La primera reforma del Reglamento de Inteligencia Artificial concede más tiempo para cumplir algunas obligaciones, aunque no permite aparcar los planes de adaptación.
El pasado 24 de julio se publicó en el Diario Oficial de la Unión Europea el Reglamento (UE) 2026/1744, conocido como el “Ómnibus Digital sobre IA” (“Ómnibus”). La norma entró en vigor el 27 de julio, pocos días antes del 2 de agosto, fecha de aplicación general de buena parte del Reglamento de Inteligencia Artificial (“RIA”).
El Ómnibus pretende facilitar la aplicación del RIA, aclarar algunos conceptos y evitar solapamientos con la legislación sectorial. Su principal efecto es la modificación de determinados plazos, pero no suspende el Reglamento ni altera su estructura basada en el riesgo. Se trata de un aplazamiento selectivo y no de una moratoria general.
Qué obligaciones se aplazan
El primer cambio afecta a los sistemas de alto riesgo incluidos en el Anexo III del RIA, utilizados, entre otros ámbitos, en la educación, el empleo, la biometría, el acceso a servicios esenciales o la administración de justicia.
Las obligaciones aplicables a estos sistemas, inicialmente previstas para agosto de 2026, serán exigibles a partir del 2 de diciembre de 2027.
Los sistemas de alto riesgo vinculados a productos regulados siguen un calendario diferente. Cuando el sistema sea el propio producto o uno de sus componentes de seguridad y esté sometido a una evaluación de conformidad por un tercero conforme a la legislación incluida en el Anexo I, las obligaciones comenzarán a aplicarse el 2 de agosto de 2028. En esta categoría pueden encontrarse determinados sistemas integrados en máquinas, juguetes, ascensores u otros productos regulados.
La norma aclara que la mera integración de un sistema de IA en un producto no basta para considerarlo un componente de seguridad. Será necesario que desempeñe una función destinada a prevenir o reducir riesgos o que su fallo pueda poner en peligro la salud o la seguridad de personas o bienes.
La Comisión podrá limitar algunas obligaciones aplicables a estos sistemas cuando la legislación sectorial garantice un nivel de protección equivalente o superior al del RIA. Este mecanismo trata de evitar que un mismo producto deba cumplir exigencias duplicadas.
No todo se aplaza
La conclusión de que el RIA queda suspendido hasta 2027 o 2028 sería equivocada. El 2 de agosto de 2026 continúa siendo una fecha relevante, especialmente para las obligaciones de transparencia.
Los proveedores de sistemas que generen contenido sintético de audio, imagen, vídeo o texto deberán marcar sus resultados en un formato que permita detectar que han sido generados o manipulados artificialmente.
Los sistemas introducidos en el mercado a partir del 2 de agosto de 2026 deberán cumplir esta obligación desde esa misma fecha. Aquellos que ya estuvieran en el mercado dispondrán hasta el 2 de diciembre de 2026 para adaptarse.
El Ómnibus incorpora también dos nuevas prácticas prohibidas. La primera se refiere a la generación o manipulación de imágenes, vídeos, audios u otros contenidos realistas de las partes íntimas de una persona identificable, o de esa persona participando en actividades sexualmente explícitas, sin su consentimiento libre, específico, informado, inequívoco y explícito. La segunda afecta a la generación o manipulación de material de abuso sexual de menores mediante sistemas de IA.
Para los proveedores, la prohibición alcanza tanto a los sistemas creados con esa finalidad como a aquellos en los que la producción de estos contenidos sea un resultado razonablemente previsible y reproducible, cuando no existan medidas adecuadas para impedirlo y corregir posibles usos indebidos. A los responsables del despliegue se les prohíbe utilizar sistemas de IA con ese propósito.
Estas nuevas prohibiciones serán aplicables a partir del 2 de diciembre de 2026.
Otros cambios relevantes
El nuevo artículo 4 bis del RIA introduce una habilitación excepcional para tratar categorías especiales de datos personales con fines de detección y corrección de sesgos, sin perjuicio de las restantes exigencias de la normativa de protección de datos.
El tratamiento deberá ser estrictamente necesario y estará sujeto a garantías específicas. Entre ellas se encuentran la imposibilidad de alcanzar el mismo objetivo mediante datos sintéticos o anonimizados, las limitaciones de reutilización, los controles de acceso y la eliminación de la información cuando deje de ser necesaria.
También se modifica la obligación de alfabetización en inteligencia artificial. Los proveedores y responsables del despliegue deberán adoptar medidas para que su personal y quienes utilicen sistemas de IA en su nombre adquieran conocimientos adecuados. Sin embargo, no estarán obligados a garantizar que cada persona alcance un nivel concreto.
Algunas medidas de simplificación previstas para las pymes se extienden a las pequeñas empresas de mediana capitalización. Por su parte, los Estados miembros dispondrán hasta el 2 de agosto de 2027 para contar con al menos un sandbox regulatorio de IA operativo a nivel nacional.
La reforma refuerza, además, las competencias de supervisión de la Oficina Europea de Inteligencia Artificial respecto de determinados sistemas basados en modelos de IA de uso general y de aquellos integrados en plataformas o motores de búsqueda en línea de muy gran tamaño.
Qué deben hacer ahora las organizaciones
El nuevo calendario obliga a revisar las hojas de ruta elaboradas hasta ahora. Antes de acogerse a un plazo más amplio, cada organización deberá saber qué sistemas desarrolla o utiliza, cómo se clasifican y si actúa como proveedora, responsable del despliegue, importadora o distribuidora.
En definitiva, el Ómnibus ofrece más tiempo para preparar el cumplimiento de las obligaciones relativas a los sistemas de alto riesgo, pero no paraliza el resto del RIA. El margen adicional debería servir para revisar los proyectos en curso y adaptar los contratos, las medidas de transparencia y los procedimientos internos de gobernanza y gestión de riesgos.
Autor: Marta Chavarría Romero (con ayuda de la bestia®, nuestra IA)