El Ómnibus Digital sobre IA entró en vigor el 27 de julio y ha reordenado por completo el calendario del Reglamento de Inteligencia Artificial: las obligaciones para los sistemas de alto riesgo, con la evaluación de solvencia dentro, se retrasan quince meses. Pero el 2 de agosto sí llegó una fecha firme, la de la transparencia. La distinción es cualquier cosa menos técnica para una entidad que ya tenga un asistente conversacional atendiendo solicitudes de crédito.
Un aplazamiento aprobado con nueve días de margen
El Reglamento (UE) 2026/1744, conocido como Ómnibus Digital sobre IA, se publicó en el Diario Oficial de la Unión Europea el 24 de julio de 2026 y entró en vigor el día 27. Llegó con nueve días de margen sobre el 2 de agosto, la fecha en la que debía activarse el bloque más exigente del AI Act.
El argumento para el retraso no fue ideológico sino de infraestructura. Cuando la Comisión presentó la propuesta, el 19 de noviembre de 2025, el diagnóstico era que las normas armonizadas no estaban terminadas, que los organismos notificados no estaban designados en número suficiente y que varios Estados miembros seguían sin completar sus marcos nacionales de supervisión. Exigir evaluaciones de conformidad en agosto habría creado una obligación sin procedimiento capaz de satisfacerla: entidades obligadas a certificar sistemas ante organismos que aún no existían.
Conviene subrayar que el Ómnibus no es una desregulación: amplía la lista de prácticas prohibidas —desde el 2 de diciembre de 2026 quedan vetados los sistemas que generan contenido íntimo no consentido o material de abuso sexual infantil— y refuerza la supervisión. Lo que hace es desacoplar dos calendarios que iban juntos.
El scoring crediticio gana quince meses
El cambio con mayor impacto directo en banca y seguros afecta a los sistemas de alto riesgo autónomos del Anexo III. Su fecha de aplicación pasa del 2 de agosto de 2026 al 2 de diciembre de 2027. Dentro de ese anexo están, entre otros supuestos, los sistemas de IA empleados para evaluar la solvencia de personas físicas y para la tarificación y evaluación de riesgos en seguros de vida y salud. Los sistemas de alto riesgo integrados en productos ya cubiertos por la legislación sectorial de seguridad (Anexo I) se desplazan más lejos todavía, al 2 de agosto de 2028.
En la práctica, esto aparca hasta finales de 2027 el paquete completo que pesaba sobre cualquier modelo de scoring: sistema de gestión de riesgos documentado, gobernanza y calidad de los conjuntos de datos de entrenamiento, documentación técnica, registro automático de eventos, supervisión humana efectiva, evaluación de conformidad y alta en la base de datos europea de sistemas de alto riesgo.
Para una entidad de tamaño medio, ese conjunto de requisitos representaba el grueso del presupuesto de cumplimiento previsto para 2026. El aplazamiento libera recursos, pero también introduce un riesgo de gestión conocido: los proyectos que pierden fecha pierden prioridad, y la parte lenta de este trabajo —inventariar modelos, reconstruir la trazabilidad de los datos de entrenamiento, documentar decisiones tomadas hace años— no se acelera por decreto en el último trimestre.
La transparencia no espera
Frente al bloque aplazado, el artículo 50 mantiene intacta su fecha: es exigible desde el 2 de agosto de 2026. Y es la parte del Reglamento que más superficie de contacto tiene con la operativa diaria de una fintech o un banco minorista.
Sus obligaciones se reparten entre proveedores y desplegadores. Los sistemas que interactúan directamente con personas físicas —chatbots, agentes conversacionales, avatares— deben informar al usuario de que está tratando con una IA, salvo que resulte evidente para una persona razonablemente informada y atenta. Los contenidos generados o manipulados por IA deben marcarse con señales legibles por máquina, fiables e interoperables, de modo que puedan detectarse como sintéticos. Hay además obligaciones específicas de etiquetado para deepfakes y de información previa en reconocimiento de emociones o categorización biométrica.
El caso de uso es directo: un chatbot que filtra solicitudes de préstamo debe declarar su naturaleza al inicio de la conversación. Y si ese asistente contribuye de forma determinante a una decisión automatizada con efectos jurídicos o significativos sobre el solicitante, la obligación del artículo 50 se solapa con el artículo 22 del RGPD, que lleva años en vigor y no ha sido tocado por el Ómnibus. Son dos marcos distintos sobre el mismo flujo, y conviene mapearlos en el mismo ejercicio de cumplimiento.
El incumplimiento del artículo 50 puede sancionarse con hasta 15 millones de euros o el 3% del volumen de negocio anual mundial, la cifra que resulte mayor. No es el tramo superior del Reglamento, pero sí una magnitud que sitúa la transparencia conversacional fuera del terreno de la buena práctica voluntaria.
España: la pieza nacional aún no encaja
El marco español sigue incompleto. La Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña, está operativa, pero el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA continúa en trámite parlamentario desde junio de 2026, tras su aprobación en Consejo de Ministros el 26 de mayo.
Ese texto no crea obligaciones sustantivas nuevas —el Reglamento europeo es directamente aplicable—, pero hace tres cosas imprescindibles: designa las autoridades competentes, regula los espacios controlados de pruebas y concreta el régimen sancionador nacional dentro de las horquillas del artículo 99, que alcanzan los 35 millones de euros o el 7% de la facturación mundial. El reparto sectorial previsto atribuye al Banco de España la supervisión en el ámbito del sistema financiero y a la AEPD lo relativo a protección de datos.
La consecuencia práctica es incómoda: el artículo 50 es exigible desde este mes, pero el procedimiento sancionador que debería aplicarlo en España todavía está en el Congreso. Es un desfase que no exime de cumplir y que, cuando se cierre, lo hará con efecto sobre conductas ya en curso.
Quince meses no son una tregua
La lectura sectorial debería ser menos complaciente de lo que sugiere el titular. Tres razones.
La primera es de calendario real: diciembre de 2027 cae a quince meses vista y el trabajo de gobernanza del dato es el más lento de todo el paquete. La segunda es contractual: la mayoría de las entidades no construye sus motores de scoring, los licencia. Los contratos que se firmen ahora deben repartir con claridad quién asume el papel de proveedor y quién el de desplegador, y anticipar las entregas documentales que serán exigibles en 2027. La tercera es que la obligación viva —la transparencia— afecta precisamente a la capa que más ha crecido en los últimos dieciocho meses: los asistentes conversacionales en onboarding, atención y preconcesión.
El Ómnibus no ha rebajado el listón del AI Act. Ha movido las fechas y, al hacerlo, ha dejado en primera línea la parte del Reglamento que más se ve desde el lado del cliente.
