Digital Omnibus y AI Act: qué se aplazó y qué cumple tu pyme en agosto 2026

Sí, hubo aplazamiento, pero no del AI Act entero. El Digital Omnibus retrasa solo los sistemas de IA de alto riesgo (del 2 de agosto de 2026 al 2 de diciembre de 2027). El grueso de obligaciones de una pyme media —transparencia, alfabetización en IA y prohibiciones— sigue siendo exigible el 2 de agosto de 2026. Y el Omnibus aún no es ley formal: es un acuerdo político provisional pendiente de adopción.

Si has leído un titular del tipo "la UE aplaza el AI Act a 2027" y has pensado que ya no tienes que hacer nada, este artículo es para ti. Ese titular es verdad a medias, y la mitad que falta es justo la que afecta a tu empresa.

Por qué este artículo importa ahora

Entre noviembre de 2025 y mayo de 2026, la prensa generalista publicó decenas de titulares sobre el "retraso del AI Act". La mayoría son técnicamente imprecisos. Reducen a una frase un cambio que solo afecta a una parte concreta del Reglamento (UE) 2024/1689.

El resultado es un malentendido peligroso. Muchas pymes han concluido que el 2 de agosto de 2026 ya no es una fecha relevante y han aparcado cualquier preparación. Es un error que puede salir caro.

Este artículo es para responsables de pymes españolas que usan IA —ChatGPT, un chatbot en la web, un CRM con funciones de IA, generadores de contenido— y que han oído hablar del aplazamiento. Vas a aprender tres cosas concretas: qué es exactamente el Digital Omnibus, qué se aplaza y qué no, y qué obligaciones reales te aplican el 2 de agosto de 2026 pese al ruido mediático.

Lo decimos sin rodeos desde el principio: el aplazamiento es real, pero es estrecho. Afecta al alto riesgo. La pyme media no usa sistemas de alto riesgo, así que para ella casi nada cambia.

Qué es el Digital Omnibus y por qué se ha aprobado

El Digital Omnibus on AI es un paquete de enmiendas específicas al AI Act. No es una ley nueva ni una reescritura del Reglamento. Es un conjunto de ajustes puntuales sobre el texto existente.

La Comisión Europea lo publicó el 19 de noviembre de 2025 como parte de un esfuerzo más amplio de simplificación normativa digital. Su objetivo declarado: reducir carga administrativa y reescalonar algunos plazos que la industria y varios Estados miembros consideraban demasiado ajustados, especialmente para los sistemas de alto riesgo, donde faltaban estándares técnicos armonizados.

El proceso legislativo avanzó rápido. El 6-7 de mayo de 2026 se alcanzó un acuerdo político provisional entre las instituciones, que los Estados miembros confirmaron en el Consejo el 13 de mayo de 2026.

Aquí viene el matiz que casi ningún titular menciona: a día de hoy todavía no es ley formal. Un acuerdo político provisional no es derecho consolidado. Falta la adopción formal y la publicación en el Diario Oficial de la UE, prevista antes del 2 de agosto de 2026. El texto entra en vigor 3 días después de esa publicación.

Mientras tanto, el calendario legalmente vigente sigue siendo el original. Esto importa para tu planificación: estás organizando tu empresa en torno a un cambio que aún no está cerrado del todo. Lo prudente es prepararse como si el aplazamiento del alto riesgo pudiera no llegar, y tratar cualquier margen extra como un regalo, no como un derecho.

Para entender el panorama completo de cumplimiento, conviene tener clara la guía del AI Act para pymes en España, porque el Omnibus solo toca piezas concretas de ese marco.

Qué se ha aplazado exactamente (y a cuándo)

El Digital Omnibus mueve cuatro cosas. Ninguna de ellas es "el AI Act entero". Estas son, con sus fechas exactas:

1. Sistemas de alto riesgo del Anexo III (independientes). Es el aplazamiento principal. Las obligaciones para estos sistemas pasan del 2 de agosto de 2026 al 2 de diciembre de 2027. Hablamos de los sistemas de IA listados en el Anexo III: cribado de currículums, scoring crediticio, IA en educación o en acceso a servicios esenciales, entre otros.

2. IA de alto riesgo embebida en productos regulados (Anexo I). Los sistemas de IA integrados en productos sujetos a marcado CE (dispositivos médicos, maquinaria, juguetes) se aplazan al 2 de agosto de 2028. Afecta a fabricantes de productos físicos con IA dentro, no a la pyme de servicios típica.

3. Sandboxes regulatorios nacionales. La obligación de los Estados miembros de tener al menos un sandbox operativo pasa del 2 de agosto de 2026 al 2 de agosto de 2027. Es una obligación del Estado, no de tu empresa, pero afecta indirectamente a quien quisiera probar un sistema en un entorno supervisado.

