La Comisión Europea publicó el Paquete Ómnibus Digital a finales de 2025, con propuestas destinadas a simplificar y armonizar partes del marco legislativo digital de la UE, proponiendo modificaciones al RGPD , la NIS 2 y otras normativas.
Si bien el paquete general de medidas digitales sigue en negociación, el paquete específico sobre inteligencia artificial (API) se tramitó con urgencia porque proponía plazos modificados para las obligaciones relativas a los sistemas de IA de alto riesgo en virtud de la Ley de IA de la UE. Estas modificaciones propuestas debían entrar en vigor antes de que las primeras obligaciones relativas a la IA de alto riesgo en virtud de la Ley de IA de la UE entraran en vigor el 2 de agosto de 2026.
El 7 de mayo de 2026, los negociadores del Parlamento Europeo y del Consejo alcanzaron un acuerdo provisional sobre la Ley Ómnibus de IA, que aplazó los plazos de cumplimiento para los sistemas de IA de alto riesgo hasta 2027 y 2028. El reglamento definitivo entró en vigor el 27 de julio de 2026.
¿Qué ha cambiado, entonces? En este blog, analizaremos algunas de las modificaciones clave que la Ley Ómnibus de IA introduce en la Ley de IA de la UE y qué significan para las organizaciones.
Plazos de cumplimiento revisados para sistemas de IA de alto riesgo
En virtud de la Ley Ómnibus de IA, los proveedores y los implementadores de sistemas de IA de alto riesgo disponen de un plazo ampliado para garantizar el cumplimiento de la normativa.
A partir del 2 de diciembre de 2027, los sistemas de IA clasificados como de alto riesgo en virtud del artículo 6, apartado 2, y del anexo III , en la medida en que su uso esté permitido por la legislación pertinente de la UE o nacional, deberán poder demostrar su cumplimiento.
Esto abarca los sistemas de IA utilizados en áreas como:
- Biometría
- Infraestructura crítica
- Educación y formación profesional
- Empleo, gestión de los trabajadores y acceso al autoempleo.
- Acceso y disfrute de servicios privados esenciales y servicios y beneficios públicos esenciales.
- Cumplimiento de la ley
- Gestión de migración, asilo y control de fronteras
- Administración de justicia y procesos democráticos.
Estar incluido en el Anexo III no implica automáticamente que todos los sistemas de IA utilizados en estas áreas se consideren de alto riesgo. Deben tenerse en cuenta también las normas de clasificación y las exenciones del artículo 6.
A partir del 2 de agosto de 2028, las obligaciones de alto riesgo se aplicarán a los sistemas de IA del artículo 6(1) y del Anexo I. Esto incluye los sistemas de IA de alto riesgo utilizados como componentes de seguridad de determinados productos regulados, o que sean ellos mismos dichos productos, cuando el producto en cuestión esté sujeto a un requisito de evaluación de la conformidad por parte de un tercero. Esto incluye:
- Juguetes
- Ascensores
- Dispositivos Médicos
- Vehículos
La normativa AI Omnibus también restringe la definición de lo que se considera un componente de seguridad. Los productos con funciones de IA que solo asisten a los usuarios u optimizan el rendimiento no estarán sujetos automáticamente a las obligaciones de alto riesgo. En cambio, la atención se centra en si su fallo o mal funcionamiento genera riesgos para la seguridad o la salud.
Base jurídica ampliada para el tratamiento de categorías especiales de datos personales
La Ley Ómnibus de IA amplía la base legal para el procesamiento de datos sensibles con fines de detección y mitigación de sesgos a los implementadores de sistemas de IA de alto riesgo y a los proveedores e implementadores de otros sistemas y modelos de IA. Anteriormente, esta base legal solo era aplicable a los proveedores de IA de alto riesgo.
Esto no constituye una autorización general para procesar información sensible. El procesamiento debe cumplir las condiciones establecidas en la Ley de IA y, según las circunstancias, ser necesario. Las organizaciones también deben implementar medidas de seguridad, incluidos controles de acceso, medidas para preservar la privacidad y restricciones a la reutilización, así como la eliminación adecuada de los datos.
Periodo de gracia limitado para el marcado de contenido generado por IA
La Ley Ómnibus sobre IA no ha pospuesto, en general, los requisitos de transparencia de la Ley de IA para el contenido generado por IA.
Las obligaciones de transparencia del artículo 50 se aplican generalmente a partir del 2 de agosto de 2026. Esto incluye la obligación de que los proveedores de determinados sistemas de IA que generan contenido sintético de audio, imagen, vídeo o texto garanticen que los resultados estén marcados en un formato legible por máquina y sean detectables como generados o manipulados artificialmente.
Sin embargo, la Ley Ómnibus de IA establece un período de transición limitado para los sistemas que ya están en el mercado. Los proveedores de sistemas relevantes que se hayan comercializado antes del 2 de agosto de 2026 tienen hasta el 2 de diciembre de 2026 para cumplir con las obligaciones de marcado legible por máquina establecidas en el artículo 50(2).
Para las organizaciones, la distinción importante es que el 2 de diciembre de 2026 es un período de gracia limitado para ciertos sistemas existentes, y no la fecha de inicio general de los requisitos de transparencia de la Ley de IA.
Las FRIA pueden aprovechar las DPIA.
En virtud de la Ley Ómnibus de IA, las evaluaciones de impacto sobre los derechos fundamentales (EIDF) ahora pueden incluir referencias cruzadas o incorporar las secciones pertinentes de una evaluación de impacto sobre la protección de datos (EIPD) realizada en virtud del Reglamento General de Protección de Datos o la Directiva sobre aplicación de la ley.
