Ómnibus Digital sobre IA: qué cambia en el RIA y qué obligaciones ya se aplican en 2026

Reglamento (UE) 2026/1744: plazos de alto riesgo, artículo 50, sanciones y obligaciones ya aplicables

El Reglamento (UE) 2026/1744, conocido como Ómnibus Digital sobre IA, fue publicado en el Diario Oficial de la Unión Europea el 24 de julio de 2026 y entró en vigor el 27 de julio. No sustituye al Reglamento Europeo de Inteligencia Artificial (Reglamento (UE) 2024/1689, RIA o AI Act): recalibra su aplicación para corregir dificultades de ejecución. Desplaza al 2 de diciembre de 2027 las secciones 1 a 3 del capítulo III para los sistemas de IA de alto riesgo del artículo 6.2 y Anexo III, y al 2 de agosto de 2028 para los del artículo 6.1 y Anexo I; reduce duplicidades sectoriales, introduce proporcionalidad para empresas de menor tamaño, redefine la alfabetización, habilita con garantías datos sensibles para detectar sesgos y refuerza la Oficina Europea de IA. Añade además nuevas prohibiciones frente a material íntimo no consentido y material de abuso sexual de menores, aplicables desde el 2 de diciembre de 2026. El trabajo explica qué obligaciones del RIA ya son exigibles a 8 de agosto de 2026 y analiza la reforma desde la tensión entre derechos fundamentales, competitividad y soberanía tecnológica.

Palabras clave: Ómnibus Digital sobre IA; Reglamento (UE) 2026/1744; Reglamento Europeo de Inteligencia Artificial (RIA / AI Act); sistemas de IA de alto riesgo; artículo 50 del RIA; soberanía tecnológica.

En síntesis: qué cambia el Ómnibus Digital

El Reglamento (UE) 2026/1744 no aplaza el AI Act en bloque. A 8 de agosto de 2026 ya se aplican la alfabetización del artículo 4 en su nueva redacción, las prohibiciones originarias del artículo 5, la gobernanza, las obligaciones de los proveedores de modelos de IA de uso general (GPAI), la transparencia del artículo 50 y el régimen de supervisión y sanciones respecto de las obligaciones exigibles. Las nuevas prohibiciones sobre material íntimo no consentido y abuso sexual de menores comienzan el 2 de diciembre de 2026. Las secciones 1 a 3 del capítulo III se desplazan al 2 de diciembre de 2027 para los sistemas del Anexo III y al 2 de agosto de 2028 para los del Anexo I. Esa es la clave para leer hoy el Reglamento Europeo de Inteligencia Artificial.

En términos prácticos, el Ómnibus Digital sobre IA obliga a separar tres preguntas: qué obligaciones del RIA ya se aplican, qué requisitos de los sistemas de IA de alto riesgo han sido aplazados y qué régimen transitorio corresponde a cada sistema preexistente. Para empresas y administraciones, esa secuencia evita dos errores opuestos: considerar que el AI Act quedó congelado hasta 2027 o 2028, o asumir que todo el capítulo de alto riesgo resulta ya exigible desde agosto de 2026 en cada caso.

Para el cumplimiento empresarial, la consecuencia es inmediata: cada organización debe mapear sus sistemas de IA, identificar su rol como proveedor o responsable del despliegue, comprobar si concurren obligaciones de transparencia o de modelos de uso general, documentar las medidas de alfabetización y separar esas exigencias actuales del programa de preparación para el alto riesgo. El calendario regulatorio debe convertirse así en un calendario operativo de evidencias y responsables.

Introducción: el RIA no ha sido suspendido

El Reglamento Europeo de Inteligencia Artificial (Reglamento (UE) 2024/1689, RIA o AI Act) fue publicado el 12 de julio de 2024 y entró en vigor el 1 de agosto. El 2 de agosto no fue su fecha de entrada en vigor, aunque ese día estructuró después su calendario escalonado. La primera regla para entender el RIA consiste, por tanto, en diferenciar existencia jurídica, aplicación de cada bloque, transición y momento de supervisión efectiva.

A 8 de agosto de 2026, el marco ya no coincide con el aprobado en 2024. El Reglamento (UE) 2026/1744 ha modificado el RIA, el Reglamento de aviación civil y el Reglamento de Máquinas. Simplificar no significa desregular, y aplazar no significa congelar: se mantienen el enfoque basado en el riesgo, las prohibiciones originarias, los modelos de IA de uso general y la transparencia; además, se añaden nuevas prohibiciones y poderes de investigación.

La reforma responde a que varias piezas necesarias para el alto riesgo —normas armonizadas, especificaciones comunes, orientaciones, organismos notificados y autoridades preparadas— no alcanzarían suficiente madurez en agosto de 2026. Aplicar todo el bloque podía aumentar costes y divergencias. La respuesta fue desplazar su aplicación, ordenar la relación con la regulación sectorial y reforzar el cumplimiento.

Este trabajo explica qué cambia el Ómnibus y qué exige hoy el RIA. El recorrido comprende alfabetización, datos y sesgos, prácticas prohibidas, alto riesgo, cadena de valor, conformidad, sandboxes, Oficina de IA, transparencia, sanciones y sistemas preexistentes. Solo después puede abordarse la cuestión de fondo: cómo conciliar el modelo europeo de derechos con la capacidad de desarrollar y escalar tecnología propia.

