Saltar al contenido
KisunoAI
Alojar usted mismo Empezar ahora
Precios Docs Blog Empezar ahora Alojar usted mismo

Derecho y plazos

El 2 de diciembre de 2026 y el 12 de enero de 2027: tres procesos que aguantan ante ambos plazos

El reglamento que en julio de 2026 aplazó los plazos de alto riesgo del AI Act sitúa al mismo tiempo dos obligaciones en el 2 de diciembre de 2026. Algo más de seis semanas después desaparece todo cobro por cambiar de proveedor. Este artículo ordena ambas fechas, muestra tres procesos ligados a ellas y precisa a quién afectan las obligaciones y a quién no.

Derecho y plazos Tiempo de lectura: 12 minutos

En resumen

  • El Reglamento (UE) 2026/1744, de 8 de julio de 2026, trasladó los plazos de alto riesgo del AI Act, es decir, del Reglamento europeo de inteligencia artificial, al 2 de diciembre de 2027 y al 2 de agosto de 2028.1 Casi en todas partes se leyó como un aviso de calma.
  • Ese mismo reglamento sitúa dos obligaciones en el 2 de diciembre de 2026. Los proveedores de sistemas que generan contenido sintético y que se introdujeron en el mercado antes del 2 de agosto de 2026 deben cumplir hasta esa fecha el marcado en formato legible por máquina del artículo 50, apartado 2.2 Y dos prohibiciones recién insertadas se aplican justo desde ese día.3
  • Algo más de seis semanas más tarde, el 12 de enero de 2027, los proveedores de servicios de tratamiento de datos ya no pueden cobrar nada por un cambio de proveedor, incluidos los costes de salida de los datos propios.4
  • Según Eurostat, en 2025 el 19,95 % de las empresas de la UE con diez o más empleados utilizaba inteligencia artificial.5 Para la mayoría de ellas, el 2 de diciembre de 2026 afecta a su proveedor y no a ellas mismas, y precisamente esa distinción es la que hace la segunda parte de este artículo.

Qué cambió en julio, y qué pasó desapercibido

El 8 de julio de 2026 el Parlamento y el Consejo adoptaron el Reglamento (UE) 2026/1744, el Reglamento ómnibus digital sobre inteligencia artificial. Se publicó el 24 de julio de 2026 y está en vigor desde el 27 de julio de 2026.1 El titular fue en todas partes el mismo: las obligaciones para los sistemas de alto riesgo llegan más tarde. Es cierto, y es media noticia. La otra mitad está en esos mismos dos artículos que sostienen el aplazamiento, y apunta en sentido contrario.

El nuevo artículo 111, apartado 4, dice en sustancia lo siguiente: los proveedores de sistemas de IA, incluidos los de uso general, que generen contenido sintético de audio, imagen, vídeo o texto y que se hayan introducido en el mercado antes del 2 de agosto de 2026 adoptarán las medidas necesarias para cumplir el artículo 50, apartado 2, a más tardar el 2 de diciembre de 2026.2 El artículo 50, apartado 2, exige que los resultados de salida de un sistema así estén marcados en un formato legible por máquina y que sea posible detectar que han sido generados o manipulados de manera artificial. La reserva, en la medida en que sea técnicamente viable y teniendo en cuenta el estado de la técnica generalmente reconocido, no recae sobre el marcado en sí, sino sobre las soluciones técnicas que lo producen. La obligación decae en la medida en que el sistema cumple una función de apoyo a la edición estándar o no altera sustancialmente los datos de entrada ni su semántica.6 El artículo 111, apartado 4, es una regla transitoria para lo ya existente, y vence dentro de tres meses.

El nuevo artículo 113, apartado 3, letra a, sitúa en el 2 de diciembre de 2026 dos prohibiciones recién insertadas, mientras que el resto del capítulo II se aplica ya desde el 2 de febrero de 2025.3 La letra ba prohíbe los sistemas de IA que generen o manipulen contenido realista en el que se representen las partes íntimas de una persona identificable o una persona identificable implicada en actos sexualmente explícitos, sin que dicha persona haya dado su consentimiento expreso. La letra bb se refiere a la generación o la manipulación de material en el sentido de la Directiva 2011/93/UE relativa a la lucha contra los abusos sexuales y la explotación sexual de los menores.7 El marco sancionador por infringir el artículo 5 llega hasta 35 millones de euros o el 7 % del volumen de negocios mundial anual, y por infringir las obligaciones de transparencia del artículo 50 hasta 15 millones de euros o el 3 %.8

