Bruselas no suspendió la ley de IA: propuso dos relojes para el alto riesgo
La Comisión planteó vincular parte de las obligaciones de alto riesgo a la disponibilidad de estándares y guías, con fechas límite distintas. Leer la propuesta exige separar estado legislativo, categoría, función y condición de activación.
El 19 de noviembre de 2025, la Comisión Europea no aplazó por sí sola la ley de inteligencia artificial ni fijó una única nueva fecha para todo el alto riesgo. Presentó una propuesta legislativa para modificar el calendario y varias reglas de aplicación. El texto distinguía entre sistemas ligados a usos del anexo III y sistemas integrados en productos del anexo I, con activadores y límites diferentes.
La diferencia importa para una persona que solicita empleo, crédito o acceso a educación, y para una organización que compra o desarrolla esos sistemas. “Se retrasa hasta 2027” mezcla una propuesta con una ley vigente y oculta qué obligación, qué actor y qué categoría están en juego. La capacidad útil es leer cualquier cambio regulatorio mediante cuatro preguntas: qué estatus tiene, qué artículo modifica, a quién alcanza y qué hecho pone en marcha el plazo.
Una propuesta no cambia todavía la obligación
La comunicación de la Comisión presentó el Digital Omnibus como un paquete de simplificación de inteligencia artificial, ciberseguridad y datos. Pero la propia forma del documento es “Proposal for a Regulation”, con referencia COM(2025) 836 y procedimiento legislativo ordinario. Eso significa que el Parlamento Europeo y el Consejo debían examinar, negociar y aprobar un texto para convertirlo en norma.
El primer control de una noticia regulatoria consiste en buscar el verbo jurídico. “Propone”, “adopta”, “entra en vigor” y “empieza a aplicarse” describen momentos distintos. Una rueda de prensa puede anunciar intención política; el articulado propuesto muestra la mecánica; la publicación en el Diario Oficial acredita el texto adoptado; y la fecha de aplicación dice desde cuándo opera una obligación. Sustituir una etapa por otra produce decisiones empresariales y expectativas ciudadanas equivocadas.
La ley original ya tenía más de un calendario
El Reglamento europeo de inteligencia artificial clasifica como alto riesgo dos grandes grupos. El artículo 6.1 cubre sistemas que son componentes de seguridad de determinados productos regulados o son ellos mismos esos productos cuando requieren una evaluación de conformidad por un tercero. El artículo 6.2 remite a los usos del anexo III.
El anexo III incluye áreas como biometría, infraestructuras críticas, educación, empleo, acceso a servicios esenciales, aplicación de la ley, migración y administración de justicia. No convierte en alto riesgo cualquier programa usado en una escuela o empresa. Importan la finalidad prevista, la influencia sobre la decisión y las excepciones del artículo 6.3 para tareas estrechas, preparatorias o auxiliares que no planteen un riesgo significativo. Si el sistema perfila personas, la excepción no se aplica.
La norma original fijaba el 2 de agosto de 2026 como fecha general de aplicación, mientras el artículo 6.1 y sus obligaciones correspondientes debían aplicarse desde el 2 de agosto de 2027. Por tanto, incluso antes del Omnibus no existía un solo día para todo lo denominado alto riesgo. Una tabla de cumplimiento debe empezar por la base jurídica concreta, no por una etiqueta comercial.
El mecanismo propuesto tenía activador y fecha tope
El artículo 1.31 de la propuesta pretendía modificar el artículo 113 de la ley. La Comisión tendría que adoptar una decisión confirmando que existen medidas adecuadas para facilitar el cumplimiento: estándares armonizados, especificaciones comunes o guías. Tras esa decisión, las secciones sobre clasificación, requisitos y obligaciones de alto riesgo entrarían en aplicación después de un periodo de transición.
Para los sistemas del artículo 6.2 y el anexo III, el periodo sería de seis meses desde la decisión. Para los sistemas del artículo 6.1 y el anexo I, sería de doce. El texto añadía límites: en ausencia de decisión, o si el cálculo llevara más lejos, las reglas se aplicarían como máximo el 2 de diciembre de 2027 para el anexo III y el 2 de agosto de 2028 para el anexo I.
Eso no equivale a “todo se aplaza a diciembre de 2027”. El primer grupo podía empezar antes si la Comisión confirmaba pronto las herramientas de apoyo y transcurrían seis meses. El segundo tenía otro periodo y otra fecha tope. El dato duradero es que un plazo regulatorio puede depender de un evento y contener además un límite: hay que registrar ambos.
