Por Diego Fierro Rodríguez
El pasado 21 de agosto de 2026, la Agencia Española de Supervisión de la Inteligencia Artificial (en adelante, AESIA) comunicó la disponibilidad de sus dieciséis guías de apoyo al cumplimiento del Reglamento europeo de Inteligencia Artificial, presentadas como adaptadas al denominado Ómnibus Digital. La noticia, que ha circulado en los círculos jurídicos y tecnológicos, tiene una importancia práctica innegable, pero también plantea una serie de matices que conviene no pasar por alto. Porque, como suele ocurrir en el ámbito del cumplimiento normativo, la diferencia entre lo que parece y lo que es puede ser sustancial.
Las guías, en su mayoría, han sido actualizadas. Quince de los dieciséis documentos exhiben ahora la versión 2.0, con fecha de 17 de julio de 2026, y declaran expresamente su adaptación a los cambios introducidos por el Ómnibus Digital. La Guía 05 sobre gestión de riesgos, la Guía 08 sobre transparencia y la Guía 15 sobre documentación técnica son ejemplos particularmente significativos de esa actualización. Sin embargo, el decimosexto documento, el Manual de checklist, permanece en la versión 1.1, de 30 de junio de 2026, y su propia documentación contempla una actualización posterior relacionada con el Ómnibus. Ese detalle, que podría parecer editorial, tiene consecuencias prácticas importantes en materia de cumplimiento.
La cuestión de fondo, sin embargo, no es solo qué documentos están actualizados, sino qué valor jurídico tienen y cómo deben ser utilizados. Las guías de la AESIA, como la propia Agencia ha recordado, no son normas vinculantes. No sustituyen al Reglamento (UE) 2024/1689 ni pueden crear por sí mismas obligaciones, sanciones o procedimientos de certificación. Su función es otra: convertir las exigencias generales del Reglamento en instrumentos operativos que permitan identificar riesgos, organizar responsabilidades, documentar procesos y preparar evidencias de cumplimiento. Son, en definitiva, un instrumento de soft law que ayuda a preparar el cumplimiento, pero no crea nuevas obligaciones ni adelanta los plazos establecidos en el Reglamento.
La estructura del pack: quince guías actualizadas y una excepción relevante
Para entender el alcance de la actualización, conviene detenerse en la estructura del conjunto de guías y en las diferencias entre sus distintas versiones. Las guías 01 a 15 aparecen como versión 2.0, con fecha de 17 de julio de 2026, y declaran expresamente su adaptación a los cambios introducidos por el Ómnibus Digital. Entre ellas, la Guía 05 sobre gestión de riesgos, la Guía 08 sobre transparencia y la Guía 15 sobre documentación técnica son ejemplos especialmente significativos de esa adaptación.
El Manual de checklist, en cambio, constituye la excepción. Mantiene la versión 1.1, de 30 de junio de 2026, y su propia documentación contempla una actualización posterior relacionada con el Ómnibus. Su preámbulo todavía anuncia una actualización futura cuando se apruebe el Ómnibus. Por ello, no debe hablarse indistintamente de dieciséis documentos plenamente actualizados: existen quince guías en versión 2.0 y un manual que permanece en versión 1.1. El Manual de checklist debe conservarse, por tanto, como una versión diferenciada.
Esta cuestión aparentemente editorial tiene una consecuencia práctica importante. En materia de cumplimiento normativo, la empresa o institución debería registrar siempre qué documento utiliza, qué versión tiene y cuál era su contenido en el momento de adoptar una determinada decisión. El control de versiones puede convertirse así en un elemento de trazabilidad jurídica que, en caso de controversia, permita demostrar qué estándares se aplicaron en cada momento. La portada general de la web de la AESIA mantiene un texto antiguo según el cual las guías «serán actualizadas» tras el Ómnibus. Es un desfase editorial de la página, no una negación de las versiones 2.0. Lo que manda, en todo caso, es el documento descargado: su número, idioma, versión y fecha deben quedar registrados en el repositorio interno de cada organización.