El análisis parte del RIA de 2024, sus correcciones de errores y el Reglamento (UE) 2026/1744 como norma modificativa. Cuando la consolidación editorial de EUR-Lex no refleje todavía alguna reforma, prevalece el texto publicado en el DOUE. Las directrices, preguntas frecuentes, códigos de buenas prácticas y guías de la AESIA se utilizan como instrumentos interpretativos o técnicos, sin sustituir el tenor vinculante del Reglamento. El enfoque completa, ya sobre el texto definitivo en vigor, los análisis del Digital Omnibus publicados previamente en ENATIC.

Parte I. Reglamento (UE) 2026/1744: qué cambia

1. ¿Qué es el Ómnibus Digital sobre IA?

El Reglamento (UE) 2026/1744 es un acto legislativo vinculante adoptado por el Parlamento Europeo y el Consejo mediante el procedimiento legislativo ordinario y con base en el artículo 114 TFUE. Conviene distinguirlo del RIA original, cuya base combina los artículos 16 y 114 TFUE. Como reglamento, es obligatorio en todos sus elementos y directamente aplicable: no requiere transposición para modificar el RIA, aunque los Estados deben completar los aspectos institucionales y sancionadores que el propio marco europeo les remite. Además de modificar el Reglamento (UE) 2024/1689, reforma el Reglamento (UE) 2018/1139 de aviación civil y el Reglamento (UE) 2023/1230 de máquinas.

La Comisión presentó la propuesta el 19 de noviembre de 2025. El Consejo adoptó su mandato el 13 de marzo de 2026 y el Parlamento fijó posición el 26 de marzo. El acuerdo provisional llegó el 7 de mayo; el Parlamento lo aprobó el 16 de junio y el Consejo el 29. Firmado el 8 de julio, se publicó el 24 y entró en vigor el 27, tres días después. El plazo excepcional respondió a la proximidad del 2 de agosto y a la necesidad de aclarar antes el calendario de alto riesgo.

La tramitación refleja un cambio político. El Consejo vinculó proporcionalidad y aplicación armonizada con soberanía digital y competitividad; el Parlamento mantuvo el enfoque basado en el riesgo e impulsó las prohibiciones frente a aplicaciones de «desnudado» y material de abuso sexual de menores. El resultado combina reducción de fricciones y mayor intervención frente a daños graves.

Tabla 1. Cronología jurídica esencial

Fecha	Acontecimiento	Efecto jurídico principal
12 julio 2024	Publicación del RIA	Inicio del cómputo de veinte días
1 agosto 2024	Entrada en vigor del RIA	El Reglamento existe jurídicamente
2 febrero 2025	Aplicación de capítulos I y II	Definiciones, alfabetización y prohibiciones originarias
2 agosto 2025	Aplicación de la sección 4 del capítulo III, capítulos V, VII y XII y artículo 78	Organismos notificados, GPAI, gobernanza, sanciones (excepto art. 101) y confidencialidad
24 julio 2026	Publicación del Ómnibus	Inicio del plazo especial de tres días
27 julio 2026	Entrada en vigor del Ómnibus	Modificación del RIA; los artículos 102 a 110 pasan a ser aplicables
2 agosto 2026	Aplicación general de lo no aplazado	Artículo 50, artículo 101, reclamaciones y facultades generales de supervisión, entre otros
2 diciembre 2026	Nuevas prohibiciones y fin de la transición del artículo 50.2	Contenido íntimo no consentido y marcado de sistemas preexistentes
2 diciembre 2027	Alto riesgo del artículo 6.2 y Anexo III	Aplicación de las secciones 1 a 3 del capítulo III
2 agosto 2028	Alto riesgo del artículo 6.1 y Anexo I	Aplicación de las secciones 1 a 3 del capítulo III para productos regulados
2 agosto 2030	Determinados sistemas utilizados por autoridades públicas	Final de una transición específica del artículo 111

2. ¿Por qué Europa reforma el RIA?

El legislador reconoce que la carga resultó mayor de la esperada por el retraso de soluciones técnicas, gobernanza nacional y evaluación de conformidad. Sin normas armonizadas o especificaciones comunes, los proveedores pierden una vía segura para demostrar conformidad; organismos y autoridades carecen de referencias homogéneas; y aumentan los costes, especialmente para empresas pequeñas.

La reforma persigue cuatro fines: alinear el alto riesgo con instrumentos de apoyo; evitar duplicidades con legislación sectorial equivalente; facilitar organismos notificados y coordinación supervisora; y extender proporcionalidad y experimentación. El límite es que ninguna simplificación reduzca la protección de salud, seguridad o derechos fundamentales.

Por ello, «moratoria del AI Act» es una descripción incorrecta. Se aplaza un bloque delimitado: las secciones 1 a 3 del capítulo III para las dos rutas del artículo 6. El resto sigue su calendario y la reforma añade prohibiciones, cooperación contractual y poderes de ejecución. El balance es de reordenación, no retirada.

3. ¿Qué modifica el Reglamento (UE) 2026/1744?

El artículo 1 del Ómnibus contiene cuarenta y tres modificaciones del RIA. Su lectura aislada puede resultar abrumadora, pero las reformas se agrupan en ocho ejes: alcance y definiciones; alfabetización y datos; prácticas prohibidas; delimitación y cumplimiento del alto riesgo; normalización y evaluación de conformidad; innovación y empresas de menor tamaño; supervisión y protección de derechos; y calendario y sanciones. Los artículos 2 y 3 del Ómnibus completan el ajuste en aviación y maquinaria, mientras que su artículo 4 regula la entrada en vigor.

