Claves de la reforma del Reglamento de Inteligencia Artificial: lo esencial del Ómnibus digital sobre IA

La reforma del Reglamento de Inteligencia Artificial introduce nuevas prohibiciones, redefine el alto riesgo y refuerza a la Oficina de IA. Lo hace mediante el Reglamento (UE) 2026/1744, de 8 de julio de 2026, conocido como «Ómnibus digital sobre IA». La norma modifica el Reglamento (UE) 2024/1689 y, en menor medida, los Reglamentos de aviación civil y de máquinas. Su objetivo declarado es una aplicación efectiva, sencilla y uniforme del marco europeo de IA, sin rebajar el nivel de protección.

Lo esencial de la reforma del Reglamento de Inteligencia Artificial

La reforma del Reglamento de Inteligencia Artificial entra en vigor el 27 de julio de 2026 y reordena los plazos hasta 2030. Combina simplificación y proporcionalidad con un refuerzo del control en áreas sensibles. Traslada parte del régimen a actos delegados, orientaciones y normas armonizadas.

Las obligaciones de alto riesgo se aplican el 2 de diciembre de 2027 para los sistemas del artículo 6.2 y del anexo III. Y el 2 de agosto de 2028 para los del artículo 6.1 y del anexo I. Las nuevas prohibiciones llegan antes, el 2 de diciembre de 2026.

Las claves, de mayor a menor alcance, son las siguientes.

Clave 1: la reforma del Reglamento de Inteligencia Artificial es estructural

La reforma combina dos líneas. La primera es la simplificación y la proporcionalidad. Supone menos duplicidades con la legislación sectorial y documentación más sencilla para operadores pequeños. Supone también una designación más ágil de organismos notificados y más experimentación regulada.

La segunda es el ajuste material y el refuerzo del control. Incluye nuevas prácticas prohibidas, más capacidad de la Oficina de IA para investigar y sancionar y más cooperación con las autoridades de derechos fundamentales.

No se trata, por tanto, de una mera depuración técnica. Es una reforma estructural del Reglamento de IA.

Clave 2: la legislación sectorial puede limitar requisitos, pero no hay exención general

El considerando 5 recoge que la legislación de armonización del anexo I, sección A, puede ofrecer una protección equivalente o superior. En ese caso, debe poder limitarse la aplicación de algunos requisitos del Reglamento de IA.

Esa limitación no es automática. El nuevo artículo 2.13 obliga a la Comisión a concretar, mediante actos delegados, los sistemas afectados, los requisitos limitables y sus condiciones. El plazo termina el 2 de agosto de 2027.

Afecta a las obligaciones de los artículos 9 a 15 y 17 a 25 para sistemas de alto riesgo del artículo 6.1. No se establece una primacía general de la regulación sectorial ni una exención horizontal.

Hasta que existan esos actos delegados, el operador no puede invocar una dispensa genérica.

Clave 3: la IA integrada en un producto no siempre es alto riesgo

El artículo 3.14 redefine el «componente de seguridad». Lo vincula a una función de seguridad prevista o a un fallo que ponga en peligro la salud y la seguridad de personas o bienes.

Existe función de seguridad cuando la finalidad prevista del sistema es prevenir o mitigar esos riesgos. Así, la mera integración de IA en un producto regulado no activa automáticamente el régimen de alto riesgo.

Los nuevos apartados 1 bis a 1 quater del artículo 6 buscan reducir los falsos positivos. Como regla, no son componentes de seguridad los sistemas usados exclusivamente para asistencia al usuario u optimización del rendimiento o la eficiencia del servicio. Tampoco los usados para automatización o comodidad ni para control de calidad no relacionado con la seguridad.

La excepción es clara. Si el fallo o defecto del sistema puede poner en peligro la salud o la seguridad, sí se considera componente de seguridad.