La segunda fecha está en otra ley y se menciona todavía menos. Según el artículo 29, apartado 1, del Data Act, desde el 12 de enero de 2027 los proveedores de servicios de tratamiento de datos ya no pueden imponer costes por cambio.4 Costes por cambio significa más de lo que la palabra deja suponer: todos los cobros por las operaciones del cambio, incluidos expresamente los costes de salida de datos, pero no las tarifas ordinarias del servicio ni las penalizaciones por rescisión anticipada.9 El 25 de junio de 2026 la Comisión Europea concluyó de forma preliminar que dos grandes servicios en la nube deberían clasificarse como guardianes de acceso, y lo fundamentó expresamente en el efecto de vinculación y en los altos costes de cambio.10 Lo grande que es la dependencia lo muestra la estadística oficial: en 2025 el 52,74 % de las empresas de la UE con diez o más empleados contrataba servicios en la nube de pago, y el 77,53 % de ellas cuenta como muy dependiente según la clasificación de Eurostat, porque contrata servicios en la nube avanzados.11

  1. 8 de julio de 2026: se aplazan los plazos de alto riesgo
  2. 2 de diciembre de 2026: marcado en lo ya existente, dos nuevas prohibiciones
  3. 12 de enero de 2027: se acaban los costes por cambio
  4. 2 de diciembre de 2027 y 2 de agosto de 2028: alto riesgo del anexo III y del anexo I
Cuatro fechas en una línea. El aplazamiento afecta a las dos últimas; en el calendario suelen faltar las dos primeras.

A quién afecta, y en qué lo reconoce

La primera pregunta no es qué hay que hacer, sino en qué papel está su empresa. El AI Act conoce al proveedor y al responsable del despliegue, y con ello designa dos círculos de obligaciones distintos. Proveedor es quien desarrolla un sistema de IA o encarga su desarrollo y lo introduce en el mercado o lo pone en servicio con su propio nombre o marca. Responsable del despliegue es quien utiliza un sistema de IA bajo su propia autoridad.12 El plazo del 2 de diciembre de 2026 del artículo 111, apartado 4, se dirige a los proveedores. Quien compra un modelo y lo usa en su propia empresa es, de entrada, responsable del despliegue.

El límite, sin embargo, no pasa por la factura de compra. Quien pone a disposición con su propio nombre un sistema comprado a terceros, por ejemplo como servicio de información en su web o como herramienta para su clientela, lo pone en servicio con su propio nombre y se convierte así en proveedor a efectos del reglamento.12 Ese es el camino por el que un responsable del despliegue se desliza hacia una obligación de proveedor, y ocurre más a menudo de lo que figura en los planes de proyecto. Compruebe por eso primero bajo qué nombre se presenta un sistema hacia fuera, y solo después qué plazo rige.

La segunda pregunta es quién soporta la carga de las comprobaciones. Un estudio de Bitkom Research sobre protección de datos conforme al RGPD, con 603 empresas de Alemania con 20 o más empleados entrevistadas por teléfono, recoge que en el 77 % de los casos el despliegue de herramientas nuevas vuelve a poner en marcha la comprobación, que el 82 % ve falta de claridad en las prescripciones concretas y que el 54 % lamenta una interpretación dispar dentro de la UE.13 Este estudio procede de una asociación sectorial, y lo presentamos como lo que es. Al lado corresponde la cifra contraria del mismo estudio: el 53 % tiene la protección de datos europea por una ventaja en la comparación internacional para desarrollar IA, y el 36 % por una desventaja.14

Quién Qué activa el plazo Qué aporta ahí Kisuno
Empresas que ponen a disposición un sistema de IA con su propio nombre El artículo 50, apartado 2, se aplica directamente; solo para los sistemas introducidos en el mercado antes del 2 de agosto de 2026 el artículo 111, apartado 4, da tiempo hasta el 2 de diciembre de 2026 Entrada de registro por cada consulta con modelo, momento y persona, exportable; el marcado en formato legible por máquina lo aporta el proveedor del modelo
Comunicación, marketing y redacción Artículo 50, apartado 4: información en los deepfakes y en el texto publicado sobre asuntos de interés público Historial y referencias de la fuente por cada borrador, para que la revisión humana y la responsabilidad editorial sigan siendo acreditables
Compras y dirección informática Data Act: desde el 12 de enero de 2027, sin costes por cambio, y cláusulas de salida que ya hoy deben figurar en el contrato Licencia MIT, código fuente en breve, autoalojamiento sin coste de licencia, exportación de bases de conocimiento, historiales de conversación y registro de auditoría
Asesoría jurídica, protección de datos y cumplimiento Artículo 5, apartado 1, letras ba y bb desde el 2 de diciembre de 2026, con un marco sancionador de hasta 35 millones de euros o el 7 % del volumen de negocios mundial anual Permisos por herramienta y por modelo en el orden usuario, rol, grupo, valor predeterminado del servidor, y cada consulta en el registro de auditoría
Administración pública y sus suministradores Los pliegos de contratación preguntan por el lugar del tratamiento, la salida y los subencargados, a menudo antes del plazo legal Operación en los centros de datos de Green en Lupfig, certificados según ISO 27001, o en su propio servidor, entendiendo que la certificación se refiere a los centros de datos y no a nosotros, con lista de subencargados y acuerdo de encargo de tratamiento

