El 24 de julio de 2026 se publicó el Reglamento (UE) 2026/1744 del Parlamento Europeo y del Consejo, de 8 de julio de 2026, por el que se modifican el Reglamento (UE) 2024/1689 de Inteligencia Artificial —RIA—, el Reglamento sobre seguridad de la aviación civil y el Reglamento sobre las máquinas. La nueva norma entra en vigor el 27 de julio de 2026.

La reforma, conocida como «Ómnibus Digital sobre IA», presenta un alcance amplio, aunque selectivo. No sustituye al RIA ni altera su arquitectura fundamental. Tampoco aplaza de forma general la aplicación de sus disposiciones. Sus principales modificaciones afectan al régimen de los sistemas de alto riesgo, a la coordinación con la legislación sectorial, a determinadas obligaciones de las empresas y a la distribución de competencias entre las autoridades supervisoras. Asimismo, incorpora nuevas prácticas prohibidas, establece una habilitación limitada para el tratamiento de datos sensibles destinado a detectar y corregir sesgos y refuerza las competencias de la Oficina Europea de Inteligencia Artificial.

1. Alcance, finalidad y calendario de la reforma

1.1. modificación del Reglamento de Inteligencia Artificial

El Reglamento (UE) 2026/1744 responde a las dificultades advertidas durante la preparación de la aplicación efectiva del RIA: retrasos en la designación de las autoridades competentes y de los organismos de evaluación de la conformidad. Tampoco estaban disponibles todas las normas armonizadas, especificaciones comunes, directrices y herramientas necesarias para facilitar el cumplimiento.

Esta situación resultaba especialmente problemática para los sistemas de IA de alto riesgo, cuyos proveedores y responsables del despliegue podían verse obligados a aplicar directamente exigencias complejas sobre gestión de riesgos, gobernanza de datos, documentación técnica, transparencia, supervisión humana, precisión, robustez y ciberseguridad, sin disponer todavía de criterios técnicos.

La reforma de 2026 es eminentemente práctica.  No abandona el enfoque basado en el riesgo, ni suprime los requisitos sustantivos ya vigentes; pero modifica, sobre todo, los tiempos, los procedimientos y los mecanismos de aplicación del RIA.

1.2. Nuevo calendario aplicable a los sistemas de IA de alto riesgo

1.2.1. Sistemas de alto riesgo del anexo III

Las disposiciones aplicables a los sistemas clasificados como de alto riesgo conforme al artículo 6.2 y al anexo III serán exigibles desde el 2 de diciembre de 2027. Entre ellos figuran determinados sistemas utilizados en el empleo, la educación, el acceso a servicios esenciales, la evaluación de la solvencia de las personas físicas, la aplicación de la ley, la migración o la administración de justicia. El aplazamiento afecta únicamente a este régimen específico y no a la totalidad del Reglamento.

1.2.2. Sistemas incorporados a productos regulados del anexo I

Las disposiciones relativas a los sistemas de alto riesgo contemplados en el artículo 6.1, incorporados como productos o como componentes de seguridad de productos sujetos a la legislación armonizada (enumerada en el anexo I del RIA) retrasan su aplicación hasta el 2 de agosto de 2028.

Esta categoría comprende, entre otros, los sistemas relacionados con máquinas, productos sanitarios, juguetes, vehículos y equipos sometidos a procedimientos sectoriales de evaluación de la conformidad.

1.2.3. Sistemas ya comercializados o puestos en servicio

Como regla general, las obligaciones asociadas a la condición de sistema de alto riesgo solo se aplicarán a los sistemas ya comercializados o puestos en servicio cuando, a partir de las nuevas fechas, experimenten cambios significativos en su diseño. Existe una regla especial para los sistemas de alto riesgo utilizados por autoridades públicas cuyos proveedores y responsables del despliegue deberán adoptar las medidas necesarias para cumplir el Reglamento antes del 2 de agosto de 2030.

La reforma establece, además, una fecha anterior para determinados sistemas generativos. Los proveedores de sistemas que generen contenidos sintéticos de audio, imagen, vídeo o texto, incluidos los sistemas de IA de uso general, que hubieran sido introducidos en el mercado antes del 2 de agosto de 2026 deberán cumplir el artículo 50.2 del RIA antes del 2 de diciembre de 2026. Este precepto regula el marcado de los contenidos generados o manipulados artificialmente.