No todas las modificaciones tienen la misma intensidad. El artículo 1 recorre objeto, ámbito y definiciones; alfabetización, sesgos, prácticas prohibidas y alto riesgo; documentación, calidad, cadena de valor y FRIA; organismos notificados, normalización y conformidad; transparencia; sandboxes; apoyo empresarial; vigilancia y potestades de la Oficina de IA; sanciones, transiciones y Anexos I, VIII y XIV. Los artículos 2 y 3 completan la reforma en aviación y maquinaria. Esta cartografía demuestra que el cambio de plazos es solo una parte de una revisión transversal.

También evita otro error: tratar como iguales la propuesta de noviembre de 2025, los mandatos negociadores y el texto publicado. Algunas ideas de las fases iniciales fueron modificadas durante la negociación. Solo el DOUE de 24 de julio y el texto consolidado del RIA son parámetros vinculantes; comunicados, guías y códigos ayudan a interpretarlos, pero no los sustituyen.

4. Artículo 4 del RIA: alfabetización en IA

El artículo 4 comenzó a aplicarse el 2 de febrero de 2025. Su versión original obligaba a adoptar medidas para garantizar, «en la mayor medida posible», un nivel suficiente de alfabetización del personal y de quienes operasen IA en nombre del proveedor o responsable del despliegue, atendiendo a conocimientos, experiencia, formación, contexto y personas afectadas.

La nueva redacción mantiene el deber de actuar, pero aclara su intensidad. Los operadores deben adoptar medidas para apoyar la promoción de la alfabetización considerando esos factores; no han de garantizar un nivel específico de una persona concreta. Comisión y Estados deben apoyar especialmente a las pymes mediante ejemplos prácticos, y el Consejo de IA formular recomendaciones y objetivos comunes.

No es correcto afirmar que la alfabetización sea voluntaria: «adoptarán» sigue siendo imperativo. Tampoco el texto anterior era una obligación pura de resultado, pues estaba modulado por «en la mayor medida posible». La reforma centra el control en la razonabilidad de las medidas organizativas, no en un estándar individual uniforme.

Una política proporcionada debería partir del inventario de sistemas y roles, diferenciar formación general y por caso de uso, cubrir límites, supervisión, datos, seguridad e incidentes, y conservar evidencias. No se cumple por acumular horas, sino por adecuación al riesgo.

El artículo 4 no figura en el listado cerrado del artículo 99.4 sometido automáticamente a quince millones de euros o el 3 %. El artículo 99.1 exige a los Estados establecer sanciones y otras medidas para las infracciones del Reglamento, pero la legalidad sancionadora impide trasladar sin tipificación el umbral del apartado 4. En España, el Proyecto publicado en junio de 2026 es anterior al Ómnibus definitivo y seguía en tramitación: no cabe presentar todavía una consecuencia sancionadora nacional definitiva del nuevo artículo 4.

5. Artículo 4 bis: sesgos y datos sensibles

La detección de discriminaciones plantea una paradoja conocida. Para comprobar si un modelo perjudica sistemáticamente a determinados colectivos puede ser necesario conocer variables que revelan origen racial o étnico, salud, creencias, orientación sexual u otras categorías especialmente protegidas. El RGPD prohíbe en principio su tratamiento, salvo que concurra una excepción del artículo 9.2. El RIA original contemplaba una base limitada en el artículo 10.5 para proveedores de sistemas de alto riesgo. El Ómnibus traslada y amplía esta lógica mediante un nuevo artículo 4 bis.

Los proveedores de alto riesgo pueden tratar excepcionalmente categorías especiales cuando sea estrictamente necesario para detectar y corregir sesgos vinculados al artículo 10.2, letras f) y g). Deben demostrar que otros datos —incluidos datos sintéticos o anonimizados— no permiten alcanzar eficazmente el objetivo, aplicar limitaciones técnicas de reutilización, pseudonimización y medidas punteras de seguridad, documentar accesos, impedir la transmisión o acceso por terceros, imponer confidencialidad y eliminar los datos al corregirse el sesgo o finalizar antes el período de conservación. El registro de actividades debe justificar tanto la estricta necesidad como la inexistencia de una alternativa adecuada.

La autorización se extiende, con condiciones equivalentes, a proveedores y responsables del despliegue de otros sistemas y modelos de IA y a responsables del despliegue de sistemas de alto riesgo cuando el tratamiento sea necesario frente a sesgos capaces de afectar a la salud, la seguridad, los derechos fundamentales o la prohibición de discriminación. El precepto aclara que esta extensión no crea una obligación autónoma de detectar y corregir sesgos en todos los casos.

El artículo 4 bis no desplaza el RGPD. Funciona como previsión legal europea de interés público sustancial y debe leerse junto con los principios de minimización, limitación de finalidad, seguridad, responsabilidad proactiva y evaluación de impacto. Tampoco legitima conservar indefinidamente bases de datos sensibles «por si acaso». Su utilidad depende precisamente de que la excepcionalidad sea demostrable, temporal y técnicamente controlada.

La fecha del artículo 4 bis requiere precisión. El Ómnibus no le asigna un aplazamiento especial, por lo que la nueva habilitación produce efectos con la entrada en vigor de la reforma, el 27 de julio de 2026. Su función es preparatoria: permite realizar legalmente actividades de detección y corrección de sesgos antes de que se active todo el régimen de alto riesgo, siempre con las garantías exigidas. No subsana tratamientos anteriores carentes de base ni legitima reutilizaciones incompatibles con el RGPD.