La dependencia, además, no es una sensación. En la encuesta de digitalización de la DIHK de 2026, una encuesta de asociación con 4.686 respuestas, el 68 % de las empresas se ve amplia o completamente dependiente en inteligencia artificial, y el 55 % en servicios en la nube.15 Entre las empresas sin uso de IA, solo una pequeña parte se ha planteado alguna vez usarla, en concreto el 14,21 %, y solo dentro de ese grupo encabezan la lista la falta de conocimientos con el 70,89 %, las consecuencias jurídicas poco claras con el 52,52 % y los reparos de protección de datos con el 48,83 %.16 Esas proporciones valen para ese grupo y para nadie más. La tabla anterior asigna las dos fechas a cinco grupos.

Caso de uso 1: acreditar qué se generó, cuándo y con qué modelo

Sale una comunicación a la clientela y tres semanas después alguien pregunta si el texto viene de un modelo y de cuál. Hoy la respuesta es una reconstrucción hecha de memoria y buzón. En el puesto de trabajo con IA está en el registro de auditoría, el protocolo continuo de todas las consultas: qué modelo, qué acceso, qué momento, qué persona, qué base de conocimiento. Usted exporta el fragmento que corresponde al asunto y lo une al expediente.

Eso no es solo orden, es la prueba de la que depende una de las excepciones del artículo 50, apartado 4. Quien publica un texto para informar al público sobre asuntos de interés público debe revelar que ha sido generado artificialmente, salvo que el contenido se haya sometido a una revisión humana o a un control editorial y una persona física o jurídica asuma la responsabilidad editorial.17 Esa excepción no es una afirmación, es una cuestión de hecho. Quien la invoca debería poder mostrar quién revisó y cuándo.

  1. Consulta, modelo elegido y base de conocimiento elegida
  2. Entrada de registro en cada consulta, en su servidor
  3. Exportación del fragmento que corresponde al asunto
La prueba nace al trabajar y no cuando se la busca.

El límite, dicho con claridad: una entrada de registro no es un marcado en formato legible por máquina a efectos del artículo 50, apartado 2. Ese marcado tiene que ir pegado al propio contenido de salida, y generarlo corresponde al proveedor del modelo en cuestión, no a nosotros. El registro de auditoría, además, solo ve lo que pasa por Kisuno. No elabora un inventario de los sistemas de IA de su empresa y no encuentra nada de lo que se use al margen.

Caso de uso 2: comprobar una vez en lugar de repetirlo con cada herramienta

El recorrido que casi toda empresa conoce: un departamento quiere una herramienta nueva y la comprobación empieza desde cero. Acuerdo de encargo de tratamiento, medidas técnicas y organizativas, subencargados, lugar del tratamiento, plazos de supresión, roles y permisos. Con la siguiente herramienta, lo mismo. En el estudio de asociación sobre protección de datos citado, en el 77 % de las empresas el despliegue de herramientas nuevas vuelve a poner en marcha la comprobación.13

El flujo de trabajo, en cambio: usted comprueba una vez la instancia, es decir, la única instalación que funciona para su empresa, y después solo los añadidos. Kisuno ofrece los modelos actuales de OpenAI (ChatGPT) y Anthropic (Claude); se ejecutan en el centro de datos de AWS en Fráncfort. AWS es una empresa estadounidense, por lo que el US CLOUD Act se aplica incluso con servidores en Fráncfort, y lo decimos abiertamente. Para clientes con altos requisitos de protección de datos están disponibles modelos abiertos de primer nivel como GLM, Kimi y DeepSeek, operados por empresas europeas en servidores en Europa; allí el CLOUD Act no se aplica. Los sistemas ajenos se suman por MCP, el Model Context Protocol, un estándar abierto para conectar sistemas externos. Cada conector, es decir, cada conexión concreta a uno de esos sistemas ajenos, trae consigo permisos por herramienta, y cada consulta acaba en el protocolo. Qué software se puede conectar hoy está en la página Integraciones.

  1. Una instancia, comprobada una vez
  2. Modelos y conectores como añadidos, cada uno con permisos propios
  3. Un cuerpo contractual, una lista de subencargados, un protocolo
De muchas comprobaciones completas salen una comprobación y una serie de pequeños añadidos.

