¿Qué obligaciones del Reglamento de IA se ven desde fuera?

Desde fuera de una empresa solo pueden comprobarse tres cosas del Reglamento de IA: si avisa de que un chat lo atiende una máquina, si marca el contenido generado con IA y si publica una política de uso. El resto —registro de sistemas, supervisión humana, formación— no deja rastro público. Saber qué se ve y qué no evita gastar esfuerzo donde no se nota.

En resumen

• Solo tres de las seis obligaciones básicas dejan señal pública.
• Ausencia de señal no es incumplimiento: puede haber política sin publicar.
• Lo que no se ve desde fuera es justo lo que más pesa en una comprobación.
• La alfabetización del artículo 4 rige desde febrero de 2025. No fue aplazada, pero el Ómnibus reformuló su redacción en julio de 2026.
• El 2 de diciembre de 2026 vence la prórroga del marcado del artículo 50.2, que obliga al proveedor.
• La prórroga se mide por puesta en el mercado por el proveedor, no por la fecha en que el cliente empezó a usarlo.
• Sin alfabetización, reskilling y gobernanza, la IA es un riesgo, no una ventaja. Es lo que certifica el sello CriterIA©.
• El Observatorio CriterIA© mide justo esa señal pública en más de cuatrocientas organizaciones. Primera edición: 10 de septiembre.

Lo que cualquiera puede comprobar de tu empresa esta tarde

Tres cosas, sin entrar en tu casa y sin preguntarte nada.

Si tienes un chat y avisa. El artículo 50.1 exige que quien escribe sepa que le responde un sistema automático. El apartado 5 precisa cuándo: la información se facilita de forma clara y distinguible a más tardar en el momento de la primera interacción. Se comprueba abriendo el chat.

Si marcas el contenido generado con IA. El artículo 50.2 impone ese marcado, en formato legible por máquina, a los proveedores de los sistemas que generan el contenido, no a la empresa que los utiliza. Aun así se ve desde fuera, mirando las metaetiquetas de una página, que es lo que hace cualquier rastreador. A quien despliega le alcanza el artículo 50.4: revelar el origen artificial del texto publicado para informar sobre asuntos de interés público, salvo que haya revisión humana y responsabilidad editorial asumida.

Si publicas una política de uso de IA. Esta no es obligatoria. Pero es la primera evidencia que pide cualquier auditoría de cliente y la base del expediente de alfabetización del artículo 4.

Y lo que no se ve, que es lo que más pesa

Aquí está el problema de fondo de todos los rankings de cumplimiento que circulan.

El registro de sistemas de IA no deja rastro público. La supervisión humana declarada tampoco. El plan de alfabetización del artículo 4, menos aún. Son tres de las seis obligaciones básicas y ninguna se puede medir desde fuera.

Eso significa que una empresa impecable por dentro puede no mostrar ninguna señal, y una que no ha hecho nada puede tener una política bonita colgada. La observación externa mide lo que se ve, no lo que se cumple. Cualquiera que diga lo contrario está vendiendo un número.

Las fechas, ordenadas

Se repite mucho el 2 de diciembre y muy poco lo que ya venció.

Reglamento (UE) 2024/1689 y Reglamento (UE) 2026/1744, de 8 de julio de 2026 (DOUE 24/07/2026, en vigor el 27/07/2026). Interpretación: Directrices de la Comisión aprobadas el 20 de julio de 2026, no vinculantes, y Código de buenas prácticas sobre transparencia del contenido generado con IA.

Y el matiz que casi nadie cuenta: el 2 de diciembre de 2026 no es la fecha en que «empiezan las obligaciones de IA». Es dos cosas distintas y conviene no mezclarlas.

Una. Termina un régimen transitorio muy concreto: el del marcado legible por máquina del artículo 50.2, y solo para los sistemas de IA generativa que el proveedor hubiera puesto en el mercado antes del 2 de agosto de 2026. El matiz no es menor: el Reglamento habla de puesta en el mercado por el proveedor, no de la fecha en que un cliente empezó a usar la herramienta. Son conceptos distintos en el artículo 3 y no son intercambiables. Un sistema puesto en el mercado después del 2 de agosto no entra en esa transición.

Y dos. Ese mismo día pasa a aplicarse el paquete de prohibiciones nuevas que el Reglamento (UE) 2026/1744 añadió al artículo 5, que es el que lleva el tramo sancionador más alto del Reglamento. Es la parte que casi no se está contando.

El resto del calendario ya venció. La transparencia del artículo 50 se aplica desde el 2 de agosto de 2026; la alfabetización del artículo 4 y las prohibiciones originales, desde febrero de 2025; y el régimen sancionador, desde agosto de 2025.