La propuesta inicial de la Comisión vinculaba la aplicación de las disposiciones sobre sistemas de alto riesgo a la disponibilidad efectiva de normas armonizadas, especificaciones comunes y orientaciones. Durante la tramitación legislativa se abandonó ese mecanismo condicionado. El texto definitivo establece fechas ciertas con el fin de ofrecer mayor previsibilidad.

2. Contenido material de la reforma

2.1. Delimitación más precisa de los sistemas de alto riesgo

2.1.1. Concepto de componente de seguridad y excepciones

La reforma evita que la mera incorporación de una función de IA a un producto regulado determine automáticamente su clasificación como sistema de alto riesgo. Así, no tendrán la consideración de componentes de seguridad los sistemas destinados exclusivamente a asistir al usuario, optimizar el rendimiento, mejorar la eficiencia, automatizar tareas, aumentar la comodidad o realizar controles de calidad. Sí que tendrán esa consideración cuando su fallo o funcionamiento defectuoso pueda poner en peligro la salud o la seguridad. Se adopta, por tanto, un criterio funcional.

La clasificación dependerá de la finalidad del sistema y de las consecuencias previsibles de su fallo, no de la mera presencia de una función de IA.

2.1.2. Evaluación de la conformidad por terceros

La existencia de una evaluación de la conformidad por terceros tampoco bastará para clasificar un sistema como de alto riesgo cuando aquella se exija exclusivamente por motivos ajenos a la salud o la seguridad. Así sucede, por ejemplo, con determinadas evaluaciones relativas a interferencias electromagnéticas o al espectro radioeléctrico. Se pretende evitar que una evaluación técnica externa, dirigida a controlar riesgos distintos, active por sí sola el régimen reforzado del RIA.

2.1.3. Coordinación con la legislación sectorial

El nuevo artículo 2.13 permite limitar determinadas obligaciones del RIA respecto de los sistemas de alto riesgo incorporados a productos regulados. La limitación puede comprender los requisitos de los artículos 9 a 15, relativos, entre otras materias, a la gestión de riesgos, la gobernanza de datos, la documentación técnica, la transparencia, la supervisión humana, la robustez y la ciberseguridad. También puede alcanzar algunos deberes de los operadores previstos en los artículos 17 a 25.

Para ello, la legislación armonizada sectorial deberá garantizar una protección equivalente o superior de la salud, la seguridad y los derechos fundamentales. Y no podrá reducir el nivel global de protección ofrecido por el RIA.

La equivalencia no opera automáticamente. Deberá ser concretada por la Comisión mediante actos delegados. La legislación sectorial no desplaza, por tanto, al Reglamento de Inteligencia Artificial, sino que permite evitar la reiteración de exigencias sustancialmente coincidentes.

2.2. Proporcionalidad para las empresas de menor tamaño

2.2.1. Pequeñas empresas de mediana capitalización

La reforma incorpora expresamente a las pequeñas empresas de mediana capitalización o small mid-cap enterprises. Aunque superan los umbrales propios de las pymes, estas empresas pueden afrontar dificultades administrativas semejantes cuando deben cumplir regímenes regulatorios complejos. Por ello, se les extienden algunas de las medidas de simplificación previstas para las pymes y las empresas emergentes.

2.2.2. Documentación técnica simplificada y sistema de gestión de la calidad

El artículo 11 permite que las pymes, las empresas emergentes y las pequeñas empresas de mediana capitalización presenten de forma simplificada la documentación técnica de los sistemas de alto riesgo. La Comisión deberá elaborar un formulario específico. La simplificación afecta a la forma de acreditar el cumplimiento. No elimina las obligaciones sustantivas ni la necesidad de facilitar la información imprescindible para evaluar el sistema. El artículo 17 exige, además, que el sistema de gestión de la calidad se aplique de manera proporcionada al tamaño de la organización. La empresa podrá adaptar sus estructuras y procedimientos, pero esa proporcionalidad no podrá reducir el rigor ni el nivel de protección exigidos.

