Noticias legislación

Cronología de la reforma del Reglamento de Inteligencia Artificial: del desfase del calendario a 2030

La reforma del Reglamento de Inteligencia Artificial se aprobó mediante el Reglamento (UE) 2026/1744, de 8 de julio de 2026. Se le conoce como «Ómnibus digital sobre IA». Modifica el Reglamento (UE) 2024/1689 y, en menor medida, los Reglamentos de aviación civil y de máquinas. Su objetivo declarado es una aplicación efectiva, sencilla y uniforme del marco europeo de IA, sin rebajar el nivel de protección. Esta crónica recorre la reforma por fechas, desde el desfase que la motivó hasta el año 2030.

El origen de la reforma del Reglamento de Inteligencia Artificial: un calendario adelantado

El Reglamento (UE) 2024/1689 se diseñó con un calendario escalonado. Sus obligaciones empezaron a desplegarse antes de que estuvieran disponibles las herramientas necesarias para cumplirlas. Faltaban normas técnicas, estructuras nacionales de gobernanza e instrumentos de evaluación de la conformidad.

Ese desfase es el punto de partida de la reforma. No se trata de una corrección aislada de un plazo. Es un reajuste de la secuencia con la que se hace exigible el marco europeo de IA.

El diagnóstico de los considerandos 1 a 4

Los considerandos 1 a 4 del Reglamento (UE) 2026/1744 identifican expresamente el problema. Lo conectan con una carga regulatoria mayor de la esperada y con el riesgo de solapamientos e interpretaciones divergentes. También con la necesidad de vías de cumplimiento más claras.

De ese diagnóstico nace la doble lógica de la reforma. Por un lado, la simplificación y la proporcionalidad. Por otro, el ajuste material y el refuerzo del control.

Simplificación y proporcionalidad

La primera línea busca evitar duplicidades con la legislación sectorial y facilitar la documentación a los operadores pequeños. Persigue también agilizar la designación de organismos notificados y ampliar la experimentación regulada.

Ajuste material y refuerzo del control

La segunda línea añade nuevas prácticas prohibidas y da más capacidad a la Oficina de IA para investigar y sancionar. Incluye además más cooperación con las autoridades de derechos fundamentales.

Por eso no estamos ante una mera depuración técnica. Es una reforma estructural del Reglamento de IA.

8 de julio de 2026: aprobación del Ómnibus digital sobre IA

El 8 de julio de 2026 se fecha el Reglamento (UE) 2026/1744. Su contenido es amplio. Toca los artículos 2 a 6 del Reglamento de IA y también los artículos 25, 27, 28, 29, 40, 42, 43, 50 y 72. Crea además disposiciones nuevas, como el artículo 4 bis o el artículo 60 bis.

Además, la reforma del Reglamento de Inteligencia Artificial incorpora un nuevo anexo XIV. Retoca también los Reglamentos (UE) 2018/1139, sobre aviación civil, y (UE) 2023/1230, sobre máquinas.

27 de julio de 2026: entrada en vigor

El 27 de julio de 2026 entra en vigor el Reglamento (UE) 2026/1744. Ese mismo día pasan a aplicarse los artículos 102 a 110 del Reglamento de IA.

Los artículos 102 a 112 figuran también en el régimen de los productos de la sección B del anexo I. Para esos productos, el artículo 2.2 reformulado solo mantiene la aplicación directa de tres normas. Son el artículo 6.1, el nuevo artículo 60 bis y los artículos 102 a 112.

2 de diciembre de 2026: nuevas prohibiciones y marcado de contenido sintético

El 2 de diciembre de 2026 reúne dos efectos. Se aplican las nuevas prohibiciones del artículo 5.1. También vence el plazo para adaptar al marcado del artículo 50.2 los sistemas generativos comercializados antes del 2 de agosto de 2026.

Qué se prohíbe desde esa fecha

La reforma añade dos letras al artículo 5.1. Prohíben los sistemas que generen o manipulen material íntimo no consentido. Prohíben también los que generen material o espectáculos de abusos sexuales de menores.

La regulación distingue entre proveedor y responsable del despliegue. Para el proveedor, la prohibición se activa si generar ese material es la finalidad prevista del sistema. También si el resultado es razonablemente previsible y reproducible sin cambios técnicos sustanciales, y faltan salvaguardias adecuadas.

Para el responsable del despliegue, la prohibición exige usar el sistema con la finalidad de generar o manipular el material prohibido.

