Un mes para el 2 de diciembre: la lista de lo que sí obliga
El 2 de diciembre de 2026 el AI Act suma dos obligaciones para las empresas, y ninguna es la que se suele temer. El catálogo de prácticas prohibidas del artículo 5 pasa de ocho a diez, con dos letras nuevas sobre sistemas capaces de generar o manipular material sexual. Ese mismo día se agota la prórroga de cuatro meses que el Ómnibus dio a la IA generativa introducida en el mercado antes del 2 de agosto de 2026 para cumplir el marcado del artículo 50, apartado 2. Lo demás que se asocia a esa fecha, empezando por el alto riesgo, no vence ese día.
Las dos fechas y su base legal
Ambas salen del mismo texto: el Reglamento (UE) 2026/1744, el Ómnibus digital sobre IA, de 8 de julio de 2026, publicado en el DOUE (Serie L) el 24 de julio.
| Qué | Fecha de aplicación | A quién alcanza | Base |
|---|---|---|---|
| Prohibiciones nuevas (art. 5.1, letras b bis y b ter) | 2 de diciembre de 2026 | Quien lo introduce o pone en servicio, y el responsable del despliegue | art. 113, párrafo tercero, letra a), red. del punto 40 |
| Marcado del art. 50.2 en lo generativo introducido antes del 2-ago-2026 | 2 de diciembre de 2026 | Solo el proveedor (art. 3, punto 3) | art. 111, apartado 4, nuevo (punto 39, letra b) |
| Declaración UE de conformidad, marcado CE y registro (arts. 47 a 49) | 2 de agosto de 2026 · ya vencido | Proveedores de alto riesgo | sección 5 del cap. III, fuera del aplazamiento |
| Alto riesgo del art. 6.2 y anexo III (cap. III, secciones 1 a 3) | 2 de diciembre de 2027 | Proveedores y responsables del despliegue | art. 113, párrafo tercero, letra c), inciso i) |
| Alto riesgo del art. 6.1 y anexo I (cap. III, secciones 1 a 3) | 2 de agosto de 2028 | Ídem, para el alto riesgo de producto | art. 113, párrafo tercero, letra c), inciso ii) |
El artículo 111.4 no crea una obligación nueva: el artículo 50 ya se aplica a lo que llegó al mercado desde el 2 de agosto de 2026, y el Ómnibus solo cierra la puerta que quedó abierta para lo anterior, con lo que el considerando 38 llama un período transitorio de cuatro meses. Si llevas desde 2024 con un generador propio en el mercado, se te acaba la prórroga.
Bloque 1. De ocho prohibiciones a diez
Las dos letras nuevas alcanzan a sistemas que generan o manipulan material sexual. La b bis) prohíbe introducir en el mercado, poner en servicio o utilizar un sistema de IA que genere o manipule imágenes, vídeos o audios realistas «o material similar» de las partes íntimas de una persona física identificable, o de esa persona en actividades sexualmente explícitas, sin su consentimiento libre, específico, informado e inequívoco y explícito. Cada letra tiene su propia pieza: el ángulo de producto y de usuario de la b bis está en las apps de nudificación.
La b ter) hace lo propio con el material y los espectáculos definidos en el artículo 2, letras c) y e), de la Directiva 2011/93/UE —la letra c) define el material de pornografía infantil, con sus cuatro incisos; la letra e), el espectáculo pornográfico en directo con menores—, salvo que se aplique una defensa de «forma ilícita» conforme al Derecho nacional. Su encaje penal, en la prohibición de generar material de abuso infantil.
La reacción típica en una pyme es «esto no va conmigo». Suele ser cierto, pero el apartado 1 bis explica por qué no siempre. Para quien introduce en el mercado o pone en servicio el sistema, la prohibición solo opera si esa generación es la finalidad prevista, o si el diseño, el entrenamiento, la arquitectura, las capacidades o las funcionalidades orientadas al usuario hacen el resultado razonablemente previsible y reproducible sin modificaciones técnicas sustanciales y el sistema carece de salvaguardias razonables o no corrige el uso indebido observado o notificado.