Qué obligaciones estaban dentro del reloj
La propuesta citaba las secciones 1, 2 y 3 del capítulo III. La sección 1 contiene la clasificación. La sección 2 exige, entre otros elementos, gestión continua de riesgos, gobernanza de datos, documentación técnica, registros, transparencia hacia quien despliega, supervisión humana, precisión, robustez y ciberseguridad. La sección 3 distribuye obligaciones entre proveedores, representantes, importadores, distribuidores y responsables del despliegue.
Esos papeles no son intercambiables. El proveedor desarrolla un sistema o lo coloca en el mercado bajo su nombre. El responsable del despliegue lo utiliza bajo su autoridad. Una empresa puede comprar una herramienta de selección y seguir teniendo deberes sobre instrucciones, supervisión, datos de entrada, registros o evaluación de impacto cuando corresponda. El calendario de una obligación del proveedor no resuelve automáticamente la del cliente que la opera.
La propuesta tampoco eliminaba el contenido sustantivo de todas esas exigencias. Su exposición de motivos afirmaba que pretendía vincular la aplicación a la disponibilidad de apoyo sin reducir la protección de salud, seguridad y derechos fundamentales. A la vez, proponía otros cambios, como más flexibilidad en el plan de seguimiento posterior y menos registros para ciertos sistemas considerados no altos. Por eso “simplificación” debe traducirse artículo por artículo; no basta llamarla regulación o desregulación.
Por qué faltaban estándares y por qué no bastan
La Comisión justificó el mecanismo por retrasos en estándares armonizados, guías, autoridades nacionales y organismos de evaluación de conformidad. Un estándar armonizado puede convertir una obligación abstracta en controles comprobables y dar presunción de conformidad cuando se aplica correctamente. Sin esas herramientas, dos empresas o supervisores pueden interpretar de forma distinta la misma exigencia.
Pero un estándar no decide si un uso concreto daña a una persona ni sustituye la evidencia del sistema. La gestión de riesgos de la ley es un proceso continuo durante el ciclo de vida. Exige identificar riesgos conocidos y previsibles, evaluar uso previsto y mal uso razonablemente previsible, probar medidas y revisar lo ocurrido tras el despliegue. Esperar una plantilla no impide conservar versiones, datos, incidencias y decisiones desde ahora.
Qué debe hacer una organización mientras cambia el calendario
Primero, inventariar por sistema la finalidad prevista y las decisiones que influye. Segundo, documentar por qué encaja en el artículo 6.1, el 6.2 o una excepción del 6.3. Tercero, asignar los papeles reales: proveedor, importador, distribuidor o responsable del despliegue. Cuarto, construir una matriz que relacione cada obligación con su artículo, evidencia, propietario interno, fecha vigente, cambio propuesto y condición de activación.
El expediente mínimo conserva versión del modelo y del software, procedencia y controles de datos, pruebas por grupos afectados, instrucciones, registros, incidentes, supervisión humana y cambios de finalidad. Si una fecha se mueve, ese trabajo sigue sirviendo para contratar mejor, detectar daño y demostrar qué se sabía. Si el sistema deja de ser auxiliar y pasa a influir materialmente en una decisión, la clasificación debe revisarse.
Para quien recibe una decisión, la demora tampoco borra el RGPD, la legislación laboral, de consumo, igualdad o seguridad de producto. La propia ley de IA declara que complementa esos marcos. No conviene presentar el aplazamiento propuesto como un periodo sin derechos ni como una autorización general para desplegar cualquier sistema.
Un método para leer el próximo titular regulatorio
La ficha cabe en una página. Se anota el documento y su estatus; el texto vigente que pretende modificar; el artículo exacto; las categorías afectadas; el actor obligado; el evento que inicia el cómputo; el periodo de transición; la fecha tope; y los pasos legislativos pendientes. Cada dato enlaza al texto oficial. Una columna separa hechos de interpretación y otra registra la última comprobación.
Aplicado al 19 de noviembre de 2025, el resultado era preciso: la Comisión había propuesto dos relojes condicionados para parte del alto riesgo, no había suspendido unilateralmente la AI Act. Leer así protege tanto de la alarma como de la complacencia. La fecha puede cambiar; la necesidad de clasificar el uso, asignar responsabilidades y conservar evidencia empieza mucho antes.
Este artículo se ha elaborado con inteligencia artificial bajo supervisión editorial humana.