Si bien ambas evaluaciones siguen siendo distintas, las organizaciones que ya realizan evaluaciones de impacto sobre la protección de datos (EIPD) podrían reutilizar los análisis pertinentes en lugar de duplicarlos innecesariamente.
Prohibición de sistemas de IA dañinos
La ley ómnibus introduce una prohibición aplicable a los sistemas de IA que generen material íntimo no consentido o material de abuso sexual infantil (CSAM, por sus siglas en inglés) a partir del 2 de diciembre de 2026.
La prohibición se aplica a la comercialización de sistemas de IA en la UE con el fin de crear o manipular este material. También puede aplicarse cuando se trate de un resultado razonablemente previsible y reproducible del sistema, y este no cuente con medidas de seguridad técnicas razonables y adecuadas para impedir dicho uso.
Para los operadores, la prohibición se aplica cuando utilizan un sistema de IA con el fin de generar o manipular el material prohibido.
La flexibilidad para las PYMES se extiende a las empresas de pequeña y mediana capitalización.
La Ley Ómnibus de IA introduce una nueva categoría de pequeñas y medianas empresas (PYME) y extiende a estas empresas varias flexibilidades regulatorias que antes estaban disponibles para las PYME.
Éstos incluyen:
- La capacidad de utilizar documentación técnica simplificada para sistemas de IA de alto riesgo.
- Implementación proporcionada de ciertos requisitos del sistema de gestión de la calidad
- Nivel máximo de multa reducido, con multas relevantes para las SMC limitadas al menor de los siguientes porcentajes: el porcentaje aplicable o una cantidad monetaria fija.
Estos cambios no implican que todas las exenciones para pymes se apliquen automáticamente a las pymes corporativas. Más bien, la Ley Ómnibus de IA extiende medidas específicas de simplificación y proporcionalidad a esta nueva categoría de empresas.
Otras Consideraciones
Cambios para los reguladores: La Ley Ómnibus de IA amplía y clarifica la función exclusiva de supervisión y aplicación de la ley de la Oficina de IA de la UE. Esta oficina tiene competencia exclusiva para determinados sistemas de IA basados en modelos de IA de propósito general, siempre que el modelo y el sistema sean desarrollados por el mismo proveedor o dentro de la misma empresa, con sujeción a las excepciones especificadas.
Su competencia exclusiva también abarca los sistemas de IA que forman parte de plataformas en línea o motores de búsqueda de gran tamaño, o que están integrados en ellos, regulados por la Ley de Servicios Digitales (DSA). Esta competencia es más limitada que la que se aplica a todos los sistemas de IA comprendidos en el ámbito de aplicación de la DSA.
Alfabetización en IA: La Ley Ómnibus de IA también revisa el requisito de alfabetización en IA establecido en la Ley de IA. Los proveedores y operadores deben adoptar medidas para fomentar el desarrollo de la alfabetización en IA entre el personal y otras personas que operen o utilicen sistemas de IA en su nombre. La disposición revisada aclara que las organizaciones no tienen que garantizar un nivel específico de alfabetización en IA para cada individuo.
Prórroga del plazo para los entornos de pruebas regulatorios: El plazo para que los Estados miembros garanticen que sus autoridades competentes cuenten con al menos un entorno de pruebas regulatorio nacional para la IA en funcionamiento se prorroga del 2 de agosto de 2026 al 2 de agosto de 2027. La Oficina de IA también podrá establecer un entorno de pruebas regulatorio a nivel de la UE para sistemas de IA que fallen dentro de su ámbito de competencia.
Qué significa esto para las organizaciones
Las enmiendas a la Ley de IA de la UE introducidas por la Ley Ómnibus de IA simplifican o aclaran en gran medida los requisitos existentes. Fundamentalmente, no posponen la entrada en vigor de la Ley de IA en su conjunto.
Como primer paso, sugerimos revisar su programa actual de gobernanza de IA, compararlo con las enmiendas de la Ley Ómnibus de IA e identificar las áreas que requieren revisión. Asegúrese de tener control sobre qué sistemas de IA utiliza su empresa y dónde se utilizan.
La transparencia es un aspecto que requiere especial atención. Los requisitos de transparencia del artículo 50 se aplican generalmente desde el 2 de agosto de 2026. Si su organización proporciona o implementa sistemas para generar contenido sujeto a los requisitos de divulgación, identifique qué obligaciones le corresponden como proveedor o implementador. Los proveedores de sistemas relevantes que ya estaban en el mercado antes del 2 de agosto de 2026 también deben determinar si se encuentran dentro del período de transición limitado que finaliza el 2 de diciembre de 2026.
Las organizaciones que utilizan IA también deberían revisar su enfoque sobre la alfabetización en IA tras la modificación del artículo 4 y asegurarse de que existen medidas adecuadas para apoyar al personal que opera o utiliza sistemas de IA.
Para las organizaciones responsables de los sistemas de alto riesgo del Anexo III, los plazos revisados ofrecen tiempo adicional para la implementación, pero no eliminan los requisitos subyacentes. Es posible que algunas organizaciones ya estuvieran trabajando para cumplir con el plazo original del 2 de agosto de 2026, mientras que las responsables de los sistemas del Anexo I estaban trabajando para cumplir con el calendario posterior de la Ley de IA, que se centra en los productos.
Fundamentalmente, los plazos revisados no representan una exención de los requisitos de cumplimiento, y el tiempo adicional debe utilizarse para fortalecer los programas de cumplimiento, confirmar las clasificaciones de los sistemas de IA, establecer procesos de gobernanza y documentación, probar los controles y abordar las deficiencias mucho antes de las nuevas fechas límite del 2 de diciembre de 2027 y el 2 de agosto de 2028.
Amplíe su conocimiento
Podcast: Phishing para causar problemas T2 E10: Diseñado para perdurar: Cómo el cumplimiento normativo permite la resiliencia empresarial
