La entrada en vigor del Reglamento (UE) 2026/1744, el 27 de julio de 2026, representa un momento decisivo en la construcción del modelo europeo de gobernanza de la inteligencia artificial. La norma no reemplaza al AI Act ni modifica su finalidad esencial. Reorganiza determinados plazos, reduce duplicidades, amplía mecanismos de apoyo empresarial y fortalece algunas prohibiciones y facultades de supervisión. En consecuencia, el Ómnibus debe comprenderse como una intervención sobre la forma de implementar el régimen, no como una renuncia al objetivo de garantizar una inteligencia artificial segura, confiable y compatible con los derechos fundamentales.
Este proceso expresa la doble ambición que ha caracterizado la política europea de inteligencia artificial. Por una parte, la Unión Europea busca prevenir daños relacionados con discriminación, manipulación, vigilancia, seguridad de productos, opacidad y afectación de derechos. Por otra, procura crear un mercado único en el que las empresas puedan desarrollar y comercializar soluciones tecnológicas bajo reglas previsibles. El AI Act no se limita así a imponer restricciones: configura condiciones de acceso al mercado y establece una infraestructura institucional compuesta por autoridades nacionales, organismos de evaluación, la Oficina Europea de Inteligencia Artificial, códigos de buenas prácticas y estándares técnicos.
Su importancia tampoco se limita a las organizaciones establecidas dentro de Europa. El artículo 2 del AI Act incluye a proveedores situados en terceros países cuando comercializan sistemas o modelos en la Unión, así como a proveedores y usuarios extranjeros cuando los resultados de sus sistemas son utilizados dentro del territorio europeo. Una empresa latinoamericana que ofrezca soluciones de selección laboral, evaluación crediticia, generación de contenidos o análisis biométrico a clientes europeos puede, por tanto, quedar sometida al Reglamento aunque no tenga su sede principal en un Estado miembro. Esta dimensión extraterritorial convierte la regulación europea en una referencia relevante para la planificación global de productos y servicios digitales.
El problema central no consiste únicamente en determinar qué obligaciones existen, sino en decidir cómo incorporarlas a la estrategia empresarial. Los nuevos plazos pueden ser interpretados como una oportunidad para desplegar una preparación ordenada o como una invitación a aplazar inversiones en gobernanza. La segunda interpretación resulta especialmente riesgosa: la regulación ya se aplica a prácticas prohibidas, modelos de uso general y determinadas obligaciones de transparencia, mientras que otros deberes se activarán progresivamente. La organización que espera hasta la fecha final para identificar sus sistemas, reconstruir sus bases de datos o negociar documentación con proveedores probablemente descubrirá que la conformidad no puede improvisarse.
La tesis de este artículo es que la regulación europea puede transformarse en una ventaja competitiva cuando se integra tempranamente al diseño del producto, la contratación tecnológica, la gestión de datos y la comunicación corporativa. Para demostrarlo, se examinan primero los fundamentos del enfoque basado en riesgos; posteriormente, se analizan las principales modificaciones del Ómnibus; después, se proponen estrategias de mitigación y aprovechamiento comercial; finalmente, se discuten las tensiones entre simplificación, innovación y protección de derechos. El análisis utiliza fuentes normativas oficiales y contribuciones académicas sobre regulación basada en riesgos, estándares técnicos y experimentación regulatoria.
El AI Act se construye sobre un modelo de regulación diferenciada. No todos los sistemas de inteligencia artificial están sujetos a las mismas obligaciones: la intensidad regulatoria depende de la finalidad, el contexto de uso y la magnitud del daño potencial. Algunas prácticas son directamente prohibidas; ciertos sistemas utilizados en ámbitos sensibles son clasificados como de alto riesgo; varias aplicaciones están sometidas principalmente a deberes de transparencia; y numerosos sistemas de riesgo mínimo pueden circular sin un régimen obligatorio comparable. Martin Ebers considera adecuado este enfoque proporcional, aunque advierte que una regulación auténticamente basada en riesgos debe evaluar los daños en su contexto y evitar clasificaciones excesivamente formales.
