Noticias_

Reforma del Reglamento de Inteligencia Artificial: preguntas y respuestas sobre el Ómnibus digital sobre IA

La reforma del Reglamento de Inteligencia Artificial se articula en el Reglamento (UE) 2026/1744, de 8 de julio de 2026. Se le conoce como «Ómnibus digital sobre IA». Modifica el Reglamento (UE) 2024/1689 y, en menor medida, los Reglamentos de aviación civil y de máquinas. Su objetivo declarado es una aplicación efectiva, sencilla y uniforme del marco europeo de IA, sin rebajar el nivel de protección. Estas son sus claves, en forma de preguntas y respuestas.

¿Qué es el Ómnibus digital sobre IA y por qué se aprueba?

Es el Reglamento (UE) 2026/1744, que reforma el marco europeo de inteligencia artificial. Nace de un desfase. El Reglamento (UE) 2024/1689 tenía un calendario escalonado y sus obligaciones empezaron a desplegarse antes de que estuvieran disponibles las herramientas necesarias.

Faltaban normas técnicas, estructuras nacionales de gobernanza e instrumentos de evaluación de la conformidad. Los considerandos 1 a 4 identifican expresamente ese problema. Lo conectan con una carga regulatoria mayor de la esperada y con el riesgo de solapamientos e interpretaciones divergentes. También con la necesidad de vías de cumplimiento más claras.

Una doble lógica

La reforma combina dos líneas de actuación. La primera es la simplificación y la proporcionalidad. Busca evitar duplicidades con la legislación sectorial y facilitar la documentación a operadores pequeños. Persigue también agilizar la designación de organismos notificados y ampliar la experimentación regulada.

La segunda es el ajuste material y el refuerzo del control. Introduce nuevas prácticas prohibidas y da más capacidad a la Oficina de IA para investigar y sancionar. Añade más cooperación con las autoridades de derechos fundamentales.

Por eso no se trata de una mera depuración técnica. Es una reforma estructural del Reglamento de IA.

¿Cómo se coordina el Reglamento de IA con la legislación sectorial?

El considerando 5 formula una de las ideas centrales. La legislación de armonización del anexo I, sección A, puede ofrecer una protección equivalente o superior. En ese caso, debe poder limitarse la aplicación de algunos requisitos del Reglamento de IA.

Esa limitación no es automática. El nuevo artículo 2.13 obliga a la Comisión a concretar, mediante actos delegados, los sistemas afectados, los requisitos limitables y sus condiciones. El plazo termina el 2 de agosto de 2027.

La medida afecta a las obligaciones de los artículos 9 a 15 y 17 a 25 para sistemas de alto riesgo del artículo 6.1. Exige protección sectorial equivalente o superior y no puede reducir el nivel global de protección.

No se establece una primacía general de la regulación sectorial ni una exención horizontal. Hasta que existan esos actos delegados, el operador no puede invocar una dispensa genérica.

Los productos de la sección B del anexo I reciben un tratamiento propio. El artículo 2.2 se reformula y solo les aplica directamente el artículo 6.1, el nuevo artículo 60 bis y los artículos 102 a 112.

Los artículos 57 a 59 regulan los espacios controlados de pruebas. Solo se aplican si los requisitos de alto riesgo se han integrado en la normativa sectorial. Esta regla gana peso tras el traslado del Reglamento de máquinas a la sección B.

¿Qué cambia en la clasificación de los sistemas de alto riesgo?

La reforma estrecha la definición de «componente de seguridad». El artículo 3.14 la vincula a una función de seguridad prevista. O bien a un fallo que ponga en peligro la salud y la seguridad de personas o bienes.

Existe función de seguridad cuando la finalidad prevista del sistema es prevenir o mitigar esos riesgos. Así, la mera integración de IA en un producto regulado no activa automáticamente el régimen de alto riesgo.

