La Ley de IA europea llegó al 2 de agosto: qué cambió de verdad para quien usa agentes de código

El 2 de agosto de 2026 se venía anunciando desde hace más de un año como la fecha límite de la Ley de IA de la Unión Europea (Reglamento UE 2024/1689): el día en que entraban en vigor las obligaciones más pesadas, las que aplican a los sistemas de "alto riesgo". Varios artículos publicados con meses de anticipación —algunos todavía circulando esta semana— seguían describiendo esa fecha como el gran parteaguas regulatorio. No fue así, al menos no en la forma esperada. Un paquete de reformas conocido como Digital Omnibus, en vigor desde el 27 de julio, corrió el plazo de las obligaciones de alto riesgo a diciembre de 2027. Lo que sí quedó firme, y ya es exigible desde el 2 de agosto, son las obligaciones de transparencia del Artículo 50. Para un equipo que usa agentes de código —Claude Code, Copilot, IBM Bob, watsonx Code Assistant for i, o alguna combinación— vale la pena entender qué cambió de verdad y qué no, porque la respuesta no es "nada" ni "todo".

Lo que sí es exigible desde el 2 de agosto

El Artículo 50 no depende de que un sistema se clasifique como de alto riesgo: aplica a cualquier sistema de IA que interactúe directamente con personas o que genere contenido sintético. En la práctica esto cubre tres situaciones. Un proveedor de un chatbot o asistente conversacional debe dejar claro que la persona está hablando con un sistema de IA, salvo que sea obvio por el contexto. Un sistema que genera audio, imagen, video o texto sintético debe marcar esa salida de forma legible por máquina, y si el contenido es un deepfake que representa a una persona, lugar o evento real, quien lo despliega tiene que revelarlo. Y quien use reconocimiento de emociones o categorización biométrica debe informar a las personas expuestas a ese sistema. La Comisión Europea publicó guías de interpretación sobre estas obligaciones el 20 de julio, y el incumplimiento puede costar hasta 15 millones de euros o el 3% de la facturación global anual, lo que sea mayor.

Lo que no ocurrió es la entrada en vigor del Capítulo III completo: los requisitos de gestión de riesgo, gobernanza de datos, documentación técnica, registro automático de eventos y supervisión humana para sistemas de alto riesgo del Anexo III (empleo, infraestructura crítica, educación, servicios esenciales, justicia, fronteras) se movieron a diciembre de 2027. Los sistemas de alto riesgo embebidos en productos regulados por otra legislación europea —dispositivos médicos, maquinaria— tienen plazo hasta agosto de 2028. Las prohibiciones de prácticas inaceptables del Artículo 5 (puntuación social, manipulación subliminal, ciertos usos de biometría en tiempo real) ya estaban vigentes desde febrero de 2025 y no se tocaron; tampoco las obligaciones para modelos de propósito general (GPAI) vigentes desde agosto de 2025. El Omnibus además sumó dos prohibiciones nuevas —aplicaciones de "nudificación" y sistemas que generan material de abuso sexual infantil— que entran en vigor en diciembre de 2026 con la multa más alta prevista en el reglamento: hasta 35 millones de euros o el 7% de la facturación global.

Dónde entra en juego un agente de código

La pregunta que de verdad importa para un equipo de desarrollo no es si "la IA en general" quedó regulada, sino si el uso específico que hace ese equipo cae dentro del Anexo III. Un agente usado para escribir, revisar, refactorizar o depurar código —el uso estándar de Claude Code, Copilot o un asistente tipo watsonx Code Assistant for i sobre RPG— no encaja de forma directa en ninguno de los ocho dominios de alto riesgo que lista el Anexo III (biometría, infraestructura crítica, educación, empleo, servicios esenciales, aplicación de la ley, justicia, gestión de fronteras). El caso donde varias guías legales y técnicas consultadas para esta nota coinciden en marcar riesgo real es distinto: cuando la telemetría de ese mismo agente —sesiones, aceptación de sugerencias, tiempo por tarea— se conecta a un tablero que un gerente usa para evaluar, calificar o asignar tareas a desarrolladores. Ahí el sistema deja de ser una herramienta de productividad y entra en el punto 4 del Anexo III, gestión de trabajadores, sin que la organización haya instalado ninguna herramienta nueva: el riesgo aparece por cómo se usa el dato, no por la herramienta en sí.

Hay un segundo punto que conviene revisar si el equipo hizo fine-tuning de un modelo de terceros sobre código propio y lo reetiquetó como producto interno: el Artículo 25 puede convertir a quien despliega ese modelo en "proveedor", con las obligaciones plenas que eso implica. Y para cualquier organización que en el futuro opere un agente sobre sistemas que sí califiquen de alto riesgo —por ejemplo, si participa en decisiones de acceso o priorización que afectan a personas—, el Artículo 12 exige que el registro de eventos quede integrado en el diseño desde el inicio, no como capa agregada después: poder reconstruir qué usuario invocó la tarea, qué versión de especificación gobernaba, qué modelo respondió y quién revisó la salida antes de aceptarla.

Qué hacer esta semana, sin esperar a un proyecto formal de compliance

Ninguno de estos pasos requiere un programa de cumplimiento completo ni esperar a que el proveedor del agente lo resuelva. Primero, clasificar en una frase cada uso de IA en el ciclo de desarrollo: ¿el resultado se usa para evaluar, calificar o afectar decisiones sobre personas —empleados, candidatos, clientes— o se queda dentro del código mismo? La mayoría de los usos de agentes de código caen en la segunda categoría y no activan el Anexo III. Segundo, si algún tablero de gestión ya cruza telemetría de agentes con evaluación de desempeño, tratarlo como lo que es: un sistema de gestión de trabajadores que probablemente entra en alto riesgo cuando llegue diciembre de 2027, y que conviene documentar desde ahora en lugar de descubrirlo bajo presión de auditoría. Tercero, si tu organización opera o vende hacia clientes en la UE y tiene un chatbot o asistente que interactúa directamente con usuarios finales, confirmar que quede claro —aunque sea con una línea de texto— que están hablando con un sistema de IA; es la obligación más barata de cumplir y la más fácil de pasar por alto. Y cuarto, si tu equipo ya construye con agentes en cadena sobre sistemas de producción, empezar a guardar el registro mínimo de quién pidió qué, qué modelo respondió y quién aprobó el resultado, no porque la ley lo exija hoy para casi ningún caso de desarrollo estándar, sino porque es la misma evidencia que cualquier comité de seguridad interno va a pedir tarde o temprano, con o sin regulador de por medio.

Fuentes: Marie Fillon et al., "Not Delayed, Not Deferred: EU AI Act Transparency Obligations Are Now in Force", Goodwin, 3 de agosto de 2026; Antonella Serine, "AI Agent Compliance Guide: EU AI Act Requirements", KLA, actualizado el 28 de julio de 2026; Ani Galstian, "The 2026 EU AI Act and AI-Generated Code: What Changes for Dev Teams", Augment Code, actualizado el 18 de junio de 2026 (nota: este artículo trata el aplazamiento del Digital Omnibus como propuesta no adoptada; al cierre de esta nota, el Omnibus ya había entrado en vigor).