La inteligencia artificial lleva meses colándose en prácticamente todas las conversaciones empresariales. Primero hablamos de ChatGPT, después de productividad, automatización, agentes… y ahora toca hablar también de regulación.
Porque 2026 marca un punto importante para las empresas europeas.
El nuevo Reglamento Ómnibus sobre IA (Reglamento UE 2026/1744) introduce cambios relevantes en la aplicación del AI Act. Europa ha decidido facilitar su cumplimiento, ampliar determinados plazos y reducir algunas cargas administrativas, pero sin renunciar a la idea que está detrás de toda la regulación: que la inteligencia artificial debe desarrollarse y utilizarse de forma segura y respetando los derechos fundamentales.
Vamos, que Europa simplifica algunas cosas, pero no está levantando el pie del acelerador en la regulación de la IA.
Y para las empresas esto cambia bastante la conversación.
Hasta ahora era relativamente fácil mirar el AI Act desde cierta distancia: ya veremos cuándo nos afecta, esto será cosa de las tecnológicas, todavía queda tiempo…
Pero quizá la pregunta que toca hacerse ahora sea otra:
¿Qué estamos haciendo en nuestra empresa para adaptarnos?
Primero: ¿qué es exactamente el nuevo Reglamento Ómnibus sobre IA?
Para entender dónde estamos hay que volver un poco atrás.
El AI Act, formalmente Reglamento (UE) 2024/1689, estableció el primer marco jurídico integral sobre inteligencia artificial del mundo.
Y lo hizo partiendo de una idea bastante lógica: no todos los usos de la IA entrañan el mismo riesgo y, por tanto, no tiene sentido regularlos todos de la misma manera.
No es lo mismo utilizar inteligencia artificial para filtrar spam que emplearla para tomar decisiones que pueden condicionar el acceso de una persona a un empleo.
A partir de ahí, el Reglamento establece diferentes niveles de riesgo y diferentes obligaciones.
En julio de 2026 entró en vigor el denominado AI Omnibus, Reglamento (UE) 2026/1744, que modifica determinados aspectos de ese marco.
¿Ha dado Europa marcha atrás con el AI Act? No.
Lo que pretende es hacer más sencilla su implementación: modifica determinados plazos, amplía algunas medidas de simplificación para empresas de menor tamaño, facilita el acceso a entornos de pruebas regulatorios y busca ofrecer mayor seguridad jurídica a las organizaciones.
Pero las salvaguardas relacionadas con la seguridad y los derechos fundamentales siguen ahí.
Y no, esto no afecta solo a las empresas que desarrollan IA
Éste probablemente sea uno de los malentendidos más importantes alrededor del AI Act.
Cuando hablamos de regulación de inteligencia artificial pensamos enseguida en OpenAI, Google, Microsoft o cualquier compañía que desarrolla modelos o soluciones de IA.
Pero ¿qué ocurre con una empresa que simplemente utiliza esas soluciones?
Pues que también puede verse afectada.
El AI Act diferencia entre distintos operadores y contempla tanto a los proveedores como a los responsables del despliegue (deployers) de determinados sistemas de inteligencia artificial.
Es decir, no necesitas desarrollar tu propio modelo para que esta regulación empiece a interesarte.
Y aquí es donde la cosa se pone seria, porque hoy encontramos IA en Recursos Humanos, Marketing, Atención al Cliente, Finanzas, IT, Ciberseguridad, Operaciones, Legal…
Incluso es perfectamente posible que en una organización se estén utilizando herramientas de IA que Dirección o IT ni siquiera tengan identificadas.
Así que, antes de hablar de grandes planes de cumplimiento, quizá haya que empezar por algo bastante más básico:
¿Sabemos realmente qué IA se está utilizando dentro de nuestra empresa y para qué?
No toda la IA tiene el mismo riesgo
Ésta es una de las claves para entender el Reglamento Europeo de IA.
El AI Act sigue un enfoque basado en el riesgo. Cuanto mayor pueda ser el impacto de un sistema sobre la seguridad o los derechos de las personas, mayores serán las exigencias.
Entre los ámbitos considerados de alto riesgo encontramos determinados usos relacionados con infraestructuras críticas, educación, servicios esenciales, biometría, migración o justicia.
Pero hay uno que debería hacer levantar la cabeza a prácticamente cualquier empresa que tenga un departamento de Recursos Humanos:
La IA utilizada en el empleo
Determinados sistemas utilizados para empleo, gestión de trabajadores y acceso al trabajo autónomo están incluidos entre los casos de alto riesgo.
Un ejemplo muy claro es la utilización de inteligencia artificial para analizar o clasificar currículums durante un proceso de selección.
Y esto nos da una pista bastante buena de hacia dónde vamos.
El AI Act no va a ser únicamente un asunto de IT.
