Ómnibus digital sobre IA: qué cambia el Reglamento (UE) 2026/1744 y qué deben hacer las empresas

El 24 de julio de 2026 se publicó en el Diario Oficial de la Unión Europea el Reglamento (UE) 2026/1744, más conocido como «Ómnibus digital sobre IA». Y no, no es otra norma creada desde cero para volver a marearnos a todos (que no sería tan raro): modifica el Reglamento de Inteligencia Artificial (Reglamento (UE) 2024/1689), el Reglamento de máquinas (2023/1230) y el de aviación (2018/1139). ¿La intención? Simplificar la aplicación del marco de IA sin bajar el listón de protección de la salud, la seguridad y los derechos fundamentales.

Desde el punto de vista de quien tiene que cumplir, es agridulce: por un lado llega más tiempo para prepararse; por otro, nuevas obligaciones que conviene fichar desde ya. Vamos con lo importante.

1. Se retrasan las obligaciones de los sistemas de alto riesgo

Es el titular. La aplicación de buena parte de las obligaciones del Capítulo III (secciones 1, 2 y 3) del Reglamento de IA —gestión de riesgos, documentación, supervisión humana, calidad de datos, etc.— se aplaza: no es un parón del capítulo, sino un cambio de las fechas concretas de aplicación, que ya no será el 2 de agosto de 2026. El nuevo calendario distingue por tipo de sistema:

• 2 de diciembre de 2027 para los sistemas de alto riesgo del artículo 6, apartado 2, y el anexo III (los casos de uso «autónomos»: empleo, educación, servicios esenciales, biometría, etc.).
• 2 de agosto de 2028 para los del artículo 6, apartado 1, y el anexo I (sistemas de IA que son componente de seguridad de productos ya regulados).

El motivo: el retraso en normas, especificaciones comunes y en la puesta en marcha de las autoridades nacionales hacía inviable cumplir a tiempo (veremos como nos apañamos en España). Para las empresas esto no es una excusa para relajarse, sino una ventana realista para hacer las cosas bien.

2. Nuevas prohibiciones: material íntimo no consentido y abuso sexual de menores

El artículo 5 amplía las prácticas prohibidas para incluir los sistemas de IA que generan o manipulan material íntimo no consentido (las llamadas apps de nudification) y material de abusos sexuales de menores, incluso sintético. Estas prohibiciones se aplicarán a partir del 2 de diciembre de 2026.

La norma es matizada: no prohíbe desarrollar capacidades técnicas de generación de imagen, sino comercializar o desplegar sistemas destinados a ese fin, o que lo permitan de forma «razonablemente previsible» sin salvaguardas técnicas adecuadas (filtrado de contenidos, controles de prompts, mecanismos de detección de abuso, etc.). De hecho, el Reglamento dedica un nivel de detalle sorprendente —casi tres páginas— a delimitar qué queda prohibido y qué usos legítimos siguen siendo posibles: el consentimiento, las aplicaciones médicas, las obras artísticas o el red teaming de las propias autoridades. Si tu organización desarrolla o integra IA generativa, este es un punto de diseño y de red teaming que debe entrar ya en el análisis de riesgo.

3. Alfabetización en IA: de obligación estricta a deber de impulso

El artículo 4 se suaviza. En lugar de imponer garantizar un nivel de alfabetización en IA del personal, ahora exige adoptar medidas para apoyar su desarrollo. Es un cambio de tono, no una exención. Y aquí insisto, con motivo: la formación sigue siendo una prioridad estratégica y, en la práctica, la mejor defensa frente a un uso indebido de estas herramientas.

4. Pymes y pequeñas empresas de mediana capitalización

El reglamento introduce definiciones de pyme y de pequeña empresa de mediana capitalización (small mid-cap) y extiende a estas últimas varias medidas de proporcionalidad pensadas para operadores más pequeños. La idea es que el salto de pyme a empresa mediana no suponga chocar de golpe con las exigencias de las grandes.

