El plazo se movió. El riesgo no.

Si en los últimos meses recibió una propuesta que empezaba con "la ley europea de IA entra en vigor en agosto y su empresa tiene que estar lista", esa propuesta ya no está describiendo el calendario real. El 6 de mayo de 2026, el Consejo y el Parlamento europeos alcanzaron un acuerdo sobre el paquete conocido como Digital Omnibus —ratificado por los Estados miembros el 13 de mayo y hoy ya formalmente adoptado— que corrió las fechas de aplicación de los sistemas de alto riesgo.¹

No es un detalle de abogados. Es la diferencia entre correr y caminar con criterio.

Una advertencia para no leerlo de más: no todo se aplazó. Las obligaciones de transparencia —avisarle a una persona cuando está hablando con una IA o viendo contenido generado por ella— siguen vigentes desde el 2 de agosto de 2026. Lo que se movió es el régimen pesado de alto riesgo, no el deber de ser transparente.

Por qué esto le importa aunque no venda en Europa

Una empresa ecuatoriana, colombiana o peruana rara vez cae bajo esa ley de forma directa. Le llega de otra manera: por contrato. Su cliente multinacional, su casa matriz o el fondo que lo financia sí están obligados, y trasladan la exigencia hacia abajo en forma de cláusula, cuestionario de proveedor o requisito de certificación. La norma no lo alcanza; su cadena de valor sí.

Y aquí está la parte útil de la noticia: usted ganó entre dieciocho meses y dos años. No para archivar el tema, sino para hacerlo bien — que es exactamente lo contrario de lo que produce una fecha encima.

El reloj que no se movió

Mientras en Europa se aflojaba el acelerador, en Ecuador ya había pasado lo contrario. El 1 de diciembre de 2025, la Superintendencia de Protección de Datos Personales impuso sus primeras sanciones por infracción grave bajo la LOPDP: 259.644 dólares a una organización y 194.856 a otra, por consentimiento inválido recabado a través de una aplicación para hinchas. A una de ellas se le ordenó, además, informar a 14.398 personas y borrar sus datos.²

La lectura es simple. La conversación sobre inteligencia artificial se adelantó dos años. La conversación sobre datos personales ya está aquí, ya tiene monto y ya tiene nombre. Y no hay forma de gobernar el uso de la IA de una empresa si antes no se sabe qué datos tiene, de dónde vinieron y con qué permiso.

Ninguna organización puede gobernar una inteligencia artificial que se alimenta de datos que todavía no gobierna.

Ya está en la agenda del directorio

Esto dejó de ser una preocupación del área de sistemas. En su agenda 2026 para directorios, KPMG ubica la supervisión de la inteligencia artificial como la prioridad número dos y el gobierno de datos como la número tres — por delante de ciberseguridad y sostenibilidad.³ Es decir: la pregunta ya no llega desde abajo, llega desde la mesa.

Cuando llegue —y suele llegar en forma de "¿estamos expuestos?"— conviene tener a mano tres respuestas, no un plan de dos años.

Qué hacer con el tiempo que ganó

Tres movimientos que no requieren comprar software, y que sirven igual si la fecha vuelve a moverse:

• Un dueño por cada dato que importa. No un área: una persona con nombre que responde por esa cifra. Es el paso que más rápido cambia las reuniones.
• Una definición única, acordada y escrita. Qué cuenta como "cliente activo", qué cuenta como "venta". Suena elemental hasta que tres sistemas dan tres respuestas.
• Un inventario de dónde ya se está usando IA. Casi siempre hay más de lo que el comité imagina: un asistente en atención al cliente, un modelo de scoring heredado, una herramienta que alguien contrató sin pasar por compras. Ese inventario es, en la práctica, el primer requisito de cualquier marco de gestión de IA —incluido ISO/IEC 42001—⁴ y se puede levantar en semanas.

Ninguno de los tres depende de Bruselas. Los tres se sostienen solos, con o sin ley encima.

El punto

Corregir el calendario no es un tecnicismo: es la diferencia entre decidir con la información correcta o con la de hace tres meses. Y es, en el fondo, el mismo asunto del que trata todo este trabajo — que una decisión buena sobre un dato viejo sigue siendo una mala decisión.

El tiempo extra existe. La pregunta que vale es qué se hace con él.

Nota sobre el estado de la sanción. Las multas citadas fueron impuestas por la Superintendencia de Protección de Datos Personales y anunciadas el 1 de diciembre de 2025. Como toda resolución sancionatoria en Ecuador, admite recursos en sede administrativa y contencioso-administrativa, por lo que no es necesariamente firme. Al cierre de esta edición no consta públicamente el pago de las multas ni el resultado de eventuales impugnaciones por parte de las organizaciones sancionadas. Actualizaremos esta pieza si la situación cambia.