Dentro de esta estructura, el Ómnibus de 2026 modifica el calendario de las obligaciones correspondientes a los sistemas de alto riesgo. Los sistemas contemplados en el Anexo III —por ejemplo, determinadas aplicaciones en empleo, educación, acceso a servicios esenciales, biometría, migración o administración de justicia— pasan del 2 de agosto de 2026 al 2 de diciembre de 2027. Los sistemas de alto riesgo vinculados a productos regulados del Anexo I pasan del 2 de agosto de 2027 al 2 de agosto de 2028. Esta precisión resulta relevante porque el documento base presenta el 2 de agosto de 2026 como fecha original para ambas categorías, mientras que el artículo 113 del Reglamento de 2024 ya concedía un año adicional a los sistemas comprendidos en el artículo 6.1.
El aplazamiento no afecta de la misma manera a todas las disposiciones. Las obligaciones para proveedores de modelos de inteligencia artificial de uso general se aplican desde el 2 de agosto de 2025. Estos proveedores deben mantener documentación técnica, proporcionar información a quienes integran sus modelos, adoptar una política de cumplimiento del derecho de autor y publicar un resumen suficientemente detallado sobre los contenidos utilizados para el entrenamiento. Para los modelos que presentan riesgo sistémico se añaden evaluaciones, pruebas adversariales, gestión de incidentes y medidas de ciberseguridad. El Código de buenas prácticas para modelos de uso general, publicado en julio de 2025, ofrece una vía voluntaria para demostrar el cumplimiento en transparencia, derecho de autor, seguridad y gestión de riesgos.
También adquieren importancia inmediata las obligaciones del artículo 50. Desde el 2 de agosto de 2026, los proveedores de sistemas que generan audio, imágenes, video o texto sintético deben procurar que los resultados sean identificables en un formato legible por máquinas. Los responsables que publiquen deepfakes deben revelar su naturaleza artificial, y quienes difundan texto generado por IA sobre asuntos de interés público deben efectuar una divulgación equivalente, salvo que exista revisión humana, control editorial y responsabilidad identificable. Los sistemas comercializados antes del 2 de agosto de 2026 disponen hasta el 2 de diciembre del mismo año para adaptar el marcado exigido al proveedor. Las directrices de transparencia de la Comisión y el código aprobado en julio de 2026 buscan uniformar esta implementación.
El Ómnibus introduce, además, ajustes que exceden el simple cambio de fechas. La obligación de alfabetización en inteligencia artificial ya no exige garantizar un nivel determinado para cada empleado, sino adoptar medidas razonables que apoyen el desarrollo de conocimientos adecuados al contexto. Se permite excepcionalmente el tratamiento de categorías especiales de datos para detectar y corregir sesgos, siempre que sea estrictamente necesario y esté acompañado por controles de seguridad, limitación de acceso, pseudonimización y eliminación. La norma amplía beneficios a las pequeñas empresas de mediana capitalización, extiende a todas las pymes la simplificación del sistema de gestión de calidad y permite que la Oficina de IA establezca un sandbox regulatorio europeo con acceso prioritario para pymes, empresas emergentes y small mid-caps.
Este sistema responde a una lógica de corregulación. La legislación establece objetivos y obligaciones generales, mientras que estándares armonizados, códigos de prácticas, directrices y mecanismos de experimentación traducen esas normas en procedimientos técnicos. Cantero Gamito y Marsden advierten que los estándares no son instrumentos neutrales, porque terminan definiendo qué riesgos se consideran aceptables y qué medidas cuentan como suficientes. Al mismo tiempo, los sandboxes permiten experimentar bajo supervisión y pueden reducir la distancia entre el desarrollo tecnológico y la comprensión regulatoria. En el plano internacional, este modelo puede producir el denominado “efecto Bruselas”: las empresas que operan globalmente pueden extender los estándares europeos a otros mercados para evitar mantener versiones regulatorias incompatibles de un mismo producto.
La primera medida para navegar este marco es construir un inventario corporativo de inteligencia artificial. La organización debe saber qué sistemas utiliza, quién los suministra, qué datos procesan, qué decisiones apoyan, en qué territorios operan y quién asume las funciones de proveedor, importador, distribuidor o responsable del despliegue. No basta con registrar herramientas oficialmente adquiridas: deben incluirse modelos incorporados mediante interfaces de programación, funciones de IA integradas en programas existentes y soluciones desarrolladas informalmente por equipos internos. El inventario permite determinar si una aplicación está prohibida, si pertenece al Anexo III, si forma parte de un producto regulado, si genera contenido sintético o si integra un modelo de uso general sujeto a deberes específicos.