6. Artículo 5 del RIA: nuevas prácticas prohibidas

Desde el 2 de febrero de 2025 se aplican las prohibiciones originarias: manipulación perjudicial; explotación de vulnerabilidades; determinadas formas de puntuación social; evaluación del riesgo delictivo basada únicamente en perfiles; recopilación indiscriminada de imágenes faciales; reconocimiento de emociones en trabajo y educación, salvo excepciones; categorización biométrica sensible; y uso muy restringido de identificación biométrica remota en tiempo real por autoridades policiales.

El Ómnibus añade las letras b bis y b ter. La primera prohíbe comercializar, poner en servicio o utilizar sistemas que generen o manipulen material realista de partes íntimas o actividad sexual explícita de una persona identificable sin consentimiento libre, específico, informado, inequívoco y explícito. La segunda cubre material o espectáculos de abuso sexual de menores conforme a la Directiva 2011/93/UE, salvo la defensa de actuación «de forma ilícita» prevista por el Derecho nacional. El considerando 13 incluye actuaciones legítimas de autoridades para prevenir, detectar, investigar o enjuiciar delitos y determinados ejercicios de equipos rojos o evaluación de cumplimiento.

Para el proveedor, la prohibición opera cuando esa producción es finalidad prevista o resultado razonablemente previsible y reproducible sin modificaciones sustanciales y faltan salvaguardias adecuadas. Pueden incluir depuración de datos, entrenamiento de rechazo, filtros, controles de salida, detección de abuso y mecanismos de notificación. Si se eluden, deben adoptarse correcciones razonables. Para el responsable del despliegue, queda prohibido usar el sistema con ese fin, no el resultado accidental de un uso lícito.

El Reglamento delimita el realismo, excluye caricaturas, contempla aplicaciones médicas y consentidas y deja fuera manipulaciones que no aumentan exposición ni explicitud. Estas novedades serán aplicables el 2 de diciembre de 2026. Hasta entonces continúan operando el Derecho penal, la intimidad, propia imagen, protección de menores y datos. Desde diciembre, la infracción del artículo 5 podrá entrar en el artículo 99.3, con respeto al non bis in idem.

7. Artículo 6 del RIA: sistemas de alto riesgo

El RIA conserva dos vías. El artículo 6.1 cubre sistemas que sean componente de seguridad —o producto— del Anexo I y estén sujetos a evaluación de terceros. El artículo 6.2 cubre los casos del Anexo III. El Ómnibus no elimina ninguna; evita una lectura expansiva de la primera.

«Componente de seguridad» exige que la finalidad prevista sea prevenir o mitigar riesgos para salud o seguridad, o que su fallo pueda ponerlas en peligro. El nuevo apartado 1 bis excluye funciones únicamente de asistencia, optimización, eficiencia, automatización, comodidad o control de calidad. El 1 ter restablece la clasificación cuando el fallo sí pone en peligro salud o seguridad. El 1 quater excluye productos sometidos a evaluación de terceros solo por riesgos ajenos a esas materias, como ciertas interferencias radioeléctricas.

Que un algoritmo esté en un automóvil, ascensor o producto sanitario no basta: importan finalidad, función, legislación sectorial y procedimiento exigido. Un módulo de consumo energético puede quedar fuera; un control automático cuyo fallo expone a daño físico puede quedar dentro.

En el Anexo III, el artículo 6.3 permite excluir sistemas sin riesgo significativo ni influencia material cuando realicen tareas estrechas, mejoren una actividad ya completada, detecten patrones sin sustituir la revisión humana o preparen una evaluación. Nunca opera si existe perfilado. El proveedor debe documentar y registrar su análisis. El Ómnibus simplifica campos del Anexo VIII, no la obligación de justificar.

El Anexo III enumera finalidades, no sectores empresariales completos. En empleo, por ejemplo, puede ser alto riesgo un sistema destinado a selección, promoción, terminación, asignación de tareas o evaluación del rendimiento; no toda automatización de recursos humanos. En servicios esenciales se incluyen determinados sistemas de solvencia, seguro de vida o acceso a prestaciones; no cualquier recomendador comercial. La finalidad prevista, la influencia material en la decisión y el filtro del artículo 6.3 deben analizarse conjuntamente.

8. Plazos del RIA: Anexo III y Anexo I

La distinción entre Anexo I y Anexo III es la llave del nuevo calendario. Los sistemas del artículo 6.2 y Anexo III aplicarán las secciones 1, 2 y 3 del capítulo III desde el 2 de diciembre de 2027; los del artículo 6.1 y Anexo I, desde el 2 de agosto de 2028. El artículo 6.5 queda fuera del aplazamiento y obligaba a la Comisión a publicar directrices prácticas de clasificación. A 8 de agosto de 2026 las directrices finales seguían pendientes: el proyecto se publicó en mayo, la consulta cerró el 23 de julio y la Comisión anunciaba la adopción final antes de terminar 2026. La demora ilustra la fricción de implementación que motiva la reforma.