El límite: la comprobación no desaparece, se hace más pequeña y se desplaza. Cada modelo nuevo del catálogo y cada conector nuevo siguen sujetos a comprobación, y la responsabilidad por el uso sigue estando en el responsable del despliegue. Nosotros entregamos la documentación en un solo sitio, en el acuerdo de encargo de tratamiento y en la lista de subencargados. Quien lea de ahí que los requisitos quedan así resueltos, lee mal.

Caso de uso 3: preparar la salida antes de necesitarla

Tome el contrato de su servicio actual de nube o de IA y contrástelo con los artículos 23 y 25 del Data Act. ¿Figura un plazo máximo de preaviso para el inicio del proceso de cambio no superior a dos meses? ¿Un período de transición no superior a 30 días naturales? ¿Una enumeración exhaustiva de los datos que se pueden extraer? ¿Un período de recuperación de al menos 30 días naturales tras el traslado?18 Donde falte alguno de esos datos, ya ha encontrado su pregunta para el 12 de enero de 2027.

La segunda parte es un ejercicio y no una cláusula. Usted exporta bases de conocimiento, historiales de conversación, cuentas y el registro de auditoría, monta una segunda instancia y lo vuelve a cargar todo allí. Kisuno está bajo licencia MIT, el autoalojamiento no cuesta nada más allá de la propia infraestructura, y justo por eso este camino se podrá ensayar sin negociar con nosotros en cuanto se publique el repositorio de publicación. Hasta entonces, la guía de instalación completa está en Alojar usted mismo. Quien ha ensayado la salida una vez, negocia de otra manera.

  1. Contrastar el contrato con los artículos 23 y 25
  2. Exportación de bases de conocimiento, historiales, cuentas y protocolo
  3. Carga en una segunda instancia, bajo licencia MIT
La salida se ensaya mientras nadie la necesita.

El límite: una exportación lograda es una afirmación técnica y no jurídica. El Data Act prohíbe los cobros, no prohíbe el trabajo, y de dos sistemas no hace una misma funcionalidad. Lo que cuesta de verdad un cambio se cuenta en jornadas de trabajo y no en una partida de factura.

Límites, objeciones y lo que aquí no se dice

Primero la distinción con la que este artículo fracasaría si no la hiciera con limpieza. El artículo 50, apartado 2, es una obligación del proveedor, igual que el apartado 1. Las obligaciones del responsable del despliegue están en los apartados 3 y 4.17 El plazo del 2 de diciembre de 2026 del artículo 111, apartado 4, alcanza por tanto a los proveedores de sistemas ya existentes y no a las empresas que emplean esos sistemas. También las dos nuevas prohibiciones alcanzan al responsable del despliegue solo en un caso estrecho: según el artículo 5, apartado 1a, letra b, el uso solo está prohibido si el responsable del despliegue emplea el sistema con la finalidad de generar o manipular ese material.7 Quien difumina esa diferencia vende miedo en lugar de información.

En segundo lugar, a contrapelo de la mayoría de los textos sobre este tema: la obligación de alfabetización en materia de IA del artículo 4 se ha suavizado, no endurecido. Los proveedores y los responsables del despliegue adoptan medidas para apoyar el desarrollo de la alfabetización en materia de IA de su personal, y desde julio de 2026 figura expresamente en el texto legal que esa obligación no obliga a nadie a garantizar para persona alguna un determinado nivel de alfabetización en materia de IA.19 Quien le venda una obligación dura de formación con prueba obligatoria, cita una versión que ya no rige. Las medidas siguen teniendo sentido, solo que la situación jurídica es distinta de la anunciada.

  1. Proveedor: marcado conforme al artículo 50, apartado 2
  2. Responsable del despliegue: información conforme al artículo 50, apartado 4
  3. Quien pone en servicio con su propio nombre se convierte en proveedor
  4. Las nuevas prohibiciones alcanzan al responsable del despliegue solo si el uso persigue esa finalidad
Dos papeles, dos círculos de obligaciones. El 2 de diciembre de 2026 alcanza a uno, no a los dos.

En tercer lugar el Data Act, y aquí vale lo mismo en sentido inverso. Desde el 12 de enero de 2027 están prohibidos los cobros, no el trabajo. El período de transición de 30 días naturales no es absoluto: si no es técnicamente viable, el proveedor lo comunica dentro de 14 días hábiles, lo motiva e indica un período alternativo no superior a siete meses.20 El artículo 31 deja fuera de la prohibición de cobros a los servicios cuyas características esenciales se construyeron mayoritariamente para un solo cliente y que no se ofrecen a gran escala en el catálogo del proveedor.21 Y si un servicio de puro modelo de lenguaje es siquiera un servicio de tratamiento de datos a efectos del artículo 2, punto 8, se valora de forma dispar en la literatura especializada y no está decidido.22 Nosotros no afirmamos lo contrario.

