Calendario del Reglamento de IA de la UE: Fechas clave de 2024 a 2028

El Reglamento de IA de la UE (Reglamento 2024/1689) no se aplica de una sola vez. En su lugar, la Unión Europea diseñó un calendario de aplicación escalonado que da a las organizaciones tiempo para prepararse ante requisitos cada vez más estrictos. Comprender este calendario es fundamental para priorizar los esfuerzos de cumplimiento y asignar recursos de manera eficaz.

Este artículo proporciona un desglose exhaustivo, fecha por fecha, de cada hito importante de aplicación desde la entrada en vigor del reglamento hasta su plena aplicación, incorporando las nuevas fechas fijadas en julio de 2026.

Qué cambió en julio de 2026

Es la primera modificación del Reglamento de IA. El aplazamiento es incondicional: la propuesta inicial de la Comisión vinculaba las nuevas fechas a una decisión que confirmara la disponibilidad de normas armonizadas — un mecanismo de «parar el reloj» —, pero los colegisladores lo descartaron. El texto adoptado no contiene ningún desencadenante ligado a la madurez de las normas ni prevé prórrogas automáticas adicionales.

Igual de importante es lo que no se movió. El 2 de agosto de 2026 siguió siendo la fecha general de aplicación —el párrafo segundo del Artículo 113 no se modificó— y la Oficina de IA y las autoridades nacionales comenzaron a aplicar el reglamento ese día. Las obligaciones de transparencia del Artículo 50 (revelar que se interactúa con una IA, etiquetar los ultrafalsos y marcar el contenido sintético en formato legible por máquina) están en vigor ahora. El registro del Artículo 49 tampoco se aplaza, al situarse en la Sección 5 del Capítulo III.

El reglamento modificativo añade además dos prohibiciones nuevas al Artículo 5, aplicables desde el 2 de diciembre de 2026: los sistemas que generan o manipulan imágenes íntimas realistas de una persona identificable sin su consentimiento (Artículo 5(1)(ba)) y los que generan o manipulan material de abuso sexual infantil (Artículo 5(1)(bb)). El nuevo Artículo 111(4) concede a los sistemas de IA generativa comercializados antes del 2 de agosto de 2026 hasta esa misma fecha, el 2 de diciembre de 2026, para cumplir el deber de marcado legible por máquina del Artículo 50(2).

El calendario completo de aplicación

Fase 1: Entrada en vigor y preparación (agosto de 2024 - enero de 2025)

El período entre el 1 de agosto de 2024 y el 2 de febrero de 2025 sirvió como ventana de preparación inicial. Aunque ninguna obligación sustantiva era exigible durante esta fase, se iniciaron varios procesos importantes.

Establecimiento de los órganos de gobernanza

La Comisión Europea comenzó el proceso de establecimiento de la Oficina de IA, que se ubica dentro de la Dirección General de Redes de Comunicación, Contenido y Tecnología (DG CONNECT) de la Comisión. La Oficina de IA es responsable de supervisar los modelos de IA de uso general y apoyar la aplicación coherente del reglamento en los Estados miembros.

Obligación de alfabetización en IA

El Artículo 4 del Reglamento de IA exige que los proveedores y operadores garanticen que su personal y otras personas que se ocupen del funcionamiento y uso de los sistemas de IA tengan un nivel suficiente de alfabetización en IA. Aunque esta obligación se aplica formalmente a partir del 2 de agosto de 2025, se animó a las organizaciones a iniciar programas de formación durante esta fase preparatoria.

Fase 2: Prácticas prohibidas (febrero de 2025)

La primera fecha de aplicación sustantiva fue el 2 de febrero de 2025, cuando las prohibiciones del Artículo 5 se hicieron aplicables. Este fue el plazo más urgente porque las infracciones conllevan las sanciones más elevadas.

Qué se prohibió

A partir del 2 de febrero de 2025, las siguientes prácticas de IA quedaron prohibidas:

Técnicas subliminales, manipuladoras y engañosas (Artículo 5(1)(a)): Sistemas de IA que despliegan técnicas que operan por debajo del umbral de la conciencia, o técnicas deliberadamente manipuladoras o engañosas, para distorsionar materialmente el comportamiento y causar un daño significativo.

