El termini d'alt risc del Reglament d'IA s'ajorna al 2027. El de transparència, no.
Brussel·les ha fet un regal aquest any als equips d'IA, i no paro de veure equips de producte desembolicant la caixa equivocada. El Digital Omnibus — ja aprovat, no una proposta — va moure les obligacions d'alt risc del Reglament d'IA de l'agost de 2026 al 2 de desembre de 2027 per als sistemes independents i al 2 d'agost de 2028 per a la IA embeguda en productes regulats. La indústria hi va sentir «el Reglament d'IA s'endarrereix» i es va relaxar. Però les obligacions de transparència de l'article 50 no es van endarrerir mai. S'apliquen des del 2 d'agost de 2026 — dotze dies després que es publiqui aquest post — i cobreixen les funcionalitats d'IA més corrents que hi ha en producció: el chatbot, la imatge generada, la veu sintètica.
Llegeixo el Reglament (UE) 2024/1689 com llegeixo el changelog d'una API: què em trenca el roadmap, i quan. Soc enginyer, no advocat, i això és el mapa d'un builder, no assessorament jurídic. El costat del deployer per als equips de contractació ja el vam cobrir a la nostra sèrie sobre l'EU AI Act; aquest post és per a l'altre costat de la taula — l'equip que llança funcionalitats d'IA dins del seu propi producte.
La majoria de les teves funcionalitats no són d'alt risc. Classifica abans d'entrar en pànic.
El Reglament és una piràmide. Al capdamunt, les pràctiques prohibides — scoring social, explotació de vulnerabilitats, reconeixement d'emocions a la feina — vetades des del 2 de febrer de 2025. A sota, l'alt risc: sistemes en els àmbits de l'annex III, com ara decisions d'ocupació, scoring creditici, avaluació educativa i accés a serveis essencials, més la IA embeguda en productes ja regulats (annex I). Després, un nivell de transparència, i a la base, els sistemes de risc mínim que el Reglament gairebé no toca.
Fes un inventari honest i la majoria de funcionalitats d'IA d'un SaaS — resumir, cercar, redactar, classificar les teves pròpies dades operatives — cau en els dos nivells de baix. L'exercici de classificació ocupa una tarda de feina per funcionalitat, i és la peça de compliance que més rendeix, perquè tot el que ve després depèn d'aquesta resposta. Quan vam construir un motor legal conscient de la legislació per a un client legaltech, el memoràndum de classificació ocupava dues pàgines i va tancar una dotzena de discussions posteriors — amb l'assessoria del client, amb els seus compradors enterprise i, portes endins, cada cop que algú proposava apuntar el model a un cas d'ús més arriscat. El mode de fallada que veig a la pràctica no són equips que classifiquen malament; són equips que no classifiquen mai, arrossegant una por difusa que escala pitjor que cap obligació.
El matís que mereix la teva atenció: la condició d'alt risc segueix l'ús, no el model. Una funcionalitat de resum és risc mínim; el mateix resumidor ordenant sol·licitants de crèdit és territori de l'annex III. Si el teu roadmap apunta una funcionalitat innòcua cap a un àmbit de l'annex III, la classificació et canvia sota els peus — i aquesta és una decisió de producte que algú hauria de prendre — amb la data de desembre de 2027 a la vista.
Embolicar el model d'un altre et pot convertir igualment en proveïdor
Als rols del Reglament tant els fa el teu diagrama d'arquitectura. Posa el teu nom en un sistema d'IA i col·loca'l al mercat de la UE — encara que sigui una capa fina sobre l'API d'un model frontier — i ets el proveïdor d'aquell sistema, amb les obligacions que corresponen a la seva classe de risc. Les obligacions dels models GPAI que van entrar en vigor el 2 d'agost de 2025 lliguen el fabricant del model aigües amunt; no absorbeixen els teus deures aigües avall. I l'article 25 té una trampa que convé conèixer: modifica substancialment un sistema d'alt risc, o posa-hi la teva marca, i les obligacions de proveïdor es transfereixen a tu.
Per a la majoria d'equips de producte la resposta cap en una línia: ets el proveïdor d'un sistema de risc limitat o mínim, i les teves obligacions concretes són els deures de transparència de més avall. Però «nosaltres només cridem una API» no ha estat mai una posició legal, i els equips que deixen per escrit quin rol tenen per funcionalitat hi dediquen una hora un sol cop, en lloc de tornar-ho a discutir a cada trucada de procurement enterprise.
Hi ha una data dins del règim GPAI que també importa als builders: els proveïdors de models que van signar el Codi de Bones Pràctiques de la Comissió veuen expirar el seu període de gràcia el 2 d'agost de 2026 — el mateix dia que comencen els teus deures de transparència. Compta que la documentació, les polítiques d'ús i el tooling de procedència dels teus proveïdors upstream canviaran al voltant d'aquesta data, i basa la teva integració en el que publiquin ells, no en el resum d'un blog. El seu nivell de compliment és un input del teu; tracta la documentació del model com tractes el changelog d'una dependència.