En cuarto lugar, lo que nadie sabe y lo que nosotros no hacemos. Otra propuesta ómnibus digital, tramitada bajo el procedimiento 2025/0360(COD), eximiría a los proveedores de servicios de tratamiento de datos que sean pequeñas o medianas empresas de las obligaciones de cambio para los contratos celebrados hasta el 12 de septiembre de 2025. La prohibición de los costes por cambio del artículo 29 del Data Act queda expresamente excluida de esa exención y sigue aplicándose. No está adoptada, y no predecimos ni que salga adelante ni que fracase.23 Por nuestra parte rige lo siguiente: Kisuno no elabora por sí solo un inventario de IA, solo ve lo que pasa por su propia instancia. No produce la supervisión humana, la hace acreditable. Las referencias de la fuente no impiden las alucinaciones, las hacen comprobables. Y la operación gestionada no cumple ningún requisito que exija claves propias del cliente sin acceso del proveedor; ahí solo lleva el autoalojamiento.

En quinto lugar el punto más incómodo, y pertenece a todo artículo que hable de soberanía. El Ontario Court of Justice ordenó que una empresa francesa de nube entregara datos a la policía federal canadiense.24 La empresa impugnó la resolución ante el Ontario Superior Court of Justice; en enero de 2026 el procedimiento seguía abierto. Un domicilio europeo no es, por tanto, una inmunidad frente al acceso de autoridades extranjeras. Eso vale también para nosotros: los modelos de Anthropic funcionan a través de Amazon Bedrock, y AWS es una empresa estadounidense, así que le alcanza la CLOUD Act. La ubicación del servidor no protege de ello, y el cifrado no ayuda en el momento del tratamiento. El artículo 32 del Data Act exige a los proveedores medidas adecuadas contra el acceso ilícito desde terceros países y solo hace ejecutables las resoluciones de órganos jurisdiccionales de terceros países sobre la base de un acuerdo internacional. Ahora bien, solo alcanza a los datos no personales que se encuentran en la Unión, y no resuelve el conflicto.25 Sigue siendo eficaz lo que decimos en todas partes: entregar menos y saber dónde está cada cosa. Este artículo no sustituye al asesoramiento jurídico.

Preguntas frecuentes sobre el 2 de diciembre de 2026 y el 12 de enero de 2027

¿Qué rige exactamente desde el 2 de diciembre de 2026?

Dos cosas. Primero, los proveedores de sistemas de IA que generan contenido sintético de audio, imagen, vídeo o texto y que se introdujeron en el mercado antes del 2 de agosto de 2026 deben cumplir hasta ese día el artículo 50, apartado 2, es decir, marcar sus resultados de salida de forma legible por máquina como generados artificialmente. Segundo, desde ese día se aplican dos prohibiciones recién insertadas en el artículo 5, apartado 1, las letras ba y bb, junto con los apartados 1a y 1b correspondientes. Ambas cosas están en el mismo reglamento que en julio de 2026 aplazó los plazos de alto riesgo. Esta sección no sustituye al asesoramiento jurídico.

¿Nos afecta el artículo 50, apartado 2, si solo empleamos IA?

Por regla general, no. El apartado 2 se dirige a los proveedores, es decir, a quien desarrolla un sistema o encarga su desarrollo y lo introduce en el mercado o lo pone en servicio con su propio nombre. Quien usa en su propia empresa un sistema comprado a terceros es responsable del despliegue y tiene las obligaciones de los apartados 3 y 4. El papel puede cambiar, eso sí: quien pone a disposición un sistema con su propio nombre, por ejemplo como servicio de información para su clientela, se convierte en proveedor. Compruébelo sistema por sistema y no en bloque para toda la empresa.

¿Están de verdad aplazadas las obligaciones de alto riesgo?

Sí. Para los sistemas del anexo III las secciones 1 a 3 del capítulo III se aplican desde el 2 de diciembre de 2027, y para los sistemas del anexo I desde el 2 de agosto de 2028. El aplazamiento no afecta, sin embargo, ni a las prohibiciones del artículo 5 ni a las obligaciones de transparencia del artículo 50, que se aplican desde el 2 de agosto de 2026. Precisamente por eso la lectura de que se ha aplazado todo es falsa.

¿Tenemos que formar ahora a toda la plantilla?

Una obligación de formación con resultado garantizado no existe, y desde julio de 2026 eso figura expresamente en el texto legal. El artículo 4 exige medidas de apoyo a la alfabetización en materia de IA y a la vez establece que nadie tiene que garantizar para persona alguna un determinado nivel. Quien le venda otra cosa, cita la versión antigua. Las medidas siguen siendo sensatas, solo que como esfuerzo y no como resultado debido.

¿Qué cambia en la práctica el 12 de enero de 2027?