Las medidas preventivas que cita el Reglamento

El texto menciona varias medidas preventivas. Son la depuración de datos y el entrenamiento de rechazo. También el diseño seguro de prompts, los controles de salida, el filtrado y las restricciones de uso. Y los mecanismos de detección y notificación de abusos.

Los límites de la prohibición

La prohibición sobre material íntimo se limita a representaciones realistas de personas físicas identificables. Exige además la ausencia de consentimiento libre, específico, informado, inequívoco y explícito.

Quedan fuera ciertos usos médicos lícitos y las representaciones no realistas. Tampoco hay manipulación si el cambio no incrementa la exposición de partes íntimas ni altera la naturaleza de la actividad sexual representada.

La regulación se coordina con las Directivas 2011/93/UE y (UE) 2024/1385. Y recuerda el principio non bis in idem cuando la misma conducta pueda acarrear también sanción penal.

El marcado de los sistemas generativos

El artículo 50 también se ajusta en esta reforma. Se priorizan los códigos de buenas prácticas sobre detección y marcado de contenido sintético. Los sistemas generativos comercializados antes del 2 de agosto de 2026 tienen plazo hasta el 2 de diciembre de 2026. Deben adaptarse al marcado del artículo 50.2.

2 de agosto de 2027: actos delegados y espacios controlados de pruebas

El 2 de agosto de 2027 concentra dos hitos. El primero es el límite para que la Comisión adopte los actos delegados del nuevo artículo 2.13. El segundo es el plazo para que cada Estado miembro tenga operativo, al menos, un espacio controlado de pruebas nacional.

El primer hito: los actos delegados del artículo 2.13

El considerando 5 formula una de las ideas centrales de la reforma. La legislación de armonización del anexo I, sección A, puede ofrecer una protección equivalente o superior. En ese caso, debe poder limitarse la aplicación de algunos requisitos del Reglamento de IA.

Esa limitación no es automática. El artículo 2.13 obliga a la Comisión a concretar, mediante actos delegados, los sistemas afectados, los requisitos limitables y sus condiciones.

Afecta a las obligaciones de los artículos 9 a 15 y 17 a 25 para sistemas de alto riesgo del artículo 6.1. La limitación exige protección sectorial equivalente o superior y no puede reducir el nivel global de protección.

No se establece una primacía general de la regulación sectorial ni una exención horizontal. Hasta que existan esos actos delegados, el operador no puede invocar una dispensa genérica.

El segundo hito: los espacios controlados de pruebas

Cada Estado miembro deberá tener al menos un espacio controlado de pruebas nacional operativo antes del 2 de agosto de 2027. La Oficina de IA podrá crear otro a escala de la Unión para los sistemas bajo su competencia.

La prueba en condiciones reales fuera de esos espacios se extiende a sistemas de alto riesgo del anexo I, sección A. El nuevo artículo 60 bis permite además marcos nacionales de prueba para productos de la sección B, con plan obligatorio y alta protección de derechos.

Los artículos 57 a 59 regulan los espacios controlados de pruebas. Solo se aplican a la sección B si los requisitos de alto riesgo se han integrado en la normativa sectorial.

2 de septiembre de 2027: orientaciones sobre vigilancia poscomercialización

El 2 de septiembre de 2027 es la fecha límite para publicar las orientaciones del artículo 72. La reforma sustituye un modelo obligatorio de plan de vigilancia poscomercialización por esas orientaciones.

En lugar de un formato obligatorio, la reforma remite por tanto a orientaciones. Estas deben publicarse antes de esa fecha.

2 de diciembre de 2027: alto riesgo del artículo 6.2 y del anexo III

El 2 de diciembre de 2027 se aplican las obligaciones de alto riesgo a los sistemas del artículo 6.2 y del anexo III.

La definición de componente de seguridad

El artículo 3.14 redefine el «componente de seguridad». Lo vincula a una función de seguridad prevista o a un fallo que ponga en peligro la salud y la seguridad de personas o bienes.

Existe función de seguridad cuando la finalidad prevista del sistema es prevenir o mitigar esos riesgos. Así, la mera integración de IA en un producto regulado no activa automáticamente el régimen de alto riesgo.

Las exclusiones de los apartados 1 bis a 1 quater

Los nuevos apartados 1 bis a 1 quater del artículo 6 buscan reducir los falsos positivos. Como regla, no son componentes de seguridad los sistemas usados exclusivamente para asistir al usuario o para optimizar el rendimiento o la eficiencia del servicio.

Tampoco los usados para automatización o comodidad, ni para control de calidad no relacionado con la seguridad. La excepción es clara. Si el fallo o defecto del sistema puede poner en peligro la salud o la seguridad, sí se considera componente de seguridad.

