Cinco fuerzas convergen ahora.
Entre 2026 y 2028 llegan obligaciones con fecha publicada —VeriFactu, el alto riesgo del Reglamento de IA— y otras, como la transposición de NIS2, seguían pendientes a 25/09/2026. Aquí están, cada una con su fuente oficial, y nuestra lectura de por qué el momento es ahora.
- sin registro
- sin cookies
- gratis
- La AEPD y la IA agéntica
- Reglamento de IA · supervisión humana (art. 14)
- NIS2 · la transposición que falta
- Verifactu · facturación verificable (2027)
- La Autoridad del Informante, en marcha
Lo que dice cada una, abajoLas cinco fuerzas ↓
Qué está cambiando, una a una.
-
Fuerza 01
La AEPD y la IA agéntica
El 18/02/2026 la AEPD publicó sus orientaciones «Inteligencia artificial agéntica desde la perspectiva de protección de datos». Son orientaciones, no una norma: explican cómo aplicar el RGPD cuando un tratamiento se hace con agentes de IA. Entre las medidas que propone están una supervisión humana efectiva, con criterios y puntos de control para intervenir, y la trazabilidad de lo que hace el agente.
Fuente: AEPD · Inteligencia artificial agéntica (v1.2, febrero de 2026) · comprobada el 27/09/2026
-
Fuerza 02
Reglamento de IA · supervisión humana (art. 14)
El Reglamento (UE) 2024/1689 exige que los sistemas de alto riesgo se diseñen de modo que puedan ser vigilados de manera efectiva por personas físicas (art. 14). Tras el Reglamento (UE) 2026/1744, ese régimen se aplica desde el 2 de diciembre de 2027 a los del anexo III (empleo, crédito, educación, servicios esenciales…) y desde el 2 de agosto de 2028 a los del anexo I (art. 113). Incumplir las obligaciones de proveedores y responsables del despliegue puede costar hasta 15 M€ o el 3 % del volumen de negocios mundial (art. 99.4); los 35 M€ o el 7 % son para las prácticas prohibidas del art. 5 (art. 99.3).
Fuente: Reglamento (UE) 2024/1689, texto consolidado (EUR-Lex) · comprobada el 27/09/2026
-
Fuerza 03
NIS2 · la transposición que falta
El plazo para transponer NIS2 venció el 17/10/2024 y España no la ha transpuesto: a 25/09/2026 solo hay un anteproyecto de ley que no ha llegado a las Cortes, y en julio de 2026 la Comisión decidió llevar a España ante el Tribunal de Justicia de la UE. Mientras, rige el RD-ley 12/2018. Cuando se transponga, la ley deberá prever multas de al menos 10 M€ o el 2 % de la facturación mundial para las entidades esenciales (art. 34 de la Directiva).
Fuente: Directiva (UE) 2022/2555 (EUR-Lex) · comprobada el 27/09/2026
-
Fuerza 04
Verifactu · facturación verificable (2027)
Quien factura con un programa informático, en territorio común, tendrá que usar uno adaptado al Reglamento de sistemas de facturación: los contribuyentes del Impuesto sobre Sociedades, antes del 1 de enero de 2027; el resto de obligados (IRPF con actividad económica, entidades en atribución de rentas y no residentes con establecimiento permanente), antes del 1 de julio de 2027 (disposición final cuarta del RD 1007/2023, en la redacción del Real Decreto-ley 15/2025). Quien factura a mano, o lleva los libros del IVA por el SII, no está incluido.
Fuente: RD 1007/2023, texto consolidado (BOE) · comprobada el 27/09/2026
-
Fuerza 05
La Autoridad del Informante, en marcha
La Autoridad Independiente de Protección del Informante funciona desde el 1 de septiembre de 2025. Según su Memoria de 2025, ese año no inició ningún procedimiento sancionador formal: abrió las primeras actuaciones previas a finales de diciembre y acordó remitir cinco casos de protección a procedimiento sancionador. La Ley 2/2023 prevé multas de hasta 1 M€ para las personas jurídicas por infracciones muy graves (art. 65).
Fuente: Memoria 2025 de la Autoridad Independiente de Protección del Informante · comprobada el 27/09/2026
No es teoría: ya se sanciona.
Sanciones documentadas en sectores que AIM ÆGIS cubre, cada una con su resolución pública.
- En 2024 la AEPD impuso 35,59 M€ en 281 resoluciones con multa (Memoria 2024 de la AEPD).
- Clínicas dentales: 8.000 € a una por grabar de forma continua a los pacientes en los gabinetes y, en exceso, los puestos de su personal (minimización, art. 5.1.c RGPD); 5.400 € tras las reducciones (PS/00439/2024).
- Comunidades de propietarios: 1.000 € a una por colgar en el tablón de anuncios los apartamentos con deudas y su importe (arts. 5.1.f y 32 RGPD; PS/00277/2023).
- Farmacias: 16.000 € a una por anotar en hojas Excel datos de pacientes y de su medicación (arts. 9, 13 y 32 RGPD; PS/00187/2025) y 13.000 € a otra por tratar sin base jurídica datos de residentes de centros geriátricos (arts. 6.1 y 14 RGPD; PS/00139/2025), antes de las reducciones.
- Ayuntamientos: la AEPD declaró que el de El Puerto de Santa María infringió el art. 58.1 RGPD por no contestar a sus requerimientos de información; a una administración no se le impone multa (PS/00181/2024).
Por qué creemos que es ahora.
Es nuestra opinión, no un dato: las fechas en que se apoya están arriba, cada una con su fuente.
-
01 · Fechas
Las fechas ya están publicadas
VeriFactu, antes del 01/01/2027 o del 01/07/2027; el alto riesgo del Reglamento de IA, desde el 02/12/2027 o el 02/08/2028. Lo que se prepare ahora llega a tiempo.
-
02 · Lo pendiente
Lo que falta también llegará
NIS2 seguía sin transponer a 25/09/2026: cuando se apruebe la ley, habrá que adaptarse a ella. Lo seguimos en el radar de plazos, con la fecha en que lo comprobamos.
-
03 · Nuestra apuesta
Explicar, no solo avisar
Creemos que quien explique cada obligación con su artículo y su fuente se ganará la confianza de las asesorías. Es una apuesta, no un dato. AIM ÆGIS la hace con 80 marcos y un razonamiento que se puede revisar.
¿Y a ti, qué te toca?
Con tu plantilla, tu sector y tus actividades: lo que te aplica y por dónde empezar. Gratis, sin registro y sin cookies.