Plazos de alto riesgo: planifica hacia atrás desde 2027

Con el Ómnibus Digital (Reglamento (UE) 2026/1744, de 8 de julio de 2026, DO L de 24.7.2026), las obligaciones autónomas de alto riesgo del Reglamento (UE) 2024/1689 (Reglamento de IA o RIA) —es decir, los sistemas clasificados conforme al artículo 6(2) y enumerados en el anexo III— pasan del 2 de agosto de 2026 al 2 de diciembre de 2027. Los sistemas de alto riesgo integrados en productos conforme al artículo 6(1) y el anexo I pasan del 2 de agosto de 2027 al 2 de agosto de 2028.

Un punto sobre su estado va antes que cualquier otra cosa. La modificación ya es ley: votación en el pleno del Parlamento Europeo el 16 de junio, adopción del Consejo el 29 de junio. El Reglamento (UE) 2026/1744 se firmó el 8 de julio de 2026, se publicó en el Diario Oficial el 24 de julio de 2026 y está en vigor desde el 27 de julio de 2026. Para todo lo demás que cambió, consulta qué cambió el Ómnibus Digital.

La fecha se movió; la carga de trabajo, no. Un aplazamiento de 16 meses es calendario, no indulto. Este capítulo muestra cómo aprovecharlo: planificar hacia atrás desde el 2 de diciembre de 2027.

---

El calendario modificado de alto riesgo de un vistazo

El calendario original del artículo 113 hacía aplicable el régimen de alto riesgo desde el 2 de agosto de 2026 para los sistemas autónomos del anexo III y el 2 de agosto de 2027 para los sistemas del anexo I integrados en productos. El Ómnibus Digital mueve esas dos fechas, y solo esas dos, al 2 de diciembre de 2027 y al 2 de agosto de 2028 respectivamente.

Tres puntos gobiernan todo lo que sigue.

• Las nuevas fechas son fechas de calendario fijas. La propuesta de la Comisión de noviembre de 2025 habría vinculado el inicio del alto riesgo a la disponibilidad de normas y herramientas de apoyo, con fechas límite de respaldo; los colegisladores adoptaron en su lugar fechas fijas. El aplazamiento no depende de la disponibilidad de normas armonizadas y no se mueve de nuevo si las normas llegan tarde.
• El aplazamiento es derecho consolidado. El Reglamento (UE) 2026/1744 se firmó el 8 de julio de 2026, se publicó en el Diario Oficial el 24 de julio de 2026 y está en vigor desde el 27 de julio de 2026.
• Nada más se movió. Las prohibiciones, las obligaciones de IA de uso general y los deberes de transparencia del artículo 50 conservan sus fechas originales. El Ómnibus añadió nuevas fechas el 2 de diciembre de 2026: dos nuevas prohibiciones del artículo 5 y el fin de la transición del artículo 50 para los sistemas generativos ya en el mercado.

Dieciséis meses adicionales suenan generosos hasta que secuencias el trabajo: clasificación, vía de conformidad, documentación técnica, pruebas, diseño de la supervisión, gestión de la calidad, declaración, registro. Contados hacia atrás desde el 2 de diciembre de 2027, esos meses ya están comprometidos.

Qué cambió el Ómnibus Digital para los sistemas de alto riesgo

De la propuesta a la ley

El Ómnibus Digital es el paquete de simplificación digital de la Comisión del 19 de noviembre de 2025, que abarca de una vez varios expedientes del cuerpo normativo digital de la UE. Los negociadores del Parlamento y del Consejo alcanzaron un acuerdo político el 6 y 7 de mayo de 2026, el COREPER confirmó el texto de compromiso en torno al 13 de mayo de 2026, y los colegisladores lo adoptaron en junio de 2026 —el Parlamento Europeo el 16 de junio, el Consejo el 29 de junio—. El Reglamento (UE) 2026/1744 se firmó el 8 de julio de 2026, se publicó en el Diario Oficial el 24 de julio de 2026 y está en vigor desde el 27 de julio de 2026.

Para el régimen de alto riesgo de la Ley de IA, el núcleo de la medida es el calendario de aplicación del artículo 113. El fondo de las obligaciones de alto riesgo de los artículos 8 a 17 no cambia. El Ómnibus sí cambió el fondo en otros puntos: sustituyó el artículo 4 (alfabetización en IA), acotó con los nuevos apartados 1 bis y 1 ter del artículo 6 la prueba del componente de seguridad del anexo I y añadió dos prohibiciones al artículo 5. La misma gestión de riesgos, la misma documentación, la misma evaluación de la conformidad, solo que más tarde. Para el paquete completo más allá de las fechas de la Ley de IA, consulta el Ómnibus Digital explicado.

