La UE adopta formalmente las enmiendas a la AI Act, retrasando el plazo de cumplimiento para IA de alto riesgo hasta 2027

La Unión Europea ha cerrado formalmente el ciclo de revisión de su AI Act. El Consejo de la UE adoptó el Digital Omnibus sobre IA el 29 de junio de 2026, el último paso procedimental tras la aprobación del mismo texto por el Parlamento Europeo el 16 de junio. Con la adopción del Consejo completa, las enmiendas se publicarán en el Diario Oficial de la UE y entrarán en vigor poco después, reconfigurando los plazos de cumplimiento para las empresas de IA que operan en Europa.

El Digital Omnibus es el conjunto de cambios más trascendental para la AI Act desde que el reglamento se aprobó en 2024. Su efecto central: las empresas que despliegan sistemas de IA de alto riesgo en salud, educación, empleo, aplicación de la ley e infraestructuras críticas han recibido significativamente más tiempo para cumplir — en algunos casos 16 meses más allá de los plazos originales. La medida refleja el persistente cabildeo de grupos industriales que argumentaron que los plazos originales eran inviables, y una Comisión Europea cada vez más centrada en impulsar la competitividad en lugar de endurecer las cargas regulatorias en la carrera de IA con EE. UU. y China.

Qué cambió — y qué no

Las enmiendas reestructuran los plazos de cumplimiento en dos vías según cómo se despliegue un sistema de IA de alto riesgo:

Sistemas de IA de alto riesgo independientes (Annex III): Incluyen IA utilizada en decisiones de contratación, puntuación crediticia, identificación biométrica, evaluación educativa y acceso a servicios esenciales. El plazo de cumplimiento original era el 2 de agosto de 2026, a solo semanas de distancia. Según el Digital Omnibus, ese plazo se traslada al 2 de diciembre de 2027. Las empresas en esta categoría han ganado 16 meses adicionales.

IA integrada en productos regulados (Annex I): Los componentes de IA integrados en productos ya regulados por la legislación de seguridad existente de la UE — como dispositivos médicos, maquinaria industrial y vehículos — ahora enfrentarán requisitos de cumplimiento para el 2 de agosto de 2028, un año después del plazo anterior de agosto de 2027.

Las reglas para modelos de IA de propósito general (GPAI), que rigen los modelos frontera de empresas como Anthropic, Google, Meta y OpenAI, no han cambiado. Las obligaciones para los proveedores de GPAI — incluyendo documentación de transparencia, pruebas adversariales y evaluaciones de riesgo sistémico para modelos por encima del umbral de cómputo — permanecen en su cronograma original.

Una nueva prohibición añadida

Si bien las enmiendas relajan los plazos, también endurecen la lista de prohibiciones en un área: los sistemas de IA diseñados para generar imágenes íntimas no consentidas (NCII), comúnmente conocidos como herramientas de porno deepfake, y los sistemas de IA que generan material de abuso sexual infantil (CSAM) ahora están explícitamente prohibidos bajo la AI Act. El cumplimiento de esta prohibición se exige para el 2 de diciembre de 2026, un plazo cercano que contrasta con las extensiones más largas otorgadas en otras partes del paquete.

La adición señala la intención de la UE de utilizar la AI Act como vehículo para la regulación de la seguridad del contenido, no solo el riesgo sistémico y técnico. También alinea la AI Act con otros esfuerzos legislativos de la UE dirigidos a los daños en línea.

Por qué se concedió la prórroga

Los plazos originales de la AI Act fueron criticados desde múltiples frentes. Los grupos industriales argumentaron que la infraestructura de cumplimiento requerida — documentación interna, evaluaciones de conformidad, registro en la base de datos de la UE, auditorías de organismos notificados — no estaba lista a la escala necesaria, especialmente para empresas de tamaño mediano. Los profesionales legales señalaron ambigüedad en la interpretación de varias categorías del Annex III, creando incertidumbre de cumplimiento incluso para empresas que querían avanzar rápidamente.

La Comisión Europea, que propuso el Digital Omnibus a principios de 2026, enmarcó las enmiendas como una medida de "simplificación" y competitividad, más que un retroceso regulatorio. La comisaria de Digital, Henna Virkkunen, citó la necesidad de evitar la fragmentación regulatoria y garantizar que las empresas europeas no estuvieran en desventaja durante un período de rápida inversión en IA a nivel global.

Los críticos, incluidos grupos de la sociedad civil y algunos miembros del Parlamento Europeo, argumentaron que las prórrogas debilitan las protecciones en ámbitos sensibles justo en el momento en que se acelera el despliegue de IA en contratación, salud y aplicación de la ley. El texto final mantuvo las prórrogas mientras añadía la prohibición de NCII como concesión.

Implicaciones prácticas para las empresas

Para las empresas que construyen o despliegan sistemas de IA en la UE, el Digital Omnibus cambia significativamente el calendario de cumplimiento a corto plazo. El plazo de agosto de 2026 había estado generando urgencia entre los equipos legales y de cumplimiento; esa presión ahora se elimina para los sistemas independientes del Annex III hasta finales de 2027.

Lo que las empresas no deben hacer es tratar la prórroga como una señal para detener por completo el trabajo de cumplimiento. Los requisitos de documentación, las obligaciones de clasificación de riesgos y los estándares técnicos de la AI Act se están volviendo más claros a medida que los organismos reguladores publican orientación. Las empresas que utilicen la prórroga para construir procesos conformes — en lugar de simplemente retrasar — estarán mejor posicionadas cuando llegue diciembre de 2027. Aquellas que esperen hasta mediados de 2027 para comenzar enfrentarán la misma crisis de infraestructura que creó el cronograma original.

Para las empresas no pertenecientes a la UE que venden productos o servicios impulsados por IA en el mercado de la UE, el alcance jurisdiccional de la AI Act no ha cambiado. El Digital Omnibus ajustó los plazos, no el alcance.

Atribución de fuentes

Este artículo se basa en anuncios oficiales del Consejo de la UE y el Parlamento Europeo, análisis legales de Gibson Dunn, Morgan Lewis y White & Case, y el texto oficial del Digital Omnibus publicado por la Comisión Europea.