5. Menos duplicidades: la conexión con ciberseguridad

Este es el punto que a mí, viniendo de la ciberseguridad, más me interesa. El reglamento hace explícita la interacción con el Reglamento de Ciberresiliencia (CRA, UE 2024/2847): cuando un sistema de IA de alto riesgo cumpla los requisitos esenciales de ciberseguridad del CRA, se presumirá conforme con los requisitos de ciberseguridad del artículo 15 del Reglamento de IA, en la medida en que estén cubiertos por la declaración UE de conformidad. Ojo con el matiz, porque es importante: el CRA no sustituye el cumplimiento del Reglamento de IA, sino que otorga una presunción de conformidad respecto de ciertos requisitos. En la práctica, para las empresas eso permite reutilizar parte de la evidencia y evitar duplicar auditorías, pruebas y documentación.

Curiosamente, esta regla ya vivía en el propio CRA (su artículo 12); el Ómnibus la incorpora también al Reglamento de IA para hacer visible esa interacción. Un detalle pequeño con impacto real en el día a día del cumplimiento.

Justo esto es lo que veníamos comentando en LinkedIn hace unos meses: unificar mecanismos de reporte y evidencias entre normativas.

Menos burocracia con los organismos notificados

Otra pieza que merece más atención de la que suele recibir. El Reglamento establece una solicitud única y un procedimiento de evaluación unificado para designar organismos notificados que ya operan bajo otras normas sectoriales (productos sanitarios, por ejemplo). Traducido: en lugar de repetir trámites ante distintas autoridades, un mismo organismo presenta una sola solicitud y pasa una sola evaluación.

¿Por qué importa a una empresa? Porque menos cuellos de botella en la designación de organismos notificados significa, tarde o temprano, más capacidad de certificación disponible y menos esperas cuando te toque evaluar la conformidad de tu sistema. Es de esas medidas que no salen en el titular pero si no estuviera todo el mundo se estaría tirando de los pelos.

Y un apunte para quien trabaja con datos y sesgos

El Reglamento también amplía la base jurídica para tratar, de forma excepcional y con garantías estrictas, categorías especiales de datos personales cuando el objetivo es detectar y corregir sesgos —ahora no solo para proveedores de alto riesgo, sino también para responsables del despliegue y otros sistemas.

6. Espacios de pruebas (sandboxes) reforzados

Este es uno de los bloques más extensos del Reglamento, y no por casualidad. Se refuerza la cooperación europea entre espacios de pruebas, se abre la puerta a un sandbox a escala de la Unión, se amplían las pruebas en condiciones reales (también fuera del sandbox, para sistemas de alto riesgo del anexo I) y se integran mejor esas pruebas reales dentro del propio sandbox. Cada Estado debe tener un sandbox nacional operativo a más tardar el 2 de agosto de 2027. Para quien innove con IA de alto riesgo, es una vía real para validar cumplimiento con acompañamiento regulatorio antes de salir al mercado.

Qué hacer ahora (checklist de cumplimiento)

Aunque los grandes plazos se muevan a 2027-2028, el trabajo útil empieza hoy:

1. Inventaría tus sistemas de IA y clasifícalos: ¿alto riesgo por anexo III o por anexo I? El nuevo calendario depende de ello.
2. Revisa la definición de «componente de seguridad» (artículo 3.14), ahora más acotada, porque algunos sistemas que antes podían considerarse de alto riesgo podrían dejar de serlo.
3. Si desarrollas IA generativa, incorpora salvaguardas frente a la generación de contenido prohibido antes de diciembre de 2026.
4. Alinea IA y ciberseguridad: aprovecha la presunción de conformidad del CRA para no duplicar esfuerzos.
5. Invierte en formación de tu equipo: sigue siendo la palanca de cumplimiento con mejor retorno.
6. Vigila las guías, normas armonizadas y códigos de buenas prácticas que la Comisión debe publicar en 2027; marcarán el «cómo».

La ventana de 2026-2028 no es para procrastinar (que nos conocemos 😉), es para convertir el cumplimiento en una capacidad de tu organización en lugar de en una carrera contra el reloj a última hora.

Espero haberte ayudado con estas novedades a golpe de viernes.