2.2.3. Régimen sancionador

El artículo 99 obliga a tener en cuenta los intereses y la viabilidad económica de las pymes, las empresas emergentes y las pequeñas empresas de mediana capitalización al imponer sanciones. Así,  determinadas multas no podrán superar la menor cuantía resultante de aplicar el límite porcentual sobre el volumen de negocios o el límite absoluto establecido en el Reglamento. No se introduce una exención general, sino una regla limitada de proporcionalidad.

2.3. Cooperación y contratos en la cadena de valor

2.3.1. Cambio de proveedor por modificación sustancial

La reforma refuerza la cooperación entre los operadores de la cadena tecnológica. Cuando una modificación sustancial o un cambio de finalidad determine que otro operador pase a asumir la condición de proveedor, el proveedor inicial deberá facilitarle la información necesaria, comunicarle las limitaciones y fallos conocidos y proporcionarle un acceso técnico razonable para realizar pruebas y validaciones.

2.3.2. Proveedores de modelos, herramientas y servicios

El proveedor de un sistema de alto riesgo y los terceros que suministren modelos, herramientas, servicios, componentes o procesos integrados deberán concretar por escrito la información, las capacidades, el acceso técnico y la asistencia necesarios para cumplir el RIA. La responsabilidad regulatoria difícilmente puede gestionarse cuando quien responde por el sistema carece de acceso a su documentación, a los datos relevantes o a los medios necesarios para comprobar su funcionamiento.

2.3.3. Contratos

Los contratos tecnológicos deberán regular adecuadamente la documentación del sistema de IA, la información sobre los datos y procesos utilizados, las limitaciones y fallos conocidos, el acceso para realizar pruebas y auditorías, la asistencia en caso de incidentes, la comunicación de modificaciones sustanciales, la subcontratación y las condiciones de terminación o sustitución del proveedor.

La reforma reduce determinadas cargas administrativas, pero refuerza la importancia de la gobernanza contractual de la cadena de valor de la IA.

2.4. Evaluaciones de impacto y reducción de duplicidades

La reforma del artículo 27 permite aprovechar el trabajo realizado en una evaluación de impacto relativa a la protección de datos conforme al artículo 35 RGPD o a la normativa policial, aunque sus respectivos contenidos no se identifican plenamente. La evaluación exigida por el RGPD se centra en los riesgos para los datos personales. La prevista en el RIA alcanza también otros derechos fundamentales.

La reforma pretende evitar la repetición formal de análisis coincidentes. La Oficina de IA deberá facilitar el cumplimiento mediante un modelo de cuestionario y, eventualmente, una herramienta automatizada.

2.5. Alfabetización en materia de IA: nueva redacción del artículo 4

El Reglamento (UE) 2026/1744 modifica sustancialmente la obligación de alfabetización en materia de inteligencia artificial establecida inicialmente en el artículo 4 del RIA.

La nueva redacción sustituye la exigencia de garantizar, en la mayor medida posible, un nivel suficiente de alfabetización, por la obligación de adoptar medidas dirigidas a apoyar su promoción. Puede hablarse, por tanto, de una aproximación más flexible y próxima a un deber de medios. La obligación conserva, sin embargo, carácter vinculante y no se convierte en una recomendación voluntaria.

Los proveedores y responsables del despliegue deben adoptar medidas respecto de su personal y de las demás personas que, en su nombre, se encarguen del funcionamiento o de la utilización de sistemas de IA. Estas medidas han de adaptarse a los conocimientos técnicos, la experiencia, la educación y la formación de las personas afectadas. También deben atender al contexto previsto de utilización y a las personas o colectivos sobre los que vayan a emplearse los sistemas. La alfabetización exigible no puede configurarse, por ello, mediante una solución uniforme para toda la organización. Debe responder a las funciones desempeñadas, a la complejidad del sistema y a los riesgos derivados de cada utilización.

La principal novedad consiste en que los proveedores y responsables del despliegue ya no tienen que garantizar que cada persona alcance un nivel específico y predeterminado de alfabetización. El Reglamento excluye expresamente esa interpretación. No desaparece, sin embargo, la necesidad de formar, informar y preparar adecuadamente a quienes intervienen en el uso de la IA. La reforma pretende evitar una obligación rígida y difícilmente adaptable a la diversidad de organizaciones, sistemas y contextos, pero mantiene la alfabetización como presupuesto de una utilización informada y responsable.

