La primera norma armonizada, y la fecha que sigue en pie

Primer número. El trato es este: una vez al mes, lo que ha cambiado de verdad, lo que significa para quien tiene que operarlo, y una cosa concreta que hacer. Los meses en que no cambie nada que merezca tu atención, lo diré en tres líneas y me ahorraré el resto.

Julio ha dejado tres movimientos.

• Ya existe la primera norma europea armonizada del AI Act,
• buena parte del alto riesgo se ha ido a diciembre de 2027,
• y la reforma del RGPD que todo el mundo da por hecha sigue sin ser ley.

De los tres sale una conclusión práctica: mientras la conversación mira a 2027, el artículo 50 lleva exigible desde el 2 de agosto. La obligación con la fecha más próxima ya venció.

Qué ha cambiado

Ya hay una norma armonizada, la EN 18286:2026. CEN-CENELEC la aprobó el 12 de julio bajo el mandato M/613 y la anunció el 30. Se titula Artificial intelligence. Quality management system for EU AI Act regulatory purposes y es la primera del paquete de normalización del reglamento. Cubre el artículo 17, el sistema de gestión de calidad que el reglamento exige por ley a los proveedores de sistemas de alto riesgo.

Detrás vienen las demás, todavía en tramitación: prEN 18228 para la gestión de riesgos del artículo 9, prEN 18229-1 para el registro de eventos del artículo 12 y prEN 18282 para la ciberseguridad del artículo 15. Sesgo, robustez, transparencia, gobierno de datos y evaluación de la conformidad siguen en redacción. CEN-CENELEC apunta al último trimestre de 2026.

El Omnibus de IA ha cambiado el calendario del alto riesgo. El Reglamento (UE) 2026/1744 se publicó en el DOUE el 24 de julio y entró en vigor el 27. Pospone las obligaciones de los sistemas de alto riesgo del Anexo III al 2 de diciembre de 2027, y las del Anexo I, la IA embebida en productos ya regulados, al 2 de agosto de 2028. Las obligaciones de transparencia del artículo 50 se quedaron donde estaban y son exigibles desde el 2 de agosto de 2026, sin periodo de gracia: aviso al usuario en sistemas que interactúan con personas, revelación de deepfakes por parte de quien los despliega, e información a quien queda expuesto a reconocimiento de emociones o categorización biométrica. Aplican con independencia de que el sistema sea de alto riesgo.

La única excepción es estrecha y conviene no confundirla con un aplazamiento general: los proveedores de sistemas generativos que ya estaban en el mercado antes del 2 de agosto de 2026 tienen hasta el 2 de diciembre de 2026 para cumplir el marcado legible por máquina del artículo 50.2. Para todo lo que haya llegado al mercado después, ese marcado ya es exigible.

La Comisión adoptó además el 20 de julio de 2026 sus directrices sobre el alcance del artículo 50, que son la referencia para decidir qué entra y qué no.

La otra mitad del Omnibus sigue en negociación. Se habla del Digital Omnibus como si fuera una cosa, y son dos. El de IA ya es derecho aplicable. El de datos, que toca RGPD, ePrivacy, NIS2 y DORA, sigue negociándose y hoy no vincula a nadie. Lo que ese segundo paquete propone, y conviene tener localizado:

• Reconocer el interés legítimo como base jurídica para entrenar y operar sistemas de IA, con salvaguardas reforzadas y un derecho de oposición incondicional para el interesado.
• Una reforma del régimen de cookies que dejaría fuera del consentimiento a buena parte de ellas, con rechazo en un clic y respeto de la elección durante seis meses.

El Comité Europeo de Protección de Datos y el Supervisor Europeo avisaron en febrero de 2026 de que varias de esas enmiendas debilitan la limitación de finalidad, estrechan el concepto de dato personal y diluyen las protecciones frente a decisiones automatizadas.

Obligación	Fecha
Transparencia del artículo 50	Exigible desde el 2 ago 2026
Marcado del 50.2, generativos ya en mercado antes del 2 ago 2026	2 dic 2026
Alto riesgo, Anexo III	2 dic 2027
Alto riesgo, Anexo I	2 ago 2028
Reforma del RGPD y ePrivacy	En negociación

Qué significa

Aprobar una norma y citarla en el Diario Oficial son dos pasos distintos. La EN 18286 está aprobada y todavía sin citar en el DOUE, así que hoy no otorga presunción de conformidad. Quien la aplique ahora está trabajando bien, y sigue teniendo que demostrar la conformidad por su cuenta. El evento que hay que vigilar es la citación, y cuando llegue cambiará la conversación entera.