Tabla 2. Alto riesgo antes y después del Ómnibus

Ruta de clasificación	Fecha original	Fecha vigente	Contenido aplazado
Artículo 6.2 + Anexo III	2 agosto 2026	2 diciembre 2027	Clasificación, requisitos y obligaciones de las secciones 1, 2 y 3 del capítulo III
Artículo 6.1 + Anexo I	2 agosto 2027	2 agosto 2028	Clasificación, requisitos y obligaciones de las secciones 1, 2 y 3 del capítulo III

Conviene no extender el aplazamiento de modo mecánico a cualquier precepto relacionado con el alto riesgo. El artículo 113 difiere expresamente las secciones 1 a 3 del capítulo III: clasificación de los artículos 6 y 7, requisitos de los artículos 8 a 15 y obligaciones de los artículos 16 a 27. Registro, evaluación de conformidad, vigilancia poscomercialización o incidentes se ubican en otros capítulos y su operatividad debe determinarse precepto por precepto, atendiendo también al artículo 111. Por eso es impreciso afirmar que «todo el alto riesgo está suspendido».

9. Obligaciones de alto riesgo: artículos 8 a 27

El aplazamiento no altera el núcleo de los requisitos. El artículo 8 exige conformidad con toda la sección. El 9 impone gestión continua e iterativa de riesgos durante el ciclo de vida: identificación, estimación, mitigación, pruebas, seguimiento y documentación. No es una evaluación única antes del lanzamiento.

El artículo 10 regula datos de entrenamiento, validación y prueba: pertinencia, representatividad, completitud y control de errores, con atención a sesgos, poblaciones y contexto. El Ómnibus conecta esta materia con el artículo 4 bis. El 11 exige documentación técnica que permita demostrar conformidad y comprender diseño, capacidades, límites y pruebas; pymes y pequeñas empresas de mediana capitalización dispondrán de formulario simplificado. El 12 exige registros automáticos para trazabilidad.

El artículo 13 obliga a proporcionar transparencia e instrucciones suficientes al responsable del despliegue; el 14, supervisión humana efectiva, incluida capacidad de comprender, detectar anomalías, evitar dependencia automática, ignorar resultados o detener el sistema; y el 15, precisión, solidez y ciberseguridad frente a errores, fallos y ataques.

Los artículos 16 a 21 concentran deberes del proveedor: conformidad, identificación, calidad, documentación, evaluación, registro, corrección, comunicación de riesgos e incidentes y cooperación. Los artículos 22 a 24 regulan representantes, importadores y distribuidores. El artículo 25 convierte en proveedor a quien pone su nombre, realiza una modificación sustancial o cambia la finalidad hasta convertir el sistema en alto riesgo.

El Ómnibus refuerza la cadena de valor. El proveedor inicial debe facilitar al nuevo proveedor documentación, limitaciones conocidas y acceso técnico razonable, salvo indicación clara de que el sistema no debía transformarse. Proveedor de alto riesgo y terceros que suministren modelos, herramientas o servicios deben pactar por escrito información, capacidades, acceso y asistencia. El incumplimiento de los apartados 2 y 4 pasa al artículo 99.4.

El artículo 26 obliga al responsable del despliegue a seguir instrucciones, asignar supervisión competente, controlar entradas, vigilar funcionamiento, conservar registros, informar de riesgos e incidentes, suspender cuando proceda y cumplir reglas de información. El 27 exige FRIA a organismos públicos, entidades privadas de servicio público y determinados responsables de servicios esenciales. El Ómnibus permite referencias cruzadas con la EIPD y ordena una herramienta de la Oficina de IA, sin confundir ambas evaluaciones.

10. Legislación sectorial: menos duplicidad regulatoria

El nuevo artículo 2.13 permite limitar la aplicación de requisitos concretos de los artículos 9 a 15 y 17 a 25 cuando, para sistemas del artículo 6.1, la legislación armonizada del Anexo I, sección A, ya imponga obligaciones que proporcionen protección equivalente o superior y la limitación no reduzca el nivel global del RIA. La Comisión deberá precisar por actos delegados, a más tardar el 2 de agosto de 2027, qué sistemas y requisitos quedan afectados, bajo qué condiciones y con qué alcance.

No se trata de una cláusula general de prevalencia sectorial ni de una exención automática. Hasta que el acto delegado identifique el caso, el operador no puede decidir unilateralmente que una norma de productos «ya cubre lo mismo». El mecanismo pretende evitar duplicar sistemas de calidad, pruebas, documentación o vigilancia cuando la equivalencia sea real y jurídicamente reconocida.

La reforma de maquinaria ilustra el método. El Ómnibus suprime de la sección A del Anexo I la antigua Directiva de máquinas y añade el Reglamento (UE) 2023/1230 a la sección B. Para esos sistemas, el artículo 2.2 limita la aplicación directa del RIA, mientras el artículo 3 del Ómnibus ordena incorporar al Reglamento de Máquinas requisitos equivalentes a los artículos 8 a 15 y a los artículos 17, 19, 72 y 73 del RIA, con aplicación a más tardar el 2 de agosto de 2028. Se busca una vía sectorial coherente, no una doble conformidad redundante.

11. Normalización y evaluación de conformidad

Las normas armonizadas traducen requisitos jurídicos abiertos en especificaciones técnicas cuya observancia genera presunción de conformidad. Las especificaciones comunes cumplen una función subsidiaria cuando las normas no existen o son insuficientes. El retraso de ambos instrumentos fue una de las razones centrales del Ómnibus.

Los nuevos artículos 28 a 30 permiten una solicitud única y un procedimiento unificado para organismos que ya operan bajo legislación sectorial del Anexo I, evitando repetir evaluaciones y documentación. El nuevo Anexo XIV crea códigos de designación: AIP para sistemas vinculados a productos del Anexo I, AIB para sistemas biométricos del punto 1 del Anexo III y AIH para tecnologías horizontales —IA simbólica, aprendizaje automático, sistemas generativos y otras categorías—. La combinación de códigos debe reflejar la competencia real del organismo notificado.

