Si tu organización desarrolla, despliega o depende de la IA en selección de personal, evaluación crediticia, infraestructuras críticas o contextos fronterizos y policiales, has pasado buena parte de 2026 preparándote para el 2 de agosto de 2026. Ese plazo pasó sin que las obligaciones de alto riesgo llegaran a aplicarse. Ahora tienes hasta el 2 de diciembre de 2027: una prórroga de 16 meses, concedida en gran medida porque las normas técnicas armonizadas que debían hacer viable el cumplimiento llegaron tarde.
Es un alivio real, y es más estrecho de lo que parece. La prórroga movió un conjunto de obligaciones. No movió el RGPD, no movió el régimen sancionador del Reglamento de IA y no movió dos nuevas prohibiciones que llegan ya en diciembre sin período transitorio alguno. El solapamiento entre ambas normas —donde chocan, y donde unos mismos hechos pueden valorarse dos veces con dos criterios distintos— sigue exactamente donde estaba.
Qué se movió realmente y qué no
El Ómnibus de IA reordenó el calendario, no el fondo. Las fechas que ahora rigen:
Lo que no se movió. Las obligaciones de transparencia del artículo 50 se aplican desde el 2 de agosto de 2026, según lo previsto: si tu chatbot habla con clientes, hay que informarles, y ninguna prórroga cubre eso. Las prohibiciones vigentes del artículo 5 se aplican desde febrero de 2025. Y dos prohibiciones nuevas del artículo 5 surten efecto el 2 de diciembre de 2026: los sistemas de IA que generan o manipulan material de abuso sexual infantil, y los que generan imágenes íntimas realistas de una persona identificable sin su consentimiento explícito. Esta segunda va más allá de las aplicaciones de «desnudado» creadas a tal efecto: alcanza a los proveedores de modelos generativos de uso general cuando ese resultado es razonablemente previsible y no existen salvaguardias adecuadas.
Para qué sirve el margen adicional. Los sistemas de IA de alto riesgo del anexo III —contratación y gestión de trabajadores, evaluación de solvencia, acceso a servicios esenciales, categorización biométrica, calificación educativa— seguirán necesitando todo esto antes de diciembre de 2027:
- Un sistema de gestión de riesgos mantenido durante todo el ciclo de vida del sistema
- Normas de gobernanza de datos para los conjuntos de entrenamiento y validación, incluida la detección de sesgos
- Documentación técnica lo bastante sólida para resistir una auditoría del regulador
- Registro automático de las operaciones del sistema
- Disposiciones de transparencia que permitan a los responsables del despliegue y a las personas afectadas entender qué hace el sistema
- Mecanismos de supervisión humana que permitan intervenir o detener el sistema en cualquier momento
- Normas de exactitud, solidez y ciberseguridad acordes con la finalidad del sistema
Para esa fecha, los proveedores deberán tener completadas las evaluaciones de conformidad, finalizada la documentación técnica, colocado el marcado CE y hecho el registro en la base de datos de la UE. El Ómnibus también estrechó la definición de «componente de seguridad» —un componente solo arrastra a un sistema al ámbito de alto riesgo si su finalidad es prevenir o mitigar riesgos para la salud y la seguridad, de modo que la IA dedicada únicamente a optimización, asistencia al usuario o comodidad queda fuera— y suavizó la alfabetización en IA del artículo 4, que pasa del deber de garantizar un nivel de competencia del personal al de apoyar su desarrollo.
Si varias de esas obligaciones te suenan, es porque deberían. El RGPD ya exigía evaluaciones de impacto relativas a la protección de datos, análisis de riesgo documentado, transparencia hacia los interesados y garantías en torno a las decisiones automatizadas. El Reglamento de IA no sustituye nada de eso: se suma, con su propia base jurídica, sus propios requisitos documentales y sus propias multas. Nada de ello se aplazó, porque el RGPD nunca formó parte de la prórroga.
Dónde se solapan realmente ambas normas
Esta es la parte que la prórroga no toca. El solapamiento es estructural, no depende del calendario: el RGPD se aplica hoy a los datos personales que hay en tu sistema de IA, y las obligaciones del Reglamento de IA caerán sobre esos mismos sistemas en diciembre de 2027. Los puntos de colisión más claros:
Gobernanza de datos. El artículo 10 del Reglamento de IA exige gobernanza sobre los conjuntos de entrenamiento y validación: pertinencia, representatividad, detección de sesgos. Los principios de minimización y exactitud del RGPD (artículo 5) ya rigen los datos personales contenidos en esos mismos conjuntos. Desde diciembre de 2027, un conjunto de entrenamiento defectuoso podrá ser infracción de ambos marcos a la vez, valorada con dos criterios distintos; y solo bajo el RGPD, ya puede serlo hoy.