Un mapa operativo en cuatro bloques y su destinatario principal
El conjunto de guías se entiende mejor como una arquitectura que como un simple catálogo de documentos. El encuadre general está en las guías 01 y 02, que establecen el marco conceptual y los principios generales. El gobierno del sistema reúne la calidad, la Guía 05 de riesgos, los datos y la supervisión humana. La calidad técnica y la trazabilidad comprenden la precisión, la solidez, la ciberseguridad, los registros y la Guía 15. El mercado y la prueba incorporan la evaluación de conformidad, la vigilancia poscomercialización, los incidentes graves y el Manual 16.
Su destinatario principal esta semana es el proveedor o responsable del despliegue que prepara un expediente de alto riesgo. Las guías 04 y 07 alcanzan además ciertos sistemas de propósito general, pero no al usuario ordinario de un chatbot. Las guías 03 a 15 permiten diagnosticar brechas, presupuestar trabajo, asignar responsables y construir evidencia antes de la exigibilidad plena. La checklist ayuda a diseñar un plan de adaptación, pero no equivale a la evaluación de conformidad del artículo 43, no produce marcado CE y no transforma una autoevaluación en certificación. Esa distinción es esencial para evitar malentendidos que podrían tener consecuencias jurídicas indeseadas.
La verdadera utilidad de la actualización de la AESIA aparece cuando se incorpora a una estrategia de cumplimiento. No basta con descargar los nuevos documentos. Una organización que utilice o desarrolle sistemas potencialmente sometidos al Reglamento debería identificar qué guías resultan aplicables, registrar su versión, analizar las brechas existentes y conservar evidencia del proceso seguido. En particular, resulta recomendable distinguir entre las obligaciones actualmente exigibles y aquellas que constituyen una preparación para el régimen futuro de alto riesgo. La documentación elaborada hoy puede adquirir además valor probatorio para demostrar cómo se gestionó el cumplimiento en un determinado momento.
El calendario del Reglamento: lo que ya es exigible y lo que espera a 2027
Aquí aparece la cuestión temporal más importante. La actualización de las guías no significa que el régimen de los sistemas de alto riesgo haya comenzado anticipadamente. Tras el Ómnibus, las obligaciones centrales relativas a los sistemas de alto riesgo del artículo 6.2 y del anexo III mantienen como referencia el 2 de diciembre de 2027, mientras que las correspondientes al artículo 6.1 y al anexo I se sitúan en el 2 de agosto de 2028. Por ello, las guías deben entenderse como instrumentos de precumplimiento. Permiten comenzar hoy a identificar las obligaciones futuras, detectar deficiencias, distribuir responsabilidades, organizar documentación y preparar mecanismos de supervisión. Pero no permiten afirmar que una obligación cuya exigibilidad está prevista para 2027 sea ya una obligación sancionable por el mero hecho de que la AESIA haya actualizado su guía.
La diferencia entre preparación normativa y exigibilidad jurídica es esencial. El Derecho vigente discurre por otras capas. La alfabetización del artículo 4 ya es exigible con la redacción reformulada por el Ómnibus. Las prohibiciones originales del artículo 5 operan desde el 2 de febrero de 2025. Y las reglas de los modelos de inteligencia artificial de uso general se aplican desde el 2 de agosto de 2025, con el régimen sancionador específico activo desde el 2 de agosto de 2026. El artículo 50 también es Derecho vivo desde esa fecha. La transición hasta el 2 de diciembre de 2026 afecta solo al apartado 2 y a sistemas generadores de contenido sintético introducidos antes del 2 de agosto. No es una moratoria general.
Precisamente aquí puede producirse una confusión frecuente: la Guía 08, centrada en la transparencia del artículo 13 respecto de determinados sistemas de alto riesgo, no equivale al cumplimiento de las obligaciones de transparencia del artículo 50. Son ámbitos jurídicos distintos y deben ser tratados como tales. El artículo 13 regula la información que el proveedor debe proporcionar al responsable del despliegue para que pueda interpretar los resultados del sistema y utilizarlo correctamente. El artículo 50, en cambio, regula la interacción con las personas, el marcado y la detectabilidad del contenido sintético. Cumplir la ficha 08 no paga el artículo 50. El Reglamento General de Protección de Datos gobierna el dato; la responsabilidad civil y el Derecho penal permanecen; y la AESIA no agota el mapa institucional europeo.
