Qué es exigible hoy y qué se ha aplazado

Cuatro frentes —inteligencia artificial, marco laboral, sostenibilidad y ciberseguridad— contrastados con la norma publicada. En tres de los cuatro, el calendario que se venía dando por bueno ha cambiado durante los últimos doce meses, y casi siempre en la dirección contraria a la que se anticipaba.

01Inteligencia artificial: menos obligación inmediata, más obligación de saber

El 8 de julio de 2026 se aprobó el Reglamento (UE) 2026/1744, conocido como Ómnibus Digital sobre IA, que modifica el Reglamento (UE) 2024/1689. Su efecto principal es un aplazamiento: las obligaciones de los sistemas de alto riesgo autónomos —los del Anexo III, que incluyen expresamente el empleo, la selección de personal y la evaluación del desempeño— pasan del 2 de agosto de 2026 al 2 de diciembre de 2027. Los sistemas de alto riesgo integrados en productos sujetos a legislación armonizada de seguridad (Anexo I) esperan hasta el 2 de agosto de 2028.

Ese aplazamiento no vacía el reglamento. Hay obligaciones vigentes desde hace más de un año, y son precisamente las que más se ignoran porque no llevan aparejada una evaluación de conformidad visible.

Auditorías de algoritmos en selección y desempeño. La afirmación es correcta en el fondo y prematura en la fecha. El uso de IA para filtrar candidaturas, decidir promociones o evaluar el rendimiento está clasificado como alto riesgo en el Anexo III, con obligaciones de gestión de riesgos, calidad de datos, documentación técnica, supervisión humana y registro. Pero esas obligaciones no son exigibles hasta diciembre de 2027. Lo que sí opera hoy sobre esos mismos sistemas es el Reglamento General de Protección de Datos: el artículo 22 limita las decisiones basadas únicamente en tratamiento automatizado con efectos jurídicos o significativos, y el artículo 35 obliga a evaluación de impacto en supuestos de evaluación sistemática y exhaustiva de aspectos personales. Un proceso de selección algorítmico ya es auditable, solo que por la vía de protección de datos y no por la del Reglamento de IA.

Agentes autónomos. Que la tecnología se desplace de los asistentes conversacionales a agentes que ejecutan flujos en el ERP o el CRM es una observación de mercado razonable, pero conviene no vestirla de categoría jurídica: el Reglamento de IA no define «agente autónomo» ni le asigna un régimen propio. La calificación sigue dependiendo de la finalidad del sistema y del papel de la empresa —proveedor o responsable del despliegue—, no de su grado de autonomía. Un agente que concilia apuntes bancarios no es de alto riesgo; el mismo motor aplicado a decidir una promoción, sí.

Soberanía del dato. No existe un «RGPD adaptado» a la IA, y ninguna norma europea obliga a alojar modelos de lenguaje on-premise ni en nubes europeas. Lo que sí existe es un conjunto de exigencias concretas: el régimen de encargados de tratamiento (art. 28 RGPD) y de transferencias internacionales (capítulo V) para cualquier proveedor de IA que trate datos personales; el Reglamento de Datos (UE) 2023/2854, aplicable desde el 12 de septiembre de 2025, que regula el cambio de proveedor de servicios de tratamiento de datos y limita las barreras de salida; y el nuevo artículo 4 bis introducido por el Ómnibus, que permite excepcionalmente tratar categorías especiales de datos cuando sea estrictamente necesario para detectar y corregir sesgos, con garantías tasadas. La decisión entre nube pública y despliegue interno es una decisión de riesgo y de coste, no un mandato normativo.

02Marco laboral: lo que se anuncia y lo que está publicado

Es el frente donde más distancia hay entre el titular y el Boletín Oficial del Estado.

Registro horario digital. El real decreto que impondría el fichaje digital, el acceso remoto de la Inspección y la inalterabilidad de los registros no ha sido aprobado. El proyecto obtuvo dictamen del Consejo de Estado el 23 de marzo de 2026, su aprobación se aplazó de julio a septiembre y, a la fecha de este artículo, no consta publicado en el BOE. La consecuencia práctica es relevante: hoy el registro en papel sigue siendo legal. Lo exigible es lo que estableció el Real Decreto-ley 8/2019 al reformar el artículo 34.9 del Estatuto de los Trabajadores —registro diario con hora de inicio y fin, conservación durante cuatro años y puesta a disposición de la plantilla, la representación legal y la Inspección—, sancionable como infracción grave del artículo 7.5 de la LISOS, con multas de 751 a 7.500 euros según grado.

Esto no es un argumento para no digitalizar. Es un argumento para digitalizar por gestión y no por miedo, y para no comprar una solución con la urgencia de un plazo que todavía no existe. Cuando el real decreto se publique tendrá su propio periodo de adaptación, y ese será el momento de contrastar requisitos técnicos concretos con lo ya implantado.

