El EU AI Act acaba de aplazar sus obligaciones más duras. No respires aliviado.
Si operas IA en un negocio regulado, el titular que llega de Bruselas se lee como un alivio. El Digital Omnibus entró en vigor el 27 de julio de 2026 y, según informa DLA Piper, las pesadas obligaciones de alto riesgo del Anexo III para las que todo el mundo se preparaba se han retrasado, al 2 de diciembre de 2027 y al 2 de agosto de 2028. Un año de presión acaba de salir del calendario. El instinto natural es respirar hondo y mandar el trabajo de gobernanza de IA al fondo del montón.
Solo que el aplazamiento no movió la parte del régimen que tiene dientes ahora mismo. Como dejan claro la misma cobertura y el resumen del AI Act Office, desde el 2 de agosto de 2026 entran en vigor las obligaciones de transparencia del artículo 50, los poderes de supervisión sobre modelos de uso general y todo el régimen sancionador. Ese régimen no es simbólico. Las multas llegan al 7% de la facturación global o 35 millones de euros. Así que la ley no se ablandó. Se reprogramó, y la maquinaria de supervisión se encendió antes que las obligaciones que acabará supervisando.
Esa distancia entre lo que se aplazó y lo que entró en vigor es toda la historia, y la mayoría de las organizaciones la está leyendo al revés.
Qué se movió, y qué no
Sé preciso con los dos relojes, porque corren a velocidades distintas.
El reloj de la capacidad se aplazó. Las evaluaciones de conformidad detalladas, la documentación técnica, los requisitos del sistema de gestión de riesgos para los usos de alto riesgo del Anexo III son las obligaciones que exigen ingeniería de verdad, y son las que ahora están en 2027 y 2028. Ese es el trabajo que la gente temía, y es el trabajo que ganó más tiempo.
El reloj de la rendición de cuentas no se aplazó. Los deberes de transparencia del artículo 50, los poderes de supervisión sobre modelos de uso general y las multas están todos en presente desde el 2 de agosto de 2026. En términos llanos, la autoridad para investigarte y sancionarte llegó antes que el plazo de los controles técnicos más difíciles. Los reguladores ya pueden actuar. Aquello contra lo que acabarán comprobando es lo que se pospuso.
Leyendo los dos relojes juntos, el aplazamiento no es un indulto. Es una pista de despegue. Y una pista solo le sirve a una organización que ha decidido hacia dónde intenta despegar.
El aplazamiento compra calendario, no preparación
Aquí está el número incómodo. Según informa el análisis de Responsible AI Labs, en abril de 2026 el 78% de las organizaciones no había dado pasos significativos hacia el cumplimiento. Esa cifra ya era alarmante con el calendario antiguo. Con el nuevo, es una trampa.
La trampa es que el tiempo y la preparación parecen el mismo recurso, y no lo son. El calendario es lo que el Omnibus devolvió. La preparación es otra cosa completamente distinta, y no se acumula esperando. Una organización que no estaba preparada en abril de 2026 y ahora tiene hasta 2027 o 2028 no se ha vuelto más preparada. Se ha vuelto más tardía, con la misma brecha intacta y una pista honesta más corta de lo que sugiere el titular, porque la gobernanza no es un documento que montas en el último trimestre antes de un plazo.
Esta es la parte que se le escapa a la lectura del "tenemos más tiempo". La gobernanza es una arquitectura que construyes una vez, no un expediente que produces en una fecha límite. Los controles que el régimen de alto riesgo acabará exigiendo — un registro auditable de cada decisión con consecuencia, una capa de política de la que tu equipo de cumplimiento es dueño y puede demostrar, una forma de mostrar qué modelo tomó qué decisión y por qué — no son papeleo que generas retroactivamente. Son propiedades que un sistema tiene porque se construyó con ellas, o no tiene porque no se construyó así. No puedes rellenar a posteriori un rastro de auditoría de decisiones que un sistema ya tomó sin registrarlas.
Una organización que trate el aplazamiento como permiso para esperar llegará a 2027 exactamente en la posición en la que está hoy, solo que con menos tiempo para cambiarla.
Los pilotos que murieron nunca fallaron por papeleo
Hay una segunda razón por la que el enfoque del plazo de cumplimiento es el equivocado para organizarse. Los proyectos que fracasan no fracasan en la evaluación de conformidad. Fracasan mucho antes, y por razones que el AI Act ni siquiera nombra.
Se proyecta que cerca del 40% de los proyectos de IA agéntica se cancelen antes de 2027 (Thoughtworks). Fíjate en lo que ese fracaso no es. No es un regulador rechazando un expediente técnico. Son pilotos que nunca pudieron pasar de una demo a producción, porque en cuanto un agente tiene que actuar sobre datos regulados, bajo una identidad, con un registro que alguien pueda inspeccionar, la arquitectura de la demo no tiene nada que ofrecer. El piloto muere en la revisión de seguridad, o en el comité de riesgos, o el primer mes en que se desvía y nadie lo nota, y ninguna de esas muertes aparece en un calendario de cumplimiento.
Por eso alinear tu plan con el plazo aplazado es un error de categoría. El plazo es una fecha legal. El muro contra el que choca el piloto es arquitectónico, y no se mueve cuando Bruselas mueve una fecha. Una organización que optimiza para el expediente de 2028 está optimizando para la restricción equivocada. La restricción que de verdad detiene el trabajo es la que siempre estuvo ahí: ¿puede este sistema actuar siquiera en un proceso regulado, y puedes defender cómo lo hizo?
Construye para ese muro, y el expediente de cumplimiento pasa a ser algo que puedes producir, porque la evidencia ya existe como subproducto de operar el sistema correctamente. Sáltatelo, y ningún aplazamiento te salva, porque nunca ibas a llegar al expediente.
El replanteamiento
La pregunta equivocada, la que invita el titular del Omnibus, es "¿cuánto tiempo más tenemos antes de tener que cumplir?". Esa pregunta trata la gobernanza como un plazo que hay que cumplir lo más tarde posible, y lleva directamente a llegar al plazo sin nada construido.
La pregunta mejor es esta. Si los poderes de supervisión y las multas ya están activos, y las obligaciones técnicas son simplemente la factura que llega después, qué cimiento tendríamos que construir para que ser auditados sea un informe que corremos y no un proyecto que tenemos que empezar. Responde a eso y el aplazamiento es pista de despegue de verdad, tiempo para construir el cimiento gobernado mientras la presión está brevemente aliviada. Respóndelo al revés, y el 2 de agosto de 2028 llegará exactamente como llegó el 2 de agosto de 2026 para ese 78%: como una fecha que los pilló sin construir.
El calendario se movió. El trabajo no. Y las organizaciones que usen el tiempo extra para construir el cimiento, en lugar de para posponer pensar en él, son aquellas para las que el aplazamiento fue de verdad un regalo.
Si quieres poner a prueba si tu proceso de IA más crítico sobreviviría a una auditoría hoy, y no en 2028, reserva una reunión y tráenos el que menos te gustaría que viera un regulador.