El 24 de julio de 2026 se publicó el Reglamento (UE) 2026/1744 del Parlamento Europeo y del Consejo, de 8 de julio de 2026, por el que se modifican el Reglamento (UE) 2024/1689 de Inteligencia Artificial —RIA—, el Reglamento sobre seguridad de la aviación civil y el Reglamento sobre las máquinas. La nueva norma entra en vigor el 27 de julio de 2026.
La reforma, conocida como «Ómnibus Digital sobre IA», presenta un alcance amplio, aunque selectivo. No sustituye al RIA ni altera su arquitectura fundamental. Tampoco aplaza de forma general la aplicación de sus disposiciones. Sus principales modificaciones afectan al régimen de los sistemas de alto riesgo, a la coordinación con la legislación sectorial, a determinadas obligaciones de las empresas y a la distribución de competencias entre las autoridades supervisoras. Asimismo, incorpora nuevas prácticas prohibidas, establece una habilitación limitada para el tratamiento de datos sensibles destinado a detectar y corregir sesgos y refuerza las competencias de la Oficina Europea de Inteligencia Artificial.
1. Alcance, finalidad y calendario de la reforma
1.1. modificación del Reglamento de Inteligencia Artificial
El Reglamento (UE) 2026/1744 responde a las dificultades advertidas durante la preparación de la aplicación efectiva del RIA: retrasos en la designación de las autoridades competentes y de los organismos de evaluación de la conformidad. Tampoco estaban disponibles todas las normas armonizadas, especificaciones comunes, directrices y herramientas necesarias para facilitar el cumplimiento.
Esta situación resultaba especialmente problemática para los sistemas de IA de alto riesgo, cuyos proveedores y responsables del despliegue podían verse obligados a aplicar directamente exigencias complejas sobre gestión de riesgos, gobernanza de datos, documentación técnica, transparencia, supervisión humana, precisión, robustez y ciberseguridad, sin disponer todavía de criterios técnicos.
La reforma de 2026 es eminentemente práctica. No abandona el enfoque basado en el riesgo, ni suprime los requisitos sustantivos ya vigentes; pero modifica, sobre todo, los tiempos, los procedimientos y los mecanismos de aplicación del RIA.
1.2. Nuevo calendario aplicable a los sistemas de IA de alto riesgo
1.2.1. Sistemas de alto riesgo del anexo III
Las disposiciones aplicables a los sistemas clasificados como de alto riesgo conforme al artículo 6.2 y al anexo III serán exigibles desde el 2 de diciembre de 2027. Entre ellos figuran determinados sistemas utilizados en el empleo, la educación, el acceso a servicios esenciales, la evaluación de la solvencia de las personas físicas, la aplicación de la ley, la migración o la administración de justicia. El aplazamiento afecta únicamente a este régimen específico y no a la totalidad del Reglamento.
1.2.2. Sistemas incorporados a productos regulados del anexo I
Las disposiciones relativas a los sistemas de alto riesgo contemplados en el artículo 6.1, incorporados como productos o como componentes de seguridad de productos sujetos a la legislación armonizada (enumerada en el anexo I del RIA) retrasan su aplicación hasta el 2 de agosto de 2028.
Esta categoría comprende, entre otros, los sistemas relacionados con máquinas, productos sanitarios, juguetes, vehículos y equipos sometidos a procedimientos sectoriales de evaluación de la conformidad.
1.2.3. Sistemas ya comercializados o puestos en servicio
Como regla general, las obligaciones asociadas a la condición de sistema de alto riesgo solo se aplicarán a los sistemas ya comercializados o puestos en servicio cuando, a partir de las nuevas fechas, experimenten cambios significativos en su diseño. Existe una regla especial para los sistemas de alto riesgo utilizados por autoridades públicas cuyos proveedores y responsables del despliegue deberán adoptar las medidas necesarias para cumplir el Reglamento antes del 2 de agosto de 2030.
