El Reglamento (UE) 2026/1744, el «Ómnibus digital sobre IA», está en vigor desde el 27 de julio de 2026, y sus cambios caen dentro del sistema de gestión, no en el despacho de abogados: la aplicación del sistema de gestión de la calidad del artículo 17 «será proporcional al tamaño de la organización del proveedor», las pymes podrán cumplir «determinados elementos» de ese sistema de manera simplificada si no tienen empresas vinculadas, y la documentación técnica admitirá un formulario simplificado. El calendario también se mueve: la fecha general del 2 de agosto de 2026 se mantiene, pero el capítulo III de alto riesgo se va a diciembre de 2027 y agosto de 2028. Esta es la lectura de calidad: qué corregir en la matriz de requisitos legales y qué llevar a la revisión por la dirección.
Un reglamento que modifica otro reglamento: qué pasa con tus referencias
El título dice lo que hace: Reglamento (UE) 2026/1744 del Parlamento Europeo y del Consejo, de 8 de julio de 2026, por el que se modifican los Reglamentos (UE) 2024/1689, (UE) 2018/1139 y (UE) 2023/1230 en lo que respecta a la simplificación de la aplicación de normas armonizadas en materia de inteligencia artificial. Se publicó en el Diario Oficial el 24 de julio (DO L, 2026/1744) y su artículo 4 no deja margen: «El presente Reglamento entrará en vigor a los tres días de su publicación en el Diario Oficial de la Unión Europea.» Tres días desde el 24 de julio son el 27 de julio de 2026.
La consecuencia documental es menos obvia. El Ómnibus no abre ficha propia en tu sistema: reescribe artículos del AI Act sin cambiar la numeración. Tu matriz de requisitos legales sigue apuntando al «artículo 17 del Reglamento (UE) 2024/1689» y sigue bien escrita, solo que ahora apunta a un texto distinto del que leíste. Lo que vemos en auditoría es eso: matrices impecables que remiten a una versión que ya no existe, y nadie lo nota. La corrección son dos líneas: citar el AI Act en su versión modificada por el Reglamento (UE) 2026/1744 y abrir fila para el Ómnibus con su entrada en vigor.
«Proporcional al tamaño de la organización» no es una exención
El apartado 2 del artículo 17, en su nueva redacción, dice esto: «La aplicación de los aspectos mencionados en el apartado 1 será proporcional al tamaño de la organización del proveedor, en particular si el proveedor es una pyme, incluidas las empresas emergentes o las pequeñas empresas de mediana capitalización. Los proveedores respetarán, en todo caso, el grado de rigor y el nivel de protección requerido para garantizar la conformidad de sus sistemas de IA de alto riesgo con el presente Reglamento.»
Fíjate sobre qué se predica: no sobre la lista, sino sobre la aplicación de los aspectos del apartado 1, que son los mismos para una empresa de veinte personas y para una de dos mil. Lo que se dimensiona es el aparato: un sistema proporcionado puede tener un documento donde otro tiene cinco, o un comité que se reúne cuando hay algo que decidir. Lo que no puede tener es una decisión sin autor, sin fecha y sin criterio. La segunda frase está de contrapeso, para que nadie lea la primera como rebaja: el rigor y el nivel de protección se respetan «en todo caso».
Y algo que los resúmenes del Ómnibus no cuentan: la proporcionalidad la valora quien te evalúa. Mientras no haya directrices, qué es suficiente lo fija el organismo notificado o el auditor de certificación, y esa conversación no se gana citando el artículo 17.2 sin poner el registro encima de la mesa. Qué registros son está en las evidencias que pide el auditor; dónde encaja cada uno, en las cláusulas 4 a 10 de ISO 42001.
Pequeñas empresas de mediana capitalización: dónde aparece la categoría y dónde no
El Ómnibus introduce en el AI Act una categoría nueva para quien lleva un sistema de gestión: las pequeñas empresas de mediana capitalización. Aparece en tres sitios. El artículo 11.1 les abre la documentación técnica simplificada. El 17.2 las mete en el criterio de proporcionalidad del sistema de gestión de la calidad. Y el nuevo apartado 6 bis del artículo 99 modula el importe de las multas, terreno del cumplimiento legal del AI Act, que no desarrollamos aquí.
