Digital Omnibus y AI Act:
ya es ley — qué cambia
y qué sigue exactamente igual

Qué es el Digital Omnibus

En el lenguaje legislativo europeo, una norma "Omnibus" es aquella que modifica simultáneamente varias regulaciones ya existentes en lugar de crear una nueva ley independiente. No es un reglamento nuevo: es un mecanismo jurídico para introducir ajustes en normativas vigentes de forma coordinada.

El Digital Omnibus que ahora centra el debate fue propuesto por la Comisión Europea en noviembre de 2025 con un objetivo claro: simplificar y reescalonar parte de la regulación digital europea, en particular las obligaciones derivadas del AI Act (Reglamento UE 2024/1689). El detonante fue la constatación de que muchas empresas —especialmente medianas— estaban encontrando la carga de cumplimiento excesiva y los plazos difíciles de asumir.

Por qué apareció: el problema de fondo

Para entender el Digital Omnibus hay que entender el problema que intentaba resolver. Cuando el AI Act entró en vigor en agosto de 2024, estableció un calendario de obligaciones progresivo. Las más exigentes —las que afectan a sistemas de IA clasificados como de alto riesgo— tenían plazo en agosto de 2026.

Conforme las empresas comenzaron a analizar qué implicaba ese cumplimiento en la práctica, surgieron dos problemas simultáneos:

• La infraestructura regulatoria no estaba lista. Las normas técnicas armonizadas que deben servir de referencia para cumplir el AI Act no estaban publicadas. Las empresas tendrían que cumplir obligaciones sin que existieran todavía los estándares que les dijeran exactamente cómo hacerlo.
• La carga administrativa se percibía como desproporcionada. Desarrollar un expediente técnico completo, implementar sistemas de gestión de riesgos, mantener logs de monitorización, formar equipos y documentar procesos de supervisión humana requería inversiones que muchas empresas medianas no habían previsto.

Al mismo tiempo, el debate político europeo sobre competitividad tecnológica se intensificó: mientras Europa regulaba, Estados Unidos y China aceleraban. El Digital Omnibus fue la respuesta de Bruselas a esa tensión: mantener la regulación pero hacerla más viable operativamente.

Cronología: dónde estamos ahora mismo

Este es el punto más importante para entender la situación real a fecha de hoy:

Qué cambia y qué NO cambia

La lectura correcta no es "han retrasado el AI Act". La lectura correcta es: han dado más tiempo solo para las obligaciones de alto riesgo, mientras el resto del Reglamento sigue su calendario original.

El aplazamiento es margen, no exención

Esta es la distinción más importante para cualquier empresa que esté pensando en postponer su programa de adecuación.

Preparar un sistema de IA de alto riesgo para cumplir el AI Act no es una tarea que se hace en semanas. Requiere, como mínimo:

• Hacer el inventario de sistemas de IA de la empresa e identificar cuáles son de alto riesgo
• Desarrollar el expediente técnico completo (Anexo IV) para cada sistema
• Implementar el sistema de gestión de riesgos con proceso continuo
• Establecer procedimientos de supervisión humana documentados y verificables
• Configurar los logs de monitorización y trazabilidad
• Formar a las personas responsables de operar y supervisar los sistemas
• Registrar el sistema en la base de datos de la UE

En nuestra experiencia, un programa de adecuación para sistemas de alto riesgo lleva entre 12 y 18 meses en una empresa mediana. Quien espere a 2027 para empezar llegará a diciembre de 2027 sin haber terminado — y esta vez no habrá un segundo aplazamiento con el que contar.

Además, las empresas que comiencen su programa de adecuación ahora obtendrán ventajas concretas frente a sus competidoras: mayor confianza de clientes, mejores condiciones en procesos de due diligence o M&A, acceso a licitaciones que ya incorporan criterios AI Act, y una posición más sólida ante cualquier investigación de la AESIA.

Qué deberían hacer las empresas ahora

El Digital Omnibus no cambia el qué hay que hacer: cambia el cuándo. Las obligaciones de fondo —inventario, clasificación, documentación técnica, supervisión humana, gestión de riesgos— siguen siendo las mismas. Lo que el aplazamiento ofrece es la oportunidad de hacerlo de forma ordenada en lugar de bajo presión.

Los tres pasos inmediatos más importantes siguen siendo los mismos de siempre:

• Inventario de sistemas de IA: identificar todas las herramientas con IA que opera la empresa, en qué departamentos y para qué decisiones. Es el punto de partida de cualquier programa de adecuación y el primer documento que pide la AESIA en una inspección.
• Clasificación de riesgo: determinar cuáles de esos sistemas son de alto riesgo según el Reglamento. No todos lo son, pero clasificar incorrectamente un sistema de alto riesgo como de riesgo limitado es, en sí mismo, una infracción.
• Hoja de ruta hacia la adecuación: con el inventario y la clasificación, definir qué documentación hay que desarrollar, en qué orden y con qué recursos. Tener esa hoja de ruta lista antes de final de 2026 es la diferencia entre llegar a diciembre de 2027 preparados o con urgencia.

En Trust AI, seguimos haciendo el mismo diagnóstico inicial de 60 minutos: inventario, clasificación y mapa de exposición. La diferencia es que ahora el horizonte de trabajo, diciembre de 2027, es una fecha confirmada y no una previsión — y ese margen permite diseñar programas de adecuación más sólidos y con menor estrés para los equipos.

Álvaro Menéndez

CEO · Trust AI

Lidera Trust AI y acompaña directamente a cada cliente en su proceso de adecuación al AI Act. Sigue de cerca la evolución del Digital Omnibus y su impacto en los programas de cumplimiento de empresas españolas.