Explotación de vulnerabilidades (Artículo 5(1)(b)): Sistemas de IA que explotan vulnerabilidades de las personas debido a su edad, discapacidad o situación social o económica específica para distorsionar materialmente su comportamiento y causar un daño significativo.

Puntuación social (Artículo 5(1)(c)): Sistemas de IA utilizados por las autoridades públicas o en su nombre para evaluar o clasificar a personas físicas basándose en su comportamiento social o características personales, cuando la puntuación social resultante conduce a un trato perjudicial injustificado o desproporcionado.

Evaluación individual del riesgo de comisión de delitos (Artículo 5(1)(d)): Sistemas de IA que evalúan el riesgo de personas físicas de cometer delitos basándose únicamente en la elaboración de perfiles o en la evaluación de rasgos y características de personalidad, a menos que se utilicen para complementar evaluaciones humanas basadas en hechos objetivos y verificables directamente vinculados a la actividad delictiva.

Recopilación no selectiva para bases de datos de reconocimiento facial (Artículo 5(1)(e)): Sistemas de IA que crean o amplían bases de datos de reconocimiento facial mediante la recopilación no selectiva de imágenes faciales de Internet o de grabaciones de circuito cerrado de televisión.

Reconocimiento de emociones en lugares de trabajo y centros educativos (Artículo 5(1)(f)): Sistemas de IA que infieren emociones en el lugar de trabajo e instituciones educativas, salvo que el sistema de IA esté destinado a fines médicos o de seguridad.

Categorización biométrica para atributos sensibles (Artículo 5(1)(g)): Sistemas de IA que categorizan a personas físicas basándose en datos biométricos para deducir la raza, opiniones políticas, afiliación sindical, creencias religiosas o filosóficas, vida sexual u orientación sexual, con excepciones limitadas para las fuerzas del orden.

Identificación biométrica remota en tiempo real en espacios públicos (Artículo 5(1)(h)): Sistemas de identificación biométrica remota en tiempo real utilizados en espacios de acceso público con fines de aplicación de la ley, con excepciones limitadas para búsquedas selectivas relacionadas con delitos graves, amenazas inminentes o ataques terroristas.

Acciones de cumplimiento requeridas

Las organizaciones debían auditar sus sistemas de IA antes de esta fecha y descontinuar cualquier práctica prohibida. No hubo período de gracia: a partir del 2 de febrero de 2025, el incumplimiento del Artículo 5 conlleva sanciones de hasta 35 millones de EUR o el 7 % del volumen de negocios anual mundial.

Fase 3: GPAI y gobernanza (agosto de 2025)

El siguiente hito importante fue el 2 de agosto de 2025, cuando entraron en vigor las obligaciones para los modelos de IA de uso general (GPAI) y el marco de gobernanza. El Capítulo V no fue modificado sustancialmente por el Reglamento (UE) 2026/1744.

Obligaciones de los modelos de IA de uso general

El Capítulo V del Reglamento de IA establece requisitos para todos los modelos GPAI. A partir del 2 de agosto de 2025, los proveedores de modelos GPAI deben:

Mantener documentación técnica (Artículo 53(1)(a)): Los proveedores deben elaborar y mantener actualizada la documentación técnica del modelo, incluido su proceso de entrenamiento y pruebas y los resultados, que debe ponerse a disposición de la Oficina de IA y las autoridades nacionales competentes previa solicitud.

Proporcionar información a los proveedores posteriores (Artículo 53(1)(b)): Cuando un modelo GPAI se integra en un sistema de IA, el proveedor del GPAI debe suministrar información y documentación suficientes para permitir al proveedor del sistema de IA posterior comprender las capacidades y limitaciones del modelo y cumplir con sus propias obligaciones.

Cumplir con las normas sobre derechos de autor (Artículo 53(1)(c)): Los proveedores de GPAI deben establecer una política para cumplir con la legislación de la Unión sobre derechos de autor, en particular para identificar y respetar las reservas de derechos expresadas por los titulares de derechos en virtud del Artículo 4(3) de la Directiva de Derechos de Autor.