Tampoco se cumple la condición del artículo 6.1.b cuando el producto solo requiere evaluación de terceros por riesgos ajenos a la salud y la seguridad. Es el caso de ciertos riesgos del espectro radioeléctrico o de interferencias electromagnéticas.

28 de enero de 2028: los organismos sectoriales y la evaluación de la conformidad

El 28 de enero de 2028 es la fecha límite para que los organismos sectoriales que evalúen temporalmente requisitos de IA soliciten su designación. La medida se enmarca en una evaluación de la conformidad más racional.

La solicitud única

Los artículos 28 y 29 crean una solicitud única y un procedimiento unificado. Se aplican a organismos que deban designarse bajo el Reglamento de IA y bajo legislación sectorial de la sección A. Se busca acelerar la capacidad del mercado sin rebajar los requisitos de independencia y competencia.

El nuevo anexo XIV crea una taxonomía de códigos para delimitar la designación. Distingue códigos verticales para productos (AIP) y sistemas biométricos (AIB). Incluye también códigos horizontales tecnológicos (AIH), entre ellos la IA generativa y la IA agente.

Alto riesgo no siempre implica evaluación de terceros

El artículo 43.3 integra los requisitos de IA en el procedimiento sectorial de evaluación. Y aclara que la clasificación de alto riesgo no obliga por sí sola a una evaluación de terceros.

Si la normativa sectorial admite un procedimiento basado en normas armonizadas sin organismo notificado, puede seguirse esa vía.

Ciberseguridad y normalización

El artículo 42 incorpora una presunción de conformidad en ciberseguridad. Si el sistema cumple las condiciones del Reglamento de Ciberresiliencia, se presumen cumplidos los requisitos del artículo 15 del Reglamento de IA.

El artículo 40 obliga a solicitar documentos de normalización que permitan cumplir conjuntamente el Reglamento de IA y la normativa sectorial.

2 de agosto de 2028: sistemas del artículo 6.1 y del anexo I, y máquinas

El 2 de agosto de 2028 se aplican las obligaciones de alto riesgo a los sistemas del artículo 6.1 y del anexo I. Es también la fecha límite de aplicación de los requisitos de IA integrados en el Reglamento de máquinas.

Máquinas

El Reglamento (UE) 2023/1230 de máquinas pasa a la sección B del anexo I. Los requisitos de IA se integrarán en su anexo III mediante actos delegados, aplicables a más tardar el 2 de agosto de 2028.

Mientras no existan normas propias, rige una presunción transitoria. Cumplir las normas armonizadas del Reglamento de IA permitirá presumir el cumplimiento de los requisitos de salud y seguridad en materia de IA.

Aviación civil

En aviación civil, la modificación del Reglamento (UE) 2018/1139 tiene carácter técnico. Obliga a tener en cuenta los requisitos de IA de alto riesgo al adoptar actos sectoriales, sin crear un procedimiento paralelo.

2 de agosto de 2030: autoridades públicas

El 2 de agosto de 2030 es la fecha máxima de adaptación para los sistemas de alto riesgo usados por autoridades públicas. Cierra el calendario previsto en la reforma del Reglamento de Inteligencia Artificial.

El régimen transitorio

Los sistemas de alto riesgo ya comercializados solo quedan sujetos al nuevo régimen si sufren cambios significativos de diseño.

La primera unidad de un tipo y modelo puede haberse introducido legalmente antes de la fecha relevante. En ese caso, las demás unidades se benefician de la transición mientras el diseño no cambie.

Medidas de la reforma del Reglamento de Inteligencia Artificial sin fecha propia

No todas las novedades se asocian a un hito concreto del calendario. Se exponen a continuación las que carecen de fecha propia.

Alfabetización en IA

El nuevo artículo 4 revisa la intensidad de la obligación de alfabetización. Antes se exigía garantizar un «nivel suficiente», algo que podía resultar desproporcionado, sobre todo para pequeñas empresas.

Ahora, proveedores y responsables del despliegue deben adoptar medidas para apoyar la promoción de la alfabetización en IA. Han de ponderar conocimientos, experiencia, formación, contexto de uso y colectivos afectados. La norma aclara que no se exige garantizar un nivel concreto de cada persona.

Desde la perspectiva de compliance, el foco pasa a un programa razonable y proporcionado. Puede incluir formación por perfiles, políticas de uso, guías internas y documentación de riesgos. La Comisión publicará ejemplos prácticos y el Consejo de IA formulará recomendaciones.