El detalle que casi no se ha contado en español está en cómo se escribió. La EN 18286 se redactó como norma europea propia en lugar de adoptar la ISO/IEC 42001. Su arquitectura se separa a propósito de la de ISO 9001 y de la EN ISO/IEC 42001, porque los objetivos y las definiciones de la internacional se consideraron desalineados con el sistema de gestión de calidad que pide el reglamento. Es una decisión deliberada, y explica bastante.

Para quien ya tiene una ISO 42001 en marcha, la lectura operativa es sencilla: le sigue sirviendo para lo que le servía, y el artículo 17 hay que mirarlo aparte. Los dos sistemas comparten mucha materia prima, y el detalle de qué se construye una sola vez está en la comparativa entre el reglamento y la norma.

El aplazamiento del alto riesgo compra tiempo de obligación, no de trabajo. Un sistema de gestión de calidad, un inventario que sirva y un expediente técnico por sistema tardan más de dieciséis meses en existir de verdad. El riesgo de diciembre de 2027 es que se lea como permiso para no empezar, y llegue el otoño de ese año con la misma carpeta vacía y menos margen.

La parte de datos es la que más gente está dando por hecha, y es la que todavía no existe. El interés legítimo como base para entrenamiento cambiaría la conversación en bastantes comités. Hoy no la cambia. Quien esté rediseñando su base jurídica de tratamiento contando con esa enmienda está construyendo sobre un texto en negociación, y el aviso del EDPB y el EDPS es la señal de que puede salir distinto de como entró.

Hay una parte de esa propuesta que conviene mirar aunque no salga: el derecho de oposición incondicional es un requisito de producto, no de papel. Poder ejecutar una oposición significa saber qué modelos se entrenaron con qué datos y qué pasa cuando alguien se sale. Quien ya tenga ese mecanismo funcionando llegará sin obra pendiente, salga la reforma como salga.

El artículo 50 ya está vencido, y es el que menos atención está recibiendo. Ahí está la trampa del titular del aplazamiento: quien leyó “el alto riesgo se va a 2027” y archivó el asunto tiene desde el 2 de agosto una obligación viva y exigible por su autoridad nacional. La atención se fue a una fecha lejana mientras la cercana pasaba de largo.

Y alcanza más lejos de lo que parece, porque no depende de que tu sistema sea de alto riesgo. Depende de que interactúe con personas, o de que genere o manipule contenido. Es decir, llega a bastantes cosas que hoy no están en ninguna lista, precisamente porque quedaron fuera de la casilla de alto riesgo cuando se hizo la categorización. Un asistente interno, un generador de textos comerciales o un chatbot de atención pueden estar dentro sin que nadie los haya mirado nunca desde esta óptica.

Qué hacer este mes

Una cosa, y cabe en una tarde: haz la lista del artículo 50.

Recorre tus sistemas en producción y quédate con los que cumplan alguna de estas tres condiciones: interactúan directamente con personas, generan o manipulan contenido, o hacen reconocimiento de emociones o categorización biométrica. Para cada uno, anota tres cosas: si tu organización actúa como proveedor o como responsable del despliegue, qué se le dice hoy al usuario, y si el contenido que produce lleva marcado legible por máquina.

Los dos primeros puntos ya son exigibles hoy, así que cualquier hueco que encuentres ahí es un incumplimiento en curso, no una tarea pendiente. Para el marcado, mira la fecha en que cada sistema llegó al mercado: los anteriores al 2 de agosto tienen hasta el 2 de diciembre, y los posteriores ya deberían llevarlo.

Si al recorrer la lista descubres que no existe tal lista, ese es el hallazgo del mes, y el inventario es por donde se empieza.

Y una que conviene no hacer: reescribir tu base jurídica de tratamiento apoyada en el Omnibus de datos. Todavía no es ley.

---

Las fechas y referencias de este número están comprobadas con el anuncio de CEN-CENELEC del 30 de julio de 2026, contra el Reglamento (UE) 2026/1744 publicado en el DOUE el 24 de julio de 2026, y contra las directrices de la Comisión sobre el artículo 50 adoptadas el 20 de julio de 2026. La citación de la EN 18286 en el Diario Oficial seguía pendiente al cerrar, y el paquete de datos seguía en negociación.

Si te ha servido, reenvíalo.