RR. HH., Legal, Compliance, Ciberseguridad, Dirección y las propias áreas de negocio van a tener que entender qué papel juegan cuando la IA entra en procesos relevantes de la compañía.
¿Qué cambia realmente en 2026?
Aquí merece la pena poner un poco de orden porque las fechas del AI Act pueden resultar bastante confusas.
Su aplicación ha sido progresiva.
Desde febrero de 2025 ya se aplicaban las prohibiciones inicialmente establecidas para determinadas prácticas de IA y las obligaciones relacionadas con alfabetización en inteligencia artificial (AI literacy).
En agosto de 2025 comenzaron a aplicarse las normas de gobernanza y determinadas obligaciones relacionadas con los modelos de IA de propósito general.
Y desde el 2 de agosto de 2026 entran en juego también nuevas obligaciones de transparencia, mientras las autoridades europeas y nacionales avanzan en sus funciones de implementación, supervisión y aplicación del Reglamento.
Ahora bien, el nuevo Ómnibus modifica el calendario de determinadas obligaciones relativas a los sistemas de alto riesgo.
Para determinados sistemas utilizados en ámbitos como biometría, infraestructuras críticas, educación, empleo, migración, asilo y control fronterizo, la fecha pasa al 2 de diciembre de 2027.
Y para determinados sistemas de alto riesgo integrados en productos regulados, el calendario se extiende hasta el 2 de agosto de 2028.
¿Conclusión?
No parece muy buena idea interpretar estos nuevos plazos como un “estupendo, ya lo veremos más adelante”.
Más bien al contrario: las empresas tienen ahora un calendario que les permite prepararse con tiempo y hacerlo bien.
Transparencia: si es IA, habrá situaciones en las que haya que decirlo
Otra de las grandes palabras del AI Act es transparencia.
La idea de fondo es bastante sencilla: en determinados supuestos, las personas deben poder saber cuándo están interactuando con un sistema de inteligencia artificial o cuándo un contenido ha sido generado o manipulado mediante IA.
El Reglamento establece distintas obligaciones en función del sistema y del papel de la organización.
Por ejemplo, los proveedores de determinados sistemas interactivos deben diseñarlos de manera que las personas sean informadas de que están interactuando con una IA.
También existen obligaciones relacionadas con determinados contenidos generados artificialmente y con los conocidos deepfakes.
Y de nuevo aparece una pregunta que muchas empresas quizá todavía no se hayan hecho:
¿Tenemos identificado cuándo debemos informar de que estamos utilizando IA?
España consigue incorporar dos nuevas prohibiciones
Hay otro cambio del Reglamento Ómnibus que merece especial atención.
España impulsó la incorporación de nuevas prohibiciones relacionadas con algunos de los usos más graves de la inteligencia artificial: la generación de contenido sexual explícito o íntimo no consentido y la generación de material de abuso sexual infantil mediante IA.
Aquí entran, por ejemplo, las conocidas aplicaciones de nudification, capaces de utilizar fotografías reales para generar imágenes sexuales falsas de una persona.
Estas nuevas prohibiciones comenzarán a aplicarse en diciembre de 2026.
Y probablemente sea uno de los mejores ejemplos para entender qué está intentando hacer Europa.
Sí a la innovación.
Sí al desarrollo de la inteligencia artificial.
Pero no todo vale.
Cuando entran en juego la seguridad, la dignidad y los derechos fundamentales de las personas, Europa quiere establecer líneas rojas muy claras.
Vale, ¿y ahora qué hacemos en la empresa?
Ésta es la parte que realmente nos interesa.
Porque podemos leer cientos de páginas de normativa, pero el lunes por la mañana alguien tendrá que convertir todo eso en decisiones.
Y probablemente el primer paso no sea comprar ninguna herramienta ni redactar una política de 80 páginas que nadie vaya a leer.
El primer paso es bastante más sencillo: entender cómo estamos utilizando la IA.
1. Saber qué IA tenemos ya dentro de casa
Puede parecer obvio, pero no siempre lo es.
¿Qué herramientas utilizan los empleados? ¿En qué departamentos? ¿Para qué procesos? ¿Son herramientas corporativas o aplicaciones que cada equipo ha empezado a utilizar por su cuenta?
Y, sobre todo:
¿Estamos introduciendo datos personales, información confidencial, documentación de clientes o información interna en esas herramientas?
Un inventario de sistemas y usos de IA es un buen punto de partida.
No es especialmente glamuroso, pero sin saber qué tenemos difícilmente podremos gobernarlo.
2. Clasificar los usos según su riesgo
Después toca separar.
No necesita el mismo control una herramienta que ayuda a resumir un documento que un sistema que participa en la selección de candidatos para un puesto de trabajo.