Fechas fijas, no supeditadas a las normas

La propuesta de la Comisión de noviembre de 2025 habría vinculado el inicio del alto riesgo a la disponibilidad de normas y herramientas de apoyo, con fechas límite de respaldo. Los colegisladores adoptaron en su lugar fechas fijas: el 2 de diciembre de 2027 (anexo III) y el 2 de agosto de 2028 (anexo I). Así que no planifiques como si la fecha pudiera deslizarse de nuevo cuando las normas lleguen tarde. El 2 de diciembre de 2027 es una fecha de calendario, no una condición.

Entrada en vigor: 27 de julio de 2026

El Parlamento Europeo votó el 16 de junio de 2026 y el Consejo el 29 de junio de 2026. El Reglamento (UE) 2026/1744 se firmó el 8 de julio de 2026, se publicó en el Diario Oficial el 24 de julio de 2026 y está en vigor desde el 27 de julio de 2026. La entrada en vigor se produjo el tercer día siguiente a la publicación (artículo 4 del reglamento modificativo).

Planifica hacia las fechas modificadas; están consolidadas. La razón por la que el aplazamiento no puede justificar una pausa no es la incertidumbre legal, sino la aritmética: contado hacia atrás desde el 2 de diciembre de 2027, el trabajo ya llena el calendario.

Antes y después: la tabla del plazo de alto riesgo

La tabla separa los dos calendarios. La columna de la izquierda es el calendario original del artículo 113; la columna de la derecha es el aplazamiento con arreglo al Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026.

La sección 5 (arts. 40 a 49) no figura en el aplazamiento del art. 113, párrafo tercero, letra c), pero no tiene efecto práctico hasta que se apliquen las secciones 1 a 3 aplazadas. En los productos de la sección B del anexo I (p. ej., vehículos, aviación y, desde el Reglamento (UE) 2026/1744, máquinas), los requisitos llegan a través de la legislación sectorial, no directamente de la Ley de IA.

Para todas las fechas de la Ley en un solo lugar, incluidas las ya pasadas, consulta el calendario completo de plazos.

Qué no se movió — y ya obliga

Prohibiciones: se aplican desde el 2 de febrero de 2025 — artículo 5

Las prácticas prohibidas del artículo 5 se aplican desde el 2 de febrero de 2025: la puntuación ciudadana, cierta categorización biométrica, el reconocimiento de emociones en el trabajo y la educación (salvo por motivos médicos o de seguridad), la extracción no selectiva de imágenes faciales y el resto de la lista prohibida. Acarrean el nivel máximo de sanción, hasta 35 millones de euros o el 7 % del volumen de negocio anual mundial total conforme al artículo 99(3), y el Ómnibus no las mueve; añade dos más a partir del 2 de diciembre de 2026.

Obligaciones de IA de uso general: se aplican desde el 2 de agosto de 2025 — artículos 51 a 55

Las obligaciones de los modelos de IA de uso general conforme a los artículos 51 a 55 se aplican desde el 2 de agosto de 2025 y el Ómnibus no las modifica. Si tu empresa proporciona un modelo de IA de uso general, el aplazamiento del alto riesgo no te da nada.

Artículo 50: se aplica desde el 2 de agosto de 2026 (sistemas generativos preexistentes: 2 de diciembre de 2026)

El artículo 50, incluido el marcado del apartado 2, se aplica desde el 2 de agosto de 2026: informar a los usuarios de las interacciones con un chatbot, el marcado legible por máquina del contenido sintético y los deberes de etiquetado de ultrafalsificaciones para los responsables del despliegue. Lo que se movió es más estrecho. Los sistemas generativos ya introducidos en el mercado antes del 2 de agosto de 2026 tienen hasta el 2 de diciembre de 2026 (art. 111(4)). Esa misma fecha trae dos nuevas prohibiciones del artículo 5(1), letras ba) y bb) —imágenes íntimas no consentidas de una persona identificable y material de abuso sexual infantil—. Muchos calendarios publicados antes de mayo de 2026 no muestran esa fecha en absoluto.

El titular de «2027» es, por tanto, una trampa. Un proveedor de un sistema de contratación del anexo III puede al mismo tiempo operar un chatbot de cara al cliente y generar contenido sintético (art. 50, aplicable desde agosto de 2026). Un calendario de cumplimiento que muestre solo una fecha se perderá las obligaciones que ya se aplican. Consulta cómo se implanta por fases la supervisión para saber qué autoridad hace cumplir qué, y desde cuándo.

