Reglamento de IA en España: qué obliga ya, qué se ha aplazado y qué no se sanciona

El Omnibus de julio de 2026 reescribió el calendario del Reglamento europeo de IA y casi todo lo publicado sigue citando el texto de 2024. Esto es lo que se aplica hoy a una empresa española, con las fechas nuevas.

2026-08-15 · Cumplimiento de IA y datos

Si has buscado qué te obliga el Reglamento europeo de inteligencia artificial, casi todo lo que has leído está desfasado. No por poco: el Reglamento (UE) 2026/1744, conocido como Digital Omnibus on AI, se aprobó el 8 de julio de 2026, se publicó en el Diario Oficial el 24 de julio y entró en vigor el 27. Modifica el Reglamento (UE) 2024/1689 y cambia el calendario. Cualquier análisis que cite solo el texto de 2024 —que es la mayoría— ya no sirve.

Esto es el estado real a día de hoy.

El calendario, después del Omnibus

• Prácticas prohibidas (art. 5): en vigor desde el 2 de febrero de 2025. El Omnibus añade dos prohibiciones nuevas.
• Alfabetización en IA (art. 4): en vigor desde el 2 de febrero de 2025, pero suavizado: donde antes decía «garantizar» un nivel suficiente de competencia, ahora dice «adoptar medidas».
• Transparencia (art. 50): aplicable desde el 2 de agosto de 2026, con cuatro meses transitorios para los sistemas ya comercializados. Es decir: esto ya está vigente.
• Alto riesgo del Anexo III: aplazado al 2 de diciembre de 2027. Estaba previsto para agosto de 2026.
• Alto riesgo del Anexo I: aplazado al 2 de agosto de 2028.

Traducido: lo que estaba a punto de caer sobre las empresas —el bloque de alto riesgo— se ha ido más de un año. Lo que sí acaba de entrar es la transparencia.

Qué obliga hoy a una empresa española normal

Lo primero es situarse. Una empresa que usa herramientas de IA compradas a terceros es responsable del despliegue, no proveedor. La carga es muchísimo menor: el grueso del reglamento recae sobre quien fabrica y comercializa el sistema.

Para el responsable del despliegue, en la práctica:

Transparencia (art. 50), ya vigente

Si el cliente interactúa con una máquina, hay que decírselo. Si publicas contenido generado con IA, hay que identificarlo como tal. Con una excepción que a mucha gente le cambia la vida: el artículo 50.4 exime de etiquetar el texto publicado cuando ha habido revisión humana y alguien asume la responsabilidad editorial. Es decir, un blog corporativo redactado con ayuda de IA y revisado por una persona identificable no tiene que llevar sello en cada artículo.

Y otra que casi nadie sabe: los escritos privados a un cliente —un informe, unas alegaciones, un modelo— no entran en el artículo 50. La transparencia del art. 50 va de contenido dirigido al público y de interacción con personas, no de un documento profesional entregado a quien te contrató.

Alfabetización (art. 4), vigente pero no sancionable

Hay que adoptar medidas para que quien maneja estas herramientas sepa lo que hace. Ahora bien, el dato que ninguna consultoría de las que venden cursos de urgencia te va a contar: el artículo 4 no está entre los sancionables. El artículo 99.4 enumera taxativamente los preceptos cuya infracción se multa —16, 22, 23, 24, 26, 31, 33, 34 y 50— y el 4 no aparece.

Eso no significa que dé igual formar al equipo: significa que quien te venda formación diciendo que si no la contratas te multan, te está vendiendo con un argumento falso.

Prohibiciones (art. 5)

Aquí sí hay multas serias, pero las prácticas prohibidas —manipulación subliminal, puntuación social, categorización biométrica de ciertos rasgos— quedan lejos de lo que hace una empresa normal. El caso realista de alto riesgo para una pyme sería cribar currículos con IA, que cae en el Anexo III.4… y ese bloque no aplica hasta diciembre de 2027.

Las multas, y el detalle que cambia el susto

Se citan siempre las cifras máximas, que son de decenas de millones. Para una pyme o un autónomo hay una regla que rara vez se menciona: el artículo 99.6 establece que se aplica el importe menor entre el porcentaje del volumen de negocio y la cifra fija. La cifra que asusta en los titulares es el techo para una multinacional, no para un despacho de cinco personas.

Y en España, ¿quién sanciona?

Esta es la parte que más confusión genera. El Reglamento es un reglamento europeo: se aplica directamente, sin necesidad de ley española. Lo que falta en España no es la norma, es el aparato sancionador nacional.

El proyecto de ley de gobernanza de la IA (121/000096) sigue sin aprobarse: continúa en fase de enmiendas en Comisión, con el plazo ampliado hasta el 2 de septiembre de 2026. La AESIA existe desde el Real Decreto 729/2023, pero la Orden TDF/774/2025 solo le delega competencias presupuestarias: todavía no vigilancia del mercado ni potestad sancionadora.

Conclusión práctica: hoy el riesgo sancionador real por el Reglamento de IA en España es bajo, y quien te diga lo contrario está vendiendo urgencia.

Entonces, ¿de qué hay que preocuparse de verdad?

Del RGPD. La Agencia Española de Protección de Datos está plenamente operativa, lleva años sancionando y llega hasta 20 millones de euros o el 4 % del volumen de negocio. El día que alguien de tu equipo pega en un chat de IA un listado de clientes con sus NIF, el problema no es el Reglamento de IA: es una comunicación de datos personales a un tercero sin base legal, sin contrato de encargado y probablemente con transferencia internacional.

Y si tu actividad es profesional —despacho, asesoría, clínica—, encima está el secreto profesional del artículo 5 de la LOPDGDD, que no se levanta por comodidad.

Lo hemos desarrollado en usar IA con datos de clientes sin saltarse la ley, que es la parte que sí tiene consecuencias hoy.

Qué hacer este mes, en orden

1. Inventariar qué herramientas de IA se usan ya en la empresa. Casi siempre son más de las que el gerente cree.
2. Revisar el contrato de cada una: si entrena con tus datos, cuánto conserva, dónde están los servidores.
3. Cumplir el art. 50 donde toque: si hay chatbot, que se identifique como máquina.
4. Dejar por escrito quién puede usar qué y qué información no sale nunca.
5. Documentarlo. Ante una inspección, hacerlo bien sin poder probarlo vale lo mismo que no hacerlo.

Si esto es tu caso

Este trabajo no es un proyecto de meses ni requiere comprar software: es inventario, contratos, cuatro documentos y una política interna que quepa en una página. Lo hacemos en cumplimiento de IA y protección de datos, y si lo que necesitas es que el equipo entienda de una vez qué puede y qué no puede hacer con estas herramientas, va aparte en formación en IA.

Somos Mindset & Code: automatización, datos y desarrollo para pymes y autónomos. Trabajamos el cumplimiento normativo de los sistemas que montamos, y por eso este artículo cita el número del reglamento y la fecha del Diario Oficial en vez de repetir titulares. Puedes ver qué hacemos y a qué precio, publicados uno a uno.

Fuentes: Reglamento (UE) 2024/1689 de inteligencia artificial; Reglamento (UE) 2026/1744 (Digital Omnibus on AI), DOUE de 24 de julio de 2026, en vigor el 27 de julio de 2026; Real Decreto 729/2023 y Orden TDF/774/2025 (AESIA); proyecto de ley 121/000096 en tramitación parlamentaria. Verificado en fuente oficial el 11 de agosto de 2026. Guía informativa, no sustituye asesoramiento jurídico.