Se publica el Reglamento Ómnibus Digital sobre IA

El pasado 24 de julio se publicó en el Diario Oficial de la Unión Europea el Reglamento (UE) 2026/1744, de 8 de julio de 2026, por el que se modifican los Reglamentos (UE) 2024/1689, (UE) 2018/1139 y (UE) 2023/1230 en lo que respecta a la simplificación de la aplicación de normas armonizadas en materia de inteligencia artificial (el "Ómnibus Digital sobre IA"). El texto entra en vigor a los tres días de su publicación, culminando así el proceso legislativo que hemos seguido en este blog desde la presentación de la propuesta de la Comisión Europea en noviembre de 2025 hasta su aprobación definitiva por el Parlamento Europeo y el Consejo.

A continuación se explican las principales modificaciones que introduce en el Reglamento (UE) 2024/1689 (“Reglamento de IA”).

Nuevo calendario de aplicación para los sistemas de IA de alto riesgo

La modificación de mayor calado práctico es la relativa al calendario de aplicación de las obligaciones del capítulo III, secciones 1 a 3, del Reglamento de IA, que regulan los sistemas de IA de alto riesgo.

El nuevo artículo 113 del Reglamento de IA fija su aplicación el 2 de diciembre de 2027 para los sistemas de IA de alto riesgo clasificados conforme al artículo 6.2 y al anexo III —los llamados sistemas "independientes", en ámbitos como la biometría, el empleo, la educación, la migración o el acceso a servicios esenciales— y el 2 de agosto de 2028 para los sistemas de alto riesgo integrados en productos regulados por la legislación armonizada de seguridad de producto (artículo 6.1 y anexo I, sección A). Se trata de un aplazamiento sustancial respecto de la fecha general de aplicación de 2 de agosto de 2026 prevista originalmente en el Reglamento de IA.

Junto a este aplazamiento general, el Ómnibus aclara el alcance del período de gracia del artículo 111.2 del Reglamento de IA: el factor decisivo para beneficiarse de dicho período es que al menos una unidad del tipo y modelo de sistema de alto riesgo de que se trate se haya introducido legalmente en el mercado antes de la fecha de aplicación correspondiente, de forma que otras unidades del mismo tipo y modelo podrán seguir comercializándose sin obligaciones adicionales mientras su diseño permanezca inalterado. Cualquier cambio significativo en el diseño posterior a esa fecha obliga, sin embargo, al cumplimiento pleno de las disposiciones aplicables a los sistemas de alto riesgo, incluida la evaluación de la conformidad.

Origen de la norma en el proceso legislativo: esta fecha fija no era la que había propuesto originalmente la Comisión, cuya propuesta preveía un mecanismo flexible que condicionaba la aplicación de estas obligaciones a una Decisión previa de la Comisión confirmando la disponibilidad de normas armonizadas y herramientas de cumplimiento, con plazos máximos de seis y doce meses tras dicha Decisión. Fueron el Consejo y el Parlamento Europeo quienes, de forma coincidente, descartaron ese mecanismo condicional y optaron por las fechas fijas y ciertas que finalmente recoge el texto publicado.

Nueva prohibición de deepfakes sexuales y material de abuso sexual infantil

El Ómnibus incorpora al artículo 5 del Reglamento de IA dos nuevas prácticas de IA prohibidas:

·       En primer lugar, la introducción en el mercado, puesta en servicio o utilización de un sistema de IA que genere o manipule imágenes, vídeos o audios realistas de las partes íntimas de una persona física identificable, o de dicha persona participando en actividades sexualmente explícitas, sin su consentimiento libre, específico, informado e inequívoco.

·       En segundo lugar, la generación o manipulación de material o espectáculos de abuso sexual infantil en el sentido de la Directiva 2011/93/UE, salvo que resulte aplicable una defensa de "forma ilícita" conforme al Derecho nacional.

El Reglamento precisa que, para los proveedores, la prohibición solo se activa cuando dicha generación o manipulación sea la finalidad prevista del sistema, o cuando el diseño, entrenamiento, arquitectura o funcionalidades del sistema hagan que ese resultado sea razonablemente previsible y reproducible sin que existan medidas técnicas de seguridad razonables y adecuadas para evitarlo. Para los responsables del despliegue, en cambio, la prohibición únicamente opera cuando utilicen el sistema con la finalidad concreta de generar o manipular dicho material. Además, se aclara que no constituye "manipulación" a estos efectos la alteración de material preexistente que no aumente la exposición de las partes íntimas representadas ni altere la naturaleza de la actividad sexualmente explícita ya representada.

Origen de la norma en el proceso legislativo: se trata de una de las novedades sustantivas de mayor calado del Ómnibus, y no formaba parte de la propuesta inicial de la Comisión de noviembre de 2025. Fue el Consejo quien la introdujo por primera vez en su mandato negociador de marzo de 2026, centrada en las llamadas "nudifier apps" y el material de abuso sexual infantil generado por IA, mientras que el Parlamento Europeo incorporó de forma paralela una prohibición equivalente centrada en el contenido íntimo no consentido. El texto final desarrolla con mayor detalle que ambas posiciones los supuestos de activación de la prohibición.