Clave 4: dos nuevas prácticas prohibidas

La reforma añade dos letras al artículo 5.1. Prohíben sistemas que generen o manipulen material íntimo no consentido y material o espectáculos de abusos sexuales de menores. Las nuevas prohibiciones se aplican desde el 2 de diciembre de 2026.

Para el proveedor, la prohibición se activa si generar ese material es la finalidad prevista del sistema. También si el resultado es razonablemente previsible y reproducible sin cambios técnicos sustanciales y faltan salvaguardias adecuadas.

Para el responsable del despliegue, la prohibición exige usar el sistema con la finalidad de generar o manipular el material prohibido.

Clave 5: la prohibición tiene medidas preventivas y límites

El Reglamento cita varias medidas preventivas, como la depuración de datos o el entrenamiento de rechazo. También el diseño seguro de prompts, los controles de salida, el filtrado y las restricciones de uso. Y los mecanismos de detección y notificación de abusos.

La prohibición sobre material íntimo se limita a representaciones realistas de personas físicas identificables. Exige ausencia de consentimiento libre, específico, informado, inequívoco y explícito.

Quedan fuera ciertos usos médicos lícitos y las representaciones no realistas. Tampoco hay manipulación si el cambio no incrementa la exposición de partes íntimas ni altera la naturaleza de la actividad sexual representada.

La regulación se coordina con las Directivas 2011/93/UE y (UE) 2024/1385. Y recuerda el principio non bis in idem cuando la misma conducta pueda acarrear también sanción penal.

Clave 6: la Oficina de IA gana competencias y poderes sancionadores

La Oficina de IA recibe competencia exclusiva sobre determinados sistemas basados en modelos de uso general. Es así cuando modelo y sistema proceden del mismo proveedor o empresa. También sobre sistemas integrados en plataformas en línea o motores de búsqueda de muy gran tamaño. La finalidad es evitar la fragmentación en la supervisión de sistemas transfronterizos.

La reforma del Reglamento de Inteligencia Artificial no solo amplía su competencia. Los nuevos artículos 75 bis a 75 quinquies la equiparan a una autoridad de vigilancia del mercado. Puede requerir información, inspeccionar a distancia o in situ, acceder a sistemas, precintar y exigir la conservación de datos.

Puede además aceptar compromisos vinculantes, declarar incumplimientos e imponer medidas correctoras y multas. Las multas coercitivas pueden alcanzar, cuando proceda, hasta el 5 % diario. Se calculan sobre los ingresos diarios medios o el volumen de negocios anual mundial del ejercicio anterior.

Se regulan garantías procedimentales y el acceso al expediente. El Tribunal de Justicia tiene plena jurisdicción para anular, reducir o incrementar las multas.

Clave 7: alto riesgo no implica siempre evaluación de terceros

El artículo 43.3 integra los requisitos de IA en el procedimiento sectorial de evaluación. Y aclara que la clasificación de alto riesgo no obliga por sí sola a una evaluación de terceros.

Si la normativa sectorial admite un procedimiento basado en normas armonizadas sin organismo notificado, puede seguirse esa vía.

Los organismos sectoriales que evalúen temporalmente requisitos de IA deberán solicitar su designación antes del 28 de enero de 2028.

Clave 8: una solicitud única para los organismos notificados

Los artículos 28 y 29 crean una solicitud única y un procedimiento unificado. Se aplican a organismos que deban designarse bajo el Reglamento de IA y bajo legislación sectorial de la sección A. Se busca acelerar la capacidad del mercado sin rebajar los requisitos de independencia y competencia.

El nuevo anexo XIV crea una taxonomía de códigos para delimitar la designación. Distingue códigos verticales para productos (AIP) y sistemas biométricos (AIB), y códigos horizontales tecnológicos (AIH), entre ellos la IA generativa y la IA agente.

Clave 9: presunción de conformidad en ciberseguridad y normalización conjunta

El artículo 42 incorpora una presunción de conformidad en ciberseguridad. Si el sistema cumple las condiciones del Reglamento de Ciberresiliencia, se presumen cumplidos los requisitos del artículo 15 del Reglamento de IA.

