El Ómnibus Digital de IA ya está en vigor: nuevo calendario del Reglamento de Inteligencia Artificial y guía práctica para responsables
El 24 de julio de 2026 se publicó en el Diario Oficial de la Unión Europea el Reglamento (UE) 2026/1744, de 8 de julio de 2026, conocido como Ómnibus Digital sobre IA, que modifica el Reglamento (UE) 2024/1689, de Inteligencia Artificial (en adelante, RIA).
La norma entró en vigor el 27 de julio de 2026, apenas seis días antes del 2 de agosto, fecha en la que estaba prevista la aplicación general del RIA y, en particular, de las obligaciones para los sistemas de IA de alto riesgo. No es una reforma menor: reconfigura el calendario completo de aplicación, introduce nuevas prácticas prohibidas, redefine conceptos determinantes para la clasificación de sistemas y ajusta obligaciones que afectan directamente al trabajo de los delegados de protección de datos.
Conviene desterrar desde el principio una lectura equivocada que ya circula: el Ómnibus no suspende el RIA ni rebaja sus requisitos. Aplaza la exigibilidad de las obligaciones de alto riesgo, pero mantiene intacto su contenido —documentación técnica, gestión de riesgos, gobernanza de datos, supervisión humana— y, en un punto relevante, adelanta plazos en lugar de aplazarlos.
El nuevo calendario en cinco fechas
27 julio 2026 Entrada en vigor del Reglamento. Aplican desde ya los artículos 102 a 110 del RIA
modificados y comienza a contar la ventana transitoria de 18 meses para organismos notificados (artículo 43.3 RIA).
2 diciembre 2026 La fecha crítica a corto plazo, con dos hitos. Primero: entran en aplicación las
nuevas prohibiciones del artículo 5 sobre sistemas que generen o manipulen material íntimo no consentido de personas identificables y material de abusos sexuales de menores. Segundo: los proveedores de sistemas de IA generativa introducidos en el mercado antes del 2 de agosto de 2026 deben cumplir las obligaciones de marcado de contenido sintético del artículo 50.2 RIA (nuevo artículo 111.4). El periodo de gracia se reduce de seis a tres meses: este plazo se adelanta, no se aplaza.
2 agosto 2027 Fecha límite para que los Estados miembros tengan operativo al menos un espacio controlado de pruebas (sandbox) nacional, y para que la Comisión adopte los actos delegados del nuevo artículo 2.13 RIA que podrán limitar requisitos duplicados cuando la legislación sectorial de armonización ofrezca protección equivalente.
2 diciembre 2027 Aplicación del capítulo III, secciones 1 a 3, a los sistemas de IA de alto riesgo independientes del artículo 6.2 y el anexo III (biometría, empleo y recursos humanos, educación, acceso a servicios esenciales, entre otros).
2 agosto 2028 Aplicación de esas mismas obligaciones a los sistemas de alto riesgo integrados en
productos del artículo 6.1 y el anexo I (productos sanitarios con IA embebida, máquinas, entre otros).
Qué cambia, más allá del calendario
Nuevas prohibiciones (artículo 5). Se prohíbe la introducción en el mercado, puesta en servicio o utilización de sistemas de IA que generen o manipulen imágenes, vídeos o audios realistas de las partes íntimas de una persona física identificable, o de esa persona participando en actividad sexualmente explícita, sin su consentimiento libre, específico, informado, inequívoco y explícito; y de sistemas que generen material de abusos sexuales de menores, incluido el total o parcialmente sintético. Para los proveedores, la prohibición alcanza tanto los sistemas destinados a esos fines como aquellos en que tal resultado sea razonablemente previsible y reproducible sin salvaguardias técnicas adecuadas. Exigible desde diciembre de 2026, con régimen sancionador del artículo 99.
Redefinición de «componente de seguridad» (artículo 3.14 y nuevos apartados del artículo 6). Un componente cumple función de seguridad solo cuando su finalidad prevista es prevenir o mitigar riesgos para la salud y la seguridad. Quedan expresamente fuera los sistemas dedicados únicamente a asistencia al usuario, optimización del rendimiento, eficiencia del servicio, automatización, confort o control de calidad no relacionado con seguridad. La consecuencia práctica es una reclasificación a la baja: sistemas de IA embebidos en productos que hasta ahora podían arrastrar la calificación de alto riesgo por una definición imprecisa quedan fuera si no desempeñan función de seguridad en sentido estricto.