De la guía a la evidencia jurídica: el control de versiones como herramienta de trazabilidad
La actualización de las guías de la AESIA tiene una utilidad práctica que trasciende la mera información. Permite a los proveedores y responsables del despliegue comenzar a adaptar sus procedimientos, documentación y sistemas de control al marco regulatorio que será plenamente operativo en los próximos años. Pero para que esa adaptación sea efectiva y pueda acreditarse en el futuro, es necesario seguir una metodología rigurosa.
El trabajo inmediato es concreto. En primer lugar, descargar el pack completo en español y en inglés, sustituyendo las copias de diciembre que muchas organizaciones habían estado utilizando. En segundo lugar, abrir la tabla de control de versiones, registrando las quince guías en versión 2.0 y aislando la versión 1.1 del Manual de checklist. En tercer lugar, seleccionar las guías aplicables al sistema concreto que se está desarrollando o utilizando. Y en cuarto lugar, conservar la edición utilizada como evidencia temporal, de modo que pueda acreditarse en el futuro qué estándares se aplicaron en cada momento.
Después, debe cruzarse el material con tres hitos temporales: el 2 de diciembre de 2026, el 2 de diciembre de 2027 y el 2 de agosto de 2028. El frente vigente del artículo 50 merece un expediente propio, mientras que el frente de alto riesgo requiere una hoja de ruta de precumplimiento proporcionada, trazable y revisable. La documentación elaborada hoy puede adquirir valor probatorio para demostrar cómo se gestionó el cumplimiento en un determinado momento, y el control de versiones puede convertirse así en un elemento de trazabilidad jurídica que, en caso de controversia, permita acreditar la diligencia desplegada.
El error más caro del martes es confundir madurez documental con exigibilidad jurídica: tratar el pack como norma, adelantar el anexo III o presentar la checklist como marcado CE. La regla de oro cabe en una línea: descargar, versionar y calendarizar. La guía no adelanta la fecha. La fecha no sobra la guía.
Reflexiones finales sobre un instrumento de soft law que ayuda a preparar, pero no sustituye al Reglamento
La actualización de las guías de la AESIA por el Ómnibus Digital es un paso importante en el proceso de implementación del Reglamento europeo de Inteligencia Artificial en España. Pero es importante no perder de vista su naturaleza y su función. Las guías no son normas vinculantes. No sustituyen al Reglamento ni pueden crear por sí mismas obligaciones, sanciones o procedimientos de certificación. Son instrumentos de soft law que ayudan a preparar el cumplimiento, que ofrecen recomendaciones prácticas y que facilitan la identificación de riesgos y la organización de responsabilidades. Pero no son un sustituto del texto normativo ni pueden invocarse como una fuente autónoma de obligaciones.
La distinción entre las cuatro capas es esencial: el Reglamento europeo de Inteligencia Artificial, las guías nacionales de la AESIA, las futuras directrices de la Comisión Europea y las normas armonizadas que concreten determinados requisitos técnicos. A ello debe añadirse la legislación española que se encuentre en tramitación, como el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial. Cada una de esas capas tiene un rango jurídico diferente y debe ser tratada como tal.
A mi juicio, la actualización de las guías es una buena noticia para las organizaciones que deben preparar su cumplimiento. Les ofrece un marco operativo, unas pautas concretas y una metodología contrastada. Pero también les exige un esfuerzo de interpretación y de adaptación a sus propias circunstancias. No basta con descargar los documentos y archivarlos. Hay que leerlos, aplicarlos, documentar el proceso y conservar la evidencia. Y hay que hacerlo con la vista puesta en los plazos del Reglamento, que no se han modificado por el hecho de que las guías se hayan actualizado.
En el cumplimiento de la inteligencia artificial, tres actuaciones adquieren así especial importancia: descargar, versionar y calendarizar. La guía ayuda a preparar el cumplimiento; la norma determina cuándo ese cumplimiento resulta jurídicamente exigible. Y esa diferencia, que puede parecer sutil, es en realidad el fundamento de una estrategia de cumplimiento rigurosa y defendible ante los reguladores y ante los tribunales.