La reforma establece, además, una fecha anterior para determinados sistemas generativos. Los proveedores de sistemas que generen contenidos sintéticos de audio, imagen, vídeo o texto, incluidos los sistemas de IA de uso general, que hubieran sido introducidos en el mercado antes del 2 de agosto de 2026 deberán cumplir el artículo 50.2 del RIA antes del 2 de diciembre de 2026. Este precepto regula el marcado de los contenidos generados o manipulados artificialmente.
La propuesta inicial de la Comisión vinculaba la aplicación de las disposiciones sobre sistemas de alto riesgo a la disponibilidad efectiva de normas armonizadas, especificaciones comunes y orientaciones. Durante la tramitación legislativa se abandonó ese mecanismo condicionado. El texto definitivo establece fechas ciertas con el fin de ofrecer mayor previsibilidad.
2. Contenido material de la reforma
2.1. Delimitación más precisa de los sistemas de alto riesgo
2.1.1. Concepto de componente de seguridad y excepciones
La reforma evita que la mera incorporación de una función de IA a un producto regulado determine automáticamente su clasificación como sistema de alto riesgo. Así, no tendrán la consideración de componentes de seguridad los sistemas destinados exclusivamente a asistir al usuario, optimizar el rendimiento, mejorar la eficiencia, automatizar tareas, aumentar la comodidad o realizar controles de calidad. Sí que tendrán esa consideración cuando su fallo o funcionamiento defectuoso pueda poner en peligro la salud o la seguridad. Se adopta, por tanto, un criterio funcional.
La clasificación dependerá de la finalidad del sistema y de las consecuencias previsibles de su fallo, no de la mera presencia de una función de IA.
2.1.2. Evaluación de la conformidad por terceros
La existencia de una evaluación de la conformidad por terceros tampoco bastará para clasificar un sistema como de alto riesgo cuando aquella se exija exclusivamente por motivos ajenos a la salud o la seguridad. Así sucede, por ejemplo, con determinadas evaluaciones relativas a interferencias electromagnéticas o al espectro radioeléctrico. Se pretende evitar que una evaluación técnica externa, dirigida a controlar riesgos distintos, active por sí sola el régimen reforzado del RIA.
2.1.3. Coordinación con la legislación sectorial
El nuevo artículo 2.13 permite limitar determinadas obligaciones del RIA respecto de los sistemas de alto riesgo incorporados a productos regulados. La limitación puede comprender los requisitos de los artículos 9 a 15, relativos, entre otras materias, a la gestión de riesgos, la gobernanza de datos, la documentación técnica, la transparencia, la supervisión humana, la robustez y la ciberseguridad. También puede alcanzar algunos deberes de los operadores previstos en los artículos 17 a 25.
Para ello, la legislación armonizada sectorial deberá garantizar una protección equivalente o superior de la salud, la seguridad y los derechos fundamentales. Y no podrá reducir el nivel global de protección ofrecido por el RIA.
La equivalencia no opera automáticamente. Deberá ser concretada por la Comisión mediante actos delegados. La legislación sectorial no desplaza, por tanto, al Reglamento de Inteligencia Artificial, sino que permite evitar la reiteración de exigencias sustancialmente coincidentes.
2.2. Proporcionalidad para las empresas de menor tamaño
2.2.1. Pequeñas empresas de mediana capitalización
La reforma incorpora expresamente a las pequeñas empresas de mediana capitalización o small mid-cap enterprises. Aunque superan los umbrales propios de las pymes, estas empresas pueden afrontar dificultades administrativas semejantes cuando deben cumplir regímenes regulatorios complejos. Por ello, se les extienden algunas de las medidas de simplificación previstas para las pymes y las empresas emergentes.
2.2.2. Documentación técnica simplificada y sistema de gestión de la calidad
El artículo 11 permite que las pymes, las empresas emergentes y las pequeñas empresas de mediana capitalización presenten de forma simplificada la documentación técnica de los sistemas de alto riesgo. La Comisión deberá elaborar un formulario específico. La simplificación afecta a la forma de acreditar el cumplimiento. No elimina las obligaciones sustantivas ni la necesidad de facilitar la información imprescindible para evaluar el sistema. El artículo 17 exige, además, que el sistema de gestión de la calidad se aplique de manera proporcionada al tamaño de la organización. La empresa podrá adaptar sus estructuras y procedimientos, pero esa proporcionalidad no podrá reducir el rigor ni el nivel de protección exigidos.