L'agost de 2026 és un deadline d'UX i metadades, no d'advocats
L'article 50 es tradueix en tres peces de feina d'enginyeria, totes vigents des del 2 d'agost de 2026:
- Revelar la interacció. La gent ha de poder saber que parla amb una màquina. Si el teu chatbot podria passar raonablement per un agent humà, ha de deixar clar que no ho és — una tasca de disseny, i petita si la planifiques amb temps.
- Marcatge llegible per màquines del contingut sintètic. L'àudio, les imatges, el vídeo i el text generats per IA i destinats al públic necessiten un marcatge en format llegible per màquines — les metadades de procedència de la família C2PA són el punt on convergeix l'ecosistema. Els sistemes posats al mercat abans del 2 d'agost de 2026 tenen un període de gràcia per al marcatge fins al 2 de desembre de 2026; els nous, no.
- Revelar deepfakes i categorització. Els deployers de deepfakes, reconeixement d'emocions o categorització biomètrica ho han de revelar a les persones afectades.
Res d'això no és exòtic. És el tipus de feina que un equip entrega en un o dos sprints quan és al roadmap, i reentrega malament sota un deadline de procurement quan no hi és. El cas del marcatge de text mereix una nota a part: per a imatges i àudio, les metadades de procedència tenen un estàndard emergent on recolzar-se; per al text generat i publicat per informar el públic, les opcions tècniques són més limitades i el mateix Reglament ho reconeix — cosa que converteix el teu logging en la xarxa de seguretat. Si pots reconstruir quines sortides van ser generades per màquina, quan i amb quina versió de model, pots respondre la pregunta fins i tot allà on una marca d'aigua no sobreviu un copiar-enganxar. Construeix primer la reconstrucció; serveix per depurar un dimarts qualsevol i per als reguladors el dia que preguntin.
Hi ha a més una obligació ja en vigor que costa gairebé res: l'alfabetització en IA (article 4, vigent des del febrer de 2025) demana a proveïdors i deployers assegurar que el personal que opera sistemes d'IA els entén. Per a una organització d'enginyeria això és un mòdul d'onboarding i un parell de sessions internes — les mateixes que el teu equip voldria de totes maneres.
La pròrroga és real — i no són vacances
Concedeixo al contraargument tot el seu pes: el desembre de 2027 queda lluny, els estàndards harmonitzats per a sistemes d'alt risc encara s'estan escrivint (en bona part per això es va moure la data) i la capacitat d'enforcement varia d'un estat membre a l'altre. Alguns marges del Reglament segueixen sense assentar-se — on comença la «modificació substancial», quins formats de marcatge satisfaran quina autoritat. Qui et vengui certeses sobre aquests punts t'està venent.
Però això és el que la pròrroga no canvia: si alguna funcionalitat del teu roadmap pot caure raonablement a l'annex III, la part cara del compliance és arquitectònica — logging capaç de reconstruir una decisió, hooks de supervisió humana que no siguin decoratius, governança de dades que puguis descriure sense enrojolar-te. Tot això costa poc si es dissenya des del principi, i una reescriptura sencera si s'hi vol encaixar amb calçador després. Setze mesos extres són la finestra en què dissenyar-ho des del principi encara surt barat.
Què faria aquest trimestre si el roadmap de producte amb IA fos meu
- Inventaria cada funcionalitat amb forma d'IA, amb un responsable. Les funcionalitats a l'ombra compten — l'script d'enriquiment que fa servir màrqueting també és al mercat.
- Classifica cada una contra la piràmide, per escrit, un paràgraf cadascuna. Anota quines podrien derivar cap a l'annex III amb una sola decisió de producte.
- Entrega ja la feina de l'article 50: UX de revelació per a tot el que és conversacional, metadades de procedència per a tot el que és generatiu. El termini venç d'aquí a poques setmanes, i és feina petita.
- Guarda registres de models i evals — quina versió de model va córrer quan, avaluada com. Els voldràs per a les cinc preguntes que qualsevol auditor o comprador enterprise acabarà fent.
- Decideix el teu rol per funcionalitat — proveïdor o deployer — i arxiva-ho on vendes ho pugui trobar abans que arribi el següent qüestionari de procurement.
Els equips que millor van sortejar el RGPD el 2018 no eren els de més pressupost legal; eren aquells on els enginyers van llegir el reglament un cop i el van projectar sobre sistemes que ja entenien. El Reglament d'IA premia el mateix gest. La data d'alt risc s'ha mogut. L'hàbit de llegir-te les regles tu mateix, no.
Si estàs construint funcionalitats d'IA sota regles europees i vols enginyers que ja han llançat sota aquest tipus d'escrutini, parla amb un CTO.