Nueva base jurídica para categorías especiales de datos (artículo 4 bis). Probablemente el cambio de mayor calado en clave de protección de datos. La habilitación excepcional para tratar categorías especiales de datos con fines de detección y corrección de sesgos —hasta ahora reservada a proveedores de sistemas de alto riesgo por el artículo 10.5, que se suprime— se extiende a los responsables del despliegue de sistemas de alto riesgo y a proveedores y responsables del despliegue de otros sistemas y modelos de IA. El tratamiento queda sujeto a seis condiciones cumulativas: necesidad estricta (que datos sintéticos o anonimizados no basten), limitaciones técnicas de reutilización y medidas punteras de seguridad incluida la pseudonimización, controles y documentación de acceso, prohibición de transmisión a terceros, supresión una vez corregido el sesgo, y motivación expresa en el registro de actividades de tratamiento. El precepto se articula en coherencia con el artículo 9.2.g del Reglamento (UE) 2016/679, General de Protección de Datos.
Alfabetización en IA (artículo 4). Deja de ser una obligación de resultado. Proveedores y responsables del despliegue deben adoptar medidas para apoyar la alfabetización de su personal, sin necesidad de garantizar un nivel concreto en ninguna persona. Sigue siendo obligación, pero de medios, y modula el riesgo sancionador asociado. Evaluación de impacto: EIPD y derechos fundamentales (artículo 27). Cuando obligaciones de la evaluación de impacto sobre derechos fundamentales ya estén cubiertas por la evaluación de impacto relativa a la protección de datos del artículo 35 RGPD, el responsable del despliegue podrá remitirse a ella mediante referencias cruzadas o incorporar sus partes pertinentes. La Oficina de IA elaborará un modelo de cuestionario, incluida una herramienta automatizada.
La interacción con la legislación sectorial, con especial relevancia sanitaria. Se establece una solicitud
única y un procedimiento de evaluación unificado para que un mismo organismo pueda ser designado bajo el RIA y bajo los Reglamentos (UE) 2017/745 y 2017/746 de productos sanitarios (artículo 28.8); los organismos notificados ya designados bajo esa legislación sectorial quedan habilitados transitoriamente, durante 18 meses desde el 27 de julio de 2026, para evaluar la conformidad IA en
determinadas condiciones (artículo 43.3); y el nuevo artículo 2.13 permitirá, mediante actos delegados
antes del 2 de agosto de 2027, limitar la aplicación de requisitos del RIA cuando la normativa sectorial
garantice un nivel de protección equivalente o superior. El sector de máquinas, por su parte, sale de la sección A y pasa a la sección B del anexo I, con enfoque sectorial.
Periodo de gracia aclarado (artículo 111.2). El régimen transitorio para sistemas ya en mercado opera por tipo y modelo: basta que una unidad se haya introducido legalmente antes de la fecha aplicable para que las unidades sucesivas del mismo tipo y modelo se beneficien del periodo de gracia, siempre que el diseño permanezca inalterado. Un cambio significativo de diseño obliga al cumplimiento pleno. Los sistemas de alto riesgo destinados a autoridades públicas deben cumplir, en todo caso, antes del 2 de agosto de 2030.
Otras medidas. Documentación técnica simplificada y sistema de gestión de la calidad simplificado para pymes, empresas emergentes y pequeñas empresas de mediana capitalización; simplificación del
registro en la base de datos de la UE; competencia exclusiva de la Oficina de IA sobre sistemas basados en modelos de IA de uso general del mismo proveedor y sobre sistemas que constituyan o se integren en plataformas en línea de muy gran tamaño; y refuerzo de sus poderes de inspección y sanción.
Guía de actuación para responsables
- Revisar el inventario de sistemas de IA y reclasificar a la luz de la nueva definición de componente de seguridad: es posible que sistemas hasta ahora tratados como de alto riesgo dejen de serlo, y conviene documentar esa evaluación, que las autoridades pueden requerir.
- Verificar antes del 2 de diciembre de 2026 el cumplimiento de las obligaciones de marcado de contenido sintético en cualquier sistema generativo en uso, y la existencia de salvaguardias frente a las nuevas prohibiciones del artículo 5.
- Recalendarizar la hoja de ruta de cumplimiento hacia diciembre de 2027 o agosto de 2028 según
la vía de clasificación, sin desmontarla: los requisitos no han cambiado, solo su fecha de exigibilidad, y llegar a esas fechas con todo por hacer no será un problema de calendario sino de planificación. - Ajustar los tratamientos de corrección de sesgos que impliquen categorías especiales de datos a
las condiciones del artículo 4 bis, y reflejar la motivación en el registro de actividades de tratamiento. - Aprovechar la integración entre EIPD y evaluación de impacto sobre derechos fundamentales
para evitar duplicidades documentales cuando llegue el momento de esta última. El aplazamiento da aire, pero no exime: mantener inventarios actualizados, responsabilidades internas definidas, controles y documentación en preparación sigue siendo la única forma sensata de llegar a 2027 y 2028 en condiciones de cumplir.