Por qué lo decimos con conocimiento de causa

Mantenemos un registro propio de diecinueve sistemas de IA: dieciocho en servicio y uno en fase de prototipo, cada uno con su modelo, su nivel de riesgo, los artículos que le aplican y su supervisión humana declarada.

Es un registro interno y no permite extrapolar nada sobre ninguna otra empresa. Pero responde a la única pregunta que importa cuando alguien te vende cumplimiento: enséñame el tuyo.

Y esta semana nos sirvió para encontrarnos un fallo. Al revisarlo a fondo descubrimos que casi ningún sistema tenía anotada la fecha exacta de puesta en servicio. Parece administrativo y es determinante: es lo que decide si un sistema tiene prórroga hasta diciembre o está obligado ya. Dos de los diecinueve resultaron ser posteriores al 2 de agosto, y ahora constan como tales, con la fuente documental que acredita el día.

Lo contamos porque es exactamente el error que este artículo describe, cometido en casa.

Por qué esto no se arregla con un informe jurídico

Hay una conclusión incómoda en todo lo anterior, y conviene decirla claro.

Las tres obligaciones que se ven desde fuera se resuelven en una tarde: un aviso en el chat, una etiqueta en el contenido, una política colgada. Las tres que no se ven —el inventario, la supervisión humana, la formación— no se resuelven con un documento. Se resuelven cambiando cómo trabaja la gente.

Sin alfabetización, reskilling y gobernanza, la inteligencia artificial no es una ventaja: es un riesgo.

Es lo que llevamos más de dos años defendiendo, antes de que existiera el Reglamento que ahora nos da la razón. La IA no fracasa por la tecnología: fracasa cuando entra en una organización que no sabe usarla, no ha rediseñado sus procesos para acogerla y no tiene manera de decidir quién responde de lo que produce. En ese escenario no ahorra trabajo: multiplica el error, lo hace más rápido y lo reparte mejor.

Hacen falta las tres a la vez, y faltando una las otras dos no se sostienen:

• Alfabetización. Que las personas sepan qué hace la herramienta, dónde falla y cuándo desconfiar. No es enseñar a escribir instrucciones: es enseñar a no creerse la respuesta. Es, además, lo que exige el artículo 4 desde febrero de 2025.
• Reskilling. Que los puestos se rediseñen alrededor de lo que la persona aporta cuando la máquina hace el resto. Sin esto, la IA no libera tiempo: genera desconcierto y resistencia.
• Gobernanza. Inventario, clasificación de riesgo, supervisión humana con capacidad real de intervenir y rastro de lo que se decidió y por qué. Sin esto no hay nada que enseñar cuando alguien pregunte.

El sello CriterIA© certifica que las tres están. No es un informe: es un proceso que forma a las personas de la organización, verifica más de sesenta puntos repartidos en seis dimensiones y emite un sello anclado en blockchain que cualquiera puede comprobar sin pasar por nosotros.

Y ahí está la diferencia con un despacho, dicha sin ninguna acritud: un despacho te dice si cumples. Nosotros formamos a tu equipo, rediseñamos cómo trabajáis y luego lo certificamos. Son tres cosas distintas y casi nadie hace las tres.

Lo aplicamos en casa antes que en ningún cliente, y estos son los efectos que hemos observado: desarrollamos suites de IA más rápido porque el criterio está fijado antes de escribir la primera línea; sabemos antes de presentar una subvención si tiene probabilidad real de éxito; nuestra red de consultores está formada con registro de quién, cuándo y qué contenido; y cometemos menos errores, porque la verificación está separada de la redacción y no depende de que alguien se acuerde.

Cuando alguien te ofrezca un sello de cumplimiento, la pregunta correcta es siempre la misma: enséñame el tuyo.

Medir la señal pública: el Observatorio CriterIA©

Todo lo anterior tiene un problema de fondo: se discute sin datos. Sabemos cuánto dinero se moviliza porque lo publica quien lo reparte. Sabemos cuántas empresas dicen usar IA porque se lo preguntamos en encuestas. No sabemos casi nada sobre cuántas la gobiernan, porque nadie lo estaba mirando.

Por eso pusimos en marcha el Observatorio CriterIA©. No es una encuesta: es un radar. Recorre las páginas públicas de una organización, sin preguntar nada a nadie, y anota qué señales de cumplimiento encuentra. Exactamente las tres que este artículo describe.

Las encuestas recogen lo que las empresas dicen de sí mismas. El radar recoge lo que cualquiera puede comprobar.

Esa diferencia, que en una frase parece un matiz, en gestión lo cambia todo. Una encuesta mide intención declarada. Una observación externa mide evidencia disponible. Y cuando las dos no coinciden, la interesante es la segunda.

