Checklist para el 2 de agosto de 2026: qué debe tener listo tu empresa tras el Digital Omnibus

El AI Act no entró en vigor de golpe: se despliega por tramos desde agosto de 2024, y por eso hay tanta confusión sobre qué es exigible hoy y qué lo será mañana. Conviene tener el calendario delante, porque parte de lo que muchas empresas creen que "llega en agosto" en realidad lleva año y medio siendo obligatorio.

Lo que entra en juego el 2 de agosto es, tras el Digital Omnibus, un bloque principal: las obligaciones de transparencia del artículo 50, que afectan a casi cualquier organización que use IA generativa de cara a terceros. El otro gran bloque previsto originalmente para esta fecha —los sistemas de alto riesgo del Anexo III, que incluyen usos tan comunes como la selección de personal, la evaluación crediticia o el acceso a servicios esenciales— se ha aplazado al 2 de diciembre de 2027, y al 2 de agosto de 2028 para la IA integrada en productos ya regulados. Aplazado no significa cancelado: la adecuación de un sistema de alto riesgo se mide en meses, y ese margen se consume rápido.

Nada de lo que viene después se puede hacer sin esto, y es también el paso que más resistencia genera porque obliga a mirar de frente algo incómodo: casi ninguna empresa sabe realmente cuántos sistemas de IA está utilizando. Entre las herramientas contratadas oficialmente, las funciones de IA que los proveedores han ido añadiendo a software que ya usabas y lo que cada equipo ha empezado a utilizar por su cuenta, el número siempre sorprende.

El inventario no es un documento burocrático: es la base sobre la que se decide todo lo demás. Y no necesita una herramienta especializada. Una hoja de cálculo con una fila por uso y estas columnas es suficiente para empezar, y es lo que una autoridad de supervisión esperaría ver si preguntara.

• Nombre del sistema o herramienta y proveedor (incluidas funciones de IA embebidas en software que ya usabas).
• Para qué se usa exactamente, descrito en una frase de negocio, no en términos técnicos.
• Quién lo usa: departamento, número aproximado de personas y si hay uso externo.
• Sobre quién impacta: empleados, candidatos, clientes, ciudadanos, nadie.
• Qué datos entran, con atención especial a datos personales y a información confidencial.
• Si la salida llega a terceros y en qué forma: texto publicado, imagen, respuesta de un chatbot, decisión.
• Responsable interno de ese uso: una persona con nombre, no un departamento.

El AI Act no impone las mismas obligaciones a todo. Clasifica por riesgo, y de esa clasificación depende si tienes que hacer mucho, poco o casi nada. Este es el paso donde se disuelve la mayor parte de la ansiedad: en una empresa media, la inmensa mayoría de usos cae en las dos categorías inferiores.

El orden de revisión es importante. Primero comprueba que ningún uso cae en prácticas prohibidas, porque eso no admite plan de acción: hay que retirarlo, y además ya es ilegal desde febrero de 2025. Después identifica los de alto riesgo, que son los que exigen trabajo real —su exigibilidad se ha movido al 2 de diciembre de 2027 con el Digital Omnibus, pero es un margen que la adecuación consume con facilidad—. Lo que quede se reparte entre obligaciones de transparencia y riesgo mínimo.

Esta distinción es la que más errores de interpretación provoca, y la que más trabajo ahorra cuando se entiende bien. El reglamento impone obligaciones muy distintas según el papel que desempeñas, y una misma empresa puede ser deployer en un uso y proveedor en otro. No se decide a nivel de organización, sino sistema por sistema.

Eres deployer —usuario profesional— cuando utilizas bajo tu responsabilidad un sistema de IA desarrollado por otro: contratas una herramienta y la aplicas a tu negocio. Es la situación de la inmensa mayoría de empresas, y sus obligaciones son manejables: usar el sistema conforme a las instrucciones del proveedor, garantizar supervisión humana competente, informar a las personas afectadas y cumplir las obligaciones de transparencia sobre lo que difundes.

Eres proveedor cuando desarrollas un sistema de IA y lo pones en el mercado o en servicio con tu nombre o marca. Y aquí está la trampa que conviene revisar: también te conviertes en proveedor si pones tu marca en un sistema de un tercero, si lo modificas sustancialmente o si cambias su finalidad prevista de forma que pase a ser de alto riesgo. Construir un asistente propio sobre un modelo de terceros y ofrecerlo a clientes te sitúa en esa categoría, con obligaciones bastante más exigentes.

Este es el bloque que entra en vigor el 2 de agosto y el que más empresas tienen sin resolver, en parte porque suena más complicado de lo que es. Para un deployer típico, cumplir el artículo 50 consiste sobre todo en poner avisos claros donde corresponde y en etiquetar el contenido sintético que difunde. No requiere desarrollo ni presupuesto: requiere decidir y aplicar.

Cuatro situaciones cubren casi todos los casos reales. En cada una, lo importante es que el aviso exista, sea comprensible y llegue en el momento adecuado —al inicio de la interacción, junto al contenido, no escondido en la página de aviso legal—.

• Chatbot o asistente que habla con personas: aviso en la primera interacción. Por ejemplo: «Estás hablando con un asistente virtual basado en inteligencia artificial. Puedes pedir en cualquier momento hablar con una persona del equipo».
• Imagen o vídeo generado con IA que se publica: etiqueta visible junto al contenido. Por ejemplo: «Imagen generada con inteligencia artificial».
• Avatar, voz clonada o recreación realista de una persona: declaración explícita de que es artificial. Por ejemplo: «Este vídeo incluye una recreación generada con inteligencia artificial».
• Texto sobre asuntos de interés público publicado sin revisión editorial humana: declaración de que ha sido generado por IA. Si hay revisión y alguien asume la responsabilidad editorial, la obligación decae, pero conviene dejar constancia interna de quién revisó.