Evaluaciones de impacto. El RGPD exige una evaluación de impacto relativa a la protección de datos (EIPD) para tratamientos de alto riesgo. El Reglamento de IA exige una evaluación de impacto sobre los derechos fundamentales (EIDF) para determinados despliegues de alto riesgo, en particular por organismos públicos y en sectores sensibles. No son el mismo documento, pero se apoyan en gran medida en el mismo análisis de riesgo subyacente, y por eso precisamente merece la pena dedicar el margen adicional a los cimientos de la EIPD sobre los que tendrá que construirse la EIDF.
Transparencia. Los artículos 12 a 14 del RGPD exigen información clara a los interesados sobre el tratamiento. El Reglamento de IA exige por separado que los proveedores faciliten a los responsables del despliegue instrucciones de uso seguro e información sobre la exactitud y los límites del sistema, y que se informe a las personas cuando interactúan con un sistema de IA. Dos regímenes de transparencia, dos destinatarios, dos conjuntos de obligaciones de información.
Supervisión humana y decisiones automatizadas. El artículo 22 del RGPD restringe las decisiones exclusivamente automatizadas con efectos jurídicos o similarmente significativos. El requisito de supervisión humana del Reglamento de IA es más amplio y se aplica con independencia de que la decisión sea «exclusivamente» automatizada: es decir, un sistema que supera el listón del artículo 22 del RGPD porque formalmente un humano revisa los resultados puede aun así no superar el listón más alto del Reglamento de IA sobre qué es una supervisión efectiva.
Las cuentas de las sanciones
El Ómnibus movió plazos. No tocó el artículo 99, que mantiene una estructura de tres niveles; y fíjate en cuál está ya vigente: el superior, que cubre las prácticas prohibidas aplicables desde febrero de 2025 y las dos nuevas que llegan en diciembre de 2026.
- Hasta 35 millones de euros o el 7 % del volumen de negocios anual mundial por infracciones de las prácticas prohibidas (artículo 5)
- Hasta 15 millones de euros o el 3 % del volumen de negocios por infracciones relativas a sistemas de alto riesgo
- Hasta 7,5 millones de euros o el 1 % del volumen de negocios por facilitar información incorrecta o engañosa a los reguladores
El nivel superior supera ahora el máximo propio del RGPD de 20 millones de euros o el 4 % del volumen de negocios mundial, lo que convierte al Reglamento de IA en el más punitivo de los dos regímenes en su techo.
Un punto clave: el artículo 99, apartado 8, incluye una regla de «una conducta, una sanción». Si una misma infracción fáctica vulnera a la vez el Reglamento de IA y otra norma de la UE como el RGPD, los reguladores imponen únicamente la mayor de las dos multas aplicables. Pero esa protección es más estrecha de lo que suena. Si un sistema de IA vulnera las reglas de gobernanza de datos del Reglamento de IA mediante un conjunto de entrenamiento sesgado, y vulnera por separado los principios de exactitud o minimización del RGPD por cómo se recogieron o conservaron esos mismos datos, se tratan como infracciones distintas y pueden sancionarse por separado.
Jurídicamente, esto no es «non bis in idem» en el sentido que muchos equipos de cumplimiento suponen. Es una determinación que se hace infracción por infracción, y cuanto más entrelazadas estén las prácticas de datos de tu sistema de IA con datos personales regidos por el RGPD, más superficie ofreces para que esa separación juegue en tu contra.
Qué hacer con 16 meses adicionales
Un plazo aplazado no es un riesgo aplazado, y desde luego no son dieciséis meses de no hacer nada. El impulso de tratar el Reglamento de IA y el RGPD como dos listas de comprobación que se recorren una detrás de otra sigue siendo el error más caro disponible. Algunas cosas que sí merecen la pena:
- Pon las fechas de diciembre de 2026 en el calendario antes que nada. Las dos nuevas prohibiciones del artículo 5 y las reglas de marcado de medios sintéticos del artículo 50, apartado 2, llegan sin margen alguno. Si generas o manipulas imágenes, vídeo o audio de cara al cliente, eso es una cuestión de este trimestre, no de 2027.