2.2.3. Régimen sancionador
El artículo 99 obliga a tener en cuenta los intereses y la viabilidad económica de las pymes, las empresas emergentes y las pequeñas empresas de mediana capitalización al imponer sanciones. Así, determinadas multas no podrán superar la menor cuantía resultante de aplicar el límite porcentual sobre el volumen de negocios o el límite absoluto establecido en el Reglamento. No se introduce una exención general, sino una regla limitada de proporcionalidad.
2.3. Cooperación y contratos en la cadena de valor
2.3.1. Cambio de proveedor por modificación sustancial
La reforma refuerza la cooperación entre los operadores de la cadena tecnológica. Cuando una modificación sustancial o un cambio de finalidad determine que otro operador pase a asumir la condición de proveedor, el proveedor inicial deberá facilitarle la información necesaria, comunicarle las limitaciones y fallos conocidos y proporcionarle un acceso técnico razonable para realizar pruebas y validaciones.
2.3.2. Proveedores de modelos, herramientas y servicios
El proveedor de un sistema de alto riesgo y los terceros que suministren modelos, herramientas, servicios, componentes o procesos integrados deberán concretar por escrito la información, las capacidades, el acceso técnico y la asistencia necesarios para cumplir el RIA. La responsabilidad regulatoria difícilmente puede gestionarse cuando quien responde por el sistema carece de acceso a su documentación, a los datos relevantes o a los medios necesarios para comprobar su funcionamiento.
2.3.3. Contratos
Los contratos tecnológicos deberán regular adecuadamente la documentación del sistema de IA, la información sobre los datos y procesos utilizados, las limitaciones y fallos conocidos, el acceso para realizar pruebas y auditorías, la asistencia en caso de incidentes, la comunicación de modificaciones sustanciales, la subcontratación y las condiciones de terminación o sustitución del proveedor.
La reforma reduce determinadas cargas administrativas, pero refuerza la importancia de la gobernanza contractual de la cadena de valor de la IA.
Compostela
2.4. Evaluaciones de impacto y reducción de duplicidades
La reforma del artículo 27 permite aprovechar el trabajo realizado en una evaluación de impacto relativa a la protección de datos conforme al artículo 35 RGPD o a la normativa policial, aunque sus respectivos contenidos no se identifican plenamente. La evaluación exigida por el RGPD se centra en los riesgos para los datos personales. La prevista en el RIA alcanza también otros derechos fundamentales.
La reforma pretende evitar la repetición formal de análisis coincidentes. La Oficina de IA deberá facilitar el cumplimiento mediante un modelo de cuestionario y, eventualmente, una herramienta automatizada.
2.5. Alfabetización en materia de IA: nueva redacción del artículo 4
El Reglamento (UE) 2026/1744 modifica sustancialmente la obligación de alfabetización en materia de inteligencia artificial establecida inicialmente en el artículo 4 del RIA.
La nueva redacción sustituye la exigencia de garantizar, en la mayor medida posible, un nivel suficiente de alfabetización, por la obligación de adoptar medidas dirigidas a apoyar su promoción. Puede hablarse, por tanto, de una aproximación más flexible y próxima a un deber de medios. La obligación conserva, sin embargo, carácter vinculante y no se convierte en una recomendación voluntaria.
Los proveedores y responsables del despliegue deben adoptar medidas respecto de su personal y de las demás personas que, en su nombre, se encarguen del funcionamiento o de la utilización de sistemas de IA. Estas medidas han de adaptarse a los conocimientos técnicos, la experiencia, la educación y la formación de las personas afectadas. También deben atender al contexto previsto de utilización y a las personas o colectivos sobre los que vayan a emplearse los sistemas. La alfabetización exigible no puede configurarse, por ello, mediante una solución uniforme para toda la organización. Debe responder a las funciones desempeñadas, a la complejidad del sistema y a los riesgos derivados de cada utilización.
