Coste de incumplir un plazo del reglamento IA
Qué fechas del reglamento de IA han pasado, cuáles quedan por llegar y qué cuesta incumplir una obligación: multas, medidas correctivas y un plan de ejemplo de 12 semanas.
Se aplican dos nuevas prohibiciones del artículo 5.
El 22 de octubre de 2026 han pasado las fechas de aplicación del reglamento de IA hasta el 2 de agosto de 2026. El Reglamento (UE) 2026/1744 aplazó las normas de alto riesgo: 2 de diciembre de 2027 (anexo III), 2 de agosto de 2028 (anexo I).
Incumplir una obligación enumerada de proveedor, de responsable del despliegue o de transparencia se sanciona con multas. Alcanzan los 15 millones de EUR o el 3 % del volumen de negocios mundial total, la cuantía que sea superior (artículo 99, apartado 4). Una práctica prohibida cuesta hasta 35 millones de EUR o el 7 % (artículo 99, apartado 3). Siguiente paso: haga una lista de sus sistemas de IA y anote la fecha de cada uno.
Qué fechas han pasado y cuáles quedan por llegar
2 de febrero de 2025 · ya se aplica
Se aplican las prohibiciones y la alfabetización en materia de IA
Los capítulos I y II se aplican. Contienen las prohibiciones del artículo 5, salvo las letras b bis) y b ter) y los apartados 1 bis y 1 ter del artículo 5, y la obligación del artículo 4 de que los proveedores y los responsables del despliegue apoyen la alfabetización en materia de IA (conocimientos y comprensión) de su personal (artículo 113, letra a)).
2 de agosto de 2025 · ya se aplica
Se aplican las normas sobre modelos GPAI, la gobernanza y las sanciones
Se aplican las normas para los proveedores de modelos GPAI (capítulo V, artículos 51 a 56), los organismos notificados, la gobernanza (capítulo VII), las sanciones (capítulo XII, salvo el artículo 101) y el artículo 78 sobre confidencialidad (artículo 113, letra b)).
2 de agosto de 2026 · ya se aplica
Obligaciones de transparencia y fecha general de aplicación
Todas las disposiciones sin otra fecha se aplican desde este día (artículo 113). Incluyen las obligaciones de transparencia del artículo 50: informar a las personas de que interactúan con un sistema de IA, marcar el contenido sintético y revelar las ultrafalsificaciones. La Comisión puede multar a los proveedores de GPAI con arreglo al artículo 101 desde este día. Los artículos 102 a 110, que modifican otros actos de la Unión, se aplican antes, desde el 27 de julio de 2026 (artículo 113, letra d)).
2 de diciembre de 2026 · aún por llegar
Dos nuevas prohibiciones y el plazo de marcado para los sistemas anteriores
Se aplican las dos nuevas prohibiciones del artículo 5, letras b bis) y b ter), junto con los apartados 1 bis y 1 ter del artículo 5 (artículo 113, letra a)). Los proveedores de sistemas de IA que generan contenido sintético de audio, imagen, vídeo o texto y que se introdujeron en el mercado antes del 2 de agosto de 2026 deben adoptar hasta esta fecha las medidas necesarias para cumplir la obligación de marcado legible por máquina del artículo 50, apartado 2 (artículo 111, apartado 4).
2 de agosto de 2027 · aún por llegar
Los modelos GPAI anteriores deben cumplir las normas
Los proveedores de modelos GPAI introducidos en el mercado antes del 2 de agosto de 2025 deben adoptar hasta esta fecha las medidas necesarias para cumplir el reglamento (artículo 111, apartado 3). Los Estados miembros también deben tener operativo al menos un espacio controlado de pruebas para la IA (artículo 57, apartado 1).
2 de diciembre de 2027 · aún por llegar
Las normas de alto riesgo se aplican a los sistemas del anexo III
Los artículos 6 a 27 (capítulo III, secciones 1 a 3, salvo el artículo 6, apartado 5) se aplican a los sistemas de IA de alto riesgo con arreglo al artículo 6, apartado 2, y al anexo III (artículo 113, letra c), inciso i)). Establecen los requisitos de los sistemas de alto riesgo (artículos 8 a 15) y las obligaciones de proveedores, responsables del despliegue y otras partes (artículos 16 a 27).
2 de agosto de 2028 · aún por llegar
Las normas de alto riesgo se aplican a los productos del anexo I
Los mismos artículos se aplican a los sistemas de IA de alto riesgo con arreglo al artículo 6, apartado 1, porque son productos regulados por los actos del anexo I, o componentes de seguridad de dichos productos (artículo 113, letra c), inciso ii)). Para los productos del anexo I, sección B, solo se aplican el artículo 6, apartado 1, el artículo 60 bis y los artículos 102 a 112, y los artículos 57 a 59 solo en la medida en que los requisitos de alto riesgo se hayan integrado en esa legislación (artículo 2, apartado 2). Para los productos del anexo I, sección A, algunos requisitos pueden limitarse cuando esa legislación ofrezca una protección equivalente o superior (artículo 2, apartado 13).