Desde ese día un proveedor de servicios de tratamiento de datos ya no puede cobrar nada por el proceso de cambio, y los costes de salida de datos están expresamente incluidos. Las tarifas ordinarias del servicio y las penalizaciones por rescisión anticipada no se ven afectadas. Quien hoy prorrogue contratos debería comprobar si las cláusulas de salida del artículo 25 figuran siquiera en ellos, porque esa obligación ya rige. Esta sección no sustituye al asesoramiento jurídico.

¿Entra siquiera un servicio de modelo de lenguaje en el Data Act?

Está abierto. El Data Act define el servicio de tratamiento de datos por el acceso en red a demanda a un conjunto compartido de recursos informáticos configurables y escalables. Si un mero acceso a un modelo entra ahí se valora de forma dispar en la literatura especializada y no está decidido. Por eso no apoyamos nuestras afirmaciones en que la respuesta caiga de un lado determinado, y recomendamos lo mismo para su planificación contractual.

¿Qué significa la clasificación preliminar de los grandes proveedores de nube como guardianes de acceso?

Preliminar significa ante todo esto: no hay una decisión de clasificación. El 25 de junio de 2026 la Comisión concluyó de forma preliminar que dos grandes servicios en la nube deberían clasificarse como guardianes de acceso, y para ello hizo del efecto de vinculación y de los altos costes de cambio el motivo mismo. Qué obligaciones concretas se sigan de ahí depende del resto del procedimiento, y su desenlace no lo predecimos. Para la práctica cuenta la constatación de fondo: cambiar hoy es caro, y desde el 12 de enero de 2027 ya no podrá serlo en cuanto a los cobros.

¿Qué hace en esto Kisuno, y qué no?

Hace acreditables tres cosas: qué modelo se consultó, cuándo y por quién; qué permisos regían por herramienta; y qué se puede exportar. No elabora un inventario de sus sistemas de IA, no genera un marcado legible por máquina en los resultados de modelos ajenos y no cumple ningún requisito en su lugar. La instancia gestionada cuesta 7 francos (7,50 euros) por persona al mes, hasta el final del mes en curso con un 50 por ciento de descuento con una duración de doce meses, es decir 3,50 francos (3,75 euros). Probar es gratuito y sin límite de tiempo: cada nuevo acceso comienza con un crédito inicial de 50 francos (55 euros) para el uso de los modelos, sin datos de pago. Toda la información está en la página Precios. Quien necesite claves propias del cliente sin acceso del proveedor, solo llega ahí por el autoalojamiento.

Ponga las dos fechas junto a sus propios contratos

Traiga un contrato de nube o de IA y una lista de las herramientas que están en uso en su empresa. Repasamos juntos en qué papel está usted en cada sistema y qué recae realmente sobre usted hasta el 2 de diciembre de 2026 y hasta el 12 de enero de 2027. O bien se inscribe y prueba usted mismo el puesto de trabajo.

Reservar una demo Empezar ahora

Fuentes

Todas las fechas, formulaciones y cifras de este artículo proceden de las fuentes siguientes, comprobadas por última vez en septiembre de 2026. Los textos jurídicos se citan en la versión que rige desde el 27 de julio de 2026. Cuando un estudio procede de una asociación, se indica en el texto.