Jornada. La reducción a 37,5 horas semanales no está en vigor: el Congreso rechazó el proyecto de ley el 10 de septiembre de 2025 mediante enmiendas a la totalidad. La jornada máxima legal sigue siendo de 40 horas semanales de promedio en cómputo anual (art. 34.1 ET). La reducción efectiva está avanzando por negociación colectiva, no por ley, lo que traslada la conversación al convenio aplicable a cada empresa.

Coste salarial. El Real Decreto 126/2026, de 18 de febrero, fija el salario mínimo interprofesional para 2026 en 40,70 euros/día o 1.221 euros/mes en el caso de salario mensual, con dos gratificaciones extraordinarias, y un cómputo anual de 17.094 euros, con efectos desde el 1 de enero de 2026. Es un incremento del 3,1 % respecto de 2025.

Desconexión digital y trabajo híbrido. No hay novedad normativa que reseñar en 2026, y conviene decirlo: el derecho a la desconexión digital está reconocido desde 2018 en el artículo 88 de la Ley Orgánica 3/2018 y reiterado en el artículo 18 de la Ley 10/2021 de trabajo a distancia, que además exige acuerdo escrito de trabajo a distancia cuando este alcanza al menos el 30 % de la jornada en un periodo de referencia de tres meses. Los planes de igualdad son obligatorios desde 50 personas trabajadoras conforme al Real Decreto 901/2020. Presentar estas obligaciones como novedad de 2026 desplaza el foco: llevan años en vigor y el trabajo pendiente en la mayoría de las empresas es de documentación, no de adaptación a un cambio legal.

03Sostenibilidad: el perímetro se estrecha, la huella de carbono no

La Directiva (UE) 2026/470, de 24 de febrero de 2026 —«Ómnibus I»—, en vigor desde el 18 de marzo de 2026 y con transposición hasta el 19 de marzo de 2027, ha recalibrado a la baja tanto la CSRD como la directiva de diligencia debida.

Esto obliga a corregir dos ideas muy extendidas. La primera, que el perímetro se amplía año a año: la reforma deja fuera a la gran mayoría de las empresas que la redacción original iba a incorporar. La segunda, que las pymes proveedoras deberán acreditar planes ESG completos a sus clientes grandes: el value chain cap se diseñó precisamente para impedirlo, y priva de eficacia a las cláusulas contractuales que vayan más allá de las normas voluntarias.

A esto se añade una circunstancia específicamente española: la CSRD sigue sin transponerse. El Proyecto de Ley de Información Empresarial sobre Sostenibilidad se aprobó en Consejo de Ministros en octubre de 2024 y continúa en tramitación. Cualquier empresa española que hoy prepare su información de sostenibilidad lo hace sobre una directiva ya modificada y una ley nacional que aún no existe.

04Ciberseguridad: NIS2 sin ley española, DORA fuera de perímetro

NIS2. El plazo de transposición de la Directiva (UE) 2022/2555 venció el 17 de octubre de 2024. El Consejo de Ministros aprobó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad el 14 de enero de 2025, pero la ley no consta publicada en el BOE a la fecha de este artículo, y la Comisión Europea mantiene abierto contra España un procedimiento de infracción por ello.

La consecuencia es un vacío incómodo, no una exención. Las obligaciones que traerá la ley están descritas en la directiva y son conocidas: medidas técnicas y organizativas de gestión de riesgos, incluida la seguridad de la cadena de suministro (art. 21); notificación de incidentes significativos en 24 horas de alerta temprana, 72 horas de notificación y 30 días de informe final; y aprobación de las medidas por el órgano de dirección, con formación específica y responsabilidad de sus miembros. La afirmación de que los directivos «asumen responsabilidad legal directa» es correcta como descripción de la directiva y de la ley que se tramita; hoy, en España, esa responsabilidad todavía carece de norma nacional de desarrollo, salvo para los operadores ya sujetos al Real Decreto-ley 12/2018. En la práctica, muchas empresas están recibiendo esas exigencias por vía contractual, de sus clientes esenciales, antes que por vía legal.

DORA. Aquí conviene deshacer un malentendido frecuente. El Reglamento (UE) 2022/2554 es aplicable desde el 17 de enero de 2025 y se dirige a las entidades financieras: entidades de crédito, empresas de servicios de inversión, gestoras, aseguradoras, infraestructuras de mercado y proveedores de servicios de criptoactivos, entre otras. No impone obligaciones a una empresa industrial, de servicios o de formación por el hecho de serlo. Los proveedores de servicios TIC quedan afectados de dos maneras distintas: contractualmente, porque sus clientes financieros deben trasladarles requisitos de resiliencia; y, en el caso de los designados como críticos, a través del marco de supervisión directa de las Autoridades Europeas de Supervisión. Agrupar DORA y NIS2 bajo un mismo epígrafe de «obligaciones de resiliencia para las empresas» induce a error sobre quién está obligado a qué.

