Reglamento de IA de la UE y servicios profesionales: qué ha cambiado

El Reglamento de IA de la UE tiene tres fechas que ya se aplican y una que acaba de moverse. Si tu firma esperaba un único «plazo del Reglamento de IA» para organizarse, ese planteamiento nunca fue del todo correcto, y el Ómnibus Digital de julio de 2026 lo ha alejado aún más de la realidad. Algunas obligaciones se aplican desde hace más de un año, mientras que la que casi todo el mundo estaba preparando se ha retrasado quince meses. En este artículo explicamos qué significa eso para una consultora o una firma de investigación que usa IA en su trabajo para clientes.

Qué empezó a aplicarse el 2 de agosto de 2026

Ese día pasaron dos cosas, y ninguna era el gran plazo de los titulares. Las obligaciones de transparencia del artículo 50 pasaron a ser exigibles: proveedores y responsables del despliegue tienen que indicar cuándo un contenido está generado por IA, etiquetar el audio y el vídeo sintéticos y avisar a las personas de que están hablando con un chatbot y no con una persona. Además, la Oficina de IA asumió sus competencias de ejecución sobre los proveedores de modelos de IA de uso general, las empresas que hay detrás de los modelos que las firmas usan a diario.

Las obligaciones para los sistemas de IA de alto riesgo independientes del anexo III estaban previstas en un principio para la misma fecha, pero no empezaron entonces. El Ómnibus Digital, que entró en vigor el 27 de julio de 2026, trasladó ese plazo al 2 de diciembre de 2027. Si tu calendario de cumplimiento todavía marca agosto de 2026 para los requisitos de alto riesgo, esa entrada está desactualizada.

El calendario completo, por orden

El servicio de asistencia sobre el Reglamento de IA de la Comisión Europea mantiene la versión de referencia de este calendario. El ómnibus no tocó las obligaciones anteriores: prácticas prohibidas, alfabetización en IA, obligaciones de los proveedores de modelos de IA de uso general (GPAI) y normas de transparencia. Solo se movieron las fechas de alto riesgo del anexo III y del anexo I.

Por qué el plazo que se ha movido probablemente no te afecta

La categoría de alto riesgo del anexo III no abarca, sin más, la IA que se usa en trabajo importante. Enumera tipos de sistema concretos: empleo y gestión de trabajadores, calificación crediticia y solvencia, educación y evaluación de exámenes, garantía del cumplimiento del Derecho, migración y control de fronteras, y unas pocas categorías más de la lista, además de la IA integrada en productos como productos sanitarios o máquinas, según el anexo I.

Un asistente de investigación, una herramienta de redacción o una plataforma de trabajo para clientes que se usa para producir análisis, informes o primeros borradores no entra por sí sola en el anexo III. Solo pasa a ser relevante si el resultado alimenta directamente uno de los usos de la lista: una firma que construye una herramienta que toma decisiones de contratación automatizadas, o un modelo de calificación crediticia para un cliente, está en una posición distinta de la de una firma que usa IA para investigar y redactar el informe que después una persona revisa y entrega. La mayoría de las consultoras, agencias y firmas de servicios profesionales están en el segundo grupo, así que el plazo de diciembre de 2027 no es en absoluto el que rige su uso diario de la IA.

Para la mayoría de las firmas, las obligaciones que importan son las que ya se aplican.

Lo que ya se aplica a casi todas las firmas

Hay dos obligaciones que exigen una respuesta real por parte de tu firma, y una tercera que recae sobre todo en tu proveedor.

La alfabetización en IA del personal se exige desde febrero de 2025, y es fácil tratarla como un trámite en vez de como algo que la gente practica de verdad. El requisito es que quienes usan sistemas de IA entiendan sus capacidades, sus limitaciones y su uso adecuado. Para una firma que hace trabajo para clientes con IA, eso significa que el revisor sabe que un borrador de IA puede contener afirmaciones erróneas expresadas con total seguridad, y comprueba las fuentes antes de que el trabajo llegue al cliente. Un documento de política que nadie ha leído no cumple este requisito.

Las obligaciones de transparencia se aplican cuando el contenido está generado por IA o cuando un sistema interactúa como lo haría una persona, pero si un entregable concreto queda cubierto o no depende del entregable. Consúltalo con tus propios abogados en lugar de certificarlo por tu cuenta. Conviene avisar ya internamente de una cosa: cualquier chatbot de cara al cliente, o cualquier contenido generado por IA destinado a informar al público, conlleva una obligación de aviso que no existía antes de agosto de 2026.

Las obligaciones de los proveedores de IA de uso general recaen en el proveedor del modelo, no en la firma que lo usa. Si tu firma es responsable del despliegue, las obligaciones de documentación y de riesgo sistémico corresponden a quien ha desarrollado el modelo. La pregunta útil para tu proveedor es si los modelos de su plataforma vienen de proveedores que cumplen esas obligaciones, porque ese riesgo recae en el proveedor del modelo, aguas arriba de cualquier responsable del despliegue concreto.

Qué preguntar a un proveedor de IA antes de fiarte de un «cumplimos el Reglamento de IA»

Si un proveedor dice «cumplimos» sin dar detalles, está respondiendo a una pregunta que no le has hecho. Hazle estas en su lugar.

1. ¿Qué obligaciones de transparencia del artículo 50 cubre la plataforma por defecto, y cuáles tiene que configurar la firma para cada caso de uso?
2. ¿El proveedor apoya la formación del personal en alfabetización en IA con material real, o la deja por completo en manos de la firma?
3. ¿Hay algún resultado de cara al cliente generado por la plataforma que necesite un aviso que la firma tenga que añadir a mano?
4. Si más adelante un caso de uso toca una categoría del anexo III, ¿tiene el proveedor un plan para ello, o queda totalmente fuera de su alcance?

Si un proveedor responde con claridad a las cuatro, tiene una posición de cumplimiento real. «Seguimos de cerca la normativa» no responde a ninguna.

Cómo encaja con el alojamiento y el acceso

El calendario normativo es una parte del riesgo de IA de una firma. Las otras son dónde se alojan los datos, quién puede verlos y si la actividad queda registrada. Nada de eso sigue el calendario del Reglamento de IA, y cuenta sea cual sea el plazo del anexo III que te afecte. En Seguridad de la IA con datos de clientes repasamos qué exigir a cualquier herramienta de IA en alojamiento, entrenamiento y registros de auditoría. En Control de acceso de la IA en la firma tratamos la parte de los permisos: si la herramienta de IA respeta las reglas de acceso que tu firma ya aplica, una cuestión de confianza del cliente que no depende de la situación normativa.

La posición de Hebno

Hebno aloja los datos de sus clientes en la UE o en EE. UU., según elija cada cliente, y lo que introducen los clientes no se usa para entrenar ningún modelo. La actividad queda en registros de auditoría, para que una firma pueda responder cuando un cliente pregunte cómo se ha usado la IA en su trabajo. Nada de esto es asesoramiento jurídico sobre cómo se aplica el Reglamento de IA a los entregables concretos de tu firma. Es un punto de partida para hablarlo con tus propios abogados y con cualquier proveedor cuya plataforma toque trabajo de clientes. Consulta la página de seguridad para ver todos los detalles o solicita una demo para repasar la configuración concreta de tu firma.