La obligación de alfabetización en materia de IA

El nuevo artículo 4 del Reglamento de IA mantiene, aunque reformulada, la obligación de los proveedores y responsables del despliegue de sistemas de IA de adoptar medidas para apoyar la promoción de la alfabetización en materia de IA de su personal y de las demás personas que operen sistemas de IA en su nombre, teniendo en cuenta sus conocimientos técnicos, experiencia, formación y el contexto de uso del sistema. El propio precepto aclara expresamente que esta obligación no exige garantizar un nivel específico de alfabetización de ninguna persona en particular. Como complemento, la Comisión deberá publicar ejemplos prácticos de cumplimiento en la plataforma única de información, y el Consejo de IA adoptará recomendaciones con objetivos comunes para apoyar a la Comisión y a los Estados miembros en esta materia.

Origen de la norma en el proceso legislativo: este resultado es ilustrativo del recorrido de la negociación, ya que la propuesta original de la Comisión eliminaba por completo la obligación directa sobre proveedores y responsables del despliegue, sustituyéndola por un mero mandato de fomento dirigido a la Comisión y los Estados miembros. Fue el Parlamento Europeo quien, en su posición de marzo de 2026, rechazó esa supresión y propuso mantener la obligación reformulada en términos de "apoyo"; la redacción finalmente aprobada reproduce esa fórmula de forma casi literal.

Tratamiento de datos sensibles para la detección y corrección de sesgos

El nuevo artículo 4 bis del Reglamento de IA introduce una base jurídica para que, con carácter excepcional, se puedan tratar categorías especiales de datos personales con el fin de detectar y corregir sesgos. Los proveedores de sistemas de IA de alto riesgo pueden hacerlo cuando sea "estrictamente necesario" para la detección y corrección de sesgos conforme al artículo 10.2, letras f) y g), y siempre que se cumplan las garantías tasadas del precepto, entre ellas que el tratamiento de otros datos (sintéticos o anonimizados) no permita alcanzar ese objetivo, que los datos estén sujetos a limitaciones técnicas de reutilización y medidas de seguridad de última generación, y que se eliminen una vez corregido el sesgo. Esta misma posibilidad se extiende a los proveedores y responsables del despliegue de sistemas y modelos de IA distintos de los de alto riesgo, y a los responsables del despliegue de sistemas de alto riesgo, cuando el tratamiento sea estrictamente necesario para detectar sesgos que puedan afectar a la salud y seguridad de las personas, tener un impacto negativo en derechos fundamentales o dar lugar a discriminación prohibida por el Derecho de la Unión. El precepto aclara que no crea ninguna obligación de llevar a cabo esta detección y corrección de sesgos.

Origen de la norma en el proceso legislativo: el estándar de "estricta necesidad" no era el que empleaba la propuesta de la Comisión, que se refería a una mera "necesidad". Fueron el Consejo y el Parlamento Europeo quienes, de forma coincidente, elevaron el umbral a la "estricta necesidad", criterio que ha prevalecido en el texto final.

Período transitorio para el marcado de contenido generado por IA

Los proveedores de sistemas de IA generativa —incluidos los sistemas de IA de uso general que generen contenido sintético de audio, imagen, vídeo o texto— que hayan introducido sus sistemas en el mercado antes del 2 de agosto de 2026 dispondrán de un período transitorio hasta el 2 de diciembre de 2026 para cumplir con la obligación de marcado del artículo 50.2 del Reglamento de IA, lo que equivale a cuatro meses adicionales tras la fecha general de aplicación.

Origen de la norma en el proceso legislativo: este plazo no coincide exactamente con ninguna posición previa. La Comisión había propuesto un período de seis meses (hasta el 2 de febrero de 2027), el Parlamento Europeo lo redujo a tres meses (hasta el 2 de noviembre de 2026), y el Consejo, en su mandato de marzo de 2026, había mantenido la propuesta de seis meses de la Comisión, hasta el 2 de febrero de 2027. El resultado final de cuatro meses constituye, por tanto, un compromiso de última hora en sede de trílogo que no reproduce ninguna de las tres posiciones previas.

Ampliación de las competencias de supervisión de la Oficina de IA

El nuevo artículo 75 del Reglamento de IA confirma que la Oficina de IA tendrá competencia exclusiva para supervisar y hacer cumplir las obligaciones del Reglamento respecto de los sistemas de IA basados en modelos de IA de uso general cuando el modelo y el sistema sean desarrollados por el mismo proveedor, extendiendo este criterio a los casos en que ambos sean desarrollados por proveedores que formen parte de la misma empresa. Esta competencia exclusiva alcanza también a los sistemas que constituyan o estén integrados en plataformas o motores de búsqueda en línea de muy gran tamaño designados conforme al Reglamento de Servicios Digitales. Quedan excluidos de esta competencia exclusiva, entre otros, los sistemas vinculados a productos de la legislación armonizada del anexo I, los sistemas biométricos del anexo III.2, y los sistemas empleados por autoridades garantes del cumplimiento del Derecho, de gestión de fronteras o entidades financieras sujetas a normativa sectorial.

