La primera norma citada, y dos más que no hacen lo mismo

Tercer número, y llega tarde: en octubre no ha habido. Ha sido un mes movido a nivel personal que ha dejado poco espacio para estas cosas. A cambio, este viene cargado, porque en dos días de octubre han coincidido tres novedades en normas y queda menos de un mes para una fecha que ya te he adelantado.

• La EN 18286 ya está citada en el Diario Oficial, y es la primera norma armonizada del reglamento con la referencia publicada.
• ISO/IEC 27090 e IEEE 2863 se han publicado con dos días de diferencia, y ninguna de las dos da presunción de conformidad.
• El 2 de diciembre sigue en pie.

Qué ha cambiado

La EN 18286 ya está citada. La Decisión de Ejecución (UE) 2026/2274, publicada en el Diario Oficial el 14 de octubre, cita la EN 18286:2026 y entró en vigor ese mismo día. Desde entonces, cumplirla presume conformidad. La pregunta que llevo abierta desde agosto sigue siendo con qué: el artículo 40 habla de los requisitos de los artículos 8 a 15, y esta es la norma del sistema de gestión de la calidad del artículo 17. Su Anexo ZA mapea el 17(1) entero y, del 11(1), solo la primera frase, y la Decisión no deshace ese nudo. Lo he contado con la tabla en qué cubre de verdad la presunción de la EN 18286. El contraste con el texto oficial del Anexo ZA me sigue quedando pendiente, porque la Decisión publica la referencia y no el anexo.

ISO/IEC 27090, ciberseguridad de la IA. Se publicó también el 14 de octubre. Es una guía, no una norma de requisitos, y ordena las amenazas propias de la IA casi como el artículo 15.5. Lo que añade sobre ISO 27001 y lo que no da lo he escrito en ISO/IEC 27090 y el artículo 15.5.

IEEE 2863, gobierno de la IA en las organizaciones. Se publicó el 16 de octubre, y se descarga sin coste con una cuenta gratuita de IEEE. Es una práctica recomendada, y ella misma avisa de que seguirla no equivale a cumplir la ley. Me la he leído entera y la he convertido en siete decisiones que le tocan al órgano de gobierno.

Lo que no se ha movido. Las siguientes normas del paquete (prEN 18228 para gestión de riesgos, prEN 18229-1 para registro de eventos y prEN 18282 para ciberseguridad) siguen sin citar. Los seguimientos públicos que he podido consultar sitúan la de gestión de riesgos en fase de aprobación, sin voto formal todavía, así que el objetivo del cuarto trimestre de 2026 se ve difícil.

Obligación	Fecha
Transparencia del artículo 50	Exigible desde el 2 ago 2026
Marcado del 50.2, generativos ya en mercado antes del 2 ago 2026	2 dic 2026
Dos prácticas prohibidas nuevas	2 dic 2026
Directiva (UE) 2024/2853, productos defectuosos (incluye software)	Transposición, 9 dic 2026
Alto riesgo, Anexo III	2 dic 2027
Alto riesgo, Anexo I	2 ago 2028

El resto de fechas, ya con el Omnibus aplicado, las he reunido en el calendario de aplicación.

Qué significa

Tres novedades en dos días no hacen tres vías de cumplimiento. Solo una de las tres da presunción de conformidad, y con el alcance que he contado arriba. ISO/IEC 27090 te da algo que poner donde el reglamento pide decir cómo has resuelto la ciberseguridad sin norma armonizada, e IEEE 2863 te ordena lo que tiene que decidir quien gobierna. Las dos son útiles, y desde mi punto de vista lo que conviene evitar es meterlas en la misma fila del registro de requisitos.

Un certificado de ISO/IEC 42001 sigue sin ser la vía armonizada del artículo 17. La única norma citada es la EN 18286. Si tu programa contaba con lo contrario, es buen momento para revisarlo.

Diciembre sigue siendo la fecha que hay que mirar. Cierra el margen del marcado para los generativos que ya estaban en el mercado (art. 111.4), entran las dos prácticas prohibidas nuevas y vence la transposición de la directiva de productos defectuosos. He corregido en la pieza del artículo 50 una frase que simplificaba de más lo que el Omnibus hizo con la transparencia: no la tocó, salvo en ese punto.

Qué hacer este mes

Una cosa, y es la continuación del número anterior, que te pedía añadir a la lista del artículo 50 la fecha en que cada sistema llegó al mercado. Ahora, filtra los generativos anteriores al 2 de agosto de 2026 y pon junto a cada uno quién responde de que lleve el marcado el 2 de diciembre. Si una fila se queda sin nombre, ese es el hallazgo del mes.

Y si tu registro de requisitos legales tenía «citación en el Diario Oficial» como disparador de revisión para la EN 18286, se ha disparado. Toca repasar esas filas.

Lo que he publicado

Además de lo que ya te he enlazado, estas semanas he ido completando dos cosas que llevaba tiempo queriendo tener.

La primera son las ruedas de quién responde: quién carga con cada obligación cuando uno fabrica el sistema y otro lo usa, casilla a casilla, con la del proveedor, la del responsable del despliegue y la del artículo 50. Y una herramienta para marcar en tu organización: seis obligaciones del Reglamento de IA que necesitan dueño.

La segunda es una ruta para aprender gobierno de IA, porque este sitio ha ido creciendo por preguntas y la portada ordena por fecha. Son cinco niveles sobre lo que ya está escrito.

Alrededor, tres piezas sobre riesgo:

• El AI Act busca el riesgo sistémico en el modelo, y el de los agentes está en la suma, a partir del briefing del World Economic Forum de este mes.
• El Top 10 de OWASP para LLM 2026 no se cumple: se reparte.
• La cadena del riesgo de IA se rompe entre eslabones, no en ellos.

---

Las fechas y referencias de este número están comprobadas contra el Reglamento (UE) 2024/1689 en la versión modificada por el Reglamento (UE) 2026/1744, la Decisión de Ejecución (UE) 2026/2274, la ficha y el texto de IEEE 2863-2026 y la Directiva (UE) 2024/2853. El estado de las normas todavía sin citar sale de seguimientos públicos, no de CEN y CENELEC, y el contraste del Anexo ZA de la EN 18286 sigue pendiente.

Si te ha servido, reenvíalo.