IA Alto Riesgo 2027: Lo Que Realmente Se Aplazó
Qué obligaciones de IA de alto riesgo llegan en 2027 y si afectan a tu gestoría
El 2 de agosto de 2026 llevaba dos años marcado en rojo en todas las agendas de cumplimiento como el día de la aplicación plena del Reglamento Europeo de IA. Tres semanas antes de esa fecha, el guion cambió: un nuevo reglamento aplazó buena parte de las obligaciones de IA de alto riesgo hasta 2027, aunque no todas. Es justo esa distinción —qué se movió y qué no— la que está generando más confusión ahora mismo entre gestorías y autónomos.
Qué ha pasado exactamente: el Ómnibus Digital
El Reglamento (UE) 2026/1744, conocido como el Ómnibus Digital sobre IA, se aprobó el 8 de julio de 2026 y entró en vigor el 27 de julio, apenas días antes de la fecha que todo el sector tenía marcada. Su efecto principal: las obligaciones de los sistemas de IA de alto riesgo que estaban previstas para el 2 de agosto de 2026 se posponen al 2 de diciembre de 2027 para los sistemas del Anexo III, y hasta el 2 de agosto de 2028 para los sistemas del Anexo I, integrados en productos ya regulados como maquinaria o dispositivos médicos.
El motivo, reconocido en el propio preámbulo de la norma, es pragmático: las normas técnicas armonizadas que deberían guiar a las empresas sobre cómo cumplir todavía no estaban listas.
Tabla resumen: qué se movió y qué sigue exactamente igual
| Artículo / bloque | Obligación | Fecha original | Estado tras el Ómnibus (jul. 2026) |
|---|---|---|---|
| Art. 5 — Prácticas prohibidas | Sistemas de riesgo inaceptable (puntuación social, manipulación subliminal) | 2 feb. 2025 | Sin cambios, vigente desde 2025 |
| Art. 4 — Alfabetización en IA | Formación documentada del personal que usa IA | 2 feb. 2025 | Vigente, redacción suavizada a «obligación de medios» |
| Art. 50 — Transparencia | Identificar chatbots, etiquetar contenido y deepfakes generados por IA | 2 ago. 2026 | Sin cambios, sin periodo de gracia |
| Anexo III — Alto riesgo «autónomo» | Empleo, crédito, educación, servicios esenciales, biometría, migración, justicia | 2 ago. 2026 | Aplazado a 2 dic. 2027 |
| Anexo I — Alto riesgo integrado | IA dentro de productos ya regulados (maquinaria, dispositivos médicos) | 2 ago. 2027 | Aplazado a 2 ago. 2028 |
Esta tabla resuelve de un vistazo la confusión de fondo: de las cinco piezas del Reglamento, solo dos se han retrasado. Las otras tres —prohibiciones, alfabetización y transparencia— siguen corriendo exactamente igual que antes del Ómnibus.
Qué categorías de alto riesgo tocan de verdad a una gestoría
El Anexo III recoge ocho categorías de sistemas considerados de alto riesgo por su impacto directo sobre las personas: biometría, infraestructuras críticas, educación, empleo, servicios esenciales, migración y fronteras, aplicación de la ley, y justicia. De estas ocho, dos pueden rozar el trabajo de una gestoría de forma indirecta.
La categoría de empleo y gestión de trabajadores cubre sistemas que criban currículums, puntúan candidatos, deciden promociones o despidos, o monitorizan el rendimiento del personal. Si tu gestoría asesora a clientes en procesos de selección apoyados en IA, o usa ella misma una herramienta de este tipo para su propio equipo, esta categoría entra en juego, aunque con el margen adicional hasta diciembre de 2027.
La categoría de crédito y scoring financiero afecta a sistemas que deciden sobre la concesión de crédito o evalúan la solvencia de una persona. Para la mayoría de gestorías fiscales, esto queda fuera de su actividad directa, salvo que asesoren a clientes del sector financiero o inmobiliario que sí usen este tipo de sistemas.
La automatización fiscal habitual de una gestoría —clasificación de facturas, conciliación bancaria, chatbots de atención al cliente— se sitúa en la categoría de riesgo limitado o mínimo, precisamente porque no toma decisiones que afecten de forma determinante a derechos fundamentales de las personas. Si tu gestoría usa un chatbot en WhatsApp o en la web, como vimos en el artículo sobre automatizar la atención al cliente con IA, la obligación de transparencia del artículo 50 sí te afecta ya, desde agosto de 2026, sin que este aplazamiento del alto riesgo te dé margen adicional en ese punto concreto.
El alivio adicional para pymes que trae el mismo paquete
El Ómnibus también simplifica los requisitos documentales para empresas pequeñas y medianas. Las organizaciones con menos de 750 empleados y una facturación inferior a 150 millones de euros se benefician de una documentación técnica reducida frente a la exigida originalmente, cuando el momento llegue. Prácticamente cualquier gestoría española encaja de sobra en ese umbral.
Cómo aprovechar este margen sin caer en la falsa sensación de calma
El aplazamiento da margen técnico, no un pase libre. La lectura más razonable para una gestoría es la contraria a relajarse: dieciséis meses adicionales son una oportunidad para preparar con calma cualquier sistema que pudiera entrar en esta categoría en el futuro, en vez de improvisar bajo presión cuando la fecha límite estuviera ya encima. Mientras tanto, la prioridad real e inmediata sigue siendo cumplir con lo que no se ha movido, como muestra la tabla anterior: transparencia de tus chatbots desde agosto de 2026, y alfabetización de tu equipo, vigente ya desde hace más de un año y medio, como desarrollamos en el artículo sobre alfabetización en IA obligatoria.
La lección de fondo que deja este episodio normativo
Este no es el primer aplazamiento que vemos en la regulación europea de digitalización fiscal —Verifactu ya sufrió dos antes de fijar sus fechas actuales—, y probablemente no será el último dentro del propio Reglamento de IA. La estrategia que mejor funciona entre quienes siguen esta normativa de cerca no es esperar a la fecha límite oficial para empezar a prepararse, sino separar con claridad, como hace la tabla de este artículo, qué obligaciones están realmente confirmadas y activas hoy de las que solo figuran en un calendario todavía sujeto a ajustes.
