Ya llegó la vigencia del Ómnibus Digital sobre Inteligencia Artificial en la Unión Europea
I. Una reforma que no es una moratoria, aunque algunos la hayan confundido con ella
¿Puede una ley reformarse antes incluso de que sus principales obligaciones hayan entrado en vigor? La respuesta es sí, y el ejemplo es el Reglamento (UE) 2026/1744, conocido como el Ómnibus Digital sobre Inteligencia Artificial. El pasado 24 de julio se publicó en el Diario Oficial de la Unión Europea, y hoy, 27 de julio, entra en vigor con carácter de urgencia. La reforma modifica el Reglamento de Inteligencia Artificial, el Reglamento Europeo de Aviación Civil y el Reglamento de Máquinas, y llega apenas tres días antes de la fecha general de aplicación prevista para el 2 de agosto. La paradoja es histórica: Europa reforma su arquitectura algorítmica antes de comprobar cómo funciona sobre el terreno.
La lectura apresurada de esta reforma podría inducir a pensar que la Unión Europea ha decidido frenar la aplicación del AI Act, que se ha echado atrás ante las presiones de la industria o que ha cedido a los que pedían una moratoria. Pero no es así. Lo que el Ómnibus Digital hace no es suspender el AI Act, sino reordenar su calendario, ajustar algunas obligaciones y, en ciertos casos, endurecer la regulación. El mensaje de las instituciones europeas es claro: no hay una pausa general, sino una redistribución de la presión regulatoria para que el cumplimiento sea posible, efectivo y no se convierta en una carga burocrática que termine ahogando a las empresas sin mejorar la protección de los ciudadanos.
El camino hacia esta reforma ha sido rápido, pero no improvisado. La Comisión Europea presentó su propuesta el 19 de noviembre de 2025. El Consejo y el Parlamento fijaron mandato en marzo de 2026. Los colegisladores cerraron el acuerdo el 7 de mayo. La Eurocámara lo aprobó el 16 de junio por 423 votos a favor, 57 en contra y 174 abstenciones. El Consejo dio luz verde definitiva el 29 de junio. Y el texto fue adoptado el 8 de julio. Todo ello en menos de ocho meses. Una velocidad inusual para los estándares de Bruselas, que refleja la urgencia con la que se percibía la necesidad de ajustar el marco normativo.
II. Un calendario que se mueve, pero no se detiene
La modificación más visible que introduce el Ómnibus Digital es el aplazamiento de las obligaciones para los sistemas de inteligencia artificial clasificados como de alto riesgo. El artículo 113 del Reglamento de Inteligencia Artificial, en su nueva redacción, fija dos fechas clave. La primera es el 2 de diciembre de 2027 para los sistemas del artículo 6.2 y el Anexo III, aquellos que operan en ámbitos especialmente sensibles como la biometría, la educación, el empleo, los servicios esenciales, la migración, la justicia y los procesos democráticos. La segunda es el 2 de agosto de 2028 para los sistemas integrados en productos regulados por la legislación armonizada de seguridad de producto, como los dispositivos médicos, los vehículos, los ascensores o los juguetes.
Este aplazamiento es sustancial. La fecha original prevista para la aplicación de estas obligaciones era el 2 de agosto de 2026. Es decir, las organizaciones que desarrollan o utilizan sistemas de alto riesgo disponen ahora de entre catorce y veinticuatro meses adicionales para prepararse. Pero el plazo adicional no debe confundirse con una moratoria. El Ómnibus no concede un indulto, sino un respiro para que las empresas puedan cumplir con las obligaciones cuando los estándares técnicos, los organismos notificados y las estructuras nacionales de supervisión estén plenamente operativos.
Como se señala en un artículo publicado en Lawandtrends (https://www.lawandtrends.com/noticias/tic/el-omnibus-digital-entra-hoy-en-vigor-para-redefinir-el-modelo-europeo-de-ia-salvo-en-sus-obligaciones-de-1.html) por Pablo Sáez de Hurtado, presidente de la Comisión Joven de ENATIC y director general de la BeAI Foundation, Europa concede más tiempo para cumplir algunas obligaciones de alto riesgo, pero el Reglamento de Inteligencia Artificial continúa plenamente vigente y muchas de sus disposiciones ya son exigibles. El análisis de Sáez de Hurtado subraya que el 2 de agosto de 2026 mantiene su fuerza para las obligaciones de transparencia del artículo 50, que no han sido aplazadas. Los sistemas que interactúan con personas, que reconocen emociones o que generan contenido sintético deben cumplir ya sus obligaciones de información y marcado.
III. La alfabetización en inteligencia artificial: menos exigencia, no menos importancia
Uno de los cambios más significativos que introduce el Ómnibus Digital afecta al artículo 4 del Reglamento de Inteligencia Artificial, relativo a la alfabetización en inteligencia artificial. La redacción anterior obligaba a proveedores y responsables del despliegue a garantizar un nivel suficiente de alfabetización de su personal. La nueva formulación, en cambio, exige que proveedores y responsables del despliegue adopten medidas para apoyar la promoción de la alfabetización en inteligencia artificial de su personal y de otras personas que operen sistemas en su nombre. Estas medidas deben adaptarse a los conocimientos técnicos, la experiencia, la formación y el contexto de uso de cada persona.
