Es posible que se retrase el plazo de la Ley de IA de la UE, pero la exposición de sus datos de IA no esperará

La fase más exigente de la Ley de IA de la UE está prevista para agosto de 2026, aunque Bruselas está tomando medidas para aplazarla hasta 2027. Para los equipos de seguridad y protección de datos, esa fecha supone una distracción. La verdadera prueba es si puede observar que la IA ya está gestionando sus datos.

En estos momentos circula una historia tranquilizadora entre los responsables de seguridad. La cuestión es la siguiente. Las obligaciones más exigentes de la Ley de IA de la UE siempre estaban previstas para agosto de 2026; el «Omnibus Digital» las aplazará hasta diciembre de 2027, por lo que habrá un respiro. La mitad de esa historia es cierta. La conclusión es errónea.

Cuál es la situación actual en cuanto al calendario

Esta es la imagen exacta. La Ley de Inteligencia Artificial está en vigor desde agosto de 2024 y se aplica por fases. Las prácticas prohibidas y las obligaciones en materia de alfabetización en IA están en vigor desde febrero de 2025. Las normas de gobernanza y las obligaciones relativas a la IA de uso general están en vigor desde agosto de 2025. Las obligaciones relativas a los sistemas de alto riesgo se fijaron para el 2 de agosto de 2026, y esa sigue siendo, a día de hoy, la fecha límite para su cumplimiento. El «Omnibus digital», sobre el que las instituciones de la UE han alcanzado un acuerdo de principio, aplazaría las obligaciones de alto riesgo hasta el 2 de diciembre de 2027, pero solo entrará en vigor una vez que se haya adoptado y publicado formalmente. Hasta que eso ocurra, la fecha sigue siendo agosto de 2026. Las sanciones previstas en la Ley pueden alcanzar los 35 millones de euros o el 7 % de la facturación global, y se aplican a las empresas de fuera de la UE que comercializan sistemas de inteligencia artificial en el mercado de la UE.

Por lo tanto, es posible que la fecha cambie. Fíjese en lo que no se mueve con él.

La Ley de la UE sobre la IA se aplica por fases. Agosto de 2026 seguirá vigente a menos que se apruebe formalmente antes el «Digital Omnibus».

La fecha cambia, pero la obligación sigue siendo la misma

La Ley de Inteligencia Artificial no sustituye al RGPD. Ambas se aplican simultáneamente a cualquier sistema de inteligencia artificial que trate datos personales, lo que significa que sus obligaciones actuales en materia de protección de datos no se ven afectadas por ningún retraso en el calendario de alto riesgo. Las obligaciones en materia de conocimientos sobre IA y gobernanza que ya están en vigor presuponen algo que la mayoría de las organizaciones aún no pueden ofrecer: una comprensión clara y actualizada de qué sistemas de IA están en funcionamiento dentro de la empresa y a qué datos tienen acceso. El mantenimiento de registros, la supervisión humana y la gestión de riesgos no son meros trámites burocráticos. Es imposible llevarlas a cabo sobre una actividad que no se puede ver.

Esa es la brecha, y se está ampliando más rápido que la normativa. Nada menos que el 80 % de las empresas de la lista Fortune 500 utilizan actualmente agentes de inteligencia artificial activos, aunque solo el 14 % cuenta con la autorización de seguridad completa para ellos. Los agentes y las herramientas de IA están accediendo a datos confidenciales a través de vías que los controles tradicionales nunca fueron diseñados para supervisar: flujos de trabajo conectados al MCP, agentes comerciales, automatizaciones creadas por los empleados y herramientas de IA «en la sombra» que nadie ha autorizado. La pérdida de datos ha dejado de ser un problema exclusivo de las personas. Un agente que actúe en nombre de un empleado puede trasladar un archivo confidencial en cuestión de segundos, y la mayoría de los sistemas de seguridad ni siquiera registrarán que ello haya ocurrido.

En qué consiste realmente la preparación

Por eso no conviene basar la planificación en el plazo límite. Independientemente de si las obligaciones de alto riesgo se hacen efectivas en 2026 o en 2027, el trabajo necesario para que una organización pueda defenderse es el mismo, y debe comenzar ahora mismo.

En primer lugar, elabore un inventario actualizado de la IA que se está utilizando, tanto autorizada como no autorizada, y relacione dicha IA con los datos a los que tiene acceso. No se puede gestionar, informar ni respaldar aquello que no se ve. Incydr se ha diseñado para proporcionar a los equipos de seguridad esa visibilidad en el punto en el que los datos se mueven realmente, a través de dispositivos finales, navegadores, aplicaciones SaaS y herramientas de IA, abarcando todo el recorrido de los datos de la empresa, desde su entrada hasta su salida.

Incydr ofrece visibilidad desde la entrada hasta la salida a lo largo de las rutas que utilizan los agentes y las herramientas de IA para transferir datos.

En segundo lugar, tome el control rápidamente. Los plazos reglamentarios son muy ajustados, y una implantación que se mide en trimestres no resulta de gran ayuda cuando la obligación ya está en vigor. La ventaja de Incydr frente a los sistemas DLP pesados de clasificación de contenidos es la rapidez: ofrece una visibilidad útil en cuestión de días, en lugar de un programa que se prolonga durante varios trimestres y que queda obsoleto antes incluso de que dé resultados.

En tercer lugar, evalúe la intención, no solo el contenido. Tanto los organismos reguladores como los auditores y su propio modelo de riesgo tienen en cuenta si una exposición se debió a una acción malintencionada, a una negligencia o a una práctica habitual. Las herramientas que solo se centran en el contenido no pueden indicárselo. Incydr evalúa el contexto en torno al movimiento de datos, de modo que los equipos puedan centrar su atención en los incidentes que entrañan un riesgo real, en lugar de dedicarse a investigar cada falso positivo.

Los agentes amplían este mismo problema a nuevos ámbitos, y es hacia ahí hacia donde se dirige la categoría en el futuro. En la RSAC 2026, Mimecast presentó un avance del Agent Risk Center, una ampliación de Incydr diseñada para detectar, gestionar y subsanar la exposición de datos, independientemente de si la acción procede de un empleado o de un agente que actúe en su nombre. El principio es coherente con todo lo expuesto anteriormente: una visión unificada de la actividad de los datos relativos a personas y agentes, una gobernanza que se pueda medir y medidas correctivas que vinculen cada hallazgo con una acción concreta. Es la respuesta lógica a un marco normativo que, cada vez más, le exigirá que rinda cuentas del software autónomo del mismo modo que lo hace con las personas.

Los equipos que estarán preparados no son los que siguen el calendario de las reuniones tripartitas. Son ellos quienes consideran que agosto de 2026 es el factor impulsor que realmente es, un motivo para comprobar, por fin, qué está haciendo la IA con sus datos. Es posible que la fecha se retrase. La exposición ya está aquí.

Para reducir la brecha en la preparación para la IA, lo primero es realizar una demostración de valor de Incydr

Una prueba de valor de 30 días, limitada a entre 50 y 100 usuarios en un departamento con un uso intensivo de la IA, como el de ingeniería, ofrece una visión clara ya desde la primera semana. Al llegar al día 30, dispondrá de pruebas, controles y un informe sobre el sistema de gobernanza para el consejo de administración y los organismos reguladores.