05Calendario y prioridades para los próximos doce meses

Con ese calendario, la asignación razonable de esfuerzo en los próximos doce meses es la inversa de la que suele proponerse:

• Inventariar los sistemas de IA en uso y el papel de la empresa en cada uno. Es barato, no caduca y es el requisito previo de todo lo demás. Sin inventario no se puede saber si algo caerá en alto riesgo en 2027.
• Revisar las prácticas prohibidas, que ya lo están. Especialmente cualquier herramienta que analice el tono de voz, la expresión facial o el estado emocional de la plantilla.
• Documentar la formación en IA del artículo 4. Es obligación vigente, de resultado indeterminado pero de medio acreditable, y es el punto donde una comprobación futura buscará evidencia documental.
• Consolidar el registro de jornada actual. Fiabilidad, invariabilidad y conservación de cuatro años, con independencia del soporte, antes que sustituir el sistema por un plazo que aún no se ha publicado.
• Comprobar si el RD 214/2025 aplica. Si la empresa presenta estado de información no financiera, el cálculo de la huella y el plan de reducción publicado son exigibles ahora, al margen de la CSRD.
• Leer los contratos antes que las directivas. Para la mayoría de las pymes, las exigencias de ciberseguridad y de datos ESG llegarán como cláusula de un cliente, no como obligación legal propia; y en materia ESG, el tope de cadena de valor puede hacer inexigible esa cláusula.

06Lo que no podemos afirmar

Este artículo describe el estado de la normativa en la fecha de publicación y no constituye asesoramiento jurídico. Tres advertencias concretas sobre su alcance:

• Dos normas centrales están en tramitación —el real decreto de registro horario y la ley española de ciberseguridad— y una tercera, la ley de gobernanza de la IA, se encuentra en las Cortes. Su contenido final puede diferir del que se ha descrito, y las fechas de aprobación han cambiado varias veces.
• La transposición española de la CSRD sigue pendiente y deberá conciliarse con la Directiva Ómnibus I. Hasta que se publique, cualquier afirmación sobre qué empresas españolas quedan obligadas y desde qué ejercicio es una proyección sobre la directiva, no una lectura de la ley nacional.
• No cuantificamos impactos. Este texto no atribuye ahorros, costes ni porcentajes de cumplimiento a ninguna de estas normas, porque no disponemos de datos verificables para hacerlo sobre el conjunto del tejido empresarial español.

Normativa citada

• Reglamento (UE) 2024/1689, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial (arts. 4, 5, 50, 113 y Anexo III).
• Reglamento (UE) 2026/1744, de 8 de julio de 2026, por el que se modifican los Reglamentos (UE) 2024/1689, (UE) 2018/1139 y (UE) 2023/1230 en lo relativo a la simplificación de la aplicación de las normas armonizadas sobre inteligencia artificial (Ómnibus Digital sobre IA).
• Directiva (UE) 2026/470, de 24 de febrero de 2026, en materia de información corporativa sobre sostenibilidad y diligencia debida (Ómnibus I).
• Directiva (UE) 2022/2555 (NIS2), relativa a medidas destinadas a garantizar un elevado nivel común de ciberseguridad (arts. 20, 21, 23 y 41).
• Reglamento (UE) 2022/2554 (DORA), sobre la resiliencia operativa digital del sector financiero.
• Reglamento (UE) 2023/2854 (Reglamento de Datos), aplicable desde el 12 de septiembre de 2025.
• Real Decreto Legislativo 2/2015, texto refundido de la Ley del Estatuto de los Trabajadores (art. 34.1 y 34.9).
• Real Decreto Legislativo 5/2000, texto refundido de la Ley sobre Infracciones y Sanciones en el Orden Social (arts. 7.5, 39 y 40).
• Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (art. 88, desconexión digital).
• Ley 10/2021, de 9 de julio, de trabajo a distancia (arts. 1, 7 y 18).
• Real Decreto 901/2020, de 13 de octubre, por el que se regulan los planes de igualdad y su registro.
• Real Decreto 126/2026, de 18 de febrero, por el que se fija el salario mínimo interprofesional para 2026.
• Real Decreto 214/2025, de 18 de marzo, por el que se crea el registro de huella de carbono, compensación y proyectos de absorción de dióxido de carbono y se establece la obligación de su cálculo y de la publicación de planes de reducción.

Contenido verificado con las fuentes citadas a 7 de septiembre de 2026. Varias de las normas mencionadas están en tramitación: compruebe la redacción vigente antes de tomar decisiones.