El 10 de septiembre publicamos la primera edición del Índice de Criterio©, con lo que hemos visto en más de cuatrocientas organizaciones, metodología abierta, margen de error declarado y licencia libre para citarlo o discutirlo. Habrá un corte específico para Galicia.

Y conviene decir desde ahora qué mide y qué no, porque un indicador mal leído hace más daño que ninguno: mide ausencia de señal pública, no incumplimiento. Que una organización no publique su política de IA no significa que no la tenga. Es un indicador que, cuando sube, indica que empeoramos.

→ Ver el Observatorio CriterIA© y su metodología

Qué hacer con esto el lunes por la mañana

Abre tu chat, si lo tienes, y mira el primer mensaje. Si no dice que responde un sistema automático, eso es media hora de trabajo.

Haz la lista de tus sistemas de IA. Todos: el chat de la web, el que resume correos, el que redacta propuestas, el que un proveedor te instaló y ya nadie mira. Sin esa lista no hay expediente posible.

Y anota la fecha en que cada uno entró en servicio. Es lo que a nosotros nos faltaba.

El 10 de septiembre publicamos la primera edición del Índice de Criterio©, con lo que hemos visto en más de cuatrocientas organizaciones analizadas desde fuera.

→ Hacer el CriterIA© 7 · siete preguntas, noventa segundos, sin registro

Preguntas frecuentes

¿Qué obligaciones del Reglamento de IA se pueden comprobar desde fuera de una empresa?

Solo tres: el aviso del artículo 50.1 en un canal conversacional, el marcado del contenido sintético del artículo 50.2 —que el Reglamento impone al proveedor del sistema— y la existencia de una política de uso publicada. El registro de sistemas, la supervisión humana y la formación no dejan rastro público.

Si una empresa no publica su política de IA, ¿está incumpliendo?

No. Publicar una política de uso de IA no es una obligación del Reglamento. La ausencia de señal pública acredita ausencia de señal, no incumplimiento: puede existir una política interna sin publicar.

¿Qué pasa el 2 de diciembre de 2026?

Vence el régimen transitorio del marcado legible por máquina del artículo 50.2 para los sistemas puestos en servicio antes del 2 de agosto de 2026, conforme al Reglamento (UE) 2026/1744.

¿Y si incorporé un sistema de IA después del 2 de agosto de 2026?

Conviene precisar quién y qué fecha. La transitoria del artículo 50.2 se mide por la puesta en el mercado del sistema por su proveedor, no por la fecha en que usted lo incorporó. Si el proveedor lo comercializó después del 2 de agosto de 2026, ese sistema no entra en la transición. Aun así, documentar cuándo empezó usted a utilizarlo sigue siendo útil para su propio expediente de cumplimiento.

¿La obligación de formación en IA está aplazada?

No. La alfabetización del artículo 4 rige desde el 2 de febrero de 2025 y no fue aplazada. Sí fue reformulada por el Reglamento Ómnibus, en vigor desde el 27 de julio de 2026: ya no exige garantizar un nivel concreto en cada persona, sino adoptar medidas que apoyen su promoción. El deber de actuar se mantiene y no distingue por tamaño de empresa.

¿Qué se aplazó entonces?

El paquete de sistemas de alto riesgo del Anexo III, que pasa a diciembre de 2027, y el del Anexo I, a agosto de 2028. La transparencia y la alfabetización siguen en vigor.

¿Por dónde empiezo si no tengo nada?

Por el inventario: qué sistemas de IA se usan, para qué, con qué datos y quién los supervisa. Sin esa lista no se puede clasificar el riesgo ni acreditar nada.

¿Por qué no basta con un informe jurídico de cumplimiento?

Porque las obligaciones que no se ven desde fuera —el inventario de sistemas, la supervisión humana y la formación del artículo 4— no se resuelven con un documento, sino cambiando cómo trabaja la organización. Sin alfabetización, reskilling y gobernanza, la IA deja de ser una ventaja y se convierte en un riesgo. El sello CriterIA© certifica las tres: forma a las personas, verifica más de sesenta puntos en seis dimensiones y emite un sello comprobable por cualquiera.

¿Qué es el Observatorio CriterIA© y qué mide?

Es un radar que recorre las páginas públicas de las organizaciones y anota qué señales de cumplimiento del Reglamento de IA encuentra, sin preguntar nada a nadie. Mide ausencia de señal pública, no incumplimiento. Su primera edición se publica el 10 de septiembre de 2026 con más de cuatrocientas organizaciones analizadas.

¿Cómo sé si el Reglamento me afecta siendo una pyme?

El artículo 4 no tiene umbral de tamaño. Si alguien de la organización usa IA en su trabajo, la obligación de alfabetización aplica. El autodiagnóstico CriterIA© 7 lo comprueba en noventa segundos.