Planificar hacia atrás desde el 2 de diciembre de 2027

El método es la resta. Empieza en el 2 de diciembre de 2027 y trabaja aguas arriba. El registro requiere una declaración firmada, la declaración requiere una evaluación de la conformidad completada, la evaluación requiere la documentación del anexo IV, y la documentación requiere evidencias que tardan trimestres en producirse, no semanas. Cuatro pasos, en orden de dependencia; el recorrido completo está en evaluación de la conformidad.

Paso 1: fija tu clasificación — artículo 6

Confirma si cada sistema entra en el ámbito del anexo III conforme al artículo 6(2), y si el filtro del artículo 6(3) lo saca. Un sistema que realiza una tarea procedimental limitada, mejora una actividad humana previamente completada o solo hace un trabajo preparatorio puede escapar del estatuto de alto riesgo si no plantea un riesgo significativo de daño, con la evaluación documentada por escrito.

El borrador de directrices de clasificación de la Comisión conforme al artículo 6(5), publicado el 19 de mayo de 2026 con una consulta específica que se cerró el 23 de julio de 2026 (ampliada desde el 23 de junio), ofrece ejemplos prácticos de qué entra y qué queda fuera tanto para el anexo I como para el anexo III. Úsalos como referencia orientativa, no como dogma. Son borrador, no jurídicamente vinculantes, la Comisión afirma que adoptará las directrices definitivas antes de que termine 2026, y la interpretación autorizada corresponde al Tribunal de Justicia de la UE.

Paso 2: elige la vía de conformidad — artículo 43

La mayoría de los proveedores del anexo III se autoevalúan mediante control interno (anexo VI). La identificación biométrica remota y ciertos otros sistemas del punto 1 del anexo III pueden requerir un organismo notificado (anexo VII) conforme al artículo 43(1). La capacidad de los organismos notificados es el recurso más escaso de este calendario. Si tu vía implica uno, el primer contacto corresponde de dos a cuatro trimestres antes de la evaluación, no después de terminar la documentación. Las vías de conformidad del artículo 43 recorre la decisión.

Paso 3: elabora la documentación técnica del anexo IV — artículo 11

La documentación técnica del anexo IV, exigida por el artículo 11, es donde todo el programa converge. Debe evidenciar el sistema de gestión de riesgos (art. 9), la gobernanza de los datos de entrenamiento, validación y prueba (art. 10), las pruebas de precisión, solidez y ciberseguridad (art. 15), los archivos de registro automáticos (art. 12) y las medidas de supervisión humana (art. 14). Cada uno de esos elementos debe estar construido y en funcionamiento antes de poder documentarse, por lo que este paso no puede empezar en el último trimestre.

Paso 4: pruebas, archivos de registro y diseño de la supervisión humana — artículos 12, 14 y 15

La supervisión humana conforme al artículo 14 es una obligación de diseño, no un documento de política. Los cambios de interfaz, los mecanismos de anulación y los materiales de formación de los operadores necesitan sprints de ingeniería en el plan. Lo mismo ocurre con la conservación de registros del artículo 12, donde el sistema debe permitir técnicamente el registro automático de acontecimientos (archivos de registro) a lo largo de su vida, y con las campañas de prueba del artículo 15. Luego vienen los elementos de cierre que condicionan la introducción en el mercado: un sistema de gestión de la calidad (art. 17), la declaración UE de conformidad (art. 47), el marcado CE (art. 48) y el registro en la base de datos de la UE para los sistemas del anexo III (art. 49).

Un plan hacia atrás trimestre a trimestre

2.º semestre de 2026: clasificar, delimitar, asignar responsables

Inventario de IA, asignación al anexo III con el borrador de directrices del artículo 6(5) como referencia orientativa, análisis de brechas frente a los artículos 8 a 15, elección de la vía de conformidad y un responsable designado para cada línea de trabajo. Para los sistemas biométricos, haz el primer contacto con un organismo notificado ahora, no el año que viene.

1.er semestre de 2027: construir documentación y controles

Elaboración de la documentación del anexo IV, iteraciones de la gestión de riesgos conforme al artículo 9, campañas de prueba de precisión y solidez conforme al artículo 15, implementación de la supervisión humana conforme al artículo 14 y un sistema de gestión de la calidad en funcionamiento conforme al artículo 17.

3.er trimestre de 2027: evaluar, declarar, registrar

Ejecuta la evaluación de la conformidad, ya sea el control interno del anexo VI o el procedimiento del organismo notificado del anexo VII, luego firma la declaración UE de conformidad (art. 47), coloca el marcado CE (art. 48) y regístrate en la base de datos de la UE (art. 49).