Los nuevos apartados 1 bis a 1 quater del artículo 6 buscan reducir los falsos positivos. Como regla, no son componentes de seguridad los sistemas usados exclusivamente para asistencia al usuario u optimización del rendimiento o de la eficiencia del servicio. Tampoco los usados para automatización o comodidad ni para control de calidad no relacionado con la seguridad.

La excepción es clara. Si el fallo o defecto del sistema puede poner en peligro la salud o la seguridad, sí se considera componente de seguridad.

Además, no se cumple la condición del artículo 6.1.b en un caso concreto. Es cuando el producto solo requiere evaluación de terceros por riesgos ajenos a la salud y la seguridad. Se trata de ciertos riesgos del espectro radioeléctrico o de interferencias electromagnéticas.

¿Qué exige ahora la obligación de alfabetización en IA?

El nuevo artículo 4 revisa la intensidad de la obligación. Antes se exigía garantizar un «nivel suficiente», algo que podía resultar desproporcionado, sobre todo para pequeñas empresas.

Ahora, proveedores y responsables del despliegue deben adoptar medidas para apoyar la promoción de la alfabetización en IA. Han de ponderar conocimientos, experiencia, formación, contexto de uso y colectivos afectados. La norma aclara que no se exige garantizar un nivel concreto de alfabetización de cada persona.

Desde la perspectiva de compliance, el foco pasa a un programa razonable y proporcionado. Puede incluir formación por perfiles, políticas de uso, guías internas y documentación de riesgos. La Comisión publicará ejemplos prácticos y el Consejo de IA formulará recomendaciones.

¿Pueden tratarse datos sensibles para corregir sesgos?

Sí, con condiciones. El nuevo artículo 4 bis unifica y amplía una base jurídica específica. Permite tratar categorías especiales de datos personales para detectar y corregir sesgos.

Antes se vinculaba a los proveedores de sistemas de alto riesgo. Ahora se extiende, con garantías equivalentes, a los responsables del despliegue de esos sistemas y a otros sistemas y modelos de IA.

En estos últimos casos, el tratamiento solo cabe si es estrictamente necesario para evitar ciertos sesgos. Son los que previsiblemente afecten a la salud y la seguridad, a los derechos fundamentales o generen discriminación prohibida.

Las garantías son acumulativas. El tratamiento solo procede si la finalidad no puede alcanzarse con datos sintéticos o anonimizados. Exige pseudonimización y técnicas avanzadas de seguridad y privacidad.

El acceso debe ser estricto y registrado, sin transmisión a terceros. Los datos se suprimen una vez corregido el sesgo o agotado el plazo de conservación. Y el registro de actividades de tratamiento debe contener una motivación específica.

En los sistemas sin obligación específica de gestión de datos de alto riesgo, el artículo 4 bis.2 habilita el tratamiento. Pero no crea una obligación general de detectar y corregir sesgos.

¿Qué nuevas prácticas prohíbe la reforma del Reglamento de Inteligencia Artificial?

La reforma del Reglamento de Inteligencia Artificial añade dos letras al artículo 5.1. Prohíben los sistemas que generen o manipulen material íntimo no consentido. Prohíben también los que generen material o espectáculos de abusos sexuales de menores.

La regulación distingue entre proveedor y responsable del despliegue. Para el proveedor, la prohibición se activa si generar ese material es la finalidad prevista del sistema. También si el resultado es razonablemente previsible y reproducible sin cambios técnicos sustanciales y faltan salvaguardias adecuadas.

Para el responsable del despliegue, la prohibición exige usar el sistema con la finalidad de generar o manipular el material prohibido.

El Reglamento cita varias medidas preventivas, como la depuración de datos o el entrenamiento de rechazo. También el diseño seguro de prompts, los controles de salida, el filtrado y las restricciones de uso. Y los mecanismos de detección y notificación de abusos.

La prohibición sobre material íntimo tiene límites. Se limita a representaciones realistas de personas físicas identificables y exige ausencia de consentimiento libre, específico, informado, inequívoco y explícito.

