Arranca la supervisión y las normas siguen donde estaban

Segundo número. Agosto deja un contraste que conviene resaltar: la supervisión del reglamento empieza a funcionar de verdad mientras la parte técnica sigue exactamente donde la dejamos en julio.

• Desde el 2 de agosto la Comisión puede sancionar a los proveedores de modelos de uso general.
• España sigue montando su capa nacional, con la ley orgánica todavía en enmiendas.
• Y ninguna norma armonizada ha avanzado: la EN 18286 sigue sin citar y el resto del paquete sigue sin publicar.

Hay además una cosa que el número anterior se dejó y que toca corregir: el Omnibus de IA no cambió solo el calendario.

Qué ha cambiado

La supervisión de los modelos de uso general ya tiene sanción. Las obligaciones de quien provee un modelo de uso general rigen desde el 2 de agosto de 2025, pero el régimen de multas del artículo 101 se aplica desde el 2 de agosto de 2026. Son hasta el 3 % del volumen de negocios mundial o 15 millones de euros, la cantidad que sea mayor, y las impone la Comisión. Durante un año hubo obligación sin sanción; desde agosto hay las dos.

El Omnibus de IA tocó más que las fechas. En el número 1 conté el aplazamiento del alto riesgo y me quedé ahí. El Reglamento (UE) 2026/1744 cambió también el articulado, y dos cambios afectan a cualquier organización, sea cual sea el riesgo de sus sistemas:

• Alfabetización. El artículo 4 pedía adoptar medidas para garantizar, en la mayor medida posible, un nivel suficiente de alfabetización en IA. Ahora pide adoptar medidas para apoyar la promoción de esa alfabetización, y aclara que no exige garantizar un nivel específico a nadie. Pasa de obligación de resultado a obligación de medios.
• Prácticas prohibidas. Desde el 2 de diciembre de 2026 hay dos más: los sistemas que generan o manipulan imágenes íntimas realistas sin consentimiento y los que generan material de abuso sexual infantil. El reglamento acota con detalle cuándo un sistema cae dentro, así que conviene leer el artículo antes de dar por hecho que un producto queda fuera.

Y un tercero que no cambió, y que importa precisamente por eso: el artículo 40 quedó intacto. La presunción de conformidad sigue funcionando como funcionaba, y todo lo que conté sobre el alcance de la EN 18286 sigue en pie.

España construye su capa nacional. El Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial (121/000096) se publicó en el Boletín de las Cortes el 12 de junio y sigue en la Comisión de Economía, Comercio y Transformación Digital, con el plazo de enmiendas ampliado varias veces. Reparte la vigilancia del mercado: la AEPD y las autoridades autonómicas de protección de datos para buena parte de la biometría y las fronteras, el CGPJ para los sistemas de la justicia y la AESIA para todo lo demás. Fija infracciones y sanciones, regula los espacios controlados de pruebas, protege a quien informa de incumplimientos y prevé un inventario de los sistemas de IA del sector público estatal.

Lo que no se ha movido. La EN 18286 sigue sin referencia publicada en el Diario Oficial, así que sigue sin dar presunción de conformidad. Las siguientes del paquete (prEN 18228 para gestión de riesgos, prEN 18229-1 para registro de eventos y prEN 18282 para ciberseguridad) siguen sin publicar. Lo que sí conviene saber es el atajo: CEN y CENELEC decidieron en octubre de 2025 que, si la encuesta pública de estas normas sale positiva, se publican directamente sin voto formal, con el cuarto trimestre de 2026 como objetivo. Y el Omnibus de datos, el que toca RGPD y cookies, sigue en negociación.

Obligación	Fecha
Transparencia del artículo 50	Exigible desde el 2 ago 2026
Multas a proveedores de modelos de uso general (art. 101)	Desde el 2 ago 2026
Marcado del 50.2, generativos ya en mercado antes del 2 ago 2026	2 dic 2026
Dos prácticas prohibidas nuevas	2 dic 2026
Directiva (UE) 2024/2853, productos defectuosos (incluye software)	Transposición, 9 dic 2026
Alto riesgo, Anexo III	2 dic 2027
Alto riesgo, Anexo I	2 ago 2028

Qué significa

Diciembre de 2026 es la fecha que hay que mirar, no 2027. En una semana coinciden tres cosas: cierra el único transitorio que le quedaba al artículo 50, entran dos prácticas prohibidas nuevas, y vence la transposición de la nueva directiva de productos defectuosos, que trata el software como producto. Quien tiene la vista puesta en el alto riesgo de 2027 se va a encontrar diciembre encima.

