Reglamento europeo de IA en noviembre de 2026: qué se aplica ya y qué pasa a 2027
Si la última vez que miraste el Reglamento europeo de IA fue en 2025, las fechas que recuerdas ya no valen. El ómnibus digital sobre IA entró en vigor el 27 de julio de 2026 y retrasó las obligaciones más pesadas. Algunas empresas lo han entendido como permiso para parar. No lo es: hay obligaciones que ya se aplican, y el trabajo que más tarda sigue siendo el mismo.
Esta es la situación a 12 de noviembre de 2026. Es un resumen de ingeniería y no sustituye al asesoramiento jurídico.
Qué se aplica ya
El Reglamento está en vigor desde el 1 de agosto de 2024 y sus obligaciones llegan por fases.
- Desde el 2 de febrero de 2025: las prácticas prohibidas y la obligación de alfabetización en IA. Quienes operan o usan sistemas de IA en tu empresa tienen que entender con qué están trabajando.
- Desde el 2 de agosto de 2025: las obligaciones de los proveedores de modelos de IA de uso general y la estructura de gobernanza.
- Desde agosto de 2026: las normas de transparencia. Hay que avisar a las personas de que están tratando con un sistema de IA, y el contenido generado por IA tiene que poder identificarse.
Qué se ha retrasado
Las obligaciones de los sistemas de alto riesgo del anexo III, que incluye usos como la selección de personal, la evaluación de solvencia, la educación o el acceso a servicios esenciales, vencían el 2 de agosto de 2026. Ahora se aplican desde el 2 de diciembre de 2027. La IA integrada en productos que ya están regulados (anexo I) pasa al 2 de agosto de 2028.
Las sanciones no han cambiado. Llegan a 35 millones de euros o el 7 % de la facturación mundial anual por prácticas prohibidas, y a 15 millones o el 3 % por la mayoría de los demás incumplimientos.
Si operas en España
La autoridad de supervisión es la AESIA, la Agencia Española de Supervisión de Inteligencia Artificial, con sede en A Coruña. España cuenta además con un entorno controlado de pruebas, creado por el Real Decreto 817/2023.
El proyecto de ley español sobre gobernanza de la IA caducó con la disolución de las Cortes en octubre de 2026, así que no conviene planificar contando con él. El Reglamento europeo se aplica directamente en cualquier caso. La protección de datos va en paralelo: la AEPD publicó el 18 de febrero de 2026 unas orientaciones sobre IA agéntica que merece la pena leer antes de dar a un agente acceso a datos personales.
Si operas en Reino Unido
Reino Unido no tiene un equivalente al Reglamento ni un proyecto de ley de IA del Gobierno. Aun así hay dos cosas que importan. El Reglamento europeo alcanza a las empresas británicas que comercializan sistemas de IA en la UE o cuyos resultados se usan en la UE. Y la normativa británica de protección de datos ha cambiado: la Data (Use and Access) Act 2025 sustituyó las reglas sobre decisiones automatizadas por los nuevos artículos 22A a 22D del UK GDPR, en vigor desde el 5 de febrero de 2026.
Qué hacer ahora
El retraso da tiempo para documentar bien. No es motivo para dejar de hacerlo, porque los registros, la supervisión humana y la documentación técnica salen caros cuando hay que añadirlos a un sistema que ya está en uso.
- Haz un inventario de todos los usos de IA de la empresa, incluidas las herramientas que cada equipo ha adoptado por su cuenta.
- Clasifica cada uso y deja por escrito el razonamiento. Quien audite preguntará cómo llegaste a esa clasificación.
- Avisa a las personas cuando hablan con un sistema de IA y etiqueta el contenido generado.
- Forma a quienes operan estos sistemas, según su función.
- En todo lo que se parezca al anexo III, diseña ya los registros, la revisión humana y la documentación como parte del sistema.