Donde no aparece es en el artículo 63.1, que habla solo de «las pymes, incluidas las empresas emergentes». Si eso las deja fuera de la simplificación conviene contrastarlo con el asesor jurídico, porque el Reglamento no usa la misma enumeración en los tres artículos: el 17.2 las incluye en la enumeración de pyme y el 11.1 las menciona aparte. En qué categoría cae tu empresa no se decide en calidad, y hasta tenerlo por escrito no se dimensiona nada a la baja.
El artículo 63 y la letra pequeña de la simplificación
El artículo 63.1, tal como queda: «Las pymes, incluidas las empresas emergentes, podrán cumplir determinados elementos del sistema de gestión de la calidad exigido por el artículo 17 del presente Reglamento de manera simplificada, siempre que no tengan empresas asociadas o empresas vinculadas en el sentido de la Recomendación 2003/361/CE. A tal fin, la Comisión elaborará directrices sobre los elementos del sistema de gestión de la calidad que puedan cumplirse de manera simplificada teniendo en cuenta las necesidades de las pymes sin que ello afecte al nivel de protección ni a la necesidad de cumplir los requisitos relativos a los sistemas de IA de alto riesgo.»
Tiene tres cerraduras y los titulares solo cuentan la puerta. La primera: son «determinados elementos», no el sistema. La segunda deja fuera a mucha empresa que se cree pyme: siempre que no tengan empresas asociadas o vinculadas en el sentido de la Recomendación 2003/361/CE. Ahí la pregunta no es cuánta plantilla tienes, sino cómo es tu accionariado: una filial puede tener quince personas y no pasar el filtro. Ese análisis lo firma el asesor jurídico y se guarda como información documentada: justifica por qué tu sistema es más ligero que el del vecino.
La tercera cerradura es de calendario: la simplificación depende de unas directrices que la Comisión aún tiene que elaborar. Hoy no existen, así que no metas «sistema de gestión de la calidad simplificado del artículo 63» como hipótesis en el cronograma de implantación: colgarías el plan de un documento sin contenido. Lo que sí puedes hacer es montar el sistema completo y marcar en el índice documental qué elementos son candidatos a simplificarse, para que la simplificación llegue como reducción controlada y no como un rehacer.
Documentación técnica: un formulario que los organismos notificados deberán aceptar
El artículo 11.1 abre una vía paralela para el anexo IV: «Las pymes —incluidas las empresas emergentes— y las pequeñas empresas de mediana capitalización podrán presentar los elementos de la documentación técnica especificada en el anexo IV de manera simplificada. A tal fin, la Comisión establecerá un formulario simplificado de documentación técnica orientado a las necesidades de las pymes […]. Los organismos notificados aceptarán dicho formulario a efectos de la evaluación de la conformidad.»
La última frase es la que tiene valor práctico, porque pone la obligación en el evaluador: con el formulario en la mano deja de sostenerse el «a mí me piden más». El formulario tampoco existe todavía: la Comisión lo «establecerá», y hasta entonces la documentación técnica se prepara por el camino largo.
Cuidado con una confusión frecuente: «organismo notificado» no es tu certificadora. El organismo notificado interviene en la evaluación de la conformidad del AI Act; la entidad que certifica tu sistema de gestión de IA se rige por ISO/IEC 42006:2025, publicada el 7 de julio de 2025, que fija los requisitos adicionales a ISO/IEC 17021-1 para esos organismos. Tu certificado de ISO 42001 no es una evaluación de la conformidad del AI Act, y el formulario del 11.1 no le sirve al auditor de certificación. Antes de firmar, comprueba su alcance concreto en el Buscador de acreditados de ENAC: una certificación sin acreditación en el alcance no vale lo mismo ante un cliente ni en una licitación. El reparto está en la familia de normas ISO de IA.