En términos de cumplimiento, las empresas deberán poder justificar la adecuación de las medidas adoptadas. Para ello pueden resultar útiles las políticas internas, los itinerarios formativos diferenciados por funciones, las instrucciones de uso, los registros de las actividades realizadas y los mecanismos de actualización. Una formación genérica puede ser insuficiente cuando se emplean sistemas complejos o cuando sus resultados intervienen en decisiones que afectan a clientes, trabajadores u otros terceros. La intensidad de las medidas deberá guardar relación con el riesgo, las características del sistema y el grado de intervención de cada persona.

La Comisión y los Estados miembros deben apoyar y facilitar el cumplimiento, especialmente por parte de las pymes. La Comisión publicará ejemplos prácticos en la plataforma única de información. Por su parte, el Consejo Europeo de Inteligencia Artificial adoptará recomendaciones y podrá establecer objetivos comunes, teniendo en cuenta los marcos europeos de competencias. Estas actuaciones no sustituyen la obligación empresarial, sino que deben facilitar su concreción.

La falta de medidas adecuadas puede ser relevante para apreciar el incumplimiento del artículo 4 y, cuando se produzca un incidente o un perjuicio, para valorar la diligencia desplegada por la organización. No obstante, no debe presentarse automáticamente como una circunstancia agravante expresamente tipificada. El artículo 99 exige que los Estados miembros establezcan sanciones y otras medidas de garantía del cumplimiento para cualquier infracción del RIA. Sin embargo, el máximo de 15 millones de euros o del 3 % del volumen de negocios previsto para determinadas obligaciones no resulta directamente aplicable, por esa sola razón, al artículo 4, que no figura entre las infracciones específicamente enumeradas en el artículo 99.4.

La nueva redacción del artículo 4 resulta aplicable desde el 27 de julio de 2026, fecha de entrada en vigor del Reglamento (UE) 2026/1744. No queda sometida a los aplazamientos establecidos para determinadas obligaciones relativas a los sistemas de IA de alto riesgo.

2.6. TRATAMIENTO DE DATOS SENSIBLES PARA DETECTAR Y CORREGIR SESGOS

El nuevo artículo 4 bis del Reglamento de Inteligencia Artificial, introducido por la reforma ómnibus, establece una habilitación excepcional y estrictamente delimitada para el tratamiento de categorías especiales de datos personales, entre ellos los relativos al origen racial o étnico, la salud y otras circunstancias especialmente protegidas. Los proveedores y los responsables del despliegue podrán tratar estos datos cuando resulte estrictamente necesario para detectar y corregir sesgos en sistemas de IA susceptibles de afectar a la salud o a la seguridad de las personas, provocar consecuencias negativas para los derechos fundamentales o generar una discriminación prohibida por el Derecho de la Unión.

La previsión responde a una dificultad práctica. En determinados casos, la detección de resultados discriminatorios exige comprobar si el funcionamiento del sistema produce efectos desiguales sobre grupos definidos precisamente mediante alguna de las categorías especiales de datos. Sin embargo, esta finalidad no convierte el tratamiento en automáticamente lícito. Solo podrá recurrirse a esos datos cuando el objetivo no pueda alcanzarse eficazmente mediante otros medios menos intrusivos, incluidos los datos no personales, sintéticos o anonimizados.

No basta, por tanto, con que el tratamiento de categorías especiales de datos sea útil, conveniente o permita obtener resultados más precisos. Debe acreditarse que resulta indispensable para detectar o corregir el sesgo correspondiente. La estricta necesidad actúa así como presupuesto de la habilitación y como límite material del tratamiento.

El artículo 4 bis no establece una obligación general de tratar datos sensibles. Tampoco impone la realización de actividades específicas de detección de sesgos respecto de todos los sistemas de IA. Se limita a reconocer una facultad condicionada para los supuestos expresamente previstos. En consecuencia, no puede interpretarse como una autorización general para utilizar categorías especiales de datos en cualquier fase del desarrollo, entrenamiento, validación, comercialización o utilización de un sistema de IA.

