AESIA ante el Ómnibus Digital: nuevas guías para preparar el cumplimiento de la IA de alto riesgo

Santiago Carretero Sánchez, Profesor Titular de Filosofía del Derecho, Universidad Rey Juan Carlos, Abogado del Ilustre Colegio de Abogados de Madrid

La Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) ha actualizado sus guías de apoyo al cumplimiento del Reglamento europeo de Inteligencia Artificial tras los cambios introducidos por el denominado Ómnibus Digital. La actualización, comunicada el 21 de agosto de 2026, tiene una importancia esencialmente práctica: permite a proveedores y responsables del despliegue comenzar a adaptar sus procedimientos, documentación y sistemas de control al marco regulatorio que será plenamente operativo en los próximos años.

La documentación puede consultarse directamente en el portal oficial de guías de AESIA, así como en su versión en inglés.

Quince guías actualizadas y una excepción relevante

Existe, sin embargo, un dato que merece especial atención jurídica. Las guías 01 a 15 aparecen como versión 2.0, con fecha de 17 de julio de 2026, y declaran expresamente su adaptación a los cambios introducidos por el Ómnibus Digital. La Guía 05 sobre gestión de riesgos y la Guía 08 sobre transparencia son ejemplos especialmente significativos.

El Manual de checklist constituye la excepción: mantiene la versión 1.1, de 30 de junio de 2026. Su propia documentación contempla una actualización posterior relacionada con el Ómnibus. Por ello, no debe hablarse indistintamente de dieciséis documentos plenamente actualizados: existen quince guías en versión 2.0 y un manual que permanece en versión 1.1. El Manual de checklist debe conservarse, por tanto, como una versión diferenciada.

Esta cuestión aparentemente editorial tiene una consecuencia práctica importante. En materia de cumplimiento normativo, la empresa o institución debería registrar siempre qué documento utiliza, qué versión tiene y cuál era su contenido en el momento de adoptar una determinada decisión. El control de versiones puede convertirse así en un elemento de trazabilidad jurídica.

Soft law para preparar el cumplimiento, no una nueva norma

La principal cautela jurídica es igualmente clara: las guías de AESIA no son normas vinculantes. No sustituyen al Reglamento (UE) 2024/1689 ni pueden crear por sí mismas obligaciones, sanciones o procedimientos de certificación.

Su función es otra: convertir las exigencias generales del Reglamento en instrumentos operativos que permitan identificar riesgos, organizar responsabilidades, documentar procesos y preparar evidencias de cumplimiento.

Esta distinción es especialmente importante para los juristas. Deben mantenerse separadas cuatro capas: el Reglamento europeo de IA, las guías nacionales de AESIA, las futuras directrices de la Comisión Europea y las normas armonizadas que concreten determinados requisitos técnicos. A ello debe añadirse la legislación española que se encuentre en tramitación.

El valor de las guías no reside, por tanto, en que sustituyan al Derecho vigente, sino en que facilitan su aplicación práctica.

Prepararse ahora no significa estar obligado ya

Aquí aparece la cuestión temporal más importante. La actualización de las guías no significa que el régimen de los sistemas de alto riesgo haya comenzado anticipadamente.

Tras el Ómnibus, las obligaciones centrales relativas a los sistemas de alto riesgo del artículo 6.2 y del anexo III mantienen como referencia el 2 de diciembre de 2027, mientras que las correspondientes al artículo 6.1 y al anexo I se sitúan en el 2 de agosto de 2028.

Por ello, las guías deben entenderse como instrumentos de pre-cumplimiento. Permiten comenzar hoy a identificar las obligaciones futuras, detectar deficiencias, distribuir responsabilidades, organizar documentación y preparar mecanismos de supervisión. Pero no permiten afirmar que una obligación cuya exigibilidad está prevista para 2027 sea ya una obligación sancionable por el mero hecho de que AESIA haya actualizado su guía.

La diferencia entre preparación normativa y exigibilidad jurídica es esencial.

Además, no todo el Reglamento espera a esas fechas. Determinadas obligaciones ya son aplicables, entre ellas las relativas a la alfabetización en IA y las prohibiciones del artículo 5. También resultan especialmente relevantes las reglas sobre modelos de IA de uso general y las obligaciones de transparencia del artículo 50, que requieren un análisis independiente.

Precisamente aquí puede producirse una confusión frecuente: la Guía 08, centrada en la transparencia del artículo 13 respecto de determinados sistemas de alto riesgo, no equivale al cumplimiento de las obligaciones de transparencia del artículo 50. Son ámbitos jurídicos distintos y deben ser tratados como tales.

De la guía a la evidencia jurídica

La verdadera utilidad de la actualización de AESIA aparece cuando se incorpora a una estrategia de cumplimiento. No basta con descargar los nuevos documentos. Una organización que utilice o desarrolle sistemas potencialmente sometidos al Reglamento debería identificar qué guías resultan aplicables, registrar su versión, analizar las brechas existentes y conservar evidencia del proceso seguido.

En particular, resulta recomendable distinguir entre las obligaciones actualmente exigibles y aquellas que constituyen una preparación para el régimen futuro de alto riesgo. La documentación elaborada hoy puede adquirir además valor probatorio para demostrar cómo se gestionó el cumplimiento en un determinado momento.

La checklist de AESIA puede ayudar a ordenar ese trabajo, pero no equivale a una evaluación de conformidad del artículo 43, no produce por sí misma el marcado CE y no convierte una autoevaluación en una certificación.

La conclusión puede formularse de manera sencilla: AESIA ha actualizado el instrumento de preparación, pero no ha adelantado el calendario del Reglamento. Para el jurista, la cuestión fundamental no es únicamente qué dice la nueva guía, sino qué rango jurídico tiene, qué versión se está utilizando y desde cuándo resulta exigible la obligación a la que se refiere.

En el cumplimiento de la IA, tres actuaciones adquieren así especial importancia: descargar, versionar y calendarizar. La guía ayuda a preparar el cumplimiento; la norma determina cuándo ese cumplimiento resulta jurídicamente exigible.

---

Santiago Carretero Sánchez

Profesor Titular de Filosofía del Derecho, Universidad Rey Juan Carlos

Abogado del Ilustre Colegio de Abogados de Madrid