Ómnibus Digital: qué cambia realmente en el AI Act para tu empresa (y qué sigue igual)

No se ha aplazado nada de lo que afecta al uso ordinario de la IA en una empresa. Siguen plenamente vigentes las prácticas prohibidas, la alfabetización en IA del Artículo 4, las obligaciones de los modelos de propósito general y la transparencia del Artículo 50.

Merece la pena detenerse en el Artículo 50, porque es el que más gente ha pasado por alto: desde el 2 de agosto de 2026 hay que informar cuando alguien interactúa con un sistema de IA—un asistente de atención al cliente, por
ejemplo— y etiquetar el contenido sintético que pueda inducir a confusión.

Si tienes un chatbot en la web o publicas material generado con IA, esto te aplica ya.

El Ómnibus además añade dos nuevas prácticas prohibidas, relativas a material íntimo no consentido y material de abuso sexual infantil, aplicables desde el 2 de diciembre de 2026.

Antes de aplicar ninguna medida, identifica tu función. Una misma empresa puede ser
responsable del despliegue en un caso y proveedora en otro, y las obligaciones son
distintas.

La mayoría de las pymes están en la primera y la segunda fila. Pero conviene un aviso: si
personalizas sustancialmente una herramienta, cambias su finalidad o la ofreces a terceros
bajo tu marca, puedes pasar a ser considerada proveedora, con todo lo que implica. Si
estás construyendo algo sobre una API para ofrecerlo a clientes, esto merece
asesoramiento específico.

El Artículo 4 cambia de redacción: qué significa exactamente

La reforma matiza el Artículo 4, dedicado a la alfabetización en IA. Pasa de exigir garantizar que el personal tenga un nivel suficiente, a exigir adoptar medidas para apoyar y promover el desarrollo de esa alfabetización. La empresa ya no debe garantizar un nivel individual concreto, pero el deber de actuar se mantiene.

En la práctica, esto significa que tu empresa sigue teniendo que:

• Analizar su contexto: qué sistemas usa, quién los usa y con qué riesgo.
• Formar a las personas que trabajan con IA.
• Orientar y adaptar las medidas a los conocimientos, roles y sistemas de cada caso.
• Documentar lo que ha hecho.

Lo que cambia es el enfoque: de una obligación de resultado a un deber de diligencia. Se espera que la empresa actúe y pueda acreditarlo, no que exhiba un certificado por empleado. Y conviene añadir un matiz importante: para quien despliegue sistemas de alto riesgo, el Artículo 26 mantiene íntegro el deber de garantizar que su personal tiene competencia suficiente y ejerce supervisión humana real.

Aquí es donde la mayoría de artículos se detiene y donde empiezan las dudas reales. La
norma no impone curso, certificado, duración ni formato. Pero sí espera que puedas
responder a cuatro preguntas:

Una sesión interna documentada, con acta y lista de asistentes, puede formar parte
perfectamente de ese programa. Lo que no sostiene el cumplimiento es un vídeo genérico
que nadie terminó de ver.

Hay una lectura de fondo que merece la pena. Todo este debate sobre plazos revela una manera de entender la regulación como una carrera contra una fecha: se cumple cuando aprieta y se relaja cuando se aplaza. Pero una norma de este tipo no describe un plazo, describe un riesgo. Y el riesgo de que alguien pegue la base de datos de clientes en una herramienta gratuita no se ha aplazado a diciembre de 2027: sigue ahí, cada día, exactamente igual que la semana pasada.

El Ómnibus introduce medidas de simplificación pensadas específicamente para empresas pequeñas. Incorpora al reglamento la definición de pyme y crea una categoría intermedia ,la pequeña empresa de mediana capitalización, para organizaciones que, sin ser pymes, afrontan cargas administrativas parecidas.

Entre las simplificaciones:

• Posibilidad de presentar documentación técnica simplificada para sistemas de alto riesgo
• Cumplimiento más sencillo de determinados elementos del sistema de gestión de la calidad
• Menor carga administrativa en general

Una advertencia necesaria: la simplificación afecta a la forma de acreditar el cumplimiento, no a las obligaciones sustantivas. Se aligera el papeleo, no el fondo. Quien tenga que cumplir un requisito técnico seguirá teniendo que cumplirlo; lo que cambia es cómo lo documenta.