Ese supuesto alcanza a empresas sin intención de nada parecido: si pones en servicio un generador de imágenes, tienes que saber si tiene salvaguardias y quién atiende los avisos. Para el responsable del despliegue la vara es más estrecha: solo se prohíbe el uso cuando emplea el sistema con el fin de generar o manipular ese material. El apartado 1 ter precisa, solo para la letra b bis), que no hay manipulación si el sistema no aumenta la exposición de ninguna parte íntima representada ni altera la naturaleza de la actividad representada. La sanción es la del artículo 99.3, la más alta del reglamento. El filtro completo está en el artículo 5.1 bis; la panorámica de las diez, en prácticas prohibidas; el importe, en la calculadora de sanciones.
Comprobaciones del bloque 1
- [ ] ¿Algún sistema del inventario genera o manipula imagen, vídeo o audio de personas? →
[SISTEMAS] - [ ] Si lo hace, ¿tiene salvaguardias frente al uso indebido razonablemente previsible? →
[CUÁLES, Y DÓNDE CONSTAN] - [ ] ¿Hay canal de avisos, alguien que lo atienda y constancia de qué se hizo? →
[CANAL]·[RESPONSABLE] - [ ] Si solo eres responsable del despliegue, ¿las normas internas prohíben esa finalidad? →
[DOCUMENTO Y FECHA]
Bloque 2. El marcado de lo que ya estaba en el mercado
El artículo 50.2 exige a los proveedores de sistemas que generen contenido sintético velar por que las salidas estén marcadas en formato legible por máquina y sea posible detectar que se generaron o manipularon de manera artificial, con soluciones eficaces, interoperables, sólidas y fiables en la medida en que sea técnicamente viable. Deja fuera los sistemas que hacen de apoyo a la edición estándar o no alteran sustancialmente los datos de entrada ni su semántica, y los autorizados por ley para perseguir delitos.
El problema práctico no suele ser el marcado, sino saber si eres proveedor. Lo decide el artículo 3, punto 3: lo es quien desarrolla un sistema de IA, o hace que se desarrolle, y lo introduce en el mercado o lo pone en servicio con su propio nombre o marca. Integrar un modelo de terceros y sacarlo con tu marca te coloca ahí. El artículo 25 es otra cosa: reasigna ese papel en alto riesgo (cuándo pasas a ser proveedor). Para la transición, marcar la IA generativa anterior a agosto; para el campo, el checklist del artículo 50.
Comprobaciones del bloque 2
- [ ] Lista de sistemas generativos propios o con tu marca y su fecha de entrada en el mercado →
[SISTEMA]·[FECHA] - [ ] Para los anteriores al 2-ago-2026: ¿marcan ya en formato legible por máquina? →
[SÍ / NO / PARCIAL] - [ ] ¿Sobrevive el marcado al flujo real de publicación, no solo a las pruebas? →
[PRUEBA HECHA EL …] - [ ] ¿Se ha valorado por escrito si aplica alguna exclusión del 50.2? →
[CONCLUSIÓN]·[QUIÉN LA FIRMA] - [ ] ¿Cubiertas las obligaciones del 50.4 (ultrasuplantación, texto publicado)? →
[DÓNDE CONSTA]
Bloque 3. Inventario y personal
Nada de lo anterior se responde sin una lista. El AI Act no impone un inventario a los responsables del despliegue, pero sin él no hay forma de acreditar el análisis. Anota por sistema el proveedor, si genera contenido sintético, el papel de la empresa, la fecha de entrada en el mercado y el responsable interno (plantilla de inventario).
Sobre formación, no repitas la versión antigua del artículo 4: el punto 5 del Ómnibus lo sustituyó entero. Proveedores y responsables del despliegue «adoptarán medidas para apoyar la promoción de la alfabetización en materia de IA» de su personal, y el propio artículo aclara que eso no exige garantizar «un nivel específico [...] de ninguna persona en particular»: obligación de medios, no de resultado (artículo 4).