La principal novedad consiste en que los proveedores y responsables del despliegue ya no tienen que garantizar que cada persona alcance un nivel específico y predeterminado de alfabetización. El Reglamento excluye expresamente esa interpretación. No desaparece, sin embargo, la necesidad de formar, informar y preparar adecuadamente a quienes intervienen en el uso de la IA. La reforma pretende evitar una obligación rígida y difícilmente adaptable a la diversidad de organizaciones, sistemas y contextos, pero mantiene la alfabetización como presupuesto de una utilización informada y responsable.
En términos de cumplimiento, las empresas deberán poder justificar la adecuación de las medidas adoptadas. Para ello pueden resultar útiles las políticas internas, los itinerarios formativos diferenciados por funciones, las instrucciones de uso, los registros de las actividades realizadas y los mecanismos de actualización. Una formación genérica puede ser insuficiente cuando se emplean sistemas complejos o cuando sus resultados intervienen en decisiones que afectan a clientes, trabajadores u otros terceros. La intensidad de las medidas deberá guardar relación con el riesgo, las características del sistema y el grado de intervención de cada persona.
La Comisión y los Estados miembros deben apoyar y facilitar el cumplimiento, especialmente por parte de las pymes. La Comisión publicará ejemplos prácticos en la plataforma única de información. Por su parte, el Consejo Europeo de Inteligencia Artificial adoptará recomendaciones y podrá establecer objetivos comunes, teniendo en cuenta los marcos europeos de competencias. Estas actuaciones no sustituyen la obligación empresarial, sino que deben facilitar su concreción.
La falta de medidas adecuadas puede ser relevante para apreciar el incumplimiento del artículo 4 y, cuando se produzca un incidente o un perjuicio, para valorar la diligencia desplegada por la organización. No obstante, no debe presentarse automáticamente como una circunstancia agravante expresamente tipificada. El artículo 99 exige que los Estados miembros establezcan sanciones y otras medidas de garantía del cumplimiento para cualquier infracción del RIA. Sin embargo, el máximo de 15 millones de euros o del 3 % del volumen de negocios previsto para determinadas obligaciones no resulta directamente aplicable, por esa sola razón, al artículo 4, que no figura entre las infracciones específicamente enumeradas en el artículo 99.4.
La nueva redacción del artículo 4 resulta aplicable desde el 27 de julio de 2026, fecha de entrada en vigor del Reglamento (UE) 2026/1744. No queda sometida a los aplazamientos establecidos para determinadas obligaciones relativas a los sistemas de IA de alto riesgo.
2.6. TRATAMIENTO DE DATOS SENSIBLES PARA DETECTAR Y CORREGIR SESGOS
El nuevo artículo 4 bis del Reglamento de Inteligencia Artificial, introducido por la reforma ómnibus, establece una habilitación excepcional y estrictamente delimitada para el tratamiento de categorías especiales de datos personales, entre ellos los relativos al origen racial o étnico, la salud y otras circunstancias especialmente protegidas. Los proveedores y los responsables del despliegue podrán tratar estos datos cuando resulte estrictamente necesario para detectar y corregir sesgos en sistemas de IA susceptibles de afectar a la salud o a la seguridad de las personas, provocar consecuencias negativas para los derechos fundamentales o generar una discriminación prohibida por el Derecho de la Unión.
La previsión responde a una dificultad práctica. En determinados casos, la detección de resultados discriminatorios exige comprobar si el funcionamiento del sistema produce efectos desiguales sobre grupos definidos precisamente mediante alguna de las categorías especiales de datos. Sin embargo, esta finalidad no convierte el tratamiento en automáticamente lícito. Solo podrá recurrirse a esos datos cuando el objetivo no pueda alcanzarse eficazmente mediante otros medios menos intrusivos, incluidos los datos no personales, sintéticos o anonimizados.