Publicar un resumen de los datos de entrenamiento (Artículo 53(1)(d)): Los proveedores deben elaborar y hacer públicamente disponible un resumen suficientemente detallado sobre el contenido utilizado para entrenar el modelo GPAI, siguiendo una plantilla proporcionada por la Oficina de IA.

Modelos GPAI con riesgo sistémico

Los modelos GPAI clasificados como de riesgo sistémico en virtud del Artículo 51 — incluidos los modelos entrenados con más de 10^25 FLOP de computación — enfrentan obligaciones adicionales a partir de esta fecha:

• Realizar evaluaciones del modelo, incluidas pruebas adversariales
• Evaluar y mitigar los riesgos sistémicos
• Rastrear y notificar incidentes graves a la Oficina de IA y a las autoridades nacionales competentes pertinentes
• Garantizar protecciones de ciberseguridad adecuadas

Marco de gobernanza

Varias disposiciones de gobernanza también entraron en vigor el 2 de agosto de 2025:

• El Comité Europeo de Inteligencia Artificial (Artículo 65) se pone en funcionamiento, con representantes de cada Estado miembro.
• Los Estados miembros deben designar autoridades nacionales competentes (Artículo 70), incluida al menos una autoridad notificadora y una autoridad de vigilancia del mercado.
• Se establece el Foro Consultivo (Artículo 67) para proporcionar experiencia de las partes interesadas.

Fase 4: Aplicación general y transparencia (agosto de 2026)

El 2 de agosto de 2026 el Reglamento de IA pasó a ser de aplicación general y las autoridades comenzaron a aplicarlo. Esa fecha se mantuvo: el Reglamento (UE) 2026/1744 no modificó el párrafo segundo del Artículo 113. Lo que se aplazó fue el bloque de requisitos sustantivos para los sistemas de alto riesgo del Capítulo III, Secciones 1 a 3, que se aborda en las Fases 7 y 8.

Obligaciones de transparencia para sistemas de riesgo limitado

Las obligaciones de transparencia del Artículo 50 se aplican desde el 2 de agosto de 2026 y son exigibles hoy. El Artículo 50 se sitúa en el Capítulo IV, fuera del aplazamiento del Capítulo III, por lo que no se vio afectado por el reglamento modificativo. Requiere:

• Los sistemas de IA destinados a interactuar directamente con personas deben revelar que la persona está interactuando con un sistema de IA
• Los proveedores de sistemas de IA que generan contenido sintético (ultrafalsos) deben marcar la salida en un formato legible por máquina
• Los operadores de sistemas de reconocimiento de emociones o categorización biométrica deben informar a las personas expuestas

Registro en virtud del Artículo 49

El registro previsto en el Artículo 49 tampoco se aplaza: se sitúa en la Sección 5 del Capítulo III, fuera del aplazamiento de las Secciones 1 a 3, y se aplica desde el 2 de agosto de 2026.

Fase 5: Nuevas prohibiciones y marcado del contenido generado (diciembre de 2026)

El 2 de diciembre de 2026 se aplican las dos prohibiciones que el Reglamento (UE) 2026/1744 añadió al Artículo 5:

• Artículo 5(1)(ba): sistemas de IA que generan o manipulan imágenes íntimas realistas de una persona identificable sin su consentimiento.
• Artículo 5(1)(bb): sistemas de IA que generan o manipulan material de abuso sexual infantil.

El alcance de ambas se delimita en los nuevos apartados 1 bis y 1 ter del Artículo 5. Las directrices de la Comisión sobre prácticas prohibidas, de 4 de febrero de 2025, siguen siendo la orientación operativa del Artículo 5 y todavía no abordan estas dos prohibiciones nuevas.

En la misma fecha vence el período de gracia introducido por el nuevo Artículo 111(4): los sistemas de IA generativa comercializados antes del 2 de agosto de 2026 deben cumplir para entonces el deber de marcado legible por máquina del Artículo 50(2).

