El AI Act echa el freno: la IA de alto riesgo espera a 2027 y caen las apps que "desnudan"

El AI Act, el reglamento europeo de inteligencia artificial que el continente vendió como el primero del mundo en su género, acaba de pisar el freno. El 16 de junio de 2026 el pleno del Parlamento Europeo en Estrasburgo aprobó un paquete de enmiendas, el llamado "Omnibus digital", que retrasa más de un año la entrada en vigor de las reglas más exigentes. La votación salió adelante con 423 votos a favor, 57 en contra y 174 abstenciones. Un resultado holgado, sí, pero con un bloque de abstenciones que dice bastante sobre el ambiente: nadie se opone de frente, aunque pocos están del todo cómodos.

La lectura rápida es sencilla. Bruselas reconoce que las empresas no llegaban a las fechas, que las normas técnicas que debían acompañar al reglamento no estaban listas y que exigir obligaciones sin tener siquiera el manual de instrucciones era pedir lo imposible. En el mismo movimiento, y para que el aplazamiento no pareciera una rendición ante la industria, el Parlamento ha adelantado y blindado una prohibición con amplio consenso social: las aplicaciones que generan imágenes íntimas falsas sin permiso de la víctima.

Qué se retrasa y hasta cuándo

El corazón del reglamento son los sistemas de IA de alto riesgo, los que se usan en cosas serias como el cribado de currículums, la concesión de créditos, la biometría, la gestión de infraestructuras o la educación. Para esos sistemas, las obligaciones más duras (documentación técnica, supervisión humana, evaluación de riesgos, registro) debían empezar a aplicarse el 2 de agosto de 2026. Ya no.

• IA de alto riesgo autónoma (la del Anexo III, sistemas que funcionan por sí solos): se aplaza del 2 de agosto de 2026 al 2 de diciembre de 2027.
• IA embebida en productos ya regulados (por ejemplo, un sistema de seguridad dentro de una máquina sujeta a normativa sectorial): se va al 2 de agosto de 2028.
• Marcado de contenido generado por IA (el famoso watermarking y la obligación de avisar de que un texto, imagen o audio es sintético): se retrasa al 2 de diciembre de 2026.

En la práctica, esto da a fabricantes, plataformas y administraciones entre quince meses y dos años más de margen. Conviene no liarse: el aplazamiento no toca lo que ya estaba en vigor. Las prácticas prohibidas de manera tajante (puntuación social al estilo chino, manipulación subliminal, reconocimiento de emociones en el trabajo) siguen prohibidas, y las reglas sobre modelos de propósito general que arrancaron en 2025 también siguen su curso. Lo que se mueve es el calendario de la pieza más pesada y costosa de cumplir.

El acuerdo no salió de la nada. El pacto provisional entre Parlamento y Consejo se cerró el 7 de mayo de 2026 y el Consejo lo confirmó el 13 de mayo. La votación del pleno de junio es el penúltimo paso. Todavía falta la adopción formal definitiva antes de que el texto entre en vigor, así que técnicamente nada es irreversible hasta la firma final, aunque a estas alturas el desenlace está cantado.

La línea roja que sí se adelanta

Si el resto del reglamento se ralentiza, hay un punto donde Europa acelera. Las enmiendas introducen en el Artículo 5 (el de las prácticas directamente prohibidas) una nueva veda para las imágenes íntimas no consentidas generadas con IA, esas aplicaciones conocidas como nudifiers que "desnudan" digitalmente a una persona real a partir de una foto vestida. La prohibición abarca también el material de abuso sexual infantil generado artificialmente, y será efectiva el 2 de diciembre de 2026.

Es un gesto con peso real, nada decorativo. Estas herramientas se han convertido en una forma masiva de acoso, sobre todo contra mujeres y menores, y hasta ahora la respuesta legal siempre iba por detrás de la tecnología. Meterlas en la lista de prácticas prohibidas de un reglamento europeo significa que ya no hace falta demostrar caso por caso un daño concreto: el sistema es ilegal por existir. Que se adelante a diciembre de 2026, un año antes que el grueso de las normas de alto riesgo, es la forma que ha tenido el Parlamento de dejar claro que aflojar plazos no equivale a bajar la guardia en lo que de verdad hace daño a las personas.

Qué cambia en España

España llega a esta cita más adelantada que la media. Ya tiene designada a su autoridad nacional de supervisión, la AESIA (Agencia Española de Supervisión de la Inteligencia Artificial), con sede en A Coruña, y fue de los primeros países en nombrar organismo competente. Además, ha publicado 16 guías en español para ayudar a empresas y administraciones a adaptarse al reglamento. Ese trabajo no se tira a la basura con el aplazamiento: el calendario se estira, pero los criterios no cambian, y quien se haya preparado tendrá menos prisas y menos sustos cuando lleguen 2027 y 2028.

Para el tejido digital español, en especial pymes y plataformas que se mueven en terreno gris, la noticia es doble. Por un lado, respiro: más tiempo para entender qué obligaciones les aplican antes de gastar en cumplimiento. Por otro, una señal nítida de hacia dónde sopla el viento. Cualquier servicio que maneje contenido generado por IA, desde un marketplace que permite descripciones automáticas hasta una red que distribuye imágenes, hará bien en tratar la transparencia y el respeto al consentimiento no como una casilla legal futura, sino como un estándar de confianza que los usuarios ya esperan hoy. El reglamento da margen. La reputación, mucho menos.