Cuando el tratamiento resulte admisible, deberá someterse a garantías reforzadas, sin perjuicio del pleno cumplimiento del Reglamento General de Protección de Datos. Entre esas garantías se encuentran la seudonimización de los datos y la aplicación de medidas de seguridad y de protección de la privacidad adecuadas al estado de la técnica. También deberán establecerse restricciones técnicas que impidan la reutilización de los datos para finalidades distintas de la detección y corrección del sesgo.

El acceso deberá quedar limitado a las personas estrictamente autorizadas. Estas personas estarán sujetas a obligaciones de confidencialidad y su acceso deberá encontrarse debidamente controlado y documentado. Asimismo, se prohíbe transmitir, transferir o facilitar los datos a terceros. Una vez corregido el sesgo, los datos deberán suprimirse, salvo que el periodo de conservación previsto finalice con anterioridad, en cuyo caso deberán eliminarse en ese momento.

La organización deberá justificar documentalmente la concurrencia de las condiciones que permiten acogerse a esta habilitación. En particular, deberá hacer constar en el registro de actividades de tratamiento las razones por las que el uso de categorías especiales de datos resultaba estrictamente necesario. También deberá explicar por qué la finalidad perseguida no podía alcanzarse eficazmente mediante datos personales no pertenecientes a categorías especiales, datos no personales, datos sintéticos o datos anonimizados.

Las condiciones establecidas en el artículo 4 bis deberán cumplirse de forma acumulativa con las restantes exigencias del Reglamento de Inteligencia Artificial, en particular las relativas a los datos y a la gobernanza de datos. A ello se añade el cumplimiento del RGPD y, cuando resulte aplicable, de la normativa sectorial en materia de protección de datos. El artículo 4 bis no desplaza ni sustituye esos regímenes, sino que establece una habilitación específica que debe integrarse con ellos.

2.7. NUEVAS PRÁCTICAS DE IA PROHIBIDAS

La reforma amplía el catálogo de prácticas prohibidas del artículo 5 del Reglamento de Inteligencia Artificial. En particular, incorpora prohibiciones dirigidas a impedir la utilización de sistemas de IA para generar o manipular contenidos íntimos o sexuales no consentidos y material de abuso o explotación sexual infantil.

2.7.1. Contenidos íntimos o sexuales no consentidos

El artículo 5 prohíbe los sistemas de IA que generen o manipulen imágenes, vídeos, audios u otros contenidos realistas relativos a las partes íntimas de una persona identificable. También prohíbe los sistemas que representen a una persona identificable participando en actividades sexualmente explícitas sin que esta haya prestado su consentimiento.

El consentimiento deberá ser libre, específico, informado, inequívoco y expreso. La exigencia de consentimiento se refiere tanto a la utilización de la identidad de la persona como a la generación o manipulación del contenido íntimo o sexual. La prohibición comprende, por tanto, los denominados contenidos sexuales sintéticos o manipulados cuando atribuyan falsamente a una persona identificable conductas o situaciones íntimas sin su autorización.

2.7.2. Material de abuso o explotación sexual infantil

También quedan prohibidos los sistemas de IA que generen o manipulen material de abuso o explotación sexual infantil.

En el caso de los proveedores, la prohibición alcanza, en primer lugar, a los sistemas específicamente diseñados para generar o manipular esa clase de material. Se extiende igualmente a aquellos sistemas cuyo entrenamiento, arquitectura o capacidades permitan considerar razonablemente previsible y reproducible la generación de tales contenidos, cuando el proveedor no haya incorporado salvaguardias técnicas suficientes para impedirlo.

La previsión no exige que el sistema haya sido creado exclusivamente con esa finalidad. Puede resultar aplicable cuando sus características técnicas hagan previsible que produzca de manera reproducible material prohibido y el proveedor no haya adoptado medidas eficaces para evitarlo.

Para los responsables del despliegue, la prohibición opera cuando utilicen el sistema con la finalidad de generar o manipular material de abuso o explotación sexual infantil. En este caso, el elemento determinante es el uso concreto que se haga del sistema, con independencia de que este hubiera sido diseñado inicialmente para una finalidad lícita o de carácter general.

Las nuevas prohibiciones relativas a los contenidos íntimos o sexuales no consentidos y al material de abuso o explotación sexual infantil serán aplicables desde el 2 de diciembre de 2026.