El calendario nuevo, fecha por fecha
El punto 40 del artículo 1 del Ómnibus reescribe el párrafo tercero del artículo 113 del AI Act. Este es el resultado, y lo que mueve cada fecha.
| Bloque del AI Act | Se aplica desde | Qué mueve en el sistema |
|---|---|---|
| Capítulos I y II: artículo 4 (alfabetización) y artículo 5 (prácticas prohibidas) | 2 de febrero de 2025 | Vencido: la formación ya debe tener registro |
| Nuevas letras b bis) y b ter) del artículo 5.1 y apartados 1 bis y 1 ter | 2 de diciembre de 2026 | Fila nueva en la matriz |
| Fecha general de aplicación del artículo 113: se mantiene | 2 de agosto de 2026 | No se toca: al publicar esto faltan tres días |
| Artículos 102 a 110, por la nueva letra d) | 27 de julio de 2026 | La matriz debe citar el texto modificado |
| Capítulo III, secciones 1, 2 y 3, alto riesgo del artículo 6.2 y anexo III | 2 de diciembre de 2027 | Margen para el ciclo, no para empezar tarde |
| Capítulo III, mismas secciones, alto riesgo del artículo 6.1 y anexo I | 2 de agosto de 2028 | Comprobar en qué anexo cae cada sistema |
| Artículo 50.2, marcado de contenido sintético, en sistemas puestos en el mercado antes del 2 de agosto de 2026 | 2 de diciembre de 2026 | Los generativos en uso llevan fecha propia |
| Sistemas de alto riesgo destinados a autoridades públicas ya en servicio | 2 de agosto de 2030 | Plazo largo, al análisis del contexto |
Dos precisiones. La letra c) exceptúa expresamente el artículo 6, apartado 5, del aplazamiento del capítulo III; qué régimen le queda es lectura jurídica, y para eso está la guía de cumplimiento del AI Act. Y el marcado de contenido sintético tiene regla propia en el artículo 111.4: «Los proveedores de sistemas de IA, incluidos los sistemas de IA de uso general, que generen contenido sintético de audio, imagen, vídeo o texto y se hayan introducido en el mercado antes del 2 de agosto de 2026 adoptarán las medidas necesarias para cumplir lo dispuesto en el artículo 50, apartado 2, a más tardar el 2 de diciembre de 2026.» El considerando 38 lo explica como un «período transitorio de cuatro meses» para adaptar las prácticas «sin perturbar el mercado». Y para el sector público, el artículo 111.2 fija el 2 de agosto de 2030.
La reacción previsible al ver el capítulo III en 2027 y 2028 es mover el proyecto. Es un error de planificación: un sistema de gestión se demuestra con histórico, no con documentos escritos la semana anterior al plazo. Evaluación de impacto antes de desplegar, resultados de pruebas, formación fechada, incidencias cerradas, un ciclo de auditoría interna completo y una revisión por la dirección con datos dentro. La cláusula 9 de ISO 42001 no se rellena hacia atrás: si el proyecto arranca el año en que vence la obligación, la fecha llega con el sistema montado y vacío, que es el escenario de las no conformidades típicas.
Alfabetización en IA: la obligación es de medios, la evidencia sigue siendo tuya
El artículo 4 del AI Act se ha reescrito y merece leerlo entero: «Los proveedores y responsables del despliegue de sistemas de IA adoptarán medidas para apoyar la promoción de la alfabetización en materia de IA de su personal y demás personas que se encarguen en su nombre del funcionamiento y la utilización de sistemas de IA, teniendo en cuenta sus conocimientos técnicos, su experiencia, su educación y su formación, así como el contexto previsto de uso de los sistemas de IA y las personas o los colectivos de personas en que se van a utilizar dichos sistemas. Esta obligación no exige que los proveedores o los responsables del despliegue garanticen un nivel específico de alfabetización en materia de IA de ninguna persona en particular.»
La última frase es nueva y cambia la exigencia. La obligación es de medios: adoptar medidas, teniendo en cuenta el punto de partida de cada persona y el contexto de uso. Se descarta acreditar que un empleado concreto alcanza un nivel determinado. Y no es novedad de agosto: los capítulos I y II se aplican desde el 2 de febrero de 2025, así que es una obligación vencida cuya redacción se acaba de aclarar.