La segunda medida consiste en traducir la clasificación jurídica en una hoja de ruta operativa. Para los sistemas de alto riesgo, el período hasta 2027 o 2028 debería utilizarse para establecer gestión de riesgos, gobernanza de datos, registros de actividad, documentación técnica, supervisión humana, precisión, robustez, ciberseguridad y seguimiento posterior a la comercialización. El cambio de fecha reduce la presión inmediata, pero no reduce el trabajo necesario. De hecho, el Ómnibus justificó el aplazamiento por la disponibilidad tardía de estándares, especificaciones y autoridades competentes, no porque los requisitos hubieran perdido relevancia. El mayor riesgo empresarial es generar una “deuda de cumplimiento”: productos que continúan evolucionando sin documentación, trazabilidad ni responsabilidades claramente asignadas.
La transparencia del contenido sintético exige una estrategia diferente. Los proveedores deben diseñar soluciones de marcado efectivas, interoperables, robustas y técnicamente detectables; los responsables del despliegue deben establecer procesos editoriales para revelar deepfakes y determinados textos de interés público. El cumplimiento no debería reducirse a añadir una etiqueta visible, porque el artículo 50 distingue entre marcado técnico y divulgación al público. Las empresas deberán decidir cómo preservar metadatos a lo largo de la cadena de distribución, qué ocurre cuando el contenido es comprimido o editado y cómo documentar la aplicación de excepciones. Las directrices de julio de 2026 aclaran el alcance de estos deberes, mientras que el código de prácticas permite demostrar una conducta alineada con las expectativas de la Comisión.
La gestión de seguridad adquiere especial relevancia por las nuevas prohibiciones que se aplicarán desde el 2 de diciembre de 2026. El Ómnibus prohíbe determinados sistemas que generan o manipulan representaciones íntimas realistas de personas identificables sin consentimiento y sistemas relacionados con material de abuso sexual infantil. Sin embargo, la norma no impone una responsabilidad automática por cualquier resultado accidental. Para los proveedores, la prohibición depende de que esa generación sea la finalidad prevista o un resultado razonablemente previsible y reproducible frente al cual no existan medidas técnicas y salvaguardias adecuadas. Por ello, serán esenciales la limpieza de datos, los controles de salida, los filtros, las pruebas de evasión, los mecanismos de denuncia y las respuestas ante usos detectados. El incumplimiento del artículo 5 puede dar lugar a multas de hasta 35 millones de euros o el 7 % del volumen mundial anual de negocios, conforme a las reglas generales del AI Act.
Las pymes y empresas emergentes pueden convertir las nuevas medidas de proporcionalidad en una plataforma de crecimiento. El acceso prioritario a sandboxes permite probar soluciones bajo supervisión y discutir tempranamente problemas de clasificación, datos personales o seguridad. La extensión del sistema simplificado de gestión de calidad a todas las pymes reduce una parte de la carga documental, mientras que el reconocimiento de las pequeñas empresas de mediana capitalización evita que el crecimiento produzca un salto regulatorio abrupto. Estas ventajas, no obstante, no constituyen exenciones generales. La participación en un sandbox tampoco certifica automáticamente la conformidad futura ni elimina la responsabilidad empresarial. Su valor reside en reducir incertidumbre, producir evidencia y facilitar aprendizaje entre empresas y autoridades.
La regulación también abre mercados. Se incrementará la demanda de servicios de clasificación de sistemas, auditoría de algoritmos, documentación técnica, pruebas adversariales, detección de sesgos, trazabilidad de contenidos, marcas de procedencia, monitoreo de incidentes y evaluación de proveedores. Los despachos jurídicos, consultoras tecnológicas y empresas de software pueden desarrollar servicios integrados que traduzcan obligaciones normativas en controles verificables. Paralelamente, las empresas reguladas pueden diferenciar sus productos mediante confianza, seguridad y capacidad de integración. En contratación corporativa y procesos de inversión, disponer de inventarios, registros de pruebas, políticas de datos y asignaciones contractuales de responsabilidad puede reducir contingencias y acelerar la debida diligencia. La regulación se convierte así en un componente del valor del producto, no únicamente en un costo externo.
La principal controversia consiste en determinar si el Ómnibus representa una simplificación legítima o una dilución de las salvaguardias europeas. El texto conserva los objetivos del AI Act, mantiene las obligaciones de alto riesgo y añade prohibiciones frente a daños especialmente graves. Los aplazamientos se justifican por la falta de estándares y herramientas de apoyo, lo que sugiere una corrección institucional antes que un retroceso. Sin embargo, un calendario más extenso aumenta el período durante el cual sistemas potencialmente sensibles pueden seguir operando sin la aplicación integral de determinadas exigencias. El equilibrio dependerá de que autoridades y empresas utilicen la transición para prepararse, en lugar de convertirla en una suspensión de hecho.