El cambio no es menor. La obligación ha pasado de ser un resultado exigible a una obligación de medios. Rodolfo Tesone Mendizabal, abogado experto en inteligencia artificial, presidente emérito de ENATIC y director del Máster de Derecho Digital e Inteligencia Artificial de la Universidad de Barcelona-IL3, lo ha resumido con claridad en su perfil de LinkedIn (https://www.linkedin.com/posts/rtesone_ia-aiact-aiact-share-7487402665056911361-Ctbx/?utm_source=share&utm_medium=member_desktop&rcm=ACoAAFAJb40BG9I-0UwboK_BUm1qDJkVUPT3Mkw). El artículo 4 deja de configurarse como obligación directa de resultado para proveedores y usuarios; Comisión y Estados deberán fomentar medidas de alfabetización. Sin embargo, interpretar la nueva redacción como permiso para no formar sería leer la simplificación al revés. La obligación no desaparece. Se reformula para hacerla más proporcionada y realista.
Las organizaciones deben revisar sus políticas de alfabetización y asegurarse de que pueden demostrar que han adoptado medidas razonables y proporcionadas. No basta con tener un programa de formación genérico. La formación debe estar vinculada a los riesgos, a las funciones de cada persona y al uso efectivo de los sistemas. Y debe poder acreditarse ante las autoridades de supervisión.
IV. Nuevas prohibiciones: el endurecimiento del artículo 5
El Ómnibus Digital no solo simplifica obligaciones. También las endurece en algunos aspectos. La reforma incorpora al artículo 5 dos nuevas prácticas de inteligencia artificial prohibidas, que serán aplicables desde el 2 de diciembre de 2026. La primera prohíbe la introducción en el mercado, puesta en servicio o utilización de sistemas de inteligencia artificial que generen o manipulen imágenes, vídeos o audios realistas de las partes íntimas de una persona identificable, o de dicha persona participando en actividades sexualmente explícitas, sin su consentimiento libre, específico, informado e inequívoco. La segunda prohíbe la generación o manipulación de material o espectáculos de abuso sexual infantil, también en su versión sintética.
El Reglamento precisa que, para los proveedores, la prohibición solo se activa cuando dicha generación o manipulación sea la finalidad prevista del sistema, o cuando el diseño, entrenamiento, arquitectura o funcionalidades del sistema hagan que ese resultado sea razonablemente previsible y reproducible sin que existan medidas técnicas de seguridad adecuadas para evitarlo. Para los responsables del despliegue, en cambio, la prohibición únicamente opera cuando utilicen el sistema con la finalidad concreta de generar o manipular dicho material.
Esta incorporación endurece el límite frente a los nudifiers y al material sexual infantil sintético. No se trata de una prohibición general de los sistemas de inteligencia artificial generativa, sino de una prohibición específica de aquellos sistemas que, por su diseño o por la ausencia de salvaguardas, generen o manipulen material íntimo no consentido o material de abuso sexual de menores. La Unión Europea no prohíbe una tecnología general; impone diseño preventivo y responsabilidad frente a usos cuyo daño resulta intolerable.
V. El tratamiento de datos sensibles para detectar sesgos: una solución delicada pero necesaria
Otra de las novedades sustanciales del Ómnibus Digital es la introducción del artículo 4 bis, que crea una base jurídica excepcional para el tratamiento de categorías especiales de datos personales con el fin de detectar y corregir sesgos. La detección y corrección de sesgos constituye un interés público sustancial porque protege a las personas de los efectos adversos de los sesgos, incluida la discriminación. Sin embargo, combatir discriminaciones puede exigir observar variables sensibles, como el género, la raza o la orientación sexual. El nuevo artículo permite, excepcionalmente y cuando sea estrictamente necesario, tratar estas categorías especiales de datos para detectar y corregir sesgos, siempre que se cumplan garantías rigurosas.
Entre las condiciones establecidas se encuentran: que no sea posible alcanzar el objetivo con datos sintéticos o anonimizados; la pseudonimización de los datos; controles de acceso estrictos; la prohibición de transmisión a terceros; la supresión de los datos una vez corregido el sesgo; y la documentación de la necesidad del tratamiento. La base jurídica se extiende tanto a los proveedores de sistemas de alto riesgo como a los proveedores y responsables del despliegue de otros sistemas y modelos, cuando el tratamiento sea estrictamente necesario para detectar sesgos que puedan afectar a la salud y seguridad de las personas, tener un impacto negativo en los derechos fundamentales o dar lugar a discriminación prohibida por el Derecho de la Unión.
