Ley de IA: qué cambia para el usuario a partir de agosto de 2026

Se llevan meses leyendo que "el 2 de agosto entra en vigor la ley de la IA". No es exactamente así, y la diferencia importa. El AI Act (Reglamento UE 2024/1689) entró en vigor en agosto de 2024. Lo que ocurre el 2 de agosto de 2026 es que se vuelve plenamente aplicable: es la fecha en la que la mayoría de sus obligaciones dejan de ser papel y empiezan a poder sancionarse. Y aquí viene el primer matiz que casi nadie explica bien: no todo lo que se esperaba para esa fecha va a aplicarse ya.

Lo que sí llega el 2 de agosto

Lo que realmente afecta como usuario desde esa fecha son las obligaciones de transparencia del artículo 50 del Reglamento. En la práctica, significan tres cosas muy concretas:

• Si se habla con un chatbot o un asistente virtual, la empresa tiene que decirlo desde el primer mensaje. Ya no vale con tener que intuirlo.
• Si se ve una imagen, un audio o un vídeo generado por IA, tiene que llevar una marca identificable, legible por máquina, que permita saber que no es contenido real. Para los sistemas que ya estaban en el mercado antes del 2 de agosto de 2026, hay un margen adicional hasta el 2 de diciembre de 2026 para implementarlo.
• Y si un texto generado por IA trata sobre un asunto de interés público, la publicación tiene que declararlo, salvo que haya pasado por una revisión editorial humana real.

Lo que NO llega en agosto

Aquí está el matiz importante. Las obligaciones más estrictas, las que protegen a las personas cuando un sistema de IA decide sobre su vida, selección de personal, acceso a educación, scoring crediticio (el algoritmo que decide si se concede un préstamo o una tarjeta y en qué condiciones), servicios esenciales, actuación policial, control de fronteras, estaban previstas también para agosto de 2026. Se han aplazado.

El Parlamento Europeo aprobó el 16 de junio de 2026 y el Consejo de la UE dio luz verde definitiva el 29 de junio a un paquete de simplificación (el "Digital Omnibus on AI") que retrasa estas obligaciones de alto riesgo hasta el 2 de diciembre de 2027, y hasta agosto de 2028 para los sistemas integrados en productos regulados (dispositivos médicos, juguetes, maquinaria). El texto solo está pendiente de publicarse en el Diario Oficial de la UE, algo que se espera antes del 2 de agosto de 2026.

Esto no quiere decir que esos sistemas puedan hacer lo que quieran mientras tanto. Las prohibiciones del artículo 5 ya están en vigor desde febrero de 2025 y no se han tocado. En la práctica, significan cosas como estas:

• Puntuación social: ninguna autoridad puede puntuar según el comportamiento (redes sociales, forma de pagar, relaciones) para dar o quitar acceso a servicios, al estilo de los sistemas de "crédito social" que existen en otros países.
• Manipulación subliminal: están prohibidos los sistemas diseñados para influir en las decisiones sin ser consciente de ello, más allá de la publicidad convencional.
• Explotación de vulnerabilidades: no se puede usar IA para aprovecharse deliberadamente de la edad, la discapacidad o la situación económica de alguien y llevarle a tomar decisiones que le perjudiquen.
• Identificación biométrica en tiempo real en espacios públicos: las cámaras con reconocimiento facial en vivo para identificar a personas en la calle están prohibidas, salvo excepciones muy limitadas para fuerzas de seguridad (por ejemplo, la búsqueda de una persona desaparecida o la prevención de un atentado).

La medida con más impacto directo: prohibición de aplicaciones "nudificadoras"

Este es uno de los cambios con más impacto directo en la vida de las personas, más allá del debate técnico sobre empresas y cumplimiento normativo. El mismo paquete de simplificación añade una prohibición nueva al artículo 5 del Reglamento: quedan vetados los sistemas de IA diseñados para generar contenido sexual o íntimo de una persona identificable sin su consentimiento, las conocidas como aplicaciones "nudificadoras", y los que generen material de abuso sexual infantil.

La medida partió de una propuesta del Gobierno de España, respaldada después por Francia, y se acordó a nivel europeo el 7 de mayo de 2026. Se aplicará desde el 2 de diciembre de 2026, con multas de hasta 15 millones de euros o el 7% de la facturación mundial. Afecta tanto a quien pone estas herramientas en el mercado como a quien las usa con ese fin.

La ley española: todavía no es ley

El 26 de mayo de 2026 el Consejo de Ministros aprobó el proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, que adapta el Reglamento europeo al ordenamiento español. Importante: es un proyecto, no una ley en vigor. Se remitió al Congreso, se publicó en el Boletín Oficial de las Cortes Generales el 12 de junio de 2026 y ahora sigue su tramitación parlamentaria, con el recorrido de enmiendas y votaciones que eso implica.

Lo que sí define ya con claridad es quién va a proteger al usuario si un sistema de IA le causa un perjuicio en España. La Agencia Española de Supervisión de Inteligencia Artificial (AESIA), con sede en A Coruña, actúa como autoridad central. El Banco de España supervisa lo relacionado con sistemas financieros, la Agencia Española de Protección de Datos lo relativo a datos personales, y el Consejo General del Poder Judicial lo que afecte a la Administración de Justicia. El proyecto también crea una ventanilla única de denuncias con protección para quien informe de un mal uso, e incorpora medidas específicas de protección para menores.

Qué hacer con esto, en la práctica

Si se usan herramientas de IA para trabajar, comunicar o crear contenido, revisar si se etiquetan las publicaciones como generado por IA cuando toca, a partir de agosto, dejará de ser una buena práctica opcional para convertirse en una obligación legal en determinados casos. Si es usuario y no proveedor, la protección más inmediata es el derecho a saber cuándo se interactúa con una máquina y a que el contenido sintético esté identificado. Y si al usuario le preocupan las decisiones automatizadas que afectan al empleo, al crédito o al acceso a servicios, hay que tener paciencia: la protección reforzada llega, pero no antes de diciembre de 2027.

Si tienes un negocio: si se usan chatbots, se genera contenido con IA si se tiene personal trabajando con estas herramientas, revisar ya el etiquetado de los contenidos y recuerdar que la alfabetización en IA del equipo es obligatoria desde febrero de 2025, no desde agosto. AESIA tiene publicadas guías gratuitas, para entender el Reglamento y aplicarlo paso a paso.

Esta información está actualizada a 15 de julio de 2026. El texto definitivo del Digital Omnibus todavía está pendiente de publicación en el Diario Oficial de la UE, así que conviene comprobar si hay novedades antes de dar estas fechas por cerradas.

Una última aclaración: no soy abogada ni especialista en derecho digital. Trabajo con inteligencia artificial aplicada a negocio, y este artículo tiene un propósito informativo, para ayudarte a entender qué cambia y cuándo con la información disponible hoy. Para decisiones que dependan de esta normativa, lo mejor escontrastarlo con asesoría jurídica especializada.

Transparencia también aquí: parte de este artículo, sobre todo el resumen de artículos y enlaces de los mismos, plazos y fechas legales, se ha elaborado con ayuda de inteligencia artificial y ha sido revisado y editado por mí antes de su publicación. Que quede dicho, ya que es justo de lo que habla el texto.