El transitorio del artículo 50 conviene contarlo bien. No es un periodo de gracia del artículo, y llamarlo así convierte una excepción estrecha en una moratoria que no existe. Alcanza solo al marcado legible por máquina del 50.2, y solo a los sistemas generativos que ya estaban en el mercado antes del 2 de agosto de 2026. Todo lo demás del artículo lleva exigible desde agosto. Dicho así, el 2 de diciembre gana peso: es la última puerta abierta y se cierra en menos de tres meses.

Que la alfabetización pase a obligación de medios no rebaja el trabajo. Baja el listón legal. Lo que hace falta para que alguien use un sistema con criterio es lo mismo que antes, y un plan que se limite a cumplir el mínimo nuevo va a producir listas de asistencia, que es justo lo que ya no servía.

Que la Comisión pueda multar a los proveedores de modelos cambia algo aguas abajo. Si integras un modelo de uso general en un sistema propio, la documentación que su proveedor tiene que poner a disposición de quien lo integra tiene ahora detrás un supervisor con capacidad de sancionar. Es un buen momento para pedirla, y para anotar si llega.

Qué hacer este mes

Una cosa, y es la continuación de la lista del artículo 50 que pedía el número anterior: añade a esa lista la fecha en que cada sistema llegó al mercado o se puso en servicio.

Esa columna sirve dos veces. Para el marcado del 50.2, porque los generativos anteriores al 2 de agosto tienen hasta el 2 de diciembre y los posteriores ya deberían llevarlo. Y para la responsabilidad por productos defectuosos, porque la nueva directiva se aplica a lo que llegue al mercado después del 9 de diciembre. Si al rellenarla aparece un sistema que no estaba en la lista, ese es el hallazgo del mes.

Y una que conviene no hacer: leer «diciembre» como el plazo del artículo 50. Es el plazo de una parte muy concreta de un apartado.

Lo que publiqué

El centro de este mes es las fricciones de una implantación: una tira de catorce viñetas sobre dónde se atasca de verdad un programa de gobierno de IA, y no el paso a paso de siempre. Hace además de mapa: cada viñeta enlaza a la pieza que desarrolla su fricción.

Alrededor, lo que sigue ese mismo hilo:

• Sobre el artículo 50: quién responde de cada obligación de transparencia, por qué «riesgo limitado» no existe y el aviso de transparencia que no informa.
• Sobre proveedores: has externalizado la IA, no el riesgo, qué tiene que decir una cláusula de IA, cuando tu proveedor añade un subencargado de IA y quién paga cuando un sistema de IA causa un daño.
• Sobre cómo se opera: deuda de gobierno, cero incidentes no es una métrica, la IA en la sombra es un fallo de inventario y diez preguntas de operación en lugar de un test de Sí o No.
• Sobre normas: el alcance real de la presunción de la EN 18286, si merece la pena certificarse en ISO/IEC 42001 y dónde colgar la función de gobierno de IA.
• Y una sobre una frase que se oye con mucha frecuencia: «la IA son solo matemáticas».

Y un glosario de más de sesenta términos, cada uno con su artículo o su norma al lado y con aquello con lo que se confunde.

Fuera de la línea normativa, conté por qué suspendí el AIGP y tardé nueve meses en volver a intentarlo, y dejé en una página aparte el prompt con el que generé mi material de práctica, que llega en el correo de bienvenida. Añadí a formación la de ISO/IEC 42001 de UKAS. Y ocho piezas que ya estaban publicadas ganaron dieciséis figuras dentro.

---

Las fechas y referencias de este número están comprobadas contra el Reglamento (UE) 2024/1689 en la versión modificada por el Reglamento (UE) 2026/1744, la ficha de la iniciativa 121/000096 en la web del Congreso y su texto en el Boletín de las Cortes, la decisión de CEN y CENELEC de octubre de 2025 sobre la publicación de las normas del reglamento, y la Directiva (UE) 2024/2853. La referencia de la EN 18286 en el Diario Oficial seguía pendiente al cerrar, y el Omnibus de datos seguía en negociación.

Si te ha servido, reenvíalo.