Lo que no conviene celebrar: la cláusula 7 de ISO 42001, apoyo, sí te pide determinar la competencia necesaria para los roles del sistema de IA y conservar evidencia de que la tienen. Ahí la norma es más exigente que el Reglamento: el auditor preguntará cómo determinaste la competencia de quien valida las salidas del modelo. La trampa concreta es el curso genérico de una hora para toda la plantilla: no cumple el criterio contextual del artículo 4, porque ignora el uso previsto y los colectivos afectados, ni resuelve la cláusula 7, porque no distingue roles. Un plan que funciona reparte itinerarios por rol: quien selecciona proveedores, quien prepara datos, quien valida salidas, quien atiende reclamaciones y la dirección, cada uno con su contenido y su registro.
Evaluación de impacto y datos para corregir sesgos: dónde encaja con ISO 42005
El Ómnibus retoca la evaluación de impacto relativa a los derechos fundamentales en dos direcciones cuyo fondo es legal: el apartado 4 del artículo 27 permite «incluir referencias cruzadas a las secciones pertinentes» de la evaluación de impacto relativa a la protección de datos del artículo 35 del RGPD cuando esta ya cumpla las obligaciones, y el apartado 5 anuncia que la Oficina de IA elaborará un modelo de cuestionario, «incluido mediante una herramienta automatizada». Visto desde la carpeta, tres evaluaciones que muchas empresas llevan por separado admiten un expediente encadenado: la evaluación de impacto con ISO/IEC 42005, que alimenta el bloque A.5 del anexo A; la de protección de datos, ya proceduralizada si tienes ISO/IEC 27701; y la de derechos fundamentales, cuyo alcance se ve en el servicio de cumplimiento del AI Act.
El nuevo artículo 4 bis va al radar del bloque A.7: permite tratar excepcionalmente categorías especiales de datos personales cuando sea «estrictamente necesario» para detectar y corregir sesgos de sistemas de alto riesgo, con seis condiciones acumulativas. Y termina con una frase que se citará fuera de contexto: «El presente apartado no crea obligación alguna de llevar a cabo dicha detección y corrección de sesgos.» El efecto es el contrario del que parece: si tu evaluación de impacto identificó el sesgo como riesgo y tu plan dice que lo vas a medir, en auditoría respondes de lo que escribiste.
Lo que el Ómnibus no cambia
Nada de esto toca el contenido de ISO/IEC 42001. La norma sigue igual, tu sistema no se rehace y un certificado en vigor no queda afectado. El Ómnibus modifica el artículo 40.2 para prever que la Comisión solicite normas a los organismos europeos de normalización, y ahí se acaba lo que se puede afirmar: certificarse en ISO 42001 no equivale a una presunción de conformidad. Lo que aporta el certificado es evidencia organizada y auditada por un tercero. El mapeo entre los controles de ISO 42001 y los artículos del AI Act señala dónde coinciden y dónde la ley pide algo que la norma no cubre.
Lo que tampoco cambia, pero cae la misma semana en la misma carpeta, es la referencia española: UNE-EN ISO/IEC 42001:2026 está en vigor desde el 8 de abril de 2026 y sustituye a la UNE-ISO/IEC 42001:2025, anulada en esa fecha. El contenido es idéntico, porque AENOR declara equivalencia idéntica con ISO/IEC 42001:2023, así que solo se actualiza la cita. Está contado en la pieza sobre el cambio de referencia española, y el ciclo completo de implantación, en la guía completa de ISO 42001.
