Más tiempo. Menos excusas.
La prórroga de la AI Act no reinicia el reloj. Solo lo alarga.
Hace pocas semanas, el 2 de agosto de 2026 era una fecha inamovible.
Los responsables de riesgos, auditoría y cumplimiento de las entidades financieras llevaban meses trabajando contra ese plazo. Revisando modelos. Documentando decisiones. Identificando qué sistemas de IA entraban en el perímetro de alto riesgo y cuáles no. Preparándose para demostrar, con evidencias, que sus algoritmos de scoring crediticio funcionan correctamente, no discriminan y pueden explicarse.
Entonces llegó la prórroga.
El Consejo de la Unión Europea aprobó el 29 de junio de 2026 desplazar la aplicación de determinadas obligaciones para sistemas de IA de alto riesgo —entre ellos, los utilizados para evaluar la solvencia o calcular el scoring de crédito de personas físicas— del 2 de agosto de 2026 al 2 de diciembre de 2027. Dieciséis meses más.
Los titulares hablaron de respiro. De margen. De tiempo para adaptarse.
Y en muchos despachos, sin decirlo en voz alta, alguien pensó: ya no corre tanta prisa.
Ese pensamiento es el riesgo real.
El aplazamiento no es lo que parece
Conviene ser precisos sobre lo que ha cambiado y lo que no.
No se ha retrasado toda la AI Act. Las obligaciones de alfabetización en IA para el personal siguen vigentes desde agosto de 2025. Las prácticas prohibidas llevan aplicándose desde febrero del mismo año. Y las entidades financieras siguen sujetas al RGPD, a la normativa bancaria, a las exigencias de protección del consumidor, al gobierno del dato y a los requerimientos de riesgo de modelo que los supervisores llevan años reforzando.
Lo que se ha aplazado es específico: la aplicación formal de determinadas obligaciones para los sistemas autónomos de IA del Anexo III. Entre ellos, los modelos de credit scoring. Nada más.
El trabajo que había que hacer sigue siendo el mismo. La dirección regulatoria no ha cambiado. Y el scoring crediticio sigue siendo, por sus propias características —impacto directo sobre el acceso al crédito, riesgo de sesgo sistémico, dificultad de explicación individual, uso frecuente de modelos de terceros, deterioro con el tiempo— uno de los ámbitos donde más importa tener los modelos bajo control.
Hay dos tipos de entidades. Y dos tipos de error.
Lo que vemos en ubimia® al trabajar con entidades financieras en este proceso es que el sector no parte de cero.
Muchos bancos han avanzado de forma seria durante los últimos meses. Han construido inventarios de modelos. Han desarrollado marcos de gobernanza. Han mejorado la documentación técnica y la trazabilidad de sus decisiones. Han asignado responsables y definido controles. Ese trabajo tiene valor. No debe detenerse.
El primer error sería desactivar ahora lo que se ha construido. Liberar recursos, posponer las validaciones pendientes, dejar en suspenso los proyectos en curso. Dieciséis meses pueden parecer mucho tiempo cuando estás en julio de 2026. No lo parecen tanto cuando llegas a octubre de 2027 y descubres que los controles que documentaste hace dos años no han sido probados en producción.
El segundo error es el de las entidades que llegaban retrasadas y ven en la prórroga una oportunidad para seguir siéndolo. El reloj no se ha reiniciado. Se ha alargado. Y arrancar en enero de 2027 con un año y medio de retraso acumulado es peor, no mejor, que arrancar ahora.
Lo que toca hacer depende de dónde estés
Para las entidades en una fase inicial, el primer paso es también el más básico: saber qué modelos existen, qué decisiones toman y si entran en el perímetro regulatorio. Sin ese inventario, todo lo demás es ilusorio. Hay que identificar los sistemas afectados, asignar responsables y definir una hoja de ruta priorizada por impacto real, no por comodidad.
Para las entidades con trabajo ya iniciado, el foco debe estar en cerrar las brechas que quedaron abiertas: completar la trazabilidad de extremo a extremo, homogeneizar criterios de validación, revisar los modelos desarrollados por terceros —que a menudo son los menos controlados— y empezar a definir métricas concretas de sesgo, robustez y explicabilidad. El marco existe. Hace falta que funcione.
Para las entidades más avanzadas, la prórroga es una oportunidad distinta. No de producir más documentación. Sino de someter lo construido a una prueba real.
¿Pueden reproducirse las decisiones? ¿Las explicaciones que genera el modelo son fieles, estables y comprensibles para quien las recibe? ¿Los controles resisten una revisión independiente? ¿Qué pasa con el modelo cuando los datos cambian, cuando el comportamiento de la cartera deriva, cuando aparece un sesgo que no estaba en el momento de la validación?
En ubimia® ayudamos a las entidades a responder esas preguntas. Revisamos y validamos modelos —propios o de terceros—, analizamos sesgos, robustez y calidad de los datos, y preparamos la documentación y los controles necesarios para que los modelos puedan defenderse ante riesgos, auditoría y supervisión. Pero también hacemos algo que cada vez más entidades nos piden: poner a prueba programas de cumplimiento que ya están en marcha. Verificar que lo construido es sólido, no solo que existe.
El valor real de estos dieciséis meses
La regulación ha dado más tiempo. Eso es un hecho.
Pero la pregunta relevante no es cuánto tiempo hay. Es qué se va a hacer con él.
Las entidades que lleguen a diciembre de 2027 con sus modelos validados, sus controles probados en producción y sus decisiones auditables no habrán cumplido un trámite. Habrán construido algo que tiene valor más allá del regulador: modelos en los que confían, que entienden y que pueden defender.
Las que lleguen con la documentación justa y los controles sin probar habrán perdido algo más que una fecha. Habrán perdido la oportunidad de saber, de verdad, qué hacen sus algoritmos con las decisiones de crédito de sus clientes.
¿Tu entidad va a utilizar estos dieciséis meses para llegar preparada, o simplemente para llegar más tarde?