Fase 6: Espacios controlados de pruebas y modelos GPAI heredados (agosto de 2027)

En virtud del Artículo 57, cada Estado miembro debe establecer al menos un espacio controlado de pruebas regulatorias de IA a escala nacional. Este plazo se aplazó del 2 de agosto de 2026 al 2 de agosto de 2027. Estos espacios proporcionan un entorno de pruebas controlado donde los sistemas de IA innovadores pueden desarrollarse y validarse con supervisión regulatoria.

La misma fecha marca el vencimiento del plazo del Artículo 111(3), no modificado por el reglamento de 2026: los modelos de IA de uso general comercializados antes del 2 de agosto de 2025 deben cumplir plenamente el Capítulo V para el 2 de agosto de 2027.

Fase 7: Alto riesgo del Anexo III (diciembre de 2027)

El 2 de diciembre de 2027 se aplican el Capítulo III, Secciones 1 a 3, a los sistemas de IA clasificados como de alto riesgo en virtud del Artículo 6(2) y el Anexo III — los sistemas de alto riesgo independientes, que abarcan áreas como el empleo, la calificación crediticia, la educación, las infraestructuras críticas y la aplicación de la ley. El Artículo 6(5) queda expresamente excluido del aplazamiento.

El propio Anexo III no fue modificado: los ocho epígrafes de casos de uso se mantienen tal como fueron promulgados, y no se ha adoptado ningún acto delegado en virtud del Artículo 7.

Requisitos para los sistemas de IA de alto riesgo

A partir de esa fecha, los proveedores de sistemas de IA de alto riesgo enumerados en el Anexo III deben cumplir con todos los requisitos de los Artículos 8 a 15:

• Sistema de gestión de riesgos (Artículo 9)
• Datos y gobernanza de datos (Artículo 10)
• Documentación técnica (Artículo 11)
• Conservación de registros y registro de actividades (Artículo 12)
• Transparencia y suministro de información (Artículo 13)
• Supervisión humana (Artículo 14)
• Precisión, robustez y ciberseguridad (Artículo 15)

Obligaciones de los operadores

Las obligaciones de los operadores, situadas en la Sección 3 del Capítulo III, se aplazan a la misma fecha. En virtud del Artículo 26, los operadores deben:

• Utilizar los sistemas de IA de acuerdo con las instrucciones
• Garantizar la supervisión humana por personas formadas
• Supervisar el funcionamiento del sistema de IA
• Conservar los registros generados por el sistema de IA durante el período prescrito
• Informar a los trabajadores y a sus representantes sobre el uso de sistemas de IA de alto riesgo
• Realizar evaluaciones de impacto en los derechos fundamentales (para organismos públicos y determinadas entidades privadas en virtud del Artículo 27)

Fase 8: Alto riesgo del Anexo I — plena aplicación (agosto de 2028)

La fecha final de aplicación es el 2 de agosto de 2028, aplazada desde el 2 de agosto de 2027.

Sistemas de IA de alto riesgo del Anexo I

Esta fase afecta a los sistemas de IA de alto riesgo clasificados en virtud del Artículo 6(1), que sirven como componentes de seguridad de productos ya regulados por la legislación de armonización de la UE enumerados en el Anexo I. Estos incluyen productos regulados por:

• Reglamento (UE) 2017/745 — Productos sanitarios
• Reglamento (UE) 2017/746 — Productos sanitarios para diagnóstico in vitro
• Directiva 2006/42/CE / Reglamento (UE) 2023/1230 — Maquinaria
• Directiva 2009/48/CE — Seguridad de los juguetes
• Directiva 2014/33/UE — Ascensores
• Directiva 2014/34/UE — Equipos para uso en atmósferas explosivas
• Directiva 2014/53/UE — Equipos radioeléctricos
• Reglamento (UE) 2024/1252 — Materias primas críticas (productos pertinentes)

Para estos sistemas, los procedimientos de evaluación de la conformidad existentes en virtud de la legislación sectorial integrarán los requisitos del Reglamento de IA. El año adicional concedido en 2026 da a los fabricantes más tiempo para actualizar sus procedimientos de conformidad.

El Reglamento (UE) 2026/1744 sí modificó el Anexo I en un punto: la maquinaria pasó de la Sección A a la Sección B.