El artículo 40 obliga a solicitar documentos de normalización que permitan cumplir conjuntamente el Reglamento de IA y la normativa sectorial.

Clave 10: la alfabetización pasa de resultado a deber de apoyo

El nuevo artículo 4 revisa la intensidad de la obligación. Antes se exigía garantizar un «nivel suficiente», algo que podía resultar desproporcionado, sobre todo para pequeñas empresas.

Ahora, proveedores y responsables del despliegue deben adoptar medidas para apoyar la promoción de la alfabetización en IA. Han de ponderar conocimientos, experiencia, formación, contexto de uso y colectivos afectados. La norma aclara que no se exige garantizar un nivel concreto de cada persona.

Desde la perspectiva de compliance, el foco pasa a un programa razonable y proporcionado. Puede incluir formación por perfiles, políticas de uso, guías internas y documentación de riesgos. La Comisión publicará ejemplos prácticos y el Consejo de IA formulará recomendaciones.

Clave 11: se pueden tratar datos sensibles para corregir sesgos

El nuevo artículo 4 bis unifica y amplía una base jurídica específica. Permite tratar categorías especiales de datos personales para detectar y corregir sesgos.

Antes se vinculaba a los proveedores de sistemas de alto riesgo. Ahora se extiende, con garantías equivalentes, a los responsables del despliegue de esos sistemas y a otros sistemas y modelos de IA.

En estos últimos casos, el tratamiento solo cabe si es estrictamente necesario para evitar ciertos sesgos. Son los que previsiblemente afecten a la salud y la seguridad, a los derechos fundamentales o generen discriminación prohibida.

Las garantías son acumulativas. Solo procede si la finalidad no puede alcanzarse con datos sintéticos o anonimizados. Exige pseudonimización y técnicas avanzadas de seguridad y privacidad, y un acceso estricto y registrado, sin transmisión a terceros.

Los datos se suprimen una vez corregido el sesgo o agotado el plazo de conservación. Y el registro de actividades de tratamiento debe contener una motivación específica.

En los sistemas sin obligación específica de gestión de datos de alto riesgo, el artículo 4 bis.2 habilita el tratamiento. Pero no crea una obligación general de detectar y corregir sesgos.

Clave 12: alivios para pymes y pequeñas empresas de mediana capitalización

La reforma incorpora definiciones expresas de pyme y de pequeña empresa de mediana capitalización. Remite a la Recomendación 2003/361/CE y a la Recomendación (UE) 2025/1099.

Prevé una documentación técnica simplificada, mediante un formulario de la Comisión que los organismos notificados deberán aceptar. Prevé también una gestión de la calidad proporcionada, adaptada al tamaño de la organización sin rebajar su rigor.

Añade acceso prioritario a los espacios controlados de pruebas de la Oficina de IA y orientación específica de las autoridades nacionales. Para las pequeñas empresas de mediana capitalización se aplica, en multas, el menor entre el porcentaje y el importe máximo.

Estas medidas no eliminan los requisitos sustantivos de seguridad y derechos fundamentales. Permiten adaptar la forma de cumplir a la capacidad del operador.

Clave 13: más espacios controlados de pruebas

Cada Estado miembro deberá tener al menos un espacio controlado de pruebas nacional operativo antes del 2 de agosto de 2027. La Oficina de IA podrá crear otro a escala de la Unión para los sistemas bajo su competencia.

La prueba en condiciones reales fuera de esos espacios se extiende a sistemas de alto riesgo del anexo I, sección A. El nuevo artículo 60 bis permite marcos nacionales de prueba para productos de la sección B, con plan obligatorio y alta protección de derechos.

Clave 14: máquinas y aviación civil

El Reglamento (UE) 2023/1230 de máquinas pasa a la sección B del anexo I. Los requisitos de IA se integrarán en su anexo III mediante actos delegados, aplicables a más tardar el 2 de agosto de 2028.