  1. Reglamento (UE) 2026/1744 del Parlamento Europeo y del Consejo, de 8 de julio de 2026, por el que se modifican los Reglamentos (UE) 2024/1689, (UE) 2018/1139 y (UE) 2023/1230 (Reglamento ómnibus digital sobre IA), publicado el 24 de julio de 2026, en vigor desde el 27 de julio de 2026; fija el inicio de la aplicación para los sistemas de alto riesgo del anexo III en el 2 de diciembre de 2027 y para los del anexo I en el 2 de agosto de 2028: eur-lex.europa.eu
  2. Reglamento (UE) 2024/1689 (Reglamento de Inteligencia Artificial), versión consolidada de 27 de julio de 2026, artículo 111, apartado 4: los proveedores de sistemas de IA, incluidos los de uso general, que generen contenido sintético de audio, imagen, vídeo o texto y que se hayan introducido en el mercado antes del 2 de agosto de 2026 adoptarán las medidas necesarias para cumplir el artículo 50, apartado 2, a más tardar el 2 de diciembre de 2026: eur-lex.europa.eu
  3. Reglamento (UE) 2024/1689, artículo 113, apartado 3, letra a, en la versión de 27 de julio de 2026: los capítulos I y II se aplican desde el 2 de febrero de 2025, con excepción del artículo 5, apartado 1, párrafo primero, letras ba y bb, y del artículo 5, apartados 1a y 1b, que se aplican desde el 2 de diciembre de 2026: eur-lex.europa.eu
  4. Reglamento (UE) 2023/2854 (Data Act), artículo 29, apartado 1: desde el 12 de enero de 2027 los proveedores de servicios de tratamiento de datos no podrán imponer al cliente costes por cambio por el proceso de cambio: eur-lex.europa.eu
  5. Eurostat, Use of artificial intelligence in enterprises, año de referencia 2025, datos extraídos en diciembre de 2025: el 19,95 % de las empresas de la UE con diez o más empleados utilizaba al menos una de las técnicas de IA registradas: ec.europa.eu
  6. Reglamento (UE) 2024/1689, artículo 50, apartado 2: los proveedores velarán por que los resultados de salida del sistema de IA estén marcados en un formato legible por máquina y que sea posible detectar que han sido generados o manipulados de manera artificial; la reserva, en la medida en que sea técnicamente viable y teniendo en cuenta el estado de la técnica generalmente reconocido, se refiere en el texto a las soluciones técnicas y no a la obligación de marcado en sí. La obligación no se aplica en la medida en que el sistema desempeñe una función de apoyo a la edición estándar o no altere sustancialmente los datos de entrada facilitados por el responsable del despliegue ni su semántica: eur-lex.europa.eu
  7. Reglamento (UE) 2024/1689, artículo 5, apartado 1, párrafo primero, letras ba y bb, y artículo 5, apartados 1a y 1b, en la versión de 27 de julio de 2026; conforme al apartado 1a, letra b, el uso solo está prohibido si el responsable del despliegue utiliza el sistema con la finalidad de generar o manipular ese material: eur-lex.europa.eu
  8. Reglamento (UE) 2024/1689, artículo 99, apartado 3 (multas administrativas de hasta 35 millones de euros o el 7 % del volumen de negocios mundial total anual por incumplir las prohibiciones del artículo 5) y artículo 99, apartado 4, letra g (hasta 15 millones de euros o el 3 % por infringir las obligaciones de transparencia del artículo 50): eur-lex.europa.eu
  9. Reglamento (UE) 2023/2854 (Data Act), artículo 2, punto 36: los costes por cambio son los cobros, distintos de las tarifas ordinarias del servicio y de las penalizaciones por rescisión anticipada, impuestos por las operaciones de cambio prescritas por el Data Act, incluidos los costes de salida de datos: eur-lex.europa.eu
  10. Comisión Europea, conclusión preliminar de 25 de junio de 2026 según la cual los servicios en la nube líderes de Amazon y Microsoft deberían clasificarse como guardianes de acceso con arreglo al Reglamento (UE) 2022/1925 sobre mercados digitales, fundamentada en el efecto de vinculación y en los altos costes de cambio: ec.europa.eu
  11. Eurostat, Cloud computing, statistics on the use by enterprises, año de referencia 2025: el 52,74 % de las empresas de la UE con diez o más empleados contrataba servicios en la nube de pago, y el 77,53 % de ellas cuenta como muy dependiente según la clasificación de Eurostat, porque contrata servicios en la nube avanzados como software de seguridad, alojamiento de bases de datos o plataformas de desarrollo; a las empresas no se les pregunta por ello: ec.europa.eu
  12. Reglamento (UE) 2024/1689, artículo 3, punto 3 (proveedor) y punto 4 (responsable del despliegue), además del artículo 3, punto 11 (puesta en servicio): eur-lex.europa.eu
  13. Bitkom Research, Datenschutz in der deutschen Wirtschaft, estudio sobre la carga que supone aplicar el Reglamento General de Protección de Datos, encuesta telefónica asistida por ordenador a 603 empresas de Alemania con 20 o más empleados, realizada en las semanas 30 a 35 de 2025, margen de error estadístico de más o menos 4 por ciento: según la figura 2, en el 77 % de los casos el despliegue de herramientas nuevas vuelve a poner en marcha la comprobación, el 82 % ve falta de claridad en las prescripciones concretas y el 54 % una interpretación dispar dentro de la UE: doi.org. El texto corrido del informe indica en ese punto el 80 %; es el valor para 2024 que recoge la figura 2.