El artículo 40 impulsa documentos de normalización que faciliten el cumplimiento conjunto del RIA y la legislación sectorial. El artículo 42 reconoce, bajo las condiciones del Reglamento de Ciberresiliencia, una presunción de cumplimiento de la ciberseguridad del artículo 15. El artículo 43 mantiene el procedimiento sectorial de conformidad para sistemas del Anexo I, sección A, y aclara que la clasificación como alto riesgo no obliga por sí sola a evaluación de terceros cuando la norma sectorial permita control interno. Los organismos ya notificados pueden aprovechar evaluaciones previas y deberán solicitar la designación específica antes del 28 de enero de 2028.

El nuevo Anexo XIV no clasifica por sí mismo sistemas como alto riesgo. Ordena la designación de organismos según el ámbito en el que son competentes. Los códigos AIP remiten a cada legislación de producto; los AIB distinguen identificación remota, categorización biométrica y reconocimiento de emociones; los AIH identifican tecnologías subyacentes. Un organismo solo puede evaluar tipos incluidos en el alcance de su notificación, lo que busca evitar designaciones genéricas sin capacidad técnica real.

12. Pymes, small mid-caps y sandboxes

El Ómnibus incorpora definiciones expresas de pyme y pequeña empresa de mediana capitalización y extiende a estas últimas algunas medidas proporcionadas. Ambas pueden beneficiarse de documentación técnica simplificada, proporcionalidad en el sistema de calidad, orientación y prioridad en el sandbox europeo; pero la extensión no es uniforme. El artículo 63 reserva a determinadas pymes la simplificación de elementos del sistema de gestión de calidad. También difiere el régimen sancionador: las pymes aplican el menor importe o porcentaje de los apartados 3, 4 y 5 del artículo 99; las pequeñas empresas de mediana capitalización solo en los apartados 4 y 5, sin esa ventaja ante prácticas prohibidas.

La reforma de los artículos 57, 58 y 60 amplía la experimentación. Los Estados deben disponer al menos de un sandbox nacional operativo a más tardar el 2 de agosto de 2027. La Oficina de IA puede establecer otro a escala de la Unión para los sistemas bajo su competencia, con prioridad para empresas pequeñas. Cuando se traten datos personales o intervengan sectores regulados, las autoridades correspondientes deben participar en la gobernanza.

El artículo 60 permite pruebas en condiciones reales para sistemas del Anexo III y del Anexo I, sección A, antes de su introducción en el mercado. El nuevo artículo 60 bis permite a los Estados crear marcos de pruebas para productos basados en IA cubiertos por la sección B, con plan acordado, mecanismos de rendición de cuentas y alto nivel de protección. Un sandbox no es una zona sin Derecho: facilita diálogo, prueba y evidencia, pero no sustituye la evaluación de conformidad ni elimina el RGPD, la seguridad de producto o la responsabilidad por daños.

13. Oficina Europea de IA: nuevo enforcement

Una de las reformas más relevantes está en los artículos 75 a 75 quinquies. La Oficina de IA, además de supervisar proveedores de modelos de IA de uso general, adquiere competencia exclusiva sobre determinados sistemas construidos sobre esos modelos cuando modelo y sistema proceden del mismo proveedor o grupo, con excepciones sectoriales, y sobre sistemas integrados en determinadas plataformas o motores de búsqueda de muy gran tamaño. La competencia sobre responsables del despliegue se limita, en general, a quienes sean también proveedores o pertenezcan al mismo grupo.

La Oficina puede solicitar información, acceder a sistemas y explicaciones, realizar inspecciones a distancia o in situ, examinar libros y datos, obtener copias, entrevistar al personal, precintar locales y pedir asistencia de autoridades nacionales. Puede encargar pruebas y evaluaciones a organismos notificados, nombrar expertos y auditores y ordenar la conservación de datos. Los operadores conservan derechos de defensa, acceso al expediente, protección de secretos empresariales y control jurisdiccional por el Tribunal de Justicia.

El artículo 75 ter permite convertir compromisos del operador en obligaciones vinculantes. El 75 quater habilita decisiones de incumplimiento, medidas correctoras y multas sancionadoras o coercitivas, estas últimas dentro del límite del 5 % fijado en su apartado 5 y calculado según sus propios términos. En su ámbito, la Oficina puede aplicar el artículo 99.4 incluso a infracciones aplicables no incluidas en aquel listado y sancionar información inexacta conforme al apartado 5. Simplificación y enforcement reforzado conviven en la misma reforma.

La competencia europea no absorbe toda la vigilancia del mercado. Las autoridades nacionales conservan el control ordinario de sistemas de IA; la Oficina actúa sobre el subconjunto definido en el artículo 75 y coopera con ellas. Antes de prohibir o retirar un sistema de un mercado nacional debe informar y consultar a la autoridad correspondiente. Esta arquitectura multinivel pretende combinar conocimiento sectorial local con intervención uniforme sobre sistemas de alcance transfronterizo.

14. Artículo 50 del RIA: transparencia desde 2026

El artículo 50 se aplica desde el 2 de agosto de 2026. El apartado 1 exige que los sistemas destinados a interactuar directamente con personas informen de que se trata de IA, salvo que resulte evidente para una persona razonablemente informada, atenta y perspicaz. Chatbots, agentes de voz y asistentes deben evaluarlo desde el diseño y el contexto.