4. Marca de agua del Artículo 50(2) (watermarking). Para sistemas que ya estaban en el mercado antes del 2 de agosto de 2026, se introduce un periodo de gracia hasta el 2 de diciembre de 2026 para la obligación técnica de marcar el contenido generado de forma legible por máquina. Ojo: es un matiz técnico y acotado dentro del Artículo 50, no una suspensión de la transparencia.

Hay además una novedad sustantiva que no es un aplazamiento sino una prohibición nueva. El acuerdo introduce la prohibición de sistemas de IA destinados a generar imágenes íntimas no consentidas (NCII) y material de abuso sexual infantil (CSAM), los llamados nudifiers. Es un endurecimiento, no una relajación.

Resumiendo: lo que se mueve es el alto riesgo y un par de tecnicismos. Lo que afecta al día a día de una pyme normal, se queda donde estaba.

Qué SIGUE vigente el 2 de agosto de 2026 para tu pyme

Esta es la sección que de verdad importa. Si tu empresa no usa sistemas de alto riesgo del Anexo III —y la mayoría de pymes no los usa—, el Digital Omnibus apenas cambia tu situación. Estas obligaciones siguen siendo exigibles el 2 de agosto de 2026:

Transparencia del Artículo 50. El grueso de estas obligaciones no está afectado por el Omnibus. Si tu empresa usa un chatbot, tienes que avisar al usuario de que habla con una IA. Si publicas contenido generado por IA, debe estar identificado. Si usas deepfakes o contenido manipulado, hay que etiquetarlo. Esto aplica a una cantidad enorme de pymes que ni siquiera se consideran "empresas de IA".

Prohibiciones de prácticas inaceptables (Artículo 5). Ya están en vigor desde el 2 de febrero de 2025. Manipulación subliminal, scoring social, reconocimiento de emociones en el trabajo o en aulas: prohibidos. El Omnibus no los toca; de hecho añade una prohibición más.

Alfabetización en IA (Artículo 4). En vigor desde el 2 de febrero de 2025. Toda persona de tu organización que use o supervise sistemas de IA debe tener una competencia suficiente. Esto incluye al equipo que usa ChatGPT a diario. No se aplaza.

Obligaciones de los modelos GPAI y gobernanza. En vigor desde el 2 de agosto de 2025. Afectan sobre todo a los proveedores de modelos de uso general (GPT, Claude, Gemini), pero definen el marco en el que tu empresa los usa.

Esta es la comparativa directa, para que no quede duda:

La lectura es simple. La columna izquierda afecta a una minoría de empresas con sistemas de alto riesgo. La columna derecha afecta a casi cualquier pyme que use IA. Y la columna derecha no se aplaza.

Conviene insistir en un punto que se malinterpreta a menudo. Que el Artículo 4 y el Artículo 5 estén "en vigor desde febrero de 2025" no significa que ya hayan pasado y dejen de importar. Significa lo contrario: son obligaciones vivas que la autoridad podrá supervisar con plenitud desde agosto de 2026, cuando la AESIA tenga competencias completas de inspección y sanción. No haber formado al equipo en 2025 no se "perdona" en 2026; el incumplimiento se arrastra. Por eso la formación documentada y la revisión de prácticas prohibidas son las dos tareas que ninguna pyme debería aplazar, pase lo que pase con el Omnibus.

Si quieres el detalle operativo de qué hacer con cada una, está desarrollado en la guía de obligaciones del AI Act para pymes.

El error que está cometiendo medio mercado

El razonamiento equivocado va así: "El AI Act se aplazó a 2027, luego no tengo que hacer nada hasta entonces". Cada palabra de esa frase parte de una premisa falsa.

Primero, el AI Act no se aplazó. Se aplazó una parte del AI Act: el alto riesgo. Confundir la parte con el todo es el origen de todo el malentendido.

Segundo, la parte que se aplazó probablemente no es la tuya. El alto riesgo del Anexo III cubre casos concretos: cribado de personal, scoring crediticio, biometría, infraestructuras críticas. Si tu empresa usa ChatGPT para redactar, un chatbot para atención al cliente o un CRM con sugerencias automáticas, no estás en alto riesgo. Estás en transparencia y alfabetización, que no se aplazan. Te explicamos cómo afecta el alto riesgo a las pymes para que verifiques si entras o no.

Tercero, ni siquiera el aplazamiento es firme. Es un acuerdo provisional pendiente de adopción formal. Construir tu calendario sobre algo que aún no es ley es frágil.

El coste de este error no es teórico. La autoridad española, la AESIA, tendrá competencias de inspección y sanción desde el 2 de agosto de 2026 sobre las obligaciones que sí están vigentes. Una denuncia de un cliente que detecta un chatbot sin avisar, o de un empleado sin formación en IA, puede abrir expediente desde el día uno. Quien creyó que "todo se aplazó a 2027" se encuentra sin inventario, sin política interna y sin formación, justo cuando la autoridad empieza a poder actuar. Para entender el papel de la AESIA y cómo afecta a tu empresa, vale la pena revisar su régimen de supervisión.

