Pablo Sáez Hurtado · Delvy A.I. | Presidente Comisión Joven ENATIC | Director General BeAI Foundation | Gestor Ético OdiseIA
El día en que Europa reformó su gran ley antes de aplicarla
Hay leyes que nacen para ordenar una realidad y leyes que deben corregirse antes de desplegarse. El Reglamento Europeo de Inteligencia Artificial pertenece a ambas categorías. El viernes 24 de julio, el Diario Oficial publicó el Reglamento (UE) 2026/1744, Ómnibus Digital sobre IA; hoy, 27 de julio, entra en vigor con urgencia, seis días antes de la fecha general de aplicación del AI Act. La paradoja es histórica: Europa reforma su arquitectura algorítmica antes de comprobar cómo funciona.
En mayo escribimos que el AI Act había entrado en quirófano. Ahora sale con el edificio intacto, pero con relojes y responsabilidades rediseñados. La reforma aplaza las obligaciones de alto riesgo, reduce duplicidades, amplía apoyos empresariales, fortalece sandboxes y supervisión, y endurece el límite frente a los nudifiers y al material sexual infantil sintético. No es la muerte del reglamento ni una pausa. Es una redistribución de presión cuyo éxito dependerá de transformar tiempo adicional en cumplimiento real.
La secuencia explica la velocidad. La Comisión presentó su propuesta el 19 de noviembre de 2025; Consejo y Parlamento fijaron mandato en marzo; los colegisladores cerraron el acuerdo el 7 de mayo; la Eurocámara lo aprobó el 16 de junio por 423 votos favorables, 57 contrarios y 174 abstenciones; el Consejo dio luz verde definitiva el 29 de junio; y el texto fue adoptado el 8 de julio.
Ese itinerario separa tres momentos confundidos con frecuencia: acuerdo, adopción formal y vigencia. Hasta el 24 de julio, el pacto no había sustituido el texto original de 2024. Desde hoy, sí. El Ómnibus es un reglamento aplicable, no una directiva pendiente de transposición, y modifica también las normas de aviación civil y maquinaria. Su entrada en vigor a los tres días revela la urgencia: evitar que el 2 de agosto abriera una zona gris cuando estándares, organismos notificados y estructuras nacionales no estaban plenamente preparados.
La cirugía normativa: qué cambia realmente
El cambio es el calendario. Las secciones del capítulo III sobre clasificación, requisitos y obligaciones de alto riesgo dejan de aplicarse este agosto. Para los sistemas del artículo 6.2 y el anexo III —biometría, educación, empleo, servicios esenciales, migración, justicia— la fecha pasa al 2 de diciembre de 2027. Para los sistemas integrados en productos regulados del artículo 6.1 y el anexo I, se desplaza al 2 de agosto de 2028.
Pero no se aplaza todo. Las prohibiciones originarias, la gobernanza, las sanciones y las obligaciones sobre modelos de uso general se mantienen. El artículo 50 se aplica desde el 2 de agosto de 2026; solo los proveedores de sistemas capaces de generar contenido sintético introducidos antes reciben hasta el 2 de diciembre para implantar marcado legible por máquina. Los sistemas de alto riesgo utilizados por autoridades públicas conservan un horizonte de adaptación en agosto de 2030.
La segunda operación es conceptual. El Ómnibus estrecha la definición de componente de seguridad para evitar que cualquier función accesoria integrada en un producto quede arrastrada automáticamente al alto riesgo. Asistencia al usuario, optimización, eficiencia, comodidad, automatización o controles de calidad ajenos a la seguridad quedan fuera, salvo que el fallo pueda poner en peligro a personas o bienes. Clasificar mejor no rebaja la protección: impide consumir recursos de conformidad donde el riesgo material no lo justifica.
También cambia la alfabetización. El artículo 4 ya no exige garantizar un nivel suficiente individual, sino adoptar medidas para apoyar su promoción atendiendo al conocimiento, la experiencia, la formación, el contexto y las personas afectadas. La modificación reduce una obligación difícil de medir, pero no convierte la formación en optativa. Traslada el foco hacia evidencias razonables: programas por perfiles, instrucciones, casos de uso, actualización y capacidad para reconocer límites, sesgos y errores. Interpretar la nueva redacción como permiso para no formar sería leer la simplificación al revés.