Una segunda tensión se relaciona con el papel de los estándares. Su utilización puede reducir costos y proporcionar una presunción de conformidad, pero también desplaza decisiones normativas hacia organismos técnicos. Conceptos como precisión suficiente, riesgo residual aceptable, robustez o supervisión humana contienen juicios sociales y jurídicos que no pueden resolverse exclusivamente mediante ingeniería. Cantero Gamito y Marsden destacan la necesidad de participación interdisciplinaria y representación de la sociedad civil en los procesos de estandarización. La eficacia del Ómnibus dependerá, por tanto, no solo de que los estándares estén disponibles a tiempo, sino de que sean transparentes, revisables y adecuados a contextos sectoriales diversos.
La transparencia también presenta límites. Un marcado puede ayudar a identificar la procedencia artificial de un contenido, pero no determina si ese contenido es verdadero, engañoso, lícito o legítimo. Del mismo modo, una obra generada con asistencia de IA no es necesariamente desinformativa, mientras que una pieza creada por una persona puede ser falsa o manipuladora. La regulación reconoce esta diferencia al señalar que cumplir con una obligación de transparencia no implica que el uso del sistema o su resultado sea legal bajo otras normas. La utilidad del artículo 50 dependerá de la interoperabilidad de las soluciones técnicas, la conservación del marcado durante la distribución y la capacidad del público para comprender la información revelada.
Las medidas para pymes plantean otra cuestión crítica. Una regulación compleja puede favorecer indirectamente a grandes empresas capaces de sostener departamentos jurídicos, equipos de seguridad y procesos de certificación. Los sandboxes, modelos documentales y sistemas simplificados pueden reducir esta asimetría, pero solo si son accesibles, rápidos y coordinados. Si cada autoridad nacional interpreta los requisitos de manera distinta o si el acceso a expertos sigue siendo costoso, la simplificación formal no necesariamente producirá una reducción real de barreras. La literatura reciente sobre cumplimiento para pymes insiste en que estas organizaciones necesitan herramientas prácticas, competencias internas y acompañamiento continuo, no solamente plazos más extensos.
Finalmente, el alcance externo del AI Act puede influir en la regulación y en las prácticas empresariales de otras regiones. Las compañías que comercialicen un mismo modelo en Europa, América Latina y otras jurisdicciones podrían adoptar globalmente controles desarrollados para la Unión cuando mantener productos separados resulte más costoso. Este fenómeno no implica que todas las normas europeas sean automáticamente exportables ni que respondan a las prioridades de cada país. Sí significa que las empresas extracomunitarias deberán comprenderlas y decidir si construyen una arquitectura global de cumplimiento o fragmentan sus productos por mercado. La capacidad de demostrar estándares europeos de transparencia y seguridad puede convertirse en una credencial comercial, especialmente en sectores regulados o en relaciones con empresas multinacionales.
La regulación europea de inteligencia artificial no debe entenderse como un conjunto aislado de prohibiciones, sino como una arquitectura de mercado. El AI Act define las condiciones bajo las cuales los sistemas pueden desarrollarse, comercializarse y utilizarse; el Ómnibus de 2026 reorganiza esa implementación para reducir duplicidades, ampliar apoyos y ajustar el calendario a la disponibilidad de estándares y autoridades. La finalidad protectora permanece, pero se combina de forma más explícita con una política de innovación y competitividad.
En el corto plazo, las organizaciones deben concentrarse en las disposiciones que se aplican durante 2026. Esto incluye revisar las obligaciones de transparencia del artículo 50, adaptar sistemas ya comercializados antes del 2 de diciembre, evaluar la interacción con personas, documentar el uso de contenido sintético y establecer medidas frente a generación de contenido íntimo no consentido y material de abuso sexual infantil. Estas tareas exigen coordinación entre áreas jurídicas, técnicas, de seguridad, comunicación y producto.
En el mediano plazo, los plazos de 2027 y 2028 deben convertirse en hitos de un programa progresivo. Los sistemas potencialmente incluidos en los anexos I y III requieren clasificación documentada, gestión de datos, evaluación de riesgos, supervisión humana, controles de proveedores y evidencia de pruebas. Esperar la publicación de todos los estándares antes de comenzar sería una estrategia deficiente: aunque estos instrumentos facilitarán la demostración de conformidad, gran parte de las capacidades organizativas necesarias debe construirse con anticipación.