El Reglamento desarrolla, además, un régimen detallado de las facultades de la Oficina de IA mediante los nuevos artículos 75 bis a 75 quinquies: la posibilidad de solicitar información y realizar inspecciones in situ, la posibilidad de convertir en vinculantes los compromisos ofrecidos por el operador investigado, y la facultad de adoptar decisiones de incumplimiento e imponer multas sancionadoras y multas coercitivas, con las correspondientes garantías procesales y de acceso al expediente.

Origen de la norma en el proceso legislativo: la ampliación de la competencia exclusiva a "empresas del mismo grupo" va más allá de la propuesta de la Comisión, que limitaba el criterio al "mismo proveedor", y coincide con la fórmula que el Consejo ya había introducido en su mandato de marzo de 2026.

Interacción con el Reglamento de Máquinas

El Ómnibus traslada el Reglamento (UE) 2023/1230 de Máquinas de la sección A a la sección B del anexo I del Reglamento de IA. Como consecuencia, a los sistemas de IA de alto riesgo integrados en máquinas solo les resultarán directamente aplicables el artículo 6.1, el nuevo artículo 60 bis y los artículos 102 a 112 del Reglamento de IA. Los requisitos sustantivos del capítulo III, sección 2, del Reglamento de IA se incorporarán, en cambio, al propio Reglamento de Máquinas mediante actos delegados que la Comisión deberá adoptar a más tardar el 2 de agosto de 2028. Hasta que se adopten dichos actos delegados o las normas armonizadas correspondientes, los fabricantes podrán seguir basándose en las normas armonizadas o especificaciones comunes adoptadas en virtud del Reglamento de IA para acreditar la presunción de conformidad.

Origen de la norma en el proceso legislativo: este enfoque sectorial ya había sido adelantado por el Consejo en su mandato de marzo de 2026 y, de forma más amplia, por el Parlamento Europeo, que había propuesto trasladar de la sección A a la sección B del anexo I todas las referencias a legislación armonizada de producto. El texto final ha optado, sin embargo, por circunscribir esta solución específicamente al sector de maquinaria.

Extensión de los privilegios de las pymes a las pequeñas empresas de mediana capitalización

El Reglamento de IA incorpora en su artículo 3 sendas definiciones de "pyme" (apartado 14 bis, por remisión a la Recomendación 2003/361/CE) y de "pequeña empresa de mediana capitalización" (apartado 14 ter, por remisión a la Recomendación (UE) 2025/1099). Sobre esta base, se extienden a las pequeñas empresas de mediana capitalización varios privilegios regulatorios hasta ahora reservados a las pymes: la posibilidad de presentar la documentación técnica de forma simplificada, la proporcionalidad en la implementación del sistema de gestión de la calidad, y una regla de proporcionalidad de sanciones conforme a la cual, en el caso de las pequeñas empresas de mediana capitalización, las multas no excederán del menor de los porcentajes o importes aplicables.

Origen de la norma en el proceso legislativo: esta extensión ya figuraba en la propuesta inicial de la Comisión y se ha mantenido sustancialmente sin cambios a lo largo de toda la negociación.

Espacios controlados de pruebas y pruebas en condiciones reales

El Reglamento pospone hasta el 2 de agosto de 2027 la fecha límite para que los Estados miembros establezcan al menos un espacio controlado de pruebas nacional, y confirma la posibilidad de que la Oficina de IA establezca un espacio controlado de pruebas a escala de la Unión para los sistemas de IA sujetos a su competencia exclusiva, con acceso prioritario para pymes y pequeñas empresas de mediana capitalización. Asimismo, el nuevo artículo 60 bis permite a los Estados miembros habilitar pruebas en condiciones reales, fuera de los espacios controlados, de los sistemas de alto riesgo regulados por la legislación armonizada de producto del anexo I, sección B, mediante marcos nacionales que deberán notificarse a la Comisión.

Origen de la norma en el proceso legislativo: el espacio controlado de pruebas a escala de la Unión ya estaba contemplado en la propuesta de la Comisión y ha sido mantenido por el Consejo y el Parlamento. La fecha límite de 2 de agosto de 2027 para los espacios nacionales, en cambio, no coincide con la posición del Consejo, cuyo mandato de marzo de 2026 había propuesto una fecha considerablemente más tardía, el 2 de diciembre de 2027.

Conclusión

El Reglamento Ómnibus Digital sobre IA introduce modificaciones sustanciales al Reglamento de IA que afectan a cuestiones tan relevantes como su calendario de aplicación, a las prácticas de IA prohibidas, a las bases jurídicas para el tratamiento de datos personales, a la gobernanza de la Oficina de IA y a la interacción con la legislación sectorial de producto.