La reforma introduce un artículo 4 bis que permite, excepcionalmente y cuando sea estrictamente necesario, tratar categorías especiales de datos para detectar y corregir sesgos. La base se amplía a responsables del despliegue y a otros sistemas y modelos, bajo garantías exigentes: imposibilidad de lograr el objetivo con datos sintéticos o anonimizados, pseudonimización, controles de acceso, prohibición de transferencias, supresión temprana y documentación de la necesidad. Es una solución delicada, pero honesta: combatir discriminaciones puede exigir observar variables sensibles sin abrir una puerta trasera al RGPD.
Apuesta por simplificación empresarial
El tercer movimiento combina simplificación empresarial e integración sectorial. Pymes, empresas emergentes y pequeñas empresas de mediana capitalización podrán utilizar documentación técnica simplificada, sistemas de calidad proporcionados y apoyos específicos. La Comisión podrá limitar requisitos del AI Act cuando la legislación sectorial del anexo I ofrezca protección equivalente o superior. La maquinaria abandona la sección A y pasa al carril sectorial de la sección B, mientras la interacción con el Reglamento de Ciberresiliencia evita duplicar exigencias ya demostradas.
La evaluación de conformidad también se racionaliza. Los organismos ya notificados bajo legislación sectorial podrán presentar una solicitud única y someterse a evaluación unificada. La presencia de IA de alto riesgo dentro de un producto no obligará automáticamente a intervención de terceros cuando la normativa permita normas armonizadas. Se crean códigos para delimitar competencias técnicas, se simplifica el registro de sistemas considerados no altos conforme al artículo 6.3 y se exige cooperación escrita en la cadena de valor para facilitar documentación, acceso, pruebas y validación.
La importancia de los sandboxes
Los sandboxes ganan músculo. Los Estados deberán disponer de al menos uno operativo en agosto de 2027; la Oficina de IA podrá crear otro europeo, con acceso prioritario para pymes, empresas emergentes y pequeñas mid-caps. Se amplían las pruebas en condiciones reales a sistemas vinculados a productos regulados, con planes acordados, coordinación de autoridades y garantías para salud, seguridad y derechos. Una regulación ejecutable necesita espacios donde demostrar cumplimiento antes de que el mercado convierta el error en incidente.
La reforma más visible para la ciudadanía es prohibitiva. El artículo 5 incorpora los sistemas destinados a generar o manipular material íntimo realista de una persona identificable sin consentimiento, y material de abuso sexual de menores, también sintético. Para proveedores, el veto alcanza sistemas diseñados con ese propósito y aquellos donde el resultado sea previsible y reproducible sin salvaguardas razonables. Para responsables del despliegue, prohíbe el uso deliberado con esa finalidad. Las nuevas letras serán aplicables desde el 2 de diciembre de 2026.
La precisión evita convertir toda capacidad generativa en ilícita. El texto exige medidas proporcionadas: depuración de datos, entrenamiento de rechazo, filtros de prompts y resultados, clasificadores, restricciones, detección, notificación y corrección. Excluye usos consentidos, aplicaciones médicas legítimas, representaciones no realistas y manipulaciones que no aumenten la exposición íntima. Europa no prohíbe una tecnología general; impone diseño preventivo y responsabilidad frente a usos cuya violencia resulta intolerable. Aquí la simplificación no afloja el reglamento: lo endurece donde el daño era urgente.
Lo que permanece y el supervisor que gana poder
¿Qué permanece? El enfoque basado en riesgos, las prohibiciones anteriores, la extraterritorialidad, la supervisión humana, la gestión de riesgos, la gobernanza de datos, la documentación, los registros, la transparencia, la precisión, la solidez, la ciberseguridad y las sanciones. El Ómnibus no borra el capítulo de alto riesgo: retrasa su aplicación para dotarlo de instrumentos. Tampoco debilita el RGPD ni convierte el cumplimiento sectorial en exención automática. Toda limitación futura deberá preservar protección equivalente o superior y concretarse mediante actos delegados.