No basta, por tanto, con que el tratamiento de categorías especiales de datos sea útil, conveniente o permita obtener resultados más precisos. Debe acreditarse que resulta indispensable para detectar o corregir el sesgo correspondiente. La estricta necesidad actúa así como presupuesto de la habilitación y como límite material del tratamiento.
El artículo 4 bis no establece una obligación general de tratar datos sensibles. Tampoco impone la realización de actividades específicas de detección de sesgos respecto de todos los sistemas de IA. Se limita a reconocer una facultad condicionada para los supuestos expresamente previstos. En consecuencia, no puede interpretarse como una autorización general para utilizar categorías especiales de datos en cualquier fase del desarrollo, entrenamiento, validación, comercialización o utilización de un sistema de IA.
Cuando el tratamiento resulte admisible, deberá someterse a garantías reforzadas, sin perjuicio del pleno cumplimiento del Reglamento General de Protección de Datos. Entre esas garantías se encuentran la seudonimización de los datos y la aplicación de medidas de seguridad y de protección de la privacidad adecuadas al estado de la técnica. También deberán establecerse restricciones técnicas que impidan la reutilización de los datos para finalidades distintas de la detección y corrección del sesgo.
El acceso deberá quedar limitado a las personas estrictamente autorizadas. Estas personas estarán sujetas a obligaciones de confidencialidad y su acceso deberá encontrarse debidamente controlado y documentado. Asimismo, se prohíbe transmitir, transferir o facilitar los datos a terceros. Una vez corregido el sesgo, los datos deberán suprimirse, salvo que el periodo de conservación previsto finalice con anterioridad, en cuyo caso deberán eliminarse en ese momento.
La organización deberá justificar documentalmente la concurrencia de las condiciones que permiten acogerse a esta habilitación. En particular, deberá hacer constar en el registro de actividades de tratamiento las razones por las que el uso de categorías especiales de datos resultaba estrictamente necesario. También deberá explicar por qué la finalidad perseguida no podía alcanzarse eficazmente mediante datos personales no pertenecientes a categorías especiales, datos no personales, datos sintéticos o datos anonimizados.
Las condiciones establecidas en el artículo 4 bis deberán cumplirse de forma acumulativa con las restantes exigencias del Reglamento de Inteligencia Artificial, en particular las relativas a los datos y a la gobernanza de datos. A ello se añade el cumplimiento del RGPD y, cuando resulte aplicable, de la normativa sectorial en materia de protección de datos. El artículo 4 bis no desplaza ni sustituye esos regímenes, sino que establece una habilitación específica que debe integrarse con ellos.
2.7. NUEVAS PRÁCTICAS DE IA PROHIBIDAS
La reforma amplía el catálogo de prácticas prohibidas del artículo 5 del Reglamento de Inteligencia Artificial. En particular, incorpora prohibiciones dirigidas a impedir la utilización de sistemas de IA para generar o manipular contenidos íntimos o sexuales no consentidos y material de abuso o explotación sexual infantil.
2.7.1. Contenidos íntimos o sexuales no consentidos
El artículo 5 prohíbe los sistemas de IA que generen o manipulen imágenes, vídeos, audios u otros contenidos realistas relativos a las partes íntimas de una persona identificable. También prohíbe los sistemas que representen a una persona identificable participando en actividades sexualmente explícitas sin que esta haya prestado su consentimiento.
El consentimiento deberá ser libre, específico, informado, inequívoco y expreso. La exigencia de consentimiento se refiere tanto a la utilización de la identidad de la persona como a la generación o manipulación del contenido íntimo o sexual. La prohibición comprende, por tanto, los denominados contenidos sexuales sintéticos o manipulados cuando atribuyan falsamente a una persona identificable conductas o situaciones íntimas sin su autorización.
2.7.2. Material de abuso o explotación sexual infantil
También quedan prohibidos los sistemas de IA que generen o manipulen material de abuso o explotación sexual infantil.
En el caso de los proveedores, la prohibición alcanza, en primer lugar, a los sistemas específicamente diseñados para generar o manipular esa clase de material. Se extiende igualmente a aquellos sistemas cuyo entrenamiento, arquitectura o capacidades permitan considerar razonablemente previsible y reproducible la generación de tales contenidos, cuando el proveedor no haya incorporado salvaguardias técnicas suficientes para impedirlo.