El apartado 2 obliga a proveedores de sistemas generativos a incorporar marcas legibles por máquina y soluciones eficaces, interoperables, sólidas y fiables para detectar contenido sintético, cuando sea técnicamente viable. Se exceptúan ediciones estándar sin alteración sustancial y determinados usos legales.

El apartado 3 obliga a informar a las personas expuestas a reconocimiento de emociones o categorización biométrica y a respetar la protección de datos. El 4 exige divulgar que una «ultrafalsificación» —deepfake en el uso común— fue generada o manipulada artificialmente; la forma puede adaptarse en obras creativas, satíricas, artísticas o ficticias. También debe divulgarse el texto generado o manipulado para informar sobre asuntos de interés público, salvo cuando exista revisión humana o control editorial y una persona física o jurídica asuma la responsabilidad editorial de la publicación.

El Ómnibus refuerza en el apartado 7 los códigos de buenas prácticas. El Código de Buenas Prácticas sobre Transparencia de Contenidos Generados por IA se publicó el 10 de junio de 2026 y la Comisión publicó las directrices del artículo 50 el 20 de julio. La adhesión al Código es voluntaria y sirve como vía de apoyo al cumplimiento de las obligaciones de marcado y etiquetado; no sustituye el Reglamento ni convierte por sí sola la diligencia en una presunción incontestable. Quien no se adhiera deberá poder demostrar por medios alternativos equivalentes que cumple las obligaciones aplicables.

La transición es estricta. Solo los sistemas introducidos en el mercado antes del 2 de agosto de 2026 disponen hasta el 2 de diciembre para cumplir el apartado 2. No se extiende a los apartados 1, 3 o 4, ni obliga a etiquetar retroactivamente el contenido generado antes del 2 de agosto. Por ello es falso que «la transparencia se haya aplazado a diciembre»: desde el 2 de agosto ya rigen la información de interacción, reconocimiento de emociones y categorización biométrica, y las divulgaciones relativas a ultrafalsificaciones y textos de interés público en los términos del artículo 50.

15. Artículo 111: sistemas de IA preexistentes

El artículo 111 evita una aplicación retroactiva indiscriminada a sistemas ya comercializados o puestos en servicio. Tras el Ómnibus, los sistemas de alto riesgo introducidos antes de la fecha correspondiente del capítulo III quedan sometidos a las nuevas obligaciones solo si, después de esa fecha, experimentan cambios significativos en su diseño. Los sistemas destinados a autoridades públicas deben adaptarse, en todo caso, antes del 2 de agosto de 2030.

La lógica se aplica por tipo y modelo, no necesariamente por cada unidad física. Los considerandos del Ómnibus aclaran que, si al menos la primera unidad de ese tipo y modelo se introdujo legalmente antes de la fecha relevante, otras unidades del mismo tipo y modelo pueden beneficiarse del período de gracia siempre que el diseño permanezca inalterado. Cualquier cambio significativo posterior obliga a cumplir plenamente las disposiciones pertinentes, incluida la evaluación de conformidad. Separadamente, los modelos de IA de uso general introducidos antes del 2 de agosto de 2025 disponen hasta el 2 de agosto de 2027.

El nuevo apartado 4 establece la transición específica del artículo 50.2 hasta el 2 de diciembre de 2026. Por ello, «sistema anterior» no significa «sistema exento». Significa que deben identificarse el precepto, la fecha de introducción, el tipo de modificación posterior y las reglas especiales aplicables.

16. Artículo 99 del RIA: sanciones

El régimen se estructura en niveles. El artículo 99.3 permite multas de hasta treinta y cinco millones de euros o, para empresas, hasta el 7 % del volumen de negocios mundial total del ejercicio anterior, si este resulta superior, por incumplir las prohibiciones del artículo 5. Para pymes se aplica el menor entre importe y porcentaje. Las nuevas prohibiciones solo entrarán en esta categoría desde su fecha de aplicación, el 2 de diciembre de 2026.

El artículo 99.4 prevé hasta quince millones o el 3 % para el incumplimiento de un listado cerrado: obligaciones de proveedores del artículo 16; representantes del artículo 22; importadores del 23; distribuidores del 24; responsables del despliegue del 26; organismos notificados; transparencia del artículo 50; y, tras el Ómnibus, las obligaciones de cooperación y acuerdo escrito del artículo 25.2 y 25.4. El apartado 5 fija hasta 7,5 millones o el 1 % por información inexacta, incompleta o engañosa facilitada a organismos notificados o autoridades.

El artículo 99.7 obliga a graduar atendiendo a naturaleza, gravedad, duración, personas afectadas, daños, sanciones previas, tamaño y cuota de mercado, beneficios obtenidos, cooperación, medidas técnicas y organizativas, modo de conocimiento, intencionalidad y mitigación. Para instituciones de la Unión opera el artículo 100. Los proveedores de modelos de IA de uso general quedan además sujetos al artículo 101, cuyas facultades sancionadoras de la Comisión son aplicables desde el 2 de agosto de 2026. La Oficina puede ejercer el régimen especial del artículo 75 quater respecto de los sistemas bajo su competencia.