Qué se toca en el sistema de gestión esta semana
Documento por documento:
| Documento | Qué se corrige | Cómo queda la evidencia |
|---|---|---|
| Matriz de requisitos legales y reglamentarios | El AI Act se cita en su versión modificada por el Reglamento (UE) 2026/1744; fila nueva para el Ómnibus, en vigor el 27 de julio de 2026; fechas corregidas | Versión posterior al 27 de julio de 2026, con responsable y referencia del Diario Oficial |
| Análisis del contexto y partes interesadas (cláusula 4) | Los requisitos afectados por el nuevo calendario y por la redacción del artículo 4 | Registro de revisión con la fecha del cambio |
| Plan de implantación y cronograma | Los hitos que colgaban del calendario anterior del capítulo III | Cronograma reeditado y decisión escrita de no retrasar el proyecto |
| Plan de formación y perfiles de competencia (cláusula 7) | Itinerarios por rol en lugar de un curso único, con la referencia al artículo 4 | Perfiles por rol, contenidos y registros de impartición |
| Política, alcance, informes de auditoría y declaración de aplicabilidad | La referencia de la norma: UNE-EN ISO/IEC 42001:2026 en lugar de la UNE de 2025 | Documentos reeditados; el contenido técnico no cambia |
| Procedimiento de evaluación de impacto | El encaje con la evaluación de protección de datos y la referencia cruzada del artículo 27.4 | Procedimiento con el expediente encadenado |
A la próxima revisión por la dirección van cuatro cosas, como entrada de «cambios en los requisitos legales» y con decisión a la salida: que el calendario del capítulo III se ha movido y el proyecto no; si la empresa se acoge o no a la simplificación del artículo 63, con la nota del asesor jurídico adjunta; los recursos del plan de formación por rol, que son horas y dinero; y la fecha de la próxima revisión de la matriz, porque las directrices y el formulario llegarán y alguien tiene que estar mirando. Si el acta no menciona el Reglamento (UE) 2026/1744, el sistema se enteró tarde de algo que pasó a tres días de la fecha general de aplicación.
Preguntas frecuentes
¿Desde cuándo se aplica el Ómnibus digital sobre IA?
El Reglamento (UE) 2026/1744 se publicó en el Diario Oficial el 24 de julio de 2026 y entró en vigor tres días después, el 27 de julio de 2026. Ese mismo día pasan a ser aplicables los artículos 102 a 110 del AI Act. La fecha general de aplicación del AI Act sigue siendo el 2 de agosto de 2026.
¿Se ha retrasado el AI Act con el Ómnibus?
En parte. La fecha general del 2 de agosto de 2026 se mantiene, pero el capítulo III, secciones 1, 2 y 3, se desplaza al 2 de diciembre de 2027 para los sistemas de alto riesgo del artículo 6.2 y el anexo III, y al 2 de agosto de 2028 para los del artículo 6.1 y el anexo I. La nueva letra c) exceptúa expresamente el artículo 6, apartado 5, de ese aplazamiento.
¿Puede una pyme llevar un sistema de gestión de la calidad simplificado?
El artículo 63.1 permite a las pymes, incluidas las empresas emergentes, cumplir determinados elementos del sistema de gestión de la calidad del artículo 17 de manera simplificada, siempre que no tengan empresas asociadas o vinculadas en el sentido de la Recomendación 2003/361/CE. La simplificación depende de unas directrices que la Comisión aún tiene que elaborar, así que hoy no se puede planificar contra ellas.
¿Qué son las pequeñas empresas de mediana capitalización?
Es una categoría que el Ómnibus incorpora al AI Act y que aparece en tres sitios: el artículo 11.1, que les abre la documentación técnica simplificada; el artículo 17.2, que las incluye en el criterio de proporcionalidad del sistema de gestión de la calidad; y el nuevo apartado 6 bis del artículo 99, que modula el importe de las multas. Determinar si una empresa entra en esa categoría es una cuestión jurídica, no una decisión del departamento de calidad.
¿Tengo que rehacer mi sistema ISO 42001 por el Ómnibus?
No. El Ómnibus modifica el AI Act, no la norma ISO/IEC 42001, cuyo contenido sigue igual. Lo que hay que actualizar son las referencias y las fechas: la entrada del AI Act en la matriz de requisitos legales, el calendario en el plan de implantación y, de paso, la referencia española de la norma, que desde el 8 de abril de 2026 es UNE-EN ISO/IEC 42001:2026.