El artículo 4 obliga a proveedores y deployers a garantizar que su personal tenga un nivel suficiente de alfabetización en IA, teniendo en cuenta sus conocimientos, el contexto de uso y las personas sobre las que el sistema se aplica. Es exigible desde el 2 de febrero de 2025 —el Digital Omnibus ha suavizado su formulación hacia medidas de apoyo proporcionadas, sin eliminarla— y es, con diferencia, la obligación más incumplida del reglamento, porque no genera un entregable visible y es fácil posponerla.

El reglamento no fija un temario ni exige una certificación concreta, y eso desconcierta a muchas empresas. Pero la lógica es clara: quien usa IA en su trabajo debe entender qué hace la herramienta, dónde falla, qué datos no debe introducir y cuándo hay que revisar la salida antes de darla por buena. Un plan proporcionado distingue tres niveles, porque no necesita lo mismo un comité de dirección que un equipo técnico.

Y hay un matiz de cumplimiento que conviene no pasar por alto: la obligación es garantizar la alfabetización, lo que implica poder demostrarla. Una formación sin registro de asistentes, contenidos y fecha es, a efectos prácticos, una formación que no puedes acreditar. Lo tratamos en detalle en AI Act y formación en inteligencia artificial.

• Dirección y responsables de área: qué obliga el reglamento, qué riesgos asume la empresa y quién responde de cada uso.
• Perfiles técnicos: límites reales de los modelos, tratamiento de datos, supervisión y verificación de resultados.
• Usuarios finales: qué se puede y qué no se puede introducir en una herramienta, cómo detectar una salida dudosa y cuándo escalar.
• Registro documental: contenidos impartidos, personas asistentes, fechas y material entregado.

El último paso es el que convierte una serie de acciones sueltas en algo defendible. No hace falta montar un comité de ética ni redactar cien páginas de política: hace falta que exista un responsable, unas reglas escritas y un rastro de las decisiones. Si mañana una autoridad, un cliente grande o un auditor preguntara "¿cómo controláis el uso de IA?", esto es lo que se enseña.

Cinco elementos bastan para una organización que no opera sistemas de alto riesgo. Si sí los opera, este paso es el punto de partida de un sistema de gestión bastante más exigente, y conviene abordarlo con apoyo especializado.

• Un responsable con nombre y apellidos para el uso de IA en la organización, con autoridad real para parar un uso.
• Una política interna de uso de IA de dos o tres páginas: qué herramientas están aprobadas, qué datos no pueden introducirse nunca, qué usos requieren autorización previa y qué debe revisar siempre una persona.
• El inventario del paso 1 mantenido vivo, con revisión periódica y un procedimiento para dar de alta un uso nuevo.
• Revisión de contratos con proveedores: qué garantizan sobre el AI Act, si marcan el contenido generado y qué documentación aportan.
• Registro de decisiones: por qué se clasificó cada uso como se clasificó y quién lo aprobó. La trazabilidad del criterio vale tanto como el criterio.

Buena parte del coste que las empresas se están autoimponiendo viene de interpretaciones exageradas del reglamento, a menudo alimentadas por proveedores interesados en vender más de lo necesario. Conviene descartar estos malentendidos antes de aprobar presupuesto.

• Usar ChatGPT, Copilot o Gemini internamente no te convierte en proveedor de IA. Eres deployer, con obligaciones mucho más ligeras.
• No todo sistema de IA es de alto riesgo. El alto riesgo está tasado en el Anexo III y en el artículo 6; un asistente de redacción interno no entra ahí.
• No tienes que implementar tú marcas de agua técnicas si eres deployer. Esa obligación recae en el proveedor del modelo; lo tuyo es verificar que lo hace y etiquetar lo que difundes.
• No existe obligación general de registrar todos tus sistemas en la base de datos de la UE: el registro aplica a los sistemas de alto riesgo.
• No hace falta una certificación oficial de "responsable de IA". El reglamento exige competencia y responsabilidad asignada, no un título concreto.
• No necesitas una auditoría externa para los usos de riesgo mínimo. Documentar tu criterio internamente es suficiente y es lo proporcionado.

Con pocos días por delante, la pregunta realista para muchas organizaciones no es cómo cumplir del todo, sino qué hacer primero. La prioridad la marca la exposición: primero lo ilegal, después lo visible, después lo documental.

Y una consideración práctica que conviene tener presente: la supervisión no arranca a pleno rendimiento el 3 de agosto. Lo que marca la diferencia ante una autoridad no es haber terminado, sino poder demostrar un proceso en marcha con fechas, responsables y decisiones registradas. Una empresa con un inventario hecho, una clasificación razonada y un plan con calendario está en una posición muy distinta a una que no ha empezado.

1. Primero

   comprobar que ningún uso cae en prácticas prohibidas. Si lo hay, parar ese uso hoy. Es lo único que no admite plan de acción.

2. Segundo

   poner los avisos de transparencia en chatbots y contenido publicado. Es de bajo esfuerzo, alta visibilidad y afecta directamente a terceros.

3. Tercero

   identificar si tienes algún uso de alto riesgo, especialmente en Recursos Humanos y en decisiones sobre clientes. Su fecha se ha movido al 2 de diciembre de 2027, pero es el bloque que más recursos consume: conviene arrancarlo ya.

4. Cuarto

   cerrar el inventario completo y la clasificación con criterio documentado.

5. Quinto

   planificar la formación del artículo 4 con fechas concretas, aunque no puedas impartirla antes de agosto.

6. Sexto

   redactar la política de uso y asignar el responsable interno.