Sesgos y categorías especiales de datos

El nuevo artículo 4 bis unifica y amplía una base jurídica específica. Permite tratar categorías especiales de datos personales para detectar y corregir sesgos.

Antes se vinculaba a los proveedores de sistemas de alto riesgo. Ahora se extiende, con garantías equivalentes, a los responsables del despliegue de esos sistemas y a otros sistemas y modelos de IA.

En estos últimos casos, el tratamiento solo cabe si es estrictamente necesario para evitar ciertos sesgos. Son los que previsiblemente afecten a la salud y la seguridad, a los derechos fundamentales o generen discriminación prohibida.

El tratamiento queda sujeto a garantías acumulativas. Solo procede si la finalidad no puede alcanzarse con datos sintéticos o anonimizados. Exige pseudonimización y técnicas avanzadas de seguridad y privacidad, y un acceso estricto y registrado, sin transmisión a terceros.

Los datos se suprimen pronto, una vez corregido el sesgo o agotado el plazo de conservación. Y el registro de actividades de tratamiento debe recoger una motivación específica.

En los sistemas sin obligación específica de gestión de datos de alto riesgo, el artículo 4 bis.2 habilita el tratamiento. Pero no crea una obligación general de detectar y corregir sesgos.

Medidas para pymes y pequeñas empresas de mediana capitalización

La reforma incorpora definiciones expresas de pyme y de pequeña empresa de mediana capitalización. Remite a la Recomendación 2003/361/CE y a la Recomendación (UE) 2025/1099.

Prevé una documentación técnica simplificada, mediante un formulario de la Comisión que los organismos notificados deberán aceptar. Prevé también una gestión de la calidad proporcionada, adaptada al tamaño de la organización sin rebajar su rigor.

Añade acceso prioritario a los espacios controlados de pruebas de la Oficina de IA y orientación específica de las autoridades nacionales. Para las pequeñas empresas de mediana capitalización se aplica, en materia de multas, el menor entre el porcentaje y el importe máximo.

Estas medidas no eliminan los requisitos sustantivos de seguridad y derechos fundamentales. Permiten adaptar la forma de cumplir a la capacidad del operador.

La Oficina de IA y sus nuevos poderes

La reforma del Reglamento de Inteligencia Artificial refuerza a la Oficina de IA. Le atribuye competencia exclusiva sobre determinados sistemas basados en modelos de uso general cuando modelo y sistema proceden del mismo proveedor o empresa.

También sobre sistemas que constituyan o estén integrados en plataformas en línea o motores de búsqueda de muy gran tamaño. La finalidad es evitar la fragmentación en la supervisión de sistemas transfronterizos.

Los nuevos artículos 75 bis a 75 quinquies equiparan la Oficina a una autoridad de vigilancia del mercado. Puede requerir información, inspeccionar a distancia o in situ, acceder a sistemas, precintar y exigir la conservación de datos.

Puede además aceptar compromisos vinculantes, declarar incumplimientos e imponer medidas correctoras y multas. Las multas coercitivas pueden alcanzar, cuando proceda, hasta el 5 % diario. Se calculan sobre los ingresos diarios medios o el volumen de negocios anual mundial del ejercicio anterior.

Se regulan garantías procedimentales y el acceso al expediente. El Tribunal de Justicia tiene plena jurisdicción para anular, reducir o incrementar las multas.

Otras simplificaciones

El artículo 25 regula la cadena de valor. El proveedor inicial debe cooperar con quien pase a ser proveedor del sistema, salvo que haya indicado que no debe transformarse en alto riesgo.

El artículo 27 permite integrar la evaluación de impacto con la evaluación de impacto en protección de datos, para evitar duplicaciones.

Balance de la reforma del Reglamento de Inteligencia Artificial

El resultado es un Reglamento de IA más coordinado con la legislación sectorial y potencialmente menos duplicativo. Pero también más complejo en lo institucional.

Parte de las obligaciones se desplaza a actos delegados, orientaciones, normas armonizadas y mecanismos de cooperación. El régimen definitivo no podrá reconstruirse solo con el texto consolidado del Reglamento.

El aplazamiento de las obligaciones de alto riesgo no debe interpretarse como un período de inactividad. Entre 2026 y 2028, los proveedores deberán cerrar clasificación, documentación, contratos, gestión de riesgos y calidad y evidencias de conformidad.

La reforma combina simplificación con un refuerzo en áreas sensibles. Las nuevas prohibiciones, el tratamiento de datos para corregir sesgos y la potestad sancionadora de la Oficina de IA lo demuestran.