La norma no impone un texto literal. Basta con algo tan simple como “Estás interactuando
con un sistema de inteligencia artificial”. Lo determinante no es la redacción, sino dónde
aparece: al comienzo de la primera interacción, de forma visible y comprensible.
Enterrarlo en los términos de uso o en la política de privacidad no cumple.
Un matiz de reparto: diseñar el chatbot para que avise es obligación del proveedor. Si
usas uno de terceros, exige que venga configurado con el aviso; lo que te toca a ti es no
suprimirlo y cubrir los supuestos propios de tu despliegue.

Casi nunca, y no por el motivo que suele contarse. El marcado técnico del contenido
corresponde a quien fabrica la herramienta, no a ti. A ti te alcanza cuando publicas
textos para informar al público sobre asuntos de interés público (salud, derechos,
consumo, Administración).
Y aun en ese caso hay una exención relevante: si ha existido revisión humana con
responsabilidad editorial, contrastando hechos y fuentes, no hace falta etiqueta. Corregir
la ortografía no cuenta como revisión.
Fíjate en lo que dice esto entre líneas: la norma premia exactamente lo que una
formación decente enseña (verificar, contrastar, asumir la responsabilidad de lo
que firmas). La transparencia no se resuelve con una etiqueta, se resuelve con
criterio.

No hay que etiquetarlo hacia atrás. La obligación no es retroactiva

No hay que etiquetarlo hacia atrás. La obligación no es retroactivaEl reglamento no prevé un periodo de avisos: las sanciones existen desde el primer día.
Pero hay dos matices que cambian mucho el panorama de una pyme.
El primero: en el caso de las pymes se aplica el importe menor de los dos límites
previstos —el porcentaje de facturación o la cifra fija—, no el mayor (art. 99.6). El titular
de los 35 millones no es tu titular.
El segundo: en España, el Proyecto de Ley Orgánica de gobernanza de la inteligencia
artificial sigue en tramitación parlamentaria, así que los detalles del procedimiento
sancionador nacional aún no están cerrados.

Desactivarlo. Inferir emociones mediante IA está prohibido en el entorno laboral y en
el educativo, con las únicas excepciones de razones médicas o de seguridad. Y no es
novedad de agosto: las prácticas prohibidas se aplican desde el 2 de febrero de 2025.
Si tu herramienta de control de presencia o de selección analiza voz o gesto, pide a tu
proveedor confirmación por escrito de si esa función está activa.

Lo primero, no pedir lo que no existe: la Declaración UE de conformidad y el marcado
CE solo aplican a sistemas de alto riesgo. Nadie te va a entregar un CE de un asistente de
uso general. Lo que sí puedes exigir:

• Su clasificación por escrito: ¿es alto riesgo según el anexo III?
• Las instrucciones de uso.
• La información de transparencia del artículo 50 que debe facilitarte.
• El acuerdo de tratamiento de datos y qué ocurre con la información que introduces.
• Dónde se alojan y procesan los datos, y qué subencargados intervienen

Este último punto es el que más sorpresas da: muchas empresas tienen licencia corporativa
y creen estar cubiertas sin haber verificado nunca dónde acaban realmente sus datos.

Si tu empresa usa IA en su trabajo diario ,y hoy eso es casi cualquier empresa, la reforma no cambia lo que tienes que hacer. Estos son los cuatro pasos que siguen siendo prioritarios:

• Saber qué se está usando. Un inventario simple de herramientas, con qué cuentas y para qué. Es el punto de partida y casi nadie lo tiene.
• Formar al equipo. La formación de alfabetización en IA, sigue siendo un deber vigente, y sobre todo sigue siendo lo que evita los problemas reales.
• Poner reglas mínimas por escrito. Qué herramientas se usan, qué datos nunca se introducen, quién revisa qué y a quién se pregunta ante una duda.
• Revisar la transparencia. Si tienes chatbot o publicas contenido generado con IA, el Artículo 50 ya está en vigor.

Y un quinto punto que no está en ninguna norma pero evita la mayoría de los disgustos: comprobar qué dice realmente tu contrato con el proveedor de IA. Dónde se alojan los datos, si se usan para entrenar modelos, quiénes son los subencargados. Muchas empresas tienen licencia corporativa y creen estar cubiertas sin haberlo verificado nunca. Por eso también debes considerar la formación en IA por roles, para tu tranquilidad y buenas prácticas.