2 de agosto de 2030 · aún por llegar
Sistemas de alto riesgo para autoridades públicas: medidas necesarias para cumplir
En cualquier caso, los proveedores y los responsables del despliegue de sistemas de IA de alto riesgo destinados a ser utilizados por autoridades públicas deben adoptar hasta esta fecha las medidas necesarias para cumplir. La norma figura en el apartado sobre los sistemas introducidos en el mercado o puestos en servicio antes de las fechas de alto riesgo indicadas (artículo 111, apartado 2).
31 de diciembre de 2030 · aún por llegar
Los sistemas informáticos de gran magnitud de la UE deben cumplir las normas
Los sistemas de IA que son componentes de los sistemas informáticos de gran magnitud enumerados en el anexo X, introducidos en el mercado o puestos en servicio antes del 2 de agosto de 2027, deben cumplir el reglamento en esta fecha (artículo 111, apartado 1).
El Reglamento (UE) 2026/1744 modificó varias fechas
El artículo 113 original aplicaba las normas de alto riesgo desde el 2 de agosto de 2026 (sistemas del anexo III) y desde el 2 de agosto de 2027 (productos del anexo I). El Reglamento (UE) 2026/1744 las aplazó al 2 de diciembre de 2027 y al 2 de agosto de 2028 (artículo 113, letra c)). También aplazó del 2 de agosto de 2026 al 2 de agosto de 2027 el plazo de los espacios controlados de pruebas nacionales del artículo 57, apartado 1, y añadió el plazo de marcado del artículo 111, apartado 4. Las fechas las fija la ley. El artículo 111 prevé normas transitorias para algunos sistemas y modelos GPAI que ya están en el mercado, y el artículo 46 permite que una autoridad de vigilancia del mercado autorice determinados sistemas de alto riesgo por razones excepcionales.
Incumplir una obligación cuesta una multa y puede obligar a retirar el sistema
Hasta 35 millones de EUR o el 7 % del volumen de negocios mundial total, la cuantía que sea superior
Por las prácticas prohibidas del artículo 5 (artículo 99, apartado 3).
Hasta 15 millones de EUR o el 3 % del volumen de negocios mundial total, la cuantía que sea superior
Por incumplir las obligaciones de los proveedores (artículo 16), los representantes autorizados (artículo 22), los importadores (artículo 23), los distribuidores (artículo 24), los proveedores y operadores con arreglo al artículo 25, apartados 2 y 4, y los responsables del despliegue (artículo 26). También por incumplir las obligaciones de transparencia del artículo 50 y los requisitos de los organismos notificados con arreglo a los artículos 31, 33, apartados 1, 3 y 4, y 34 (artículo 99, apartado 4). La Comisión puede multar a los proveedores de modelos GPAI hasta el mismo nivel (artículo 101).
Hasta 7,5 millones de EUR o el 1 % del volumen de negocios mundial total, la cuantía que sea superior
Por facilitar información incorrecta, incompleta o engañosa a los organismos notificados o a las autoridades nacionales en respuesta a una solicitud (artículo 99, apartado 5).
Hasta el menor de los dos importes
Para las pymes, incluidas las empresas emergentes, cada multa alcanza como máximo la más baja entre el porcentaje y la cuantía (artículo 99, apartado 6). Las pequeñas empresas de mediana capitalización (empresas que han dejado de entrar en la definición de pyme) tienen la misma regla para los dos niveles inferiores (artículo 99, apartado 6 bis).
Medidas correctivas, retirada o recuperación
Cuando una autoridad de vigilancia del mercado constata que un sistema de IA que presenta un riesgo no cumple, exige al operador que adopte medidas correctivas, retire el sistema o lo recupere. La autoridad fija el plazo, que nunca excede de 15 días hábiles ni del plazo previsto en la normativa sectorial, el más corto de los dos. Si el operador no actúa, la autoridad puede prohibir o restringir el sistema en su mercado nacional (artículo 79, apartados 2 y 5).
Un plan de ejemplo de 12 semanas para un proveedor de alto riesgo
Este plan es un ejemplo, no un requisito legal: el reglamento fija fechas, no duraciones. Planifíquelo para terminar antes del 2 de diciembre de 2027 (anexo III) o del 2 de agosto de 2028 (anexo I).
