¿Qué te sigue obligando de la Ley de IA en España tras la reforma de julio?

El 27 de julio de 2026 entró en vigor la reforma del Reglamento de IA europeo. El 6 de octubre, la ley española que debía completarla caducó en el Congreso sin llegar a votarse nunca.

Los cambios reales en el Reglamento de IA tras julio

La reforma se llama Reglamento (UE) 2026/1744, de 8 de julio de 2026. Se publicó en el Diario Oficial de la Unión Europea el 24 de julio, después de que el Parlamento Europeo la votara el 16 de junio y el Consejo la aprobara el 29 de junio.

Trae dos prácticas prohibidas que antes no existían. Desde el 2 de diciembre de 2026 queda prohibido comercializar o usar sistemas de IA que generen o manipulen imágenes íntimas realistas de una persona identificable sin su consentimiento, y sistemas que generen material de abuso sexual infantil. Son las únicas prácticas prohibidas nuevas; buena parte del resto de la reforma son plazos y ajustes.

Los techos de las multas del artículo 99 del reglamento no cambian: hasta 35 millones de euros o el 7 % de la facturación mundial por prácticas prohibidas, y hasta 15 millones de euros o el 3 % por otras obligaciones concretas, entre ellas la transparencia. Cambia el alcance de la rebaja: la regla que ya protegía a las pymes, pagar la cifra menor entre el porcentaje y el importe fijo, se extiende ahora a las pequeñas empresas de mediana capitalización, y los países tienen que mirar la viabilidad económica de ambas antes de sancionar.

El alto riesgo se retrasa, la transparencia no

Las fechas generan más confusión, porque el alto riesgo no se mueve igual según el anexo. Las obligaciones de los sistemas de alto riesgo del anexo III, entre ellos la IA que filtra candidaturas o decide ascensos y despidos, pasan del 2 de agosto de 2026 al 2 de diciembre de 2027. Las integradas en productos regulados (anexo I) se mueven hasta el 2 de agosto de 2028. El propio texto da el motivo: las normas técnicas y las autoridades nacionales no estaban listas. En junio contamos lo que el reglamento iba a exigir el 2 de agosto; de aquel calendario, la parte de alto riesgo es la que se ha movido.

La transparencia del artículo 50 se mantiene sin cambios. Si tu empresa pone un chatbot a atender clientes, la persona tiene que saber que habla con una IA, salvo que resulte evidente. La obligación recae sobre quien desarrolla el sistema, pero el chatbot habla en nombre de tu empresa: comprueba que el aviso está presente. Si usas IA para crear una ultrasuplantación, una imagen, un audio o un vídeo creado con IA que parece real, hay que indicarlo. Y si publicas texto generado con IA sobre un asunto de interés público, también hay que señalarlo, salvo que alguien lo haya revisado y asuma la responsabilidad editorial. Aquí no hay excepción por tamaño: la obligación es la misma para una empresa de cinco personas que para una de quinientas. Si tu chatbot ya da problemas, conviene revisar los fallos que hacen que un chatbot acabe rechazando clientes. Los proveedores de IA generativa que ya estaban en el mercado antes del 2 de agosto tienen hasta el 2 de diciembre de 2026 para marcar técnicamente lo que generan, pero esa obligación corresponde a ellos, no a la empresa que se limita a usar la herramienta.

La formación del equipo, artículo 4, sigue obligando desde febrero de 2025, pero la reforma suaviza la redacción: ya no exige «garantizar un nivel suficiente», sino «adoptar medidas para apoyar» esa formación, y aclara que no exige garantizar un nivel concreto en ninguna persona. Puedes ampliar esta información en el artículo sobre la formación en IA obligatoria.

España se queda sin ley propia, por ahora

El Gobierno envió a las Cortes el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial en mayo, presentado el 28 y publicado en el Boletín de las Cortes el 12 de junio. El texto designaba a la AESIA como autoridad y proponía el régimen español de sanciones: infracciones muy graves, graves y leves. El plazo de enmiendas se amplió seis veces, hasta el 7 de octubre. El 6 de octubre el BOE publicó el decreto de disolución de las Cortes, y ese mismo día el proyecto caducó sin votarse. Hay elecciones generales el 29 de noviembre de 2026.

Esta caducidad es sencilla de resumir y fácil de malinterpretar: el Reglamento europeo se sigue aplicando igual, porque es directamente aplicable en cada país miembro. A España le falta la pieza que designa al organismo que multa y fija las cuantías exactas, y el reglamento obliga a cada Estado a tenerla.

Mientras tanto, la AESIA sigue funcionando y tiene publicadas 16 guías para aplicar el reglamento: introductorias, técnicas y un manual de listas de comprobación. La propia agencia avisa de que no son vinculantes y de que se actualizarán para recoger la reforma de julio. Son una referencia útil mientras no hay ley nacional, aunque no sustituyen a una norma con rango legal.

Las cuestiones sin resolver

Quedan cuatro cuestiones sin resolver, y ninguna tiene fecha fijada:

• La fecha en la que se presentará otra vez la ley española, ni su contenido: depende del Gobierno que salga de las elecciones del 29 de noviembre.
• El organismo que multaría en España y la cuantía de cada incumplimiento: sin la ley nacional, el régimen sancionador no está fijado.
• Si habrá más retrasos en el alto riesgo: nadie los ha anunciado, lo publicado es solo lo de arriba y nada más.
• La fecha en la que la AESIA actualizará sus guías con la reforma de julio.

Nada de esto son rumores. Son los huecos que deja la caducidad del proyecto, y conviene conocerlos antes de que alguien te venda una respuesta que todavía no existe.

Quienes no notan este cambio ahora mismo

Si tu empresa no desarrolla ni usa sistemas de IA para seleccionar personal, evaluar rendimiento o decidir ascensos y despidos, el retraso al 2 de diciembre de 2027 no te afecta: nunca tuviste esa fecha encima. Lo mismo si no trabajas con productos regulados que lleven IA integrada, ahí el margen llega hasta 2028.

Si tu empresa ya cumplía la transparencia del artículo 50 desde agosto, avisando cuando hablas por chatbot o cuando publicas contenido generado con IA, esta reforma no te añade ninguna obligación nueva.

Lo que sí conviene vigilar, caducidad de la ley española aparte, es que el reglamento europeo sigue mandando igual. No hace falta esperar a una ley nacional para que las obligaciones de transparencia te afecten, porque ya te afectan desde agosto.

Auditoría gratuita

Si no tienes claras las obligaciones que te tocan ya y las que llegan en 2027, solicita una auditoría gratuita.