El 29 de junio de 2026 se aprobó elpaquete «Digital Omnibus», lo que dio lugar a una serie de modificaciones específicas de la Ley de IA de la UE. Lo más significativo es que el paquete «Omnibus» aplazó hasta diciembre de 2027 el plazo de cumplimiento para determinados sistemas de IA de alto riesgo (la categoría correspondiente a herramientas jurídicas, de recursos humanos y similares), flexibilizó la obligación de formación en materia de IA e introdujo un período de gracia hasta diciembre de 2026 para la aplicación de marcas de agua en los contenidos generados por IA. 

La prórroga relativa a la IA de alto riesgo, aunque es bienvenida, es solo una parte del panorama. Ya están en vigor varias obligaciones, entre ellas los requisitos de transparencia para los contenidos generados por IA que entraron en vigor este mes de agosto. Las organizaciones que utilizan la IA en la actualidad deberían centrarse en aprovechar el tiempo adicional para sentar o reforzar las bases de gobernanza que exigirá la Ley de IA cuando entre plenamente en vigor.  

Lo que está en vigor y lo que está por venir 

La Ley de Inteligencia Artificial se ha ido implantando por fases desde su entrada en vigor el 1 de agosto de 2024. El calendario tras la aprobación de la Ley Ómnibus Digital es el siguiente: 

El camino hacia diciembre de 2027 

La prórroga de 16 meses para las obligaciones relacionadas con la IA de alto riesgo supone un auténtico alivio. Sin embargo, las obligaciones subyacentes no han cambiado y lo más conveniente es aprovechar este tiempo para sentar las bases de gobernanza que serán necesarias en diciembre de 2027.  

• Realice un inventario de todas las herramientas de IA que se estén utilizando. Nosolo aquellas que el departamento de TI haya adquirido oficialmente, sino todas las herramientas que utilicen los empleados, incluidas las adoptadas de manera informal al margen del proceso de adquisición estándar. Las obligaciones de la Ley de IA se aplican a todas las herramientas que se utilicen de forma activa, no solo a las aprobadas. 
• Clasifique cada herramienta según los niveles de riesgo de la Ley de Inteligencia Artificial. En el caso delas herramientas relacionadas con la interpretación jurídica, el análisis de documentos o cualquier aspecto que influya en el asesoramiento a los clientes, la cuestión de la clasificación merece una atención especial. La categoría de «administración de justicia» del anexo III es más amplia de lo que podría parecer a primera vista, y el nivel de riesgo en el que se clasifique una herramienta determina el conjunto completo de obligaciones que se aplicarán a partir de diciembre de 2027.  
• Cree una infraestructura de registro de auditoría. LaLey de IA exige el registro automático del uso de los sistemas de alto riesgo: entradas, salidas, acciones de los usuarios y marcas de tiempo, que deberán conservarse durante al menos seis meses. Muchas herramientas de IA de uso general no proporcionan este tipo de registro de forma predeterminada. Crear esa infraestructura lleva tiempo y no debería dejarse para 2027. 

Existe, además, una ventaja menos evidente. Los requisitos de auditoría vigentes constituyen un mecanismo que impulsa el tipo de visibilidad sobre el uso de la IA de la que carecen actualmente la mayoría de las organizaciones. Esta infraestructura puede ayudar a las organizaciones a comprender cómo se utiliza la IA, quién la utiliza y con qué finalidad, de manera que se favorezca tanto la gobernanza como la transparencia hacia los clientes. 

• Asegúrese de que la supervisión humana sea significativa.Una supervisión eficazen el marco de la Ley de IA requiere algo más que la mera revisión de los resultados de la IA por parte de una persona. Requiere que los revisores comprendan las limitaciones del sistema, sean capaces de interpretar sus resultados, puedan anularlos sin dificultades y, lo que es fundamental, que el diseño del flujo de trabajo contrarreste activamente los sesgos de la automatización. En la práctica, esto significa que no debería resultar más fácil aceptar los resultados de la IA que cuestionarlos. Se trata de un requisito de diseño y conviene plantearse si las herramientas actuales lo cumplen. 
• Desarrolle un programa de alfabetización en IA. Laobligación de fomentar la alfabetización en IA entre quienes trabajan con herramientas de IA ya está en vigor. En la práctica, esto significa garantizar que los empleados comprendan qué hacen realmente las herramientas de IA que utilizan, en qué casos se puede confiar en sus resultados y en qué casos es necesario el criterio humano. Un programa documentado que abarque las herramientas en uso, las funciones implicadas y los riesgos específicos en un contexto jurídico cumple con los requisitos normativos y sienta las bases para una política de IA para toda la empresa. 
• Cree un marco para evaluar las herramientas de IA. A medida queel panorama tecnológico de la IA se amplía, las organizaciones se enfrentarán a un flujo constante de nuevas herramientas y proveedores. Un marco de evaluación detallado que abarque la clasificación, la residencia de los datos, las capacidades de supervisión y el cumplimiento normativo de los proveedores, y que se aplique en el momento de la adquisición, garantiza que el cumplimiento normativo quede integrado desde el principio. 

En el caso de las organizaciones situadas fuera de la UE, el ámbito de aplicación de la Ley de IA es más amplio de lo que podría parecer. Se aplica siempre que los resultados de un sistema de IA se utilicen dentro de la UE. Esto significa que las organizaciones no pertenecientes a la UE que tengan clientes de la UE o herramientas destinadas a la UE pueden entrar en su ámbito de aplicación. Las organizaciones que se encuentren en esa situación deberían solicitar asesoramiento para determinar si la Ley de IA les es aplicable y, en caso afirmativo, de qué manera.