Evaluar
- Listar cada sistema de IA y su finalidad prevista
- Comprobar cada sistema frente a las prohibiciones del artículo 5
- Clasificar cada sistema: anexo III, anexo I o ninguno (artículo 6)
- Comparar la práctica actual con las obligaciones de los artículos 9 a 17
Documentar
- Redactar la documentación técnica (artículo 11, anexo IV)
- Implantar el sistema de gestión de riesgos (artículo 9)
- Documentar la gobernanza de datos (artículo 10)
- Redactar las instrucciones de uso y la información de transparencia (artículo 13)
- Preparar una evaluación de impacto relativa a los derechos fundamentales si el artículo 27 le afecta como responsable del despliegue
Probar y revisar
- Probar la supervisión humana (artículo 14) y el registro automático (artículo 12)
- Probar la exactitud, la solidez y la ciberseguridad (artículo 15)
- Revisar la documentación antes de la evaluación de la conformidad (artículo 43)
- Registrar el sistema en la base de datos de la UE cuando lo exija el artículo 49
Preguntas frecuentes
¿Qué ocurre en cada plazo del reglamento de IA?
Las próximas fechas son el 2 de diciembre de 2026, el 2 de agosto de 2027, el 2 de diciembre de 2027, el 2 de agosto de 2028, el 2 de agosto de 2030 y el 31 de diciembre de 2030. El 2 de diciembre de 2026 se aplican las dos nuevas prohibiciones del artículo 5 y los sistemas de contenido sintético introducidos en el mercado antes del 2 de agosto de 2026 deben adoptar las medidas necesarias para cumplir el artículo 50, apartado 2 (artículo 111, apartado 4). El 2 de diciembre de 2027 se aplican los artículos 6 a 27 a los sistemas de IA de alto riesgo del anexo III y el 2 de agosto de 2028 a los productos del anexo I. Las dos últimas fechas son la del artículo 111, apartado 2, para los proveedores y los responsables del despliegue de sistemas de IA de alto riesgo destinados a ser utilizados por autoridades públicas, y la del artículo 111, apartado 1, para los sistemas informáticos del anexo X. Cualquier incumplimiento de una obligación aplicable puede acarrear multas con arreglo al artículo 99.
¿Puedo obtener una prórroga?
No existe una prórroga general. Las fechas las fija la ley, y el Reglamento (UE) 2026/1744 ya aplazó las fechas de alto riesgo desde el 2 de agosto de 2026 (anexo III) y el 2 de agosto de 2027 (anexo I) al 2 de diciembre de 2027 y al 2 de agosto de 2028. El artículo 111 prevé normas transitorias: los modelos GPAI introducidos en el mercado antes del 2 de agosto de 2025 tienen hasta el 2 de agosto de 2027 (apartado 3); los sistemas de contenido sintético introducidos en el mercado antes del 2 de agosto de 2026 tienen hasta el 2 de diciembre de 2026 para el artículo 50, apartado 2 (apartado 4); en cualquier caso, los proveedores y los responsables del despliegue de sistemas de IA de alto riesgo destinados a ser utilizados por autoridades públicas deben adoptar las medidas necesarias para cumplir a más tardar el 2 de agosto de 2030 (apartado 2); los componentes de sistemas informáticos del anexo X, a más tardar el 31 de diciembre de 2030 (apartado 1). Aparte, una autoridad de vigilancia del mercado puede autorizar, por un período limitado, determinados sistemas de alto riesgo por razones excepcionales (artículo 46).
¿Existe un periodo de gracia?
El reglamento no prevé un periodo de gracia general. En su lugar, el artículo 111 prevé normas transitorias específicas. Lo más parecido es el artículo 111, apartado 2: los sistemas de alto riesgo introducidos en el mercado o puestos en servicio antes de las fechas de alto riesgo solo quedan cubiertos si su diseño cambia de forma significativa. Los sistemas de contenido sintético introducidos en el mercado antes del 2 de agosto de 2026 tienen hasta el 2 de diciembre de 2026 para el artículo 50, apartado 2 (artículo 111, apartado 4). Las prohibiciones del artículo 5 se aplican en todo caso a todos los sistemas.
¿Qué deben hacer los proveedores y los responsables del despliegue antes de las fechas de alto riesgo?
Los proveedores de sistemas de IA de alto riesgo deben cumplir los requisitos de los artículos 9 a 15 y las obligaciones de proveedor de los artículos 16 y 17. Abarcan la gestión de riesgos (artículo 9), la gobernanza de datos (artículo 10), la documentación técnica (artículo 11), el registro (artículo 12), la transparencia (artículo 13), la supervisión humana (artículo 14), la exactitud, la solidez y la ciberseguridad (artículo 15) y un sistema de gestión de la calidad (artículo 17). Los responsables del despliegue deben seguir las instrucciones de uso, encomendar la supervisión humana a personas y conservar los registros (artículo 26).
Scanara prepara pruebas a partir de sus repositorios
Scanara lee sus repositorios de GitHub conectados y ejecuta análisis basados en reglas de patrones habituales de IA y aprendizaje automático. Puede pasar por alto código no estándar. Por separado, genera borradores de documentación a partir de plantillas y de sus respuestas en las evaluaciones, como pruebas para su trabajo de cumplimiento. Usted decide la clasificación.