Esta nueva base jurídica permite tratar excepcionalmente categorías especiales de datos cuando sea estrictamente necesario para detectar y corregir sesgos, con garantías reforzadas. Es una solución delicada, pero honesta. No abre una puerta trasera al Reglamento General de Protección de Datos, sino que establece un cauce excepcional para que las organizaciones puedan cumplir con su obligación de detectar y corregir sesgos sin vulnerar la normativa de privacidad.
VI. El refuerzo de la Oficina de Inteligencia Artificial y la supervisión europea
El Ómnibus Digital no solo modifica obligaciones y plazos. También refuerza las competencias de la Oficina Europea de Inteligencia Artificial. La reforma atribuye a la Oficina competencia exclusiva sobre determinados sistemas basados en modelos de inteligencia artificial de propósito general, especialmente cuando el modelo y el sistema hayan sido desarrollados por el mismo proveedor o por empresas pertenecientes al mismo grupo. También asumirá competencias sobre sistemas integrados en plataformas en línea o motores de búsqueda considerados de muy gran tamaño.
Entre sus facultades se incluyen: solicitar información; acceder a sistemas y documentación; realizar inspecciones a distancia o presenciales; examinar datos, libros y registros; exigir explicaciones; ordenar medidas correctoras; convertir compromisos empresariales en jurídicamente vinculantes; e imponer multas y multas coercitivas. La Oficina podrá imponer multas coercitivas diarias que, en determinados supuestos, podrán alcanzar el 5% de los ingresos diarios medios o del volumen de negocios anual mundial del ejercicio anterior.
Como señala Iván Martínez, CEO de Intedya Internacional (https://www.intedya.com/internacional/5076/noticia-la-union-europea-introduce-la-primera-gran-reforma-del-ai-act-el-reglamento-mnibus-digital.html), la simplificación no retira al supervisor: concentra capacidades donde la escala tecnológica desborda fronteras nacionales. La reforma confirma que la simplificación regulatoria no equivale a una reducción de la capacidad de supervisión. Más bien al contrario: la supervisión se refuerza allí donde la escala de los sistemas de inteligencia artificial hace que el control nacional sea insuficiente.
VII. Los espacios controlados de pruebas y la innovación responsable
El Ómnibus Digital también amplía las posibilidades de probar sistemas de inteligencia artificial en espacios controlados y en condiciones reales, conocidos como sandboxes. Los Estados miembros deberán garantizar que exista al menos un espacio controlado de pruebas operativo a más tardar el 2 de agosto de 2027. La Oficina de Inteligencia Artificial podrá crear además un espacio controlado de pruebas a escala europea, con acceso prioritario para pequeñas y medianas empresas, empresas emergentes y pequeñas empresas de mediana capitalización.
Estas medidas pretenden facilitar la innovación, pero no eliminan la necesidad de gestionar riesgos, proteger datos personales y garantizar los derechos de las personas participantes. Los sandboxes son espacios donde las empresas pueden probar sus sistemas en condiciones controladas antes de lanzarlos al mercado, lo que reduce la incertidumbre y permite a los reguladores anticiparse a los problemas. Pero no son una exención de cumplimiento. Son un instrumento para facilitarlo.
VIII. El decálogo para las organizaciones: más tiempo, pero no menos responsabilidad
El mensaje final del Ómnibus Digital es claro: Europa concede más tiempo para determinadas obligaciones de los sistemas de alto riesgo, pero no concede una moratoria general para cumplir el Reglamento de Inteligencia Artificial. Las organizaciones que todavía no dispongan de un sistema de gobernanza y cumplimiento del AI Act deberían comenzar su implantación de inmediato.
Tesone ha publicado en su perfil de LinkedIn un decálogo para las organizaciones que resume las principales acciones que deben emprender: actualizar el roadmap de cumplimiento; rehacer el inventario y la clasificación de sistemas; revisar qué sistemas siguen siendo de alto riesgo; diferenciar entre los sistemas del Anexo III y los vinculados a productos del Anexo I; revisar las políticas de alfabetización en inteligencia artificial; analizar los tratamientos de datos sensibles para la detección de sesgos; actualizar las obligaciones de transparencia; revisar contratos y la cadena de proveedores; adaptar la gobernanza, la ciberseguridad y las evidencias; y aprovechar los nuevos plazos para cumplir mejor, no para detener el compliance.
La pregunta que queda en el aire es si las organizaciones van a utilizar el tiempo adicional para prepararse seriamente o si, por el contrario, van a confundir el oxígeno con la impunidad. Porque el 2 de agosto de 2026 ya no será el gran desembarco del alto riesgo. Será algo más silencioso y más importante: el inicio de la preparación seria. Europa ha movido el reloj, no la responsabilidad. Quienes entiendan esa diferencia llegarán a 2027 con sistemas gobernados, contratos sólidos, equipos formados y evidencias disponibles. Quienes confundan el aplazamiento con una derogación descubrirán demasiado tarde que la fecha decisiva nunca fue la escrita en el Diario Oficial de la Unión Europea, sino el día en que decidieron empezar a preparar sus mecanismos de control y prevención en el desarrollo y aprovechamiento de la inteligencia artificial.