Las oportunidades se concentran en dos ámbitos. El primero corresponde a las empresas que utilizan IA y pueden diferenciarse mediante productos confiables, trazables y preparados para mercados regulados. El segundo comprende el ecosistema de servicios que acompañará la implementación: auditoría, cumplimiento automatizado, verificación de contenido, seguridad generativa, gestión contractual, capacitación y pruebas de sistemas. La política europea complementa este marco regulatorio con el Plan de Acción para un Continente de IA, que contempla inversión en infraestructura, fábricas de IA y capacidades de cómputo. La estrategia europea, por consiguiente, combina regulación con instrumentos de desarrollo industrial.
La diferencia competitiva no estará determinada únicamente por quién desarrolla el modelo más potente, sino también por quién puede demostrar que entiende su funcionamiento, controla sus riesgos y responde por sus efectos. El Ómnibus concede más tiempo y ofrece instrumentos de apoyo, pero no elimina la responsabilidad. La organización que transforme ese tiempo en gobernanza obtendrá acceso, confianza y resiliencia; la que lo utilice para aplazar decisiones llegará a las fechas de aplicación con productos técnicamente avanzados, pero jurídicamente frágiles.
Bradford, Anu. (2020). The Brussels Effect: How the European Union Rules the World. Oxford University Press. Acceso a la obra.
Cantero Gamito, Marta, y Marsden, Christopher T. (2024). “Artificial Intelligence Co-Regulation? The Role of Standards in the EU AI Act”. International Journal of Law and Information Technology, 32, eaae011. Oxford University Press. https://doi.org/10.1093/ijlit/eaae011.
Chassang, Gauthier. (2025). “Regulatory Sandboxes for Trustworthy AI: An EU Framework for Experimenting AI Systems and Fostering Agile Regulation”. En V. L. Raposo (ed.), The European Artificial Intelligence Act. Springer. https://doi.org/10.1007/978-3-031-98406-8_11.
Comisión Europea. (2025). AI Continent Action Plan, COM(2025) 165. Comisión Europea. Documento y recursos oficiales.
Comisión Europea. (2025). General-Purpose AI Code of Practice. Oficina Europea de Inteligencia Artificial. Código de buenas prácticas.
Comisión Europea. (2026). Code of Practice on Transparency of AI-Generated Content. Oficina Europea de Inteligencia Artificial. Acceso al código.
Comisión Europea. (2026). Guidelines on the Implementation of the Transparency Obligations for Certain AI Systems under Article 50 of the AI Act. Comisión Europea. Directrices oficiales.
Ebers, Martin. (2025). “Truly Risk-based Regulation of Artificial Intelligence: How to Implement the EU’s AI Act”. European Journal of Risk Regulation. Cambridge University Press. Acceso al artículo.
Finck, Michèle. (2026). The EU Artificial Intelligence Act: A Commentary. Oxford University Press. Ficha editorial.
Mahmutovic, Adnan. (2025). “The EU AI Act: A Proactive Framework for Comprehensive AI Regulation”. International Journal of Law and Information Technology, 33, eaaf028. Oxford University Press. https://doi.org/10.1093/ijlit/eaaf028.
Parlamento Europeo y Consejo de la Unión Europea. (2024). Reglamento (UE) 2024/1689, por el que se establecen normas armonizadas en materia de inteligencia artificial. Diario Oficial de la Unión Europea. Texto oficial en EUR-Lex.
Parlamento Europeo y Consejo de la Unión Europea. (2026). Reglamento (UE) 2026/1744, relativo a la simplificación de la aplicación de las normas armonizadas sobre inteligencia artificial. Diario Oficial de la Unión Europea. Texto oficial en EUR-Lex.
Ren, Qiang, y Du, Jing. (2024). “Harmonizing Innovation and Regulation: The EU Artificial Intelligence Act in the International Trade Context”. Computer Law & Security Review, 54, 106028. Elsevier. https://doi.org/10.1016/j.clsr.2024.106028.
Sillberg, Chalisa Veesommai; Kemell, Kai-Kristian; Sillberg, Pekka; Saari, Mika; Harjuveteläinen, Katri; Waseem, Muhammad; y Abrahamsson, Pekka. (2026). Navigating Compliance: Strategic Guidance for SMEs under the EU AI Act. Springer. https://doi.org/10.1007/978-3-032-15207-7.