La previsión no exige que el sistema haya sido creado exclusivamente con esa finalidad. Puede resultar aplicable cuando sus características técnicas hagan previsible que produzca de manera reproducible material prohibido y el proveedor no haya adoptado medidas eficaces para evitarlo.
Para los responsables del despliegue, la prohibición opera cuando utilicen el sistema con la finalidad de generar o manipular material de abuso o explotación sexual infantil. En este caso, el elemento determinante es el uso concreto que se haga del sistema, con independencia de que este hubiera sido diseñado inicialmente para una finalidad lícita o de carácter general.
Las nuevas prohibiciones relativas a los contenidos íntimos o sexuales no consentidos y al material de abuso o explotación sexual infantil serán aplicables desde el 2 de diciembre de 2026.
2.8. SUPERVISIÓN EUROPEA Y ESPACIOS CONTROLADOS DE PRUEBAS
La reforma refuerza la dimensión europea del sistema de supervisión establecido por el Reglamento de Inteligencia Artificial. Por una parte, atribuye a la Oficina de IA competencias exclusivas respecto de determinados sistemas cuya estructura o alcance justifican una intervención centralizada. Por otra, intensifica la cooperación con las autoridades nacionales y permite crear un espacio controlado de pruebas a escala de la Unión.
2.8.1. Competencias de la Oficina de IA
El nuevo artículo 75 atribuye a la Oficina de IA competencia exclusiva para supervisar y exigir el cumplimiento del Reglamento respecto de determinados sistemas basados en modelos de IA de uso general. Esta competencia se aplica cuando el modelo y el sistema hayan sido desarrollados por el mismo proveedor o por proveedores que formen parte de la misma empresa. Se pretende, de este modo, concentrar en una única autoridad la supervisión del modelo de uso general y del sistema construido sobre él cuando ambos se integran en una misma estructura empresarial. (EUR-Lex)
La atribución no comprende, sin embargo, todos los sistemas basados en modelos de IA de uso general. Permanecen sometidos a las autoridades nacionales o sectoriales los sistemas relacionados con productos regulados por la legislación de armonización de la Unión incluida en el anexo I; los sistemas destinados a la gestión o funcionamiento de infraestructuras críticas contemplados en el punto 2 del anexo III; determinados sistemas proporcionados por autoridades policiales, autoridades de gestión de fronteras o entidades financieras; y los sistemas relativos a la administración de justicia incluidos en el punto 8 del anexo III.
La Oficina de IA será también competente respecto de los sistemas que constituyan una plataforma en línea de muy gran tamaño o un motor de búsqueda en línea de muy gran tamaño, o que se encuentren integrados en ellos, siempre que hayan sido designados como tales conforme al Reglamento de Servicios Digitales. La centralización permite coordinar la aplicación del Reglamento de Inteligencia Artificial con las competencias que la Comisión ya ejerce sobre estas plataformas y motores de búsqueda en virtud de aquel Reglamento.
La competencia exclusiva se extiende, en primer lugar, a los proveedores de los sistemas afectados. Respecto de los responsables del despliegue, solo opera cuando estos sean también proveedores del sistema o formen parte de la misma empresa que el proveedor. Los demás responsables del despliegue continúan sometidos a la supervisión de las autoridades nacionales competentes.
2.8.2. Coordinación con las autoridades nacionales y sectoriales
La atribución de competencias a la Oficina de IA no sustituye completamente el sistema descentralizado de vigilancia del mercado. Las autoridades nacionales conservan sus funciones respecto de los sistemas no comprendidos en el artículo 75 y en aquellos ámbitos en los que la reforma mantiene expresamente la supervisión sectorial.