Tabla 3. Principales máximos sancionadores

Conducta	Base	Máximo fijo	Máximo porcentual para empresa
Prácticas prohibidas	Art. 99.3	35 millones €	7 % mundial anual
Obligaciones expresamente listadas	Art. 99.4	15 millones €	3 % mundial anual
Información inexacta, incompleta o engañosa	Art. 99.5	7,5 millones €	1 % mundial anual
Incumplimientos de proveedores GPAI	Art. 101	15 millones €	3 % mundial anual

La frase «incumplir el RIA puede costar el 3 %» solo es correcta si se identifica una obligación incluida en el apartado 4. Para el artículo 4, por ejemplo, la respuesta depende del régimen nacional basado en el artículo 99.1. Para una práctica prohibida, el umbral es distinto. Para GPAI intervienen el artículo 101 y las competencias europeas. La precisión en la tipificación es parte del cumplimiento.

Parte II. Qué obligaciones del RIA ya se aplican

17. Calendario del AI Act a 8 de agosto de 2026

El 2 de febrero de 2025 comenzaron a aplicarse los capítulos I y II: disposiciones generales, definiciones, alfabetización y prohibiciones originarias. La nueva redacción del artículo 4 es aplicable desde la entrada en vigor del Ómnibus, porque modifica un precepto ya operativo. El artículo 4 bis, sin fecha especial, se integra igualmente desde el 27 de julio de 2026.

El 2 de agosto de 2025 comenzaron a aplicarse la sección 4 del capítulo III —autoridades notificantes y organismos notificados—, el capítulo V sobre modelos de IA de uso general, el capítulo VII de gobernanza, el capítulo XII de sanciones y el artículo 78 de confidencialidad. El artículo 101 quedó excluido y se aplica desde el 2 de agosto de 2026. Es incorrecto identificar el capítulo V con transparencia o el VII con biometría.

El 27 de julio de 2026 entró en vigor el Ómnibus y modificó los preceptos sin fecha especial; desde ese mismo día son aplicables los artículos 102 a 110, conforme al nuevo artículo 113, letra d). Desde el 2 de agosto se aplica el resto no excluido ni aplazado: artículo 50, reclamaciones, vigilancia del mercado, artículo 101 y facultades generales de ejecución.

A 8 de agosto están operativos el inventario y clasificación necesarios para determinar ámbito; alfabetización; prohibiciones originarias; régimen GPAI para sus proveedores; artículo 50; cooperación en preceptos aplicables; y mecanismos de reclamación y vigilancia. No son todavía exigibles las secciones 1 a 3 del capítulo III para Anexo III hasta diciembre de 2027 ni para Anexo I hasta agosto de 2028. Las nuevas prohibiciones sexuales esperan a diciembre de 2026, y ciertos sistemas públicos a 2030.

Además, desde el 2 de agosto de 2026 son relevantes los derechos de las personas afectadas y los mecanismos de reclamación. El artículo 85 permite presentar reclamaciones ante la autoridad de vigilancia cuando se considere infringido el Reglamento. Su ejercicio no depende de que el sistema sea de alto riesgo: debe analizarse el precepto material aplicable. El artículo 86 reconoce, bajo sus condiciones, el derecho a obtener explicaciones claras y significativas sobre decisiones individuales basadas en determinados sistemas de alto riesgo cuando produzcan efectos jurídicos o significativamente similares; su operatividad práctica seguirá el calendario de esos sistemas.

18. GPAI: obligaciones desde 2025 y sanciones desde 2026

Los artículos 51 a 56 distinguen modelos de IA de uso general y modelos con riesgo sistémico. El proveedor debe elaborar y mantener documentación técnica del modelo; proporcionar a los proveedores posteriores información suficiente sobre capacidades, límites, entradas, salidas e integración; establecer una política de cumplimiento del Derecho de autor, incluida la reserva de derechos; y publicar un resumen suficientemente detallado del contenido utilizado en el entrenamiento conforme al modelo de la Oficina de IA.

Los proveedores establecidos fuera de la Unión deben designar representante autorizado, salvo las excepciones aplicables. Los modelos de código abierto pueden quedar exentos de algunas obligaciones de documentación cuando se cumplan las condiciones legales, pero no si presentan riesgo sistémico. Para estos últimos, el artículo 55 añade evaluación estandarizada, pruebas de adversario, identificación y mitigación de riesgos sistémicos, comunicación de incidentes graves y ciberseguridad del modelo y de su infraestructura física.

Las obligaciones comenzaron a aplicarse el 2 de agosto de 2025 para modelos introducidos desde entonces. La Comisión publicó directrices y el Código de Buenas Prácticas GPAI, con capítulos de transparencia, derechos de autor y seguridad. El Código es voluntario, pero ofrece una vía probatoria y menor carga administrativa. Desde el 2 de agosto de 2026 la Comisión puede exigir plenamente el cumplimiento y sancionar, mientras que los modelos introducidos antes del 2 de agosto de 2025 tienen hasta el 2 de agosto de 2027.

Esta distinción entre obligación y enforcement ilustra nuevamente por qué el calendario no puede resumirse en una sola fecha. Desde 2025 existe el deber material; desde 2026 opera plenamente la potestad sancionadora europea; y una cohorte de modelos preexistentes conserva transición hasta 2027.

19. España: Proyecto de Ley de Inteligencia Artificial

A 8 de agosto de 2026, el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, expediente 121/000096, seguía en fase de enmiendas en la Comisión de Economía, Comercio y Transformación Digital. El Congreso había ampliado el plazo hasta el 2 de septiembre. No era, por tanto, Derecho vigente y no puede citarse como «la ