Enmiendas al Reglamento de IA de la UE 2026: qué ha cambiado el Reglamento (UE) 2026/1744

Lo que realmente pasó

El Parlamento Europeo y el Consejo adoptaron el Reglamento (UE) 2026/1744 el 8 de julio de 2026 en Estrasburgo. Se publicó en el Diario Oficial el 24 de julio y entró en vigor el 27 de julio, al tercer día de su publicación en lugar del vigésimo habitual, porque el 2 de agosto estaba demasiado cerca como para dejar el texto pendiente. Su función formal es limitada: modificar el Reglamento (UE) 2024/1689 - la Ley de IA - junto con el Reglamento Básico de Aviación y el Reglamento de Maquinaria. Todo el mundo lo llama el Ómnibus Digital sobre IA.

Un reglamento que modifica un reglamento se aplica directamente en los 27 Estados miembros. No hay paso de transposición, no hay acto de aplicación nacional que esperar, no hay divergencia entre Dublín y Varsovia. La Ley de IA que leíste el mes pasado es hoy un documento diferente.

No es una derogación, y no es la desregulación que pedían algunos lobbys. Los niveles de riesgo sobrevivieron. La lista de prácticas prohibidas se hizo más larga, no más corta. Lo que se movió fue el calendario para el capítulo más caro, además de un puñado de obligaciones que resultaron más baratas de cumplir.

La única fecha que no se movió: 2 de agosto de 2026

Esta es la parte que los titulares de los retrasos ocultan, y es la parte que llega primero. El artículo 50, el capítulo de transparencia, sigue aplicándose a partir del 2 de agosto de 2026. Si estás leyendo esto la semana en que se publicó, eso es en días, no en trimestres.

• Dile a la gente que está hablando con una máquina. Un sistema de IA que interactúa con personas físicas tiene que dejarlo claro, a menos que sea obvio por el contexto.
• Marca el contenido sintético de forma legible por máquina. El audio, la imagen, el vídeo y el texto generados o manipulados por IA deben llevar una marca que una máquina pueda detectar.
• Etiqueta los deepfakes. El contenido que se asemeja a personas, lugares o eventos reales y que podría inducir a error debe ser revelado como generado artificialmente.
• Divulgar el texto generado por IA publicado para informar al público sobre asuntos de interés público, a menos que un humano haya asumido la responsabilidad editorial del mismo.
• Reconocimiento de emociones y categorización biométrica: los implementadores deben informar a las personas expuestas al sistema.

Se concedió una excepción. El Artículo 50(2) - el marcado legible por máquina de la producción sintética - obtiene un período de gracia hasta el 2 de diciembre de 2026 para los sistemas que ya estaban en el mercado antes del 2 de agosto de 2026. Los nuevos sistemas no obtienen tal plazo. El resto del Artículo 50 entra en vigor el 2 de agosto sin ninguna transición, y los nuevos artículos de aplicación se activan el mismo día.

Los nueve cambios importantes

Ley original a la izquierda, posición modificada a la derecha. Los números de los artículos corresponden a la Ley de IA en su versión modificada.

• 1. Plazos de alto riesgo (Artículo 113). Antes: sistemas autónomos del Anexo III a partir del 2 de agosto de 2026, IA integrada en productos regulados según el Anexo I a partir del 2 de agosto de 2027. Ahora: 2 de diciembre de 2027 para el Anexo III, 2 de agosto de 2028 para el Anexo I Sección A. Los sistemas de alto riesgo heredados ya en uso por las autoridades públicas tienen hasta el 2 de agosto de 2030. El borrador de la Comisión de noviembre de 2025 había vinculado estas fechas a un disparador condicional de preparación de estándares; el texto final lo eliminó, por lo que estas son fechas de calendario incondicionales que no pueden deslizarse nuevamente sin un nuevo procedimiento legislativo.
• 2. Nuevas prohibiciones (Artículo 5). Antes: ocho prácticas prohibidas, aplicables desde el 2 de febrero de 2025. Ahora: dos más - generar o manipular material íntimo sin consentimiento libre, específico, informado, inequívoco y explícito, y material de abuso sexual infantil. Aplicable a partir del 2 de diciembre de 2026, en el tramo de penalización más alto de hasta 35 millones de euros o el 7% de la facturación anual mundial. El nuevo Artículo 5(1a) divide la responsabilidad del proveedor y del implementador: un proveedor es atrapado cuando esa generación es el propósito previsto, o es razonablemente previsible y reproducible sin una modificación técnica significativa. Se espera que los proveedores documenten salvaguardias técnicas reales - capacitación para el rechazo, barandillas de solicitud, filtrado de contenido, detección de abuso.
• 3. Marcado de transparencia (Artículo 50(2)). Antes: aplicable el 2 de agosto de 2026, sin transición. Ahora: misma fecha para los nuevos sistemas, con un período de gracia hasta el 2 de diciembre de 2026 para los sistemas comercializados antes del 2 de agosto de 2026.
• 4. Alfabetización en IA (Artículo 4). Antes: los proveedores e implementadores garantizarán un nivel suficiente de alfabetización en IA entre el personal. Ahora: tomar medidas para apoyar el desarrollo de la alfabetización en IA, con un lenguaje explícito de que no es necesario garantizar ningún nivel específico. De sustancia más suave, y se aplica a partir del 27 de julio de 2026. Todavía se aplica a los implementadores, lo que significa que se aplica a los bufetes de abogados.
• 5. Datos de detección de sesgos (nuevo Artículo 4a). Antes: una base legal estrecha para que los proveedores de alto riesgo procesaran categorías especiales de datos personales para detectar y corregir sesgos. Ahora: extendido a todos los proveedores y todos los implementadores de sistemas de IA y modelos de propósito general, bajo un estricto estándar de necesidad con salvaguardas. Si el GDPR estaba bloqueando sus pruebas de imparcialidad, esta es la solución.
• 6. Clasificación de alto riesgo y maquinaria (Artículos 6, Anexo I). Antes: una prueba de componente de seguridad amplia que incluía gran parte de la IA de productos ordinarios. Ahora: los nuevos Artículos 6(1a)–(1c) excluyen los sistemas utilizados para funciones que no son de seguridad - asistencia al usuario, optimización del rendimiento, eficiencia del servicio, automatización, comodidad, control de calidad - y restablecen un criterio objetivo para lo que se considera un componente de seguridad. La IA en maquinaria se trasladó del Anexo I Sección A a la Sección B, por lo que los Artículos 9–15 y 17–25 ya no se aplican directamente; los requisitos equivalentes provienen de actos delegados en virtud del Reglamento de Maquinaria, con fecha límite del 2 de agosto de 2027.
• 7. El registro se mantuvo (Artículo 6(3), Anexo VIII). Antes: los proveedores que auto-evaluaban un sistema como de bajo riesgo aún debían registrarlo en la base de datos de la UE. La Comisión propuso eliminar esto. Ahora: se mantuvo, bajo el razonamiento de que es crucial para la vigilancia del mercado, con dos puntos de datos eliminados del Anexo VIII Sección B para simplificar el archivo. Las autoridades mantienen su acceso.
• 8. Sandboxes (Artículo 57). Antes: los estados miembros debían tener al menos un sandbox regulatorio de IA operativo antes del 2 de agosto de 2026. Ahora: 2 de agosto de 2027, además de un nuevo sandbox a nivel de la Unión gestionado a través de la Oficina de IA con acceso prioritario para las PYMES.
• 9. Ejecución y sanciones (Artículos 75, 75a–75d, 99). Antes: la supervisión dividida, con la Oficina de IA centrada en modelos de propósito general. Ahora: la Oficina de IA obtiene competencia exclusiva sobre los sistemas de IA construidos sobre un modelo de propósito general por la misma empresa, y sobre la IA integrada en plataformas en línea muy grandes y motores de búsqueda. Los nuevos Artículos 75a–75d le otorgan poderes de investigación, incluyendo inspecciones in situ y el sellado de locales, la capacidad de aceptar compromisos vinculantes, un procedimiento de incumplimiento con sanciones periódicas de hasta el 5% de la facturación diaria promedio, un período de limitación de cinco años y derechos de defensa. El Artículo 99 incorpora un nivel de multa limitada para las pequeñas y medianas empresas (una nueva definición del Artículo 3, según la Recomendación de la Comisión (UE) 2025/1099) y un espacio explícito para advertencias y medidas no monetarias. Las obligaciones de gestión de calidad simplificadas se ampliaron de las microempresas a las PYMES en general. Todo a partir del 2 de agosto de 2026.

La UE acaba de nombrar a la IA agentiva, y no la definió

La línea más interesante de este reglamento no se encuentra en ningún Artículo. Está en un nuevo Anexo XIV, una tabla de códigos de nomenclatura utilizados para designar qué organismo notificado es competente para evaluar. Junto con los códigos verticales para áreas de aplicación, la enmienda introduce códigos horizontales AIH para la tecnología subyacente. AIH 0401 es IA agentiva.

Hasta donde sabemos, es la primera vez que la frase aparece en el derecho vinculante de la Unión. Su código hermano es revelador: AIH 0205 cubre los sistemas de IA que aprenden de su entorno, excluyendo la IA agentiva. Alguien que redactaba una tabla de códigos administrativos decidió que los sistemas agentivos eran una clase lo suficientemente distinta como para ser destacada.

Tenga cuidado con lo que esto significa. Un código administrativo no es una definición legal. No hay un Artículo que defina a un agente, ni un nivel de riesgo asociado a la autonomía, ni una obligación que se escale con el número de pasos que un sistema da sin intervención humana. El derecho de la Unión ha escrito la palabra y ha dejado la sustancia para más adelante.

Esa laguna es el problema para cualquiera que esté construyendo sistemas agentivos en un campo regulado. Las obligaciones que finalmente se adjuntarán se están redactando mientras los sistemas se están implementando, lo que significa que la única posición defendible es limitar lo que un agente puede hacer en lugar de verificar lo que hizo. Este es el argumento que hicimos en gobernanza por construcción, y es la razón por la que Justinian delimita el espacio de acción de un agente a una jurisdicción antes de permitirle actuar, en lugar de filtrar la respuesta después. Thomson Reuters situó la adopción agentiva en el 15% de los profesionales en 2026, y el 77% espera que sea fundamental para su flujo de trabajo en 2030. Las reglas aterrizarán en el medio de esa curva.

Qué cambia para un bufete de abogados que utiliza IA

Casi todas las alertas para clientes sobre esta normativa están escritas para un director de cumplimiento de una empresa que desarrolla IA. Si usted es un bufete que la utiliza, el vocabulario está en su contra, así que empiece por la distinción. Un proveedor desarrolla un sistema de IA y lo lanza al mercado bajo su propio nombre. Un implementador utiliza uno bajo su propia autoridad. La mayoría de los bufetes de abogados son implementadores, y las obligaciones del implementador son más ligeras, pero no son nulas.

• Su dominio de la IA es suyo y está vivo. El artículo 4 vincula tanto a los implementadores como a los proveedores. La enmienda la suavizó para apoyar el desarrollo del dominio en lugar de garantizar un nivel, con efecto a partir del 27 de julio de 2026. Eso es un listón más bajo, no ausente, y sigue sin haber exención para las empresas pequeñas.
• Si selecciona currículums con IA, está implementando un sistema de alto riesgo. La contratación se encuentra en el Anexo III, punto 4. Las obligaciones que conllevaba debían cumplirse el 2 de agosto de 2026 y ahora deben cumplirse el 2 de diciembre de 2027. Dieciséis meses adicionales es lo más valioso que esta normativa ofrece a un bufete de abogados normal.
• Si publica comentarios redactados por IA, divulgue esta información. El artículo 50(4) cubre el texto publicado para informar al público sobre asuntos de interés público, y la exención se basa en la responsabilidad editorial humana. El contenido de un blog de un bufete generado en grandes volúmenes sin un revisor humano nombrado es exactamente el caso que describe. A partir del 2 de agosto de 2026.
• Si utiliza un chatbot de cara al cliente, diga que es una máquina. Artículo 50(1), a partir del 2 de agosto de 2026, a menos que sea obvio.
• Si construye internamente, es posible que se haya convertido en un proveedor. Ponga una herramienta en servicio bajo su propio nombre y toda la pila de proveedor puede adjuntarse, incluido el registro cuando se aplica el Artículo 6(3). Los bufetes que desarrollen sus propias capas de flujo de trabajo sobre un modelo deben evaluar esto en lugar de asumirlo.
• Las pruebas de imparcialidad resultaron más fáciles. El nuevo Artículo 4a otorga a los implementadores una base legal para procesar datos de categoría especial estrictamente para detectar y corregir sesgos. Útil si un cliente ha estado preguntando si su sistema de admisión desfavorece a alguien y el GDPR fue la razón por la que no pudo verificarlo.
• La extraterritorialidad no ha cambiado. El artículo 2 alcanza a proveedores e implementadores fuera de la Unión donde el resultado se utiliza dentro de ella. Un bufete en Dubái o Beirut que preste servicios a clientes de la UE se encuentra dentro del perímetro. La Ley sigue el resultado, no el código postal.

Ocho preguntas para su proveedor de Legal AI

Somos un proveedor de Legal AI, así que lea esto sabiendo que también debemos responderlas. Ese es precisamente el punto - cada una de estas tiene una respuesta específica y verificable, y un proveedor que no puede dársela le está diciendo algo.

• Por todo lo que hacemos con usted, ¿es usted el proveedor de un sistema de alto riesgo del Anexo III, y qué punto del Anexo III? Usted es el proveedor de un sistema de alto riesgo del Anexo III, ¿y qué punto del Anexo III?
• ¿Qué obligaciones del Artículo 50 descarga el producto para nosotros, y cuáles permanecen con nosotros como implementadores? Nómbrelas individualmente.
• ¿Marca usted la salida generada por IA de forma legible por máquina hoy, y si no, lo hará antes del 2 de diciembre de 2026?
• Cuando la autoevaluación del Artículo 6(3) le sea aplicable, ¿está usted registrado en la base de datos de la UE y podemos ver la entrada?
• ¿En qué consiste el soporte de su Artículo 4 - ¿capacitación y materiales reales, o un PDF y un seminario web?
• ¿Cuál de las dos nuevas prohibiciones del Artículo 5 podría previsiblemente activar nuestro uso de su herramienta, y qué salvaguardias técnicas documenta usted contra ellas?
• ¿Quién es su representante autorizado en la Unión, y qué autoridad de vigilancia del mercado le supervisa?
• Si su sistema se basa en su propio modelo de propósito general, ¿es ahora la Oficina de IA su supervisor exclusivo bajo el Artículo 75 reescrito?

Lo que no cambió

• Obligaciones de IA de propósito general. Artículos 51 a 55, en vigor desde el 2 de agosto de 2025, sin cambios. Los umbrales de riesgo sistémico y los deberes del proveedor del modelo se mantienen.
• Las prohibiciones originales. La calificación social, la manipulación subliminal, ciertas categorizaciones biométricas y el resto se aplican desde el 2 de febrero de 2025 y no se reabrieron.
• El Anexo III en sí. La lista de clasificación no ha cambiado. Un sistema que era de alto riesgo en junio sigue siendo de alto riesgo. Solo se modificó la fecha en que debe cumplir, y las evaluaciones ya realizadas siguen siendo válidas.
• Los niveles de sanción superior y medio. Hasta 35 millones de euros o el 7% para prácticas prohibidas, y el nivel inferior, se mantuvieron como estaban.
• La arquitectura. Niveles de riesgo, evaluación de la conformidad, la ruta del organismo notificado, la base de datos, la vigilancia del mercado. La UE sigue siendo la única jurisdicción en la tierra con una ley de IA horizontal integral, y esta enmienda la deja intacta.

Nuestra interpretación

La demora es real y es limitada. Un capítulo se movió, por razones válidas que tienen más que ver con la ausencia de estándares armonizados e infraestructura de evaluación de la conformidad que con cualquier cambio de opinión. Interpretar esto como un retroceso de la UE es un error para los próximos dos años.

Para los proveedores, la presión aumentó. A partir del 2 de agosto de 2026, la Oficina de IA puede inspeccionar y precintar instalaciones, imponer sanciones periódicas y asumir compromisos vinculantes. El registro sobrevivió a un intento de eliminación. El marcado legible por máquina de la producción sintética se convierte en un requisito de producto con una fecha límite. Nada de esto es una intervención más ligera; es la misma sustancia con mejor aplicación y una factura posterior para la parte más costosa.

El disparador condicional eliminado es el detalle subestimado. El borrador de noviembre habría permitido que las fechas de alto riesgo flotaran según la disponibilidad de los estándares. El texto final las fija. Cualquiera que haya elaborado un plan en torno a un mayor aplazamiento debería reconstruirlo: el 2 de diciembre de 2027 y el 2 de agosto de 2028 ahora requieren un nuevo procedimiento legislativo para ser modificados, y nadie quiere ejecutar este dos veces.

No somos una empresa establecida en la UE. Construimos desde Beirut y nuestros clientes se concentran en Medio Oriente y Europa, lo que nos sitúa de lleno dentro del Artículo 2 y fuera de la comodidad de pensar que esta es una regulación de otra persona. Por lo tanto, leímos el texto consolidado el día de su publicación en lugar de esperar un resumen, y preferimos publicar las fechas claramente antes que venderles a cualquiera un pánico por el cumplimiento. La posición honesta el 28 de julio de 2026 es que la mayoría de las empresas tienen un plazo a cuatro días y otro a veintiocho meses, y confundir los dos en cualquier dirección es un error costoso.

• Reglamento (UE) 2026/1744 sobre EUR-Lex
• Mesa de servicio de la Ley de IA de la Comisión Europea
• Freshfields - el Ómnibus Digital final sobre IA
• Gibson Dunn - plazos pospuestos para alto riesgo y otros cambios clave
• Thomson Reuters - Informe de IA en Servicios Profesionales 2026

• Gobernanza por construcción - restringiendo lo que un agente puede hacer
• Cómo HAQQ gestiona la seguridad y el cumplimiento normativo
• Justinian - IA legal con alcance jurisdiccional
• Por qué la revisión humana es una característica diseñada
• Cómo convertirse en un bufete de abogados nativo de IA