La reforma establece, además, un deber reforzado de cooperación. Las autoridades que intervienen en la aplicación del Reglamento deberán colaborar activamente con la Oficina de IA y prestarle la asistencia necesaria para el ejercicio de sus competencias. Esta asistencia podrá comprender la realización de inspecciones u otras medidas de investigación y ejecución en el territorio de un Estado miembro. (EUR-Lex)
Cuando una actuación de investigación o ejecución requiera acceder a datos o sistemas de IA de una autoridad pública, la Oficina deberá contar con la asistencia de la correspondiente autoridad de vigilancia del mercado. Asimismo, antes de adoptar una decisión que prohíba o restrinja la comercialización o puesta en servicio de un sistema en un mercado nacional, o que ordene su retirada o recuperación, deberá informar a la autoridad nacional competente y consultar, cuando proceda, a las demás autoridades afectadas.
También se establece un cauce específico para la notificación de incidentes graves. Los proveedores de sistemas de alto riesgo sometidos a la competencia de la Oficina deberán comunicarle directamente esos incidentes. La Oficina transmitirá sin demora la información relevante a la autoridad de vigilancia del mercado del Estado miembro en el que se encuentre establecido el proveedor o su representante legal.
El sistema resultante combina, por tanto, una competencia europea exclusiva para determinadas categorías de sistemas con mecanismos de asistencia mutua y cooperación territorial. No se elimina la intervención nacional, sino que se distribuyen las funciones para evitar controles superpuestos, interpretaciones divergentes y actuaciones contradictorias.
2.8.3. Espacios controlados de pruebas
La reforma amplía y precisa el régimen de los espacios controlados de pruebas para la IA. Estos espacios proporcionan un entorno supervisado en el que los proveedores o proveedores potenciales pueden desarrollar, entrenar, probar y validar sistemas innovadores durante un periodo limitado antes de introducirlos en el mercado o ponerlos en servicio.
Las actividades deberán realizarse de acuerdo con un plan específico acordado entre el proveedor y la autoridad competente. El plan delimitará los objetivos, condiciones, duración y metodología de las pruebas, y deberá incorporar las garantías necesarias para controlar los riesgos. Los espacios podrán incluir pruebas en condiciones reales cuando se cumplan los requisitos establecidos para esta modalidad de experimentación.
La reforma mantiene los espacios nacionales, aunque traslada al 2 de agosto de 2027 la fecha límite para que los Estados miembros dispongan de, al menos, uno de ellos. También permite que varios Estados miembros establezcan espacios conjuntos o participen en uno ya existente cuando esa participación garantice una cobertura nacional equivalente.
Como principal novedad, la Oficina de IA podrá establecer un espacio controlado de pruebas a escala de la Unión para los sistemas sometidos a su competencia conforme al artículo 75. Su creación no afectará a la facultad de los Estados miembros para establecer y supervisar espacios nacionales respecto de los sistemas que permanezcan bajo su competencia.
El espacio europeo deberá funcionar en estrecha cooperación con las autoridades nacionales y sectoriales relevantes. Esta cooperación será especialmente necesaria cuando las pruebas afecten al cumplimiento de normas de la Unión distintas del Reglamento de Inteligencia Artificial. La participación en el espacio europeo no permitirá, por tanto, eludir las exigencias derivadas de la normativa de protección de datos, de la regulación financiera, de la legislación de productos o de otras disposiciones sectoriales aplicables.
Cuando los sistemas ensayados impliquen el tratamiento de datos personales, las autoridades de protección de datos deberán asociarse al funcionamiento del espacio y participar en la supervisión de los aspectos comprendidos en sus respectivas competencias. La Comisión deberá precisar mediante actos de ejecución las reglas de gobernanza, coordinación y cooperación aplicables a estos entornos.
Finalmente, se reconoce un acceso prioritario a las pymes, incluidas las empresas emergentes, y a las pequeñas empresas de mediana capitalización. Esta preferencia pretende facilitar que las empresas con menores recursos puedan recibir orientación regulatoria, identificar anticipadamente los riesgos y preparar el cumplimiento antes de introducir el sistema en el mercado. La participación en un espacio controlado de pruebas no supone, sin embargo, una exención general de las obligaciones del Reglamento ni una certificación automática de conformidad.