  14. Bitkom Research, el mismo estudio, base todas las empresas encuestadas (n igual a 603): el 53 % tiene la protección de datos europea por una ventaja en la comparación internacional para el desarrollo de inteligencia artificial, y el 36 % por una desventaja: doi.org
  15. DIHK-Digitalisierungsumfrage 2026, encuesta realizada del 10 al 28 de noviembre de 2025, 4.686 respuestas de empresas de todos los tamaños, situación a enero de 2026: el 68 % se considera amplia o completamente dependiente en inteligencia artificial, y el 55 % en servicios en la nube: dihk.de
  16. Eurostat, Use of artificial intelligence in enterprises, año de referencia 2025: el 14,21 % de las empresas sin uso de IA se había planteado alguna vez usarla; solo dentro de ese grupo el 70,89 % mencionó la falta de conocimientos, el 52,52 % las consecuencias jurídicas poco claras y el 48,83 % los reparos por la protección de datos y la privacidad como motivo para dejarlo: ec.europa.eu
  17. Reglamento (UE) 2024/1689, artículo 50, apartados 1 a 4: los apartados 1 y 2 se dirigen a los proveedores y los apartados 3 y 4 a los responsables del despliegue; el apartado 4 contiene la excepción para los contenidos sometidos a una revisión humana o a un control editorial y respecto de los cuales una persona física o jurídica asume la responsabilidad editorial: eur-lex.europa.eu
  18. Reglamento (UE) 2023/2854 (Data Act), artículo 23 y artículo 25, apartado 2: plazo máximo de preaviso para el inicio del proceso de cambio no superior a dos meses conforme a la letra d), período de transición obligatorio no superior a 30 días naturales, enumeración exhaustiva de los datos y activos digitales extraíbles y período de recuperación de al menos 30 días naturales tras el final del período de transición: eur-lex.europa.eu
  19. Reglamento (UE) 2024/1689, artículo 4 en la versión de 27 de julio de 2026: los proveedores y los responsables del despliegue adoptan medidas para apoyar el desarrollo de la alfabetización en materia de IA de su personal; textualmente se añade que esa obligación no obliga a los proveedores ni a los responsables del despliegue a garantizar para persona alguna un determinado nivel de alfabetización en materia de IA: eur-lex.europa.eu
  20. Reglamento (UE) 2023/2854 (Data Act), artículo 25, apartado 4: si el período de transición obligatorio no es técnicamente viable, el proveedor informa al cliente dentro de los 14 días hábiles siguientes a la solicitud de cambio, motiva la inviabilidad técnica e indica un período de transición alternativo no superior a siete meses: eur-lex.europa.eu
  21. Reglamento (UE) 2023/2854 (Data Act), artículo 31, apartado 1: el artículo 23, letra d, el artículo 29 y el artículo 30, apartados 1 y 3, no se aplican a los servicios de tratamiento de datos cuyas características esenciales se hayan adaptado mayoritariamente a las necesidades de un solo cliente y que no se ofrezcan a gran escala a través del catálogo de servicios del proveedor: eur-lex.europa.eu
  22. Reglamento (UE) 2023/2854 (Data Act), artículo 2, punto 8, concepto de servicio de tratamiento de datos: servicio digital que permite el acceso en red omnipresente y a demanda a un conjunto compartido de recursos informáticos configurables, escalables y elásticos: eur-lex.europa.eu
  23. Comisión Europea, propuesta COM(2025) 837 final de 19 de noviembre de 2025, ómnibus digital, artículo 1, punto 15, nuevo artículo 31, apartado 1 ter, del Reglamento (UE) 2023/2854: los proveedores de servicios de tratamiento de datos que sean pequeñas o medianas empresas o pequeñas empresas de mediana capitalización quedan exentos, para los contratos celebrados hasta el 12 de septiembre de 2025, de las obligaciones del capítulo VI y del artículo 34, con excepción expresa del artículo 29; la exención solo alcanza a los servicios distintos de los mencionados en el artículo 30, apartado 1, es decir, no a los servicios de pura infraestructura, y las cláusulas contractuales en contrario se consideran nulas: europarl.europa.eu; estado del procedimiento con la referencia 2025/0360(COD), el procedimiento no está cerrado: oeil.europarl.europa.eu
  24. heise online de 26 de noviembre de 2025 sobre el procedimiento de la Royal Canadian Mounted Police contra el grupo OVH: orden de producción del Ontario Court of Justice de 19 de abril de 2024 conforme a la sección 487.014(1) del Código Penal canadiense, desestimación de la solicitud de anulación por la jueza Heather Perkins-McVey el 25 de septiembre, plazo de entrega el 27 de octubre e impugnación a finales de octubre ante el Ontario Superior Court of Justice: heise.de; sobre el estado del asunto, The Register de 27 de noviembre de 2025 con una adenda de 26 de enero de 2026 según la cual el procedimiento sigue en curso: theregister.com. La resolución no está publicada oficialmente y no consta en CanLII.
  25. Reglamento (UE) 2023/2854 (Data Act), artículo 32: los proveedores adoptan medidas técnicas, organizativas y jurídicas adecuadas para impedir el acceso y la transferencia a autoridades de terceros países cuando ello entre en conflicto con el Derecho de la Unión; las resoluciones de órganos jurisdiccionales de terceros países solo son ejecutables sobre la base de un acuerdo internacional. El artículo se refiere a los datos no personales que se encuentran en la Unión: eur-lex.europa.eu