Habrá usos de riesgo reducido y otros que requerirán mucha más atención.
Lo importante es identificarlos antes de que aparezca el problema.
3. Crear una política interna de IA
Aquí empiezan las preguntas prácticas.
¿Puede un empleado utilizar cualquier herramienta de IA?
¿Puede subir un contrato?
¿Y una base de datos de clientes?
¿Puede generar un informe y enviarlo sin revisarlo?
¿Quién responde si la IA se equivoca?
¿Qué herramientas están autorizadas y cuáles no?
Una buena política interna debería responder a este tipo de preguntas de una forma que la gente entienda y pueda aplicar, no limitarse a cumplir formalmente con un documento.
4. Decidir quién manda —y quién responde— cuando hablamos de IA
Otro punto que probablemente dará bastante trabajo.
¿De quién es la IA dentro de una empresa?
¿De IT? ¿Legal? ¿Compliance? ¿Ciberseguridad? ¿Dirección?
La respuesta seguramente será: de ninguno de ellos por separado.
El gobierno de la IA va a necesitar coordinación entre diferentes áreas y, sobre todo, responsabilidades claras.
Quién aprueba un nuevo uso.
Quién evalúa sus riesgos.
Quién supervisa.
Quién controla.
Y quién actúa cuando algo sale mal.
5. Formar a las personas
Y llegamos a un punto que, en nuestra opinión, va a ser fundamental.
El AI Act ya contempla obligaciones relacionadas con la alfabetización en IA o AI literacy.
Pero incluso dejando la normativa a un lado por un momento, formar a las personas tiene todo el sentido empresarial.
No podemos poner herramientas de inteligencia artificial en manos de toda una organización y asumir que todo el mundo sabe utilizarlas correctamente.
Hay que hablar de privacidad, confidencialidad, sesgos, alucinaciones, propiedad intelectual, seguridad y supervisión humana.
Y también hay que enseñar a sacarles partido.
Porque de eso se trata: no de frenar la IA, sino de utilizarla bien.
IA y ciberseguridad: cada vez más difícil separarlas
Para quienes trabajamos en ciberseguridad hay además una derivada especialmente interesante.
IA y ciberseguridad están cada vez más conectadas.
Los sistemas de inteligencia artificial introducen nuevas superficies de ataque y nuevos riesgos relacionados con datos, modelos y accesos. Al mismo tiempo, la propia IA se está convirtiendo en una herramienta extraordinaria para detectar amenazas, automatizar análisis y mejorar las capacidades defensivas.
Además, el marco europeo contempla para determinados sistemas de alto riesgo requisitos relacionados con robustez, precisión y ciberseguridad.
Esto significa que harán falta profesionales capaces de moverse entre varios mundos: Tecnología, Seguridad, Riesgo, Normativa y también Negocio.
Y ése es, precisamente, el tipo de perfil que probablemente gane peso a medida que las empresas pasen de experimentar con inteligencia artificial a gobernarla de verdad.
El AI Act ya no puede quedarse en la mesa de Legal
Ésta quizá sea una de las conclusiones más importantes.
Legal tendrá que interpretar la normativa.
IT entenderá la tecnología.
Ciberseguridad analizará amenazas y controles.
Compliance ayudará a establecer procedimientos.
Recursos Humanos tendrá mucho que decir cuando la IA afecte a personas.
Y las áreas de negocio serán, en muchos casos, quienes realmente utilicen los sistemas.
Por eso, pensar que el AI Act se resuelve enviando el Reglamento al departamento jurídico probablemente sea quedarse bastante corto.
Lo que estamos empezando a ver es el nacimiento de una gobernanza transversal de la inteligencia artificial dentro de las organizaciones.
Y eso va a cambiar procesos, responsabilidades y también perfiles profesionales.
Septiembre: de hablar del AI Act a empezar a hacer cosas
El Reglamento Ómnibus proporciona más tiempo y mayor claridad para determinadas obligaciones.
Bienvenido sea.
Pero crear un inventario de IA, clasificar sistemas, establecer políticas, analizar riesgos, repartir responsabilidades y formar a una organización lleva tiempo.
Así que quizá septiembre sea un buen momento para cambiar la pregunta.
En lugar de:
“¿Cuándo tenemos que cumplir con el AI Act?”
Empezar a preguntar:
“¿Qué tenemos ya en nuestro roadmap para cumplirlo?”
En CertiHub360 llevamos años trabajando con profesionales que viven precisamente en ese punto de encuentro entre tecnología, seguridad, regulación y negocio.
Y el AI Act demuestra hasta qué punto esas fronteras se están desdibujando.
Europa ya ha puesto buena parte de las reglas encima de la mesa.
Ahora viene lo complicado…y también lo interesante: aterrizarlas en las empresas.