Bloque 4. Lo que no vence ese día
El malentendido más caro: los requisitos de alto riesgo del capítulo III, secciones 1 a 3, no obligan el 2 de diciembre de 2026. La declaración UE de conformidad, el marcado CE y el registro de los artículos 47 a 49 sí obligan ya, porque viven en la sección 5, fuera del aplazamiento.
Queda aparte la ley española. El proyecto de ley de gobernanza de la inteligencia artificial (expediente 121/000096 del Congreso) estaba en plazo de enmiendas el 31 de julio de 2026, ampliado hasta el 2 de septiembre. Sus tramos sancionadores y su reparto de autoridades pueden cambiar antes de que se apruebe: comprueba la ficha del expediente.
Las fechas completas, en el calendario del AI Act; el marco general, en la guía de cumplimiento del AI Act, dentro de cumplimiento normativo.
La checklist, en orden de ejecución
Si quedan cuatro semanas:
- Semana 1. Cerrar el inventario con el papel de la empresa en cada sistema.
- Semana 2. Separar los generativos anteriores al 2 de agosto de 2026: es el subconjunto con fecha.
- Semana 3. Verificar el marcado en el flujo real y revisar salvaguardias y canal de avisos.
- Semana 4. Actualizar las normas internas de uso y documentar las medidas del artículo 4.
Anota quién decidió qué y cuándo. Como revisión formal, parte de la auditoría de compliance de IA.
Preguntas frecuentes
¿Los sistemas de alto riesgo tienen que estar conformes el 2 de diciembre de 2026?
No. El capítulo III, secciones 1 a 3, salvo el artículo 6.5, se aplica desde el 2 de diciembre de 2027 a los sistemas del artículo 6.2 y el anexo III, y desde el 2 de agosto de 2028 a los del artículo 6.1 y el anexo I. Ese día solo vencen las dos prohibiciones nuevas y el marcado transitorio del artículo 111.4.
¿Nos obliga el marcado si usamos una herramienta de IA de un tercero?
El artículo 50.2 recae sobre el proveedor, no sobre quien usa el sistema. Ahora bien, si esa herramienta se comercializa con tu nombre o tu marca, encajas en la definición de proveedor del artículo 3, punto 3. Y como responsable del despliegue te siguen aplicando las obligaciones del 50.4 sobre ultrasuplantación y texto publicado de interés general.
¿Cuánto puede costar incumplir?
Las prohibiciones del artículo 5 van por el 99.3: hasta 35.000.000 EUR o el 7 % del volumen de negocios mundial total del ejercicio anterior, la cifra superior. El artículo 50 va por el 99.4, letra g): hasta 15.000.000 EUR o el 3 %. Para pymes y empresas emergentes, el 99.6 aplica el menor de los importes sobre los apartados 3, 4 y 5. El punto 38 del Ómnibus añadió un apartado 6 bis que extiende esa regla a las pequeñas empresas de mediana capitalización, pero solo a los apartados 4 y 5: para el artículo 5 no hay suavizado. Es la diferencia entre el techo de 15 millones y el de 35.
¿Siguen siendo ocho las prácticas prohibidas?
Hasta el 1 de diciembre de 2026, sí. Desde el 2 son diez, con las letras b bis) y b ter) que introdujo el punto 7 del Ómnibus. Los apartados 1 bis y 1 ter no son prohibiciones autónomas: delimitan cuándo se entienden cometidas.
Fuentes
- Reglamento (UE) 2024/1689 (AI Act), DOUE de 12-jul-2024: artículos 3.3, 5, 25, 47 a 49, 50, 99, 111 y 113.
- Reglamento (UE) 2026/1744 (Ómnibus digital sobre IA), DOUE Serie L de 24-jul-2026, artículo 1: puntos 5, 7, 38, 39 y 40; considerando 38.
- Directiva 2011/93/UE, artículo 2, letras c) y e) — texto en español del DOUE L 335 de 17 de diciembre de 2011, consultado en PDF el 31 de julio de 2026.
- Congreso de los Diputados, expediente 121/000096. En tramitación.
Herramientas gratuitas relacionadas
Sin registro y con fuentes oficiales. Comprueba tu caso en 2 minutos.