Quedan fuera ciertos usos médicos lícitos y las representaciones no realistas. Tampoco hay manipulación si el cambio no incrementa la exposición de partes íntimas ni altera la naturaleza de la actividad sexual representada.

La regulación se coordina con las Directivas 2011/93/UE y (UE) 2024/1385. Y recuerda el principio non bis in idem cuando la misma conducta pueda acarrear también sanción penal.

¿Cómo cambia la evaluación de la conformidad?

La reforma pretende hacerla más racional. Los artículos 28 y 29 crean una solicitud única y un procedimiento unificado. Se aplican a organismos que deban designarse bajo el Reglamento de IA y bajo legislación sectorial de la sección A. Se busca acelerar la capacidad del mercado sin rebajar los requisitos de independencia y competencia.

El nuevo anexo XIV crea una taxonomía de códigos para delimitar la designación. Distingue códigos verticales para productos (AIP) y sistemas biométricos (AIB). Incluye también códigos horizontales tecnológicos (AIH), entre ellos la IA generativa y la IA agente.

El artículo 43.3 integra los requisitos de IA en el procedimiento sectorial de evaluación. Y aclara que la clasificación de alto riesgo no obliga por sí sola a una evaluación de terceros. Si la normativa sectorial admite un procedimiento basado en normas armonizadas sin organismo notificado, puede seguirse esa vía.

Los organismos sectoriales que evalúen temporalmente requisitos de IA deberán solicitar su designación antes del 28 de enero de 2028.

En ciberseguridad, el artículo 42 incorpora una presunción de conformidad. Si el sistema cumple las condiciones del Reglamento de Ciberresiliencia, se presumen cumplidos los requisitos del artículo 15 del Reglamento de IA. Por su parte, el artículo 40 obliga a solicitar documentos de normalización que permitan cumplir conjuntamente el Reglamento de IA y la normativa sectorial.

¿Qué medidas hay para pymes y qué son los espacios controlados de pruebas?

La reforma incorpora definiciones expresas de pyme y de pequeña empresa de mediana capitalización. Remite a la Recomendación 2003/361/CE y a la Recomendación (UE) 2025/1099.

Las medidas de alivio son varias. Hay una documentación técnica simplificada, mediante un formulario de la Comisión que los organismos notificados deberán aceptar. Hay también una gestión de la calidad proporcionada, adaptada al tamaño de la organización sin rebajar su rigor.

Se añade acceso prioritario a los espacios controlados de pruebas de la Oficina de IA y orientación específica de las autoridades nacionales. Y en materia de multas, para las pequeñas empresas de mediana capitalización se aplica el menor entre el porcentaje y el importe máximo.

Estas medidas no eliminan los requisitos sustantivos de seguridad y derechos fundamentales. Permiten adaptar la forma de cumplir a la capacidad del operador.

Espacios controlados de pruebas

Cada Estado miembro deberá tener al menos un espacio controlado de pruebas nacional operativo antes del 2 de agosto de 2027. La Oficina de IA podrá crear otro a escala de la Unión para los sistemas bajo su competencia.

La prueba en condiciones reales fuera de esos espacios se extiende a sistemas de alto riesgo del anexo I, sección A. Y el nuevo artículo 60 bis permite marcos nacionales de prueba para productos de la sección B, con plan obligatorio y alta protección de derechos.

¿Qué poderes tiene la Oficina de IA?

La reforma le atribuye competencia exclusiva sobre determinados sistemas basados en modelos de uso general. Es así cuando modelo y sistema proceden del mismo proveedor o empresa. También sobre sistemas que constituyan o estén integrados en plataformas en línea o motores de búsqueda de muy gran tamaño. La finalidad es evitar la fragmentación en la supervisión de sistemas transfronterizos.

Los nuevos artículos 75 bis a 75 quinquies equiparan la Oficina a una autoridad de vigilancia del mercado. Puede requerir información, inspeccionar a distancia o in situ, acceder a sistemas, precintar y exigir la conservación de datos.