El 4.º trimestre de 2027 es margen, no tiempo de trabajo

El último trimestre se deja deliberadamente vacío: colchón para consultas al organismo notificado, hallazgos correctivos, repeticiones de pruebas y solicitudes tardías de evidencias de contratación. Si el colchón se consume con trabajo planificado, el plan ya ha fracasado.

Para un único sistema del anexo III con un equipo de ingeniería existente, cuenta con cuatro a seis trimestres de trabajo entre parcial y dedicado. Las carteras multisistema escalan aproximadamente de forma lineal en documentación y pruebas.

Fija tu plazo interno a mediados de 2027

La única conclusión operativa es esta: fija un objetivo interno de preparación a mediados de 2027, unos cinco meses antes del 2 de diciembre de 2027, de modo que los hallazgos de auditoría, las colas de los organismos notificados y las repeticiones de pruebas caigan dentro de tu margen en lugar de después de la fecha legal.

La realidad comercial refuerza la legal. Los compradores empresariales y los equipos de contratación pública ya están escribiendo la preparación para la Ley de IA en sus pliegos por delante de la fecha legal, de modo que «listo para el plazo» a menudo significa «demasiado tarde para el contrato».

Mantén un principio a la vista: el plazo legal es la fecha en que puede empezar la supervisión, no la fecha a la que apuntar. Tu propio plazo va primero.

Si lo incumples: sanciones y ejecución

El incumplimiento de las obligaciones de alto riesgo, es decir, los artículos 8 a 17 y los deberes de los operadores de los artículos 23 a 27, acarrea multas administrativas de hasta 15 millones de euros o el 3 % del volumen de negocio anual mundial total, la cifra que sea mayor, conforme al artículo 99(4). Desde el Ómnibus Digital, el tramo del artículo 99(4) cubre también las obligaciones de la cadena de suministro del artículo 25, apartados 2 y 4 (letra d bis).

Los demás niveles marcan el contraste. Las infracciones de las prácticas prohibidas del artículo 5 alcanzan 35 millones de euros o el 7 % (art. 99(3)), y facilitar información incorrecta, incompleta o engañosa a los organismos notificados o a las autoridades nacionales competentes alcanza 7,5 millones de euros o el 1 % (art. 99(5)). Para las pymes y las empresas emergentes, el artículo 99(6) limita cada nivel a la menor de las cifras, el porcentaje o el importe fijo. Para las pequeñas empresas de mediana capitalización, el menor importe se aplica solo a las multas de los apartados 4 y 5 del artículo 99, no a las de prácticas prohibidas del apartado 3 (art. 99, apartado 6 bis).

Las multas no son la única exposición. Las autoridades de vigilancia del mercado pueden ordenar medidas correctoras, la retirada o la recuperación de los sistemas no conformes conforme al capítulo IX, y para un producto ya introducido en el mercado una recuperación suele ser más costosa que la multa que la acompaña.

La decisión que debes tomar: elige tu fecha interna de preparación, con mediados de 2027 como valor por defecto defendible, ponla por escrito y asigna un responsable a cada línea de trabajo del plan hacia atrás anterior. El aplazamiento te compró dieciséis meses de calendario. Convertir ese calendario en cumplimiento es tu decisión, y vence ahora, no en 2027.

Cómo ayuda Confir

El plan hacia atrás anterior es lo que Confir operacionaliza. El módulo de clasificación de Confir formula preguntas en lenguaje sencillo sobre lo que hace cada sistema de IA y deriva el nivel de riesgo conforme a los artículos 5 y 6, incluida la evaluación del filtro del artículo 6(3), documentada por escrito. A partir del resultado de la clasificación, la plataforma determina qué obligaciones se aplican, genera el paquete de documentación técnica del artículo 11 / anexo IV, ensambla el rastro de evidencias de la evaluación de la conformidad y produce la declaración de conformidad del artículo 47.

El motor de síntesis es determinista y basado en reglas: la misma lógica cada vez, sin inferencia de modelos, sin alucinaciones. Cada decisión de clasificación y su justificación quedan registradas en un registro de auditoría de solo adición, con sello de tiempo y bloqueado frente a modificaciones, la evidencia que una autoridad de vigilancia del mercado o un organismo notificado pedirá primero.

Preguntas frecuentes

¿Se ha aplazado a 2027 el plazo de alto riesgo de la Ley de IA de la UE?