Caso práctico: una pyme que usa un chatbot e IA generativa

Veámoslo con un ejemplo concreto. Imagina una pyme de 25 empleados, una agencia de marketing. Usa tres herramientas con IA:

• Un chatbot en su web para atender consultas iniciales de clientes.
• ChatGPT y Copilot para redactar textos, propuestas y borradores de campañas.
• Un generador de imágenes con IA para algunas piezas de redes sociales de sus clientes.

¿Cuántos de estos sistemas son de alto riesgo del Anexo III? Ninguno. Así que el aplazamiento del Digital Omnibus, en lo que toca al alto riesgo, no le aporta nada a esta empresa. No tenía obligaciones de alto riesgo que aplazar.

¿Qué le aplica realmente el 2 de agosto de 2026?

1. Transparencia del chatbot (Art. 50). Debe avisar de forma clara a quien escribe que está interactuando con un sistema de IA, no con una persona. Un simple aviso al inicio de la conversación cumple.
2. Etiquetado de contenido generado (Art. 50). Las imágenes generadas por IA que publique para clientes deben poder identificarse como contenido artificial generado o manipulado.
3. Alfabetización en IA (Art. 4), ya en vigor. El equipo que usa ChatGPT y Copilot debe tener formación suficiente: qué datos no se pueden introducir, limitaciones de las herramientas, riesgos legales. Una formación de pocas horas adaptada al rol basta para la mayoría de casos.
4. Revisión de prácticas prohibidas (Art. 5). Verificar que ninguna herramienta hace cosas prohibidas. En este perfil, casi seguro que no, pero la revisión hay que hacerla.

Resultado: esta agencia tiene obligaciones reales y exigibles en agosto de 2026, y el Digital Omnibus no le quita ninguna. La empresa que creyó que "se aplazó todo" llega a esa fecha incumpliendo transparencia y sin formación documentada. La que entendió el matiz, llega cubierta con un trabajo de pocas semanas.

Preguntas frecuentes

¿Se ha aplazado el AI Act a 2027? Solo el bloque de alto riesgo del Anexo III, que pasa al 2 de diciembre de 2027. El resto (transparencia, prohibiciones, alfabetización, GPAI) sigue vigente y se aplica el 2 de agosto de 2026.

¿Qué es el Digital Omnibus? Un paquete de enmiendas específicas al AI Act publicado por la Comisión el 19 de noviembre de 2025, con acuerdo político provisional en mayo de 2026. Ajusta plazos del alto riesgo, sandboxes y watermarking, y añade una prohibición nueva.

¿Mi pyme tiene que cumplir el AI Act en agosto de 2026? Sí, si usas IA. Te aplican transparencia (Art. 50), alfabetización (Art. 4) y prohibiciones (Art. 5). El Omnibus no toca esas obligaciones.

¿El aplazamiento afecta a las obligaciones de transparencia? No, salvo un periodo de gracia técnico hasta el 2 de diciembre de 2026 para la marca de agua del Art. 50(2) en sistemas previos. El grueso de la transparencia no se mueve.

¿El Digital Omnibus ya es ley? Todavía no. Es un acuerdo político provisional pendiente de adopción formal y publicación en el Diario Oficial de la UE, esperada antes del 2 de agosto de 2026.

Lo importante, y qué hacer ahora

El Digital Omnibus no es una invitación a relajarse. Es un reescalonamiento estrecho que da margen a las empresas con sistemas de alto riesgo y deja intacto todo lo demás. La pyme media no estaba en alto riesgo, así que para ella la fecha clave sigue siendo el 2 de agosto de 2026.

El problema real no es el aplazamiento. Es el malentendido que ha provocado. Medio mercado ha leído "AI Act aplazado a 2027" y ha apagado el reloj. Quien lo haga llega a agosto incumpliendo transparencia y alfabetización, que son exigibles y sancionables.

La fuente oficial para seguir el estado del Reglamento y sus enmiendas es la página de la Comisión Europea en digital-strategy.ec.europa.eu, y el texto consolidado del AI Act está en EUR-Lex. Conviene contrastar siempre cualquier titular con estas referencias antes de tomar decisiones.

Si el resultado indica exposición real, el informe completo de cumplimiento (con la política interna de uso de IA, el plan de formación del Artículo 4, la documentación de transparencia y el plan de implementación) lo entregamos en 24 horas por 299€ — pago único, sin suscripción.

Esta información es orientativa y no constituye asesoramiento jurídico. El Digital Omnibus es, a fecha de publicación, un acuerdo político provisional pendiente de adopción formal; las fechas definitivas pueden variar con su publicación en el Diario Oficial de la UE. Consulte con un profesional cualificado para una evaluación vinculante de su situación concreta.