Incluso la supervisión se refuerza. La Oficina de IA obtiene competencia exclusiva sobre determinados sistemas basados en modelos de uso general desarrollados dentro del mismo grupo y sobre sistemas integrados en plataformas o buscadores de muy gran tamaño. Podrá solicitar información, investigar, inspeccionar locales, acceder a datos, hacer vinculantes compromisos, imponer medidas correctoras, sanciones y multas coercitivas. La simplificación no retira al supervisor: concentra capacidades donde la escala tecnológica desborda fronteras nacionales.
Empresas, España y abogacía: el aplazamiento no es un indulto
Para empresas y administraciones, la conclusión práctica es incómoda: el aplazamiento no es un indulto. Inventariar sistemas, determinar roles, clasificar riesgos, revisar finalidades, identificar datos, negociar cláusulas, diseñar supervisión humana, formar equipos y documentar decisiones siguen siendo tareas presentes. Esperar a diciembre de 2027 sería imprudente porque muchas obligaciones conexas ya proceden del RGPD, del Derecho laboral, de consumo, de ciberseguridad, de productos o de la deontología profesional. El calendario cambia; la diligencia razonable no desaparece.
España recibe una oportunidad y una obligación. La AESIA debería revisar sus dieciséis guías y checklists para incorporar la alfabetización reformulada, los plazos, el tratamiento de datos sensibles, la coordinación sectorial y las competencias europeas. Las organizaciones pueden transformar diagnósticos estáticos en programas vivos: comité de IA, inventario, homologación de herramientas, due diligence, política interna, canal de incidentes y métricas. La tercera vía española solo será creíble si convierte liderazgo normativo en implementación verificable.
Para la abogacía nace una fase más madura. Ya no bastará con explicar el AI Act; habrá que rediseñar hojas de ruta, determinar controles vigentes desde agosto, adaptar contratos, revisar exenciones, integrar evaluaciones de impacto, ordenar evidencias y preparar a clientes para supervisiones nacionales y europeas. El asesor valioso distinguirá aplazamiento de derogación, simplificación de vacío y oportunidad de riesgo. El tiempo regulatorio recién ganado es, en realidad, trabajo jurídico por ejecutar con rigor, anticipación y propósito.
Europa entre simplificación, derechos y potencia tecnológica
La lectura favorable del Ómnibus es poderosa: Europa reconoce que una norma ambiciosa, sin estándares ni autoridades preparados, podía generar burocracia defensiva, fragmentación y costes sin mejorar derechos. La lectura crítica también lo es: retrasar controles permite que sistemas sensibles se desplieguen más tiempo bajo marcos incompletos, favorece a actores con mayor capacidad de presión y puede convertir la transición en una carrera por consolidar mercado. Ambas verdades deben convivir. La calidad de la reforma se medirá durante la espera.
Geopolíticamente, Bruselas intenta corregir una debilidad conocida. Estados Unidos domina capital, modelos y nube; China combina escala industrial, planificación y datos; Europa posee el marco jurídico más desarrollado, pero menor potencia tecnológica. Simplificar pretende impedir que el liderazgo regulatorio se convierta en irrelevancia productiva. Sin embargo, la competitividad no llegará reduciendo formularios. Exige cómputo, energía, talento, financiación, estándares disponibles, autoridades solventes y empresas capaces de escalar. El Derecho puede despejar la pista; no fabrica por sí solo el avión.
Veredicto: el reloj se mueve, la responsabilidad no
El Reglamento (UE) 2026/1744 no representa una retirada europea. Representa una segunda oportunidad. Mantiene el edificio, corrige sus accesos y reconoce que el cumplimiento solo protege cuando puede ejecutarse, probarse y supervisarse. Pero toda segunda oportunidad contiene una amenaza: repetir el error con más tiempo. Si instituciones y operadores utilizan la prórroga para esperar, el Ómnibus habrá diferido el problema. Si la utilizan para construir capacidad, habrá salvado la credibilidad del AI Act.
El 2 de agosto ya no será el gran desembarco del alto riesgo. Será algo más silencioso y más importante: el inicio de la preparación seria. Europa ha movido el reloj, no la responsabilidad. Quienes entiendan esa diferencia llegarán a 2027 con sistemas gobernados, contratos sólidos, equipos formados y evidencias disponibles. Quienes confundan oxígeno con impunidad descubrirán demasiado tarde que la fecha decisiva nunca fue la escrita en el Diario Oficial, sino el día en que decidieron empezar.
