El 24 de julio de 2026 se publicó en el Diario Oficial de la Unión Europea el Reglamento (UE) 2026/1744, de 8 de julio de 2026, por el que se modifican los Reglamentos (UE) 2024/1689, (UE) 2018/1139 y (UE) 2023/1230 en lo que respecta a la simplificación de la aplicación de normas armonizadas en materia de inteligencia artificial (Ómnibus Digital sobre IA), que entró en vigor el 27 de julio de 2026.
Se trata de la primera modificación sustantiva del Reglamento de Inteligencia Artificial (RIA) antes de la plena aplicación de una parte relevante de sus obligaciones. La reforma persigue un doble objetivo: por un lado, simplificar la aplicación del marco europeo de IA y reducir cargas administrativas; por otro, evitar solapamientos con normativa sectorial y otorgar mayor margen de adaptación a empresas y autoridades, sin rebajar el nivel de protección de la salud, la seguridad y los derechos fundamentales.
Nuevos plazos de aplicación del RIA
La reforma introduce un calendario escalonado para la aplicación de las obligaciones relativas a los sistemas de IA de alto riesgo (capítulo III, secciones 1 a 3):
- 2 de diciembre de 2026: los proveedores de sistemas de IA generativa introducidos en el mercado antes del 2 de agosto de 2026 disponen de un período transitorio hasta esta fecha para cumplir las obligaciones de etiquetado de contenido (artículo 50.2). Para los sistemas comercializados a partir del 2 de agosto de 2026, dichas obligaciones resultan aplicables desde esa misma fecha.
- 2 de agosto de 2027: se pospone el plazo para que los Estados miembros establezcan espacios controlados de pruebas (sandboxes).
- 2 de diciembre de 2027: aplicación a los sistemas de IA de alto riesgo independientes (artículo 6.2 y anexo III).
- 2 de agosto de 2028: aplicación a los sistemas de IA integrados en productos sujetos a legislación armonizada de la Unión (anexo I).
- 2 de agosto de 2030: fecha límite para la adaptación de sistemas de alto riesgo ya utilizados por autoridades públicas.
Ampliación de las prácticas prohibidas
El artículo 5 se amplía con dos nuevas prácticas prohibidas, aplicables desde el 2 de diciembre de 2026:
- Letra b bis): se prohíben los sistemas de IA que generen o manipulen imágenes, vídeos o audios realistas —incluido contenido sintético— que representen a una persona identificable en contextos íntimos o sexualmente explícitos sin su consentimiento libre, específico, informado e inequívoco.
- Letra b ter): se prohíben los sistemas que generen o manipulen material equiparable al definido en la Directiva 2011/93/UE sobre explotación sexual de menores, salvo en los supuestos de actuación lícita conforme al Derecho nacional.
La norma distingue entre proveedores y responsables del despliegue. Para los primeros, la prohibición opera cuando ese uso sea la finalidad del sistema o un resultado previsible sin salvaguardas técnicas adecuadas. Para los segundos, se limita a los casos en que utilicen el sistema con ese propósito.
Tratamiento de categorías especiales de datos
El Reglamento introduce una base jurídica específica para el tratamiento excepcional de categorías especiales de datos personales con fines de detección y corrección de sesgos.
En el caso de los sistemas de IA de alto riesgo, este tratamiento exige que sea estrictamente necesario y que se cumplan, entre otras, las siguientes garantías:
- Que no sea posible alcanzar el objetivo mediante datos sintéticos o anonimizados.
- Que existan limitaciones técnicas a la reutilización de los datos.
- Que se apliquen medidas avanzadas de seguridad, incluida la pseudonimización.
- Que se establezcan controles estrictos de acceso y su correspondiente registro.
- Que los datos no se transmitan ni sean accesibles por terceros.
- Que se supriman una vez cumplida la finalidad.
- Que los registros de actividades documenten la necesidad del tratamiento y la imposibilidad de recurrir a otros datos.
Esta posibilidad se extiende también a otros sistemas y modelos de IA, así como a los responsables del despliegue, cuando el tratamiento sea estrictamente necesario para prevenir sesgos que puedan afectar a la salud, la seguridad o los derechos fundamentales, o generar discriminación prohibida por el Derecho de la Unión.
Refuerzo del papel de la Oficina de IA
La Oficina de IA asume competencia exclusiva para supervisar determinados sistemas basados en modelos de uso general cuando modelo y sistema hayan sido desarrollados por el mismo proveedor o por entidades del mismo grupo empresarial.
Esta competencia se extiende también a sistemas integrados en plataformas en línea de muy gran tamaño (VLOPs) y motores de búsqueda de muy gran tamaño (VLOSEs) conforme al Reglamento de Servicios Digitales.
No obstante, las autoridades nacionales conservan competencias en ámbitos como la aplicación de la ley, la gestión de fronteras, las infraestructuras críticas, la administración de justicia y los productos regulados por legislación armonizada.
Extensión de medidas a empresas de mediana capitalización
Las pequeñas y medianas empresas, incluidas las startups, y las empresas de mediana capitalización podrán presentar la documentación técnica especificada en el anexo IV del RIA en un formato simplificado que elaborará la Comisión Europea.
También se racionalizan las obligaciones documentales y de registro, simplificando el contenido exigible para la inscripción de los sistemas del artículo 6.3 en la base de datos de la UE conforme al anexo VIII, sin merma de las exigencias esenciales de documentación, trazabilidad y gestión del riesgo.
Asimismo, las autoridades nacionales deberán extender a las empresas de mediana capitalización sus actividades de orientación y apoyo en condiciones equivalentes a las previstas para las pymes.
Reducción de cargas administrativas
Se prevén mecanismos para evitar duplicidades cuando la normativa sectorial ya contemple requisitos equivalentes en materia de IA. En estos casos, la Comisión Europea podrá limitar la aplicación del RIA mediante actos delegados.
Asimismo, se ajusta la interacción con la legislación de maquinaria, desplazando parte de los requisitos al desarrollo posterior mediante normativa secundaria.
Sandboxes y pruebas en condiciones reales
Se aplaza hasta el 2 de agosto de 2027 la obligación de los Estados miembros de contar con, al menos, un sandbox nacional. Además, se contempla la creación de un sandbox europeo por parte de la Oficina de IA, con acceso prioritario para pymes y empresas de mediana capitalización.
El nuevo artículo 60 bis del RIA permite, además, la realización de pruebas en condiciones reales fuera de entornos controlados, siempre que se desarrollen en marcos nacionales y se notifiquen a la Comisión Europea.
Alfabetización en IA
El nuevo artículo 4 mantiene la obligación de promover la alfabetización en IA, aunque en una versión más flexible. Proveedores y responsables del despliegue deberán adoptar medidas de formación adaptadas al contexto de uso, sin que ello implique garantizar un nivel específico de conocimientos.
La Comisión Europea y el Consejo de IA complementarán esta obligación mediante orientaciones y recomendaciones.
Conclusión
Las empresas cuentan con un margen de adaptación más amplio, pero dentro de un marco en el que las exigencias sustantivas se mantienen intactas.