Mientras no existan normas propias, rige una presunción transitoria. Cumplir las normas armonizadas del Reglamento de IA permitirá presumir el cumplimiento de los requisitos de salud y seguridad en materia de IA.

En aviación civil, la modificación del Reglamento (UE) 2018/1139 tiene carácter técnico. Obliga a tener en cuenta los requisitos de IA de alto riesgo al adoptar actos sectoriales, sin crear un procedimiento paralelo.

Clave 15: otras simplificaciones

El artículo 25 obliga al proveedor inicial a cooperar con quien pase a ser proveedor del sistema. La excepción es que haya indicado que no debe transformarse en alto riesgo.

El artículo 27 permite integrar la evaluación de impacto con la evaluación de impacto en protección de datos, para evitar duplicaciones.

El artículo 50 prioriza los códigos de buenas prácticas sobre detección y marcado de contenido sintético. Y el artículo 72 sustituye un modelo obligatorio de vigilancia poscomercialización por orientaciones. Estas deben publicarse antes del 2 de septiembre de 2027.

Antecedentes de la reforma del Reglamento de Inteligencia Artificial

El Reglamento (UE) 2024/1689 tenía un calendario escalonado. Sus obligaciones empezaron a desplegarse antes de que estuvieran disponibles las herramientas necesarias. Faltaban normas técnicas, estructuras nacionales de gobernanza e instrumentos de evaluación de la conformidad.

Los considerandos 1 a 4 identifican expresamente ese desfase. Lo conectan con una carga regulatoria mayor de la esperada y con riesgo de solapamientos e interpretaciones divergentes. También con la necesidad de vías de cumplimiento más claras.

Calendario de aplicación

La reforma del Reglamento de Inteligencia Artificial reordena así los plazos de aplicación. El 27 de julio de 2026 entra en vigor el Reglamento (UE) 2026/1744 y se aplican los artículos 102 a 110 del Reglamento de IA.

El 2 de diciembre de 2026 se aplican las nuevas prohibiciones. Es también el límite para adaptar al marcado del artículo 50.2 los sistemas generativos comercializados antes del 2 de agosto de 2026.

El 2 de agosto de 2027 es el límite para los actos delegados del artículo 2.13. Lo es también para tener un espacio controlado de pruebas nacional operativo.

El 2 de diciembre de 2027 se aplican las obligaciones de alto riesgo a los sistemas del artículo 6.2 y del anexo III. El 2 de agosto de 2028 se aplican a los sistemas del artículo 6.1 y del anexo I.

El 2 de agosto de 2030 es la fecha máxima de adaptación para sistemas de alto riesgo usados por autoridades públicas.

Régimen transitorio

Los sistemas de alto riesgo ya comercializados solo quedan sujetos al nuevo régimen si sufren cambios significativos de diseño.

La primera unidad de un tipo y modelo puede haberse introducido legalmente antes de la fecha relevante. En ese caso, las demás unidades se benefician de la transición mientras el diseño no cambie.

Valoración: más coordinado, pero más complejo

El resultado es un Reglamento de IA más coordinado con la legislación sectorial y potencialmente menos duplicativo. Pero también más complejo en lo institucional.

Parte de las obligaciones se desplaza a actos delegados, orientaciones, normas armonizadas y mecanismos de cooperación. El régimen definitivo no podrá reconstruirse solo con el texto consolidado del Reglamento.

El aplazamiento de las obligaciones de alto riesgo no debe interpretarse como un período de inactividad. Entre 2026 y 2028, los proveedores deberán cerrar clasificación, documentación, contratos, gestión de riesgos y calidad y evidencias de conformidad.

La reforma combina simplificación con un refuerzo en áreas sensibles. Las nuevas prohibiciones, el tratamiento de datos para corregir sesgos y la potestad sancionadora de la Oficina de IA lo demuestran.