- Clasifica tus sistemas ahora y documenta el razonamiento, incluso cuando la respuesta sea «no es de alto riesgo». La definición más estrecha de componente de seguridad hace que algunos sistemas que en 2025 parecían dentro del ámbito hayan quedado fuera: deja por escrito por qué. La propia clasificación tienes que poder demostrarla, y no se vuelve más fácil por dejarla para 2027.
- Enlaza tus EIPD y tus EIDF entre sí en lugar de encargarlas por separado. Si un sistema necesita ambas, el análisis de riesgo subyacente debe ser un cimiento compartido y no dos ejercicios desconectados que se contradicen en silencio. Si aún no tienes ningún proceso de EIPD, empieza por ahí: la EIDF es mucho más difícil de construir sobre la nada.
- Contrasta tus avisos de transparencia del RGPD con los requisitos de información del Reglamento de IA. Cubren información distinta, pero un aviso construido solo para el RGPD probablemente omita lo que el Reglamento de IA exige aparte, y las obligaciones del artículo 50 aplicables a la IA de cara al cliente nunca se aplazaron. Esto coincide con que el CEPD ha hecho de la transparencia de los artículos 12 a 14 su prioridad de acción coordinada para 2026. Ambos reguladores miran los mismos avisos este año, por razones distintas.
- Trata la supervisión humana como un requisito de diseño, no como una declaración de intenciones. Los reguladores de ambos regímenes van a pedir pruebas de que una persona puede intervenir de forma significativa, no solo de que figura nominalmente en el circuito. Nuestra lista de comprobación de supervisión humana de la IA muestra cómo son esas pruebas en la práctica.
- Haz que los equipos jurídicos y los de documentación técnica hablen entre sí desde ya. Los requisitos de documentación técnica y registro del Reglamento de IA serán cada vez más la base probatoria con la que los reguladores evalúen también el cumplimiento del RGPD, porque ambos dependen de poder demostrar —no solo afirmar— cómo trata realmente un sistema los datos personales.
Por qué la prórroga no te regala un año tranquilo
La prórroga se aplica a un conjunto de obligaciones del Reglamento de IA. No se aplica al entorno sancionador en el que esas obligaciones aterrizan, y ese entorno no se ha calmado.
Las multas del RGPD ya han superado los 7.100 millones de euros acumulados, con más de 600 millones impuestos solo en el primer semestre de 2026. Las notificaciones diarias de brechas han subido un 22 % interanual hasta 443 al día, la primera vez que esa cifra supera las 400 desde que el RGPD entró en aplicación en 2018. Y la aplicación ha superado con claridad a las grandes tecnológicas: desde enero de 2023 se han impuesto más multas a pequeñas y medianas empresas que en los cinco años anteriores juntos.
Superpón a esa trayectoria un segundo régimen sancionador con un techo más alto —desde diciembre de 2027, con dos prohibiciones un año entero antes— y el mensaje para los equipos de cumplimiento es sencillo: el Reglamento de IA no solo añadió una norma más que seguir. Añadió un segundo regulador con su propia idea de lo que tu sistema de IA debe a las personas cuyos datos toca, que actuará al mismo tiempo, sobre los mismos sistemas y a menudo sobre los mismos hechos. La prórroga cambió cuándo empieza eso. No cambió nada de lo que cuesta no estar preparado.
Si no tienes claro de qué lado de la línea de alto riesgo caen tus sistemas, esa es la primera pregunta que responder: las obligaciones anteriores solo muerden dentro del anexo III, pero la clasificación en sí debes tenerla documentada. Reserva una consulta gratuita con GDPRGard →
Fuentes
- Reglamento de IA de la UE — artículo 99, sanciones
- Reglamento de IA de la UE — anexo III, sistemas de IA de alto riesgo
- Comisión Europea — calendario de aplicación del Reglamento de IA
- CMS GDPR Enforcement Tracker
- Comité Europeo de Protección de Datos — marco de acción coordinada
Lee también:
- Dentro del Ómnibus Digital de la UE: qué cambia realmente en el RGPD
- El aplazamiento del Reglamento de IA no cubre tu chatbot
- Por qué toda empresa SaaS necesita una EIPD antes de lanzar funciones de IA