Puede además aceptar compromisos vinculantes, declarar incumplimientos e imponer medidas correctoras y multas. Las multas coercitivas pueden alcanzar, cuando proceda, hasta el 5 % diario. Se calculan sobre los ingresos diarios medios o el volumen de negocios anual mundial del ejercicio anterior.

Se regulan garantías procedimentales y el acceso al expediente. El Tribunal de Justicia tiene plena jurisdicción para anular, reducir o incrementar las multas.

¿Qué otros cambios incluye, en máquinas, aviación civil y cadena de valor?

El Reglamento (UE) 2023/1230 de máquinas pasa a la sección B del anexo I. Los requisitos de IA se integrarán en su anexo III mediante actos delegados, aplicables a más tardar el 2 de agosto de 2028. Mientras no existan normas propias, rige una presunción transitoria. Cumplir las normas armonizadas del Reglamento de IA permitirá presumir el cumplimiento de los requisitos de salud y seguridad en materia de IA.

En aviación civil, la modificación del Reglamento (UE) 2018/1139 tiene carácter técnico. Obliga a tener en cuenta los requisitos de IA de alto riesgo al adoptar actos sectoriales, sin crear un procedimiento paralelo.

Hay otros ajustes. En la cadena de valor, el artículo 25 obliga al proveedor inicial a cooperar con quien pase a ser proveedor del sistema. La excepción es que haya indicado que no debe transformarse en alto riesgo. El artículo 27 permite integrar la evaluación de impacto con la de protección de datos.

El artículo 50 prioriza los códigos de buenas prácticas sobre detección y marcado de contenido sintético. Y el artículo 72 sustituye un modelo obligatorio de vigilancia poscomercialización por orientaciones, que deben publicarse antes del 2 de septiembre de 2027.

¿Cuál es el calendario y qué régimen transitorio se aplica?

La reforma del Reglamento de Inteligencia Artificial reordena los plazos de aplicación. El 27 de julio de 2026 entra en vigor el Reglamento (UE) 2026/1744 y se aplican los artículos 102 a 110 del Reglamento de IA.

El 2 de diciembre de 2026 se aplican las nuevas prohibiciones. Es también el límite para adaptar al marcado del artículo 50.2 los sistemas generativos comercializados antes del 2 de agosto de 2026.

El 2 de agosto de 2027 es el límite para los actos delegados del artículo 2.13. Lo es también para tener un espacio controlado de pruebas nacional operativo.

El 2 de diciembre de 2027 se aplican las obligaciones de alto riesgo a los sistemas del artículo 6.2 y del anexo III. El 2 de agosto de 2028 se aplican a los sistemas del artículo 6.1 y del anexo I. Y el 2 de agosto de 2030 es la fecha máxima de adaptación para sistemas de alto riesgo usados por autoridades públicas.

Los sistemas de alto riesgo ya comercializados solo quedan sujetos al nuevo régimen si sufren cambios significativos de diseño. La primera unidad de un tipo y modelo puede haberse introducido legalmente antes de la fecha relevante. En ese caso, las demás unidades se benefician de la transición mientras el diseño no cambie.

¿Qué balance deja la reforma del Reglamento de Inteligencia Artificial?

El resultado es un Reglamento de IA más coordinado con la legislación sectorial y potencialmente menos duplicativo. Pero también más complejo en lo institucional.

Parte de las obligaciones se desplaza a actos delegados, orientaciones, normas armonizadas y mecanismos de cooperación. El régimen definitivo no podrá reconstruirse solo con el texto consolidado del Reglamento.

El aplazamiento de las obligaciones de alto riesgo no debe interpretarse como un período de inactividad. Entre 2026 y 2028, los proveedores deberán cerrar clasificación, documentación, contratos, gestión de riesgos y calidad y evidencias de conformidad.

La reforma combina simplificación con un refuerzo en áreas sensibles. Las nuevas prohibiciones, el tratamiento de datos para corregir sesgos y la potestad sancionadora de la Oficina de IA lo demuestran.