Sí. El Ómnibus Digital (Reglamento (UE) 2026/1744, de 8 de julio de 2026, DO L de 24.7.2026) traslada las obligaciones autónomas de alto riesgo del anexo III del 2 de agosto de 2026 al 2 de diciembre de 2027. El Reglamento (UE) 2026/1744 se firmó el 8 de julio de 2026, se publicó en el Diario Oficial el 24 de julio de 2026 y está en vigor desde el 27 de julio de 2026.

¿Cuándo tienen que cumplir la Ley de IA de la UE los sistemas de IA de alto riesgo?

Con el Ómnibus Digital (Reglamento (UE) 2026/1744, de 8 de julio de 2026, DO L de 24.7.2026), los sistemas autónomos del anexo III (art. 6(2)) deben cumplir para el 2 de diciembre de 2027 y los sistemas del anexo I integrados en productos (art. 6(1)) para el 2 de agosto de 2028 —ambas fechas de calendario fijas—. La modificación está en vigor desde el 27 de julio de 2026.

¿Qué es el Ómnibus Digital y qué cambia en la Ley de IA?

El Ómnibus Digital es un reglamento modificativo de la UE (Reglamento (UE) 2026/1744, de 8 de julio de 2026, DO L de 24.7.2026), en vigor desde el 27 de julio de 2026, tras un acuerdo político del 6 y 7 de mayo de 2026. Para la Ley de IA aplaza las dos fechas de aplicación del alto riesgo al 2 de diciembre de 2027 y al 2 de agosto de 2028, añade dos prohibiciones al artículo 5 desde el 2 de diciembre de 2026, da a los sistemas generativos ya en el mercado hasta el 2 de diciembre de 2026 para el artículo 50, y fija fechas en lugar del inicio supeditado a las normas que propuso la Comisión en noviembre de 2025.

¿Se ha aplazado toda la Ley de IA de la UE?

No. Las prohibiciones del artículo 5 se aplican desde el 2 de febrero de 2025, las obligaciones de los modelos de IA de uso general conforme a los artículos 51 a 55 desde el 2 de agosto de 2025, y el artículo 50, incluido el marcado del apartado 2, se aplica desde el 2 de agosto de 2026. Los sistemas generativos ya introducidos en el mercado antes de esa fecha tienen hasta el 2 de diciembre de 2026 (art. 111(4)). Dos nuevas prohibiciones del artículo 5 se aplican desde el 2 de diciembre de 2026. Solo se mueven las dos fechas de aplicación del alto riesgo.

¿Cuáles son las sanciones por incumplir el plazo de alto riesgo de la Ley de IA de la UE?

El incumplimiento de las obligaciones de alto riesgo acarrea multas de hasta 15 millones de euros o el 3 % del volumen de negocio anual mundial conforme al artículo 99(4). Las prácticas prohibidas atraen hasta 35 millones de euros o el 7 % (art. 99(3)), y facilitar a las autoridades información incorrecta o engañosa hasta 7,5 millones de euros o el 1 % (art. 99(5)). Para las pymes y las empresas emergentes, el artículo 99(6) limita las multas al menor importe.

¿Cuánto tarda la evaluación de la conformidad para la IA de alto riesgo?

Planifica en trimestres, no en semanas. La mayoría de los proveedores del anexo III se autoevalúan mediante control interno (anexo VI), pero el trabajo de base —documentación del anexo IV, evidencias de las pruebas, diseño de la supervisión humana y un sistema de gestión de la calidad— suele llevar de dos a cuatro trimestres. Los sistemas biométricos del punto 1 del anexo III pueden necesitar un organismo notificado, cuyas colas añaden meses. Fija la preparación interna para mediados de 2027.

¿Se adoptó la propuesta de «parar el reloj» de la Ley de IA de la UE?

No. La propuesta de la Comisión de noviembre de 2025 habría vinculado el inicio del alto riesgo a la disponibilidad de normas y herramientas de apoyo, con fechas límite de respaldo. En el Ómnibus Digital, los colegisladores adoptaron en su lugar fechas fijas. Los aplazamientos ya en vigor —2 de diciembre de 2027 para los sistemas del anexo III y 2 de agosto de 2028 para los sistemas del anexo I integrados en productos— son fechas de calendario fijas que no se mueven si las normas llegan tarde.

Guías relacionadas

• Guía de alto riesgo de la Ley de IA de la UE — el centro completo de la guía
• Capítulo 6: la EIDF conforme al artículo 27
• Capítulo 8: qué hacer este trimestre
• Plazos de la Ley de IA de la UE por obligación
• Ómnibus Digital 2027: el aplazamiento del alto riesgo explicado
• Qué cambió el Ómnibus Digital
• Evaluación de la conformidad conforme a la Ley de IA de la UE