja abiertos a interpretación o pendientes de desarrollo posterior —por ejemplo, la fecha exacta de aplicación del nuevo artículo 4a, o el contenido detallado de las guías de clasificación de sistemas de alto riesgo, que a fecha de este artículo estaban terminando su fase de consulta pública—. Por eso es importante ser claros: este contenido no constituye asesoramiento jurídico, y la responsabilidad de valorar el cumplimiento normativo de cada sistema de IA corresponde siempre a cada organización, con su propio criterio y, cuando proceda, con su asesoría legal. Lo que hacemos aquí es explicar, con las fuentes citadas, qué dice la norma y cuándo se aplica; la decisión de cómo encaja tu caso concreto —y qué anexo, qué plazo y qué obligación te corresponde— debe tomarla tu organización.
Cómo lo aborda CORTEX
Dicho esto, hay una parte donde sí podemos ayudar de forma muy concreta: tener el inventario, la documentación, la auditoría y la trazabilidad de tus asistentes de IA en un único sitio hace mucho más fácil responder a cualquiera de los puntos del checklist anterior cuando llegue el momento de revisarlo con tu asesoría legal. Cada cerebro de CORTEX guarda su configuración versionada, cada documento de conocimiento queda trazado, y cada conversación puede auditarse para saber qué respondió el sistema y con qué fuente. Si además necesitas dejar constancia de que tus asistentes avisan a los usuarios de que están hablando con una IA, ese aviso forma parte de la configuración de cada cerebro y puede revisarse en cualquier momento desde el panel. Lo desarrollamos con más detalle en AI Governance explicado para empresas.
Conclusión
El Digital Omnibus no relaja el fondo del AI Act —las obligaciones de transparencia para chatbots y contenido generado siguen aplicándose desde el 2 de agosto de 2026, y las nuevas prohibiciones sobre contenido íntimo no consentido entran en vigor el 2 de diciembre de 2026—, pero sí da más margen de tiempo y de proporcionalidad, sobre todo a las pymes, para cumplir con los sistemas de alto riesgo, y aclara bastante el terreno práctico de la transparencia. Si tu organización despliega IA de cara a clientes, el punto que no puedes dejar pasar es el artículo 50: revisa hoy mismo si tus asistentes avisan con claridad de que son IA, y si generas contenido, si lo marcas como corresponde.