Evaluación de la conformidad y organismos notificados

Los organismos notificados son organizaciones designadas por los Estados miembros para realizar evaluaciones de conformidad de determinados sistemas de IA de alto riesgo cuando se requiere una evaluación por terceros. El nuevo Artículo 43(3) fija un plazo concreto: los organismos ya notificados en virtud de la legislación sectorial de la Sección A del Anexo I deben solicitar su designación conforme a la Sección 4 del Capítulo III del Reglamento de IA antes del 28 de enero de 2028.

Construcción de su hoja de ruta de cumplimiento

Dado el calendario escalonado, las organizaciones deberían adoptar un enfoque estructurado para el cumplimiento.

Prioridades inmediatas (obligaciones ya exigibles)

• Verificar que no quede ninguna práctica de IA prohibida en funcionamiento en virtud del Artículo 5
• Aplicar las obligaciones de transparencia del Artículo 50 a todos los sistemas conversacionales, generadores de contenido sintético y sistemas de reconocimiento de emociones o categorización biométrica: son exigibles desde el 2 de agosto de 2026
• Comprobar las obligaciones de registro del Artículo 49, que tampoco se aplazaron
• Mantener el inventario de sistemas de IA y la clasificación de su nivel de riesgo
• Sostener los programas de alfabetización en IA del Artículo 4, en su versión revisada

Antes del 2 de diciembre de 2026

• Confirmar que ningún sistema propio o de terceros incurre en las nuevas prohibiciones del Artículo 5(1)(ba) y (bb)
• Completar el marcado legible por máquina del Artículo 50(2) en los sistemas de IA generativa comercializados antes del 2 de agosto de 2026, conforme al período de gracia del Artículo 111(4)

Antes del 2 de diciembre de 2027

• Implementar el conjunto completo de requisitos para los sistemas de IA de alto riesgo del Anexo III en virtud de los Artículos 8 a 15
• Establecer o actualizar los sistemas de gestión de la calidad
• Preparar las obligaciones de los operadores, incluidas las evaluaciones de impacto en los derechos fundamentales
• Seguir la publicación de normas armonizadas en el Diario Oficial, sin planificar sobre la hipótesis de que estarán disponibles con antelación

Antes del 2 de agosto de 2028

• Integrar los requisitos del Reglamento de IA en los procedimientos sectoriales de evaluación de la conformidad del Anexo I
• Colaborar con los organismos notificados para las evaluaciones por terceros cuando sea necesario, teniendo en cuenta el plazo de designación del 28 de enero de 2028
• Garantizar que todos los sistemas de IA de seguridad de productos restantes cumplan plenamente

Conclusión

El calendario de aplicación del Reglamento de IA de la UE abarca ahora cuatro años, desde su entrada en vigor el 1 de agosto de 2024 hasta su plena aplicación el 2 de agosto de 2028. Cada fase introduce nuevas obligaciones, y el efecto acumulativo es un marco regulatorio integral que configurará la forma en que se desarrolla y despliega la IA en Europa y más allá.

Conviene no leer el Reglamento (UE) 2026/1744 como un aplazamiento general del Reglamento de IA. La fecha general de aplicación del 2 de agosto de 2026 se mantuvo, la aplicación efectiva ya ha comenzado y las obligaciones de transparencia del Artículo 50 son exigibles hoy. Lo que se movió es el régimen de alto riesgo del Capítulo III, Secciones 1 a 3, y el plazo de los espacios controlados de pruebas del Artículo 57.

Para la mayoría de las organizaciones esto se traduce en dos horizontes simultáneos: un cumplimiento inmediato en materia de prácticas prohibidas, transparencia y registro, y un programa de dieciséis meses hasta el 2 de diciembre de 2027 para los sistemas de alto riesgo del Anexo III. Las organizaciones deberían utilizar el calendario anterior para priorizar sus esfuerzos, comenzando con un inventario de sus sistemas de IA y un ejercicio exhaustivo de clasificación de riesgos.

El calendario no es solo una serie de plazos: es una hoja de ruta. Las organizaciones que lo sigan de manera sistemática no solo evitarán sanciones, sino que construirán las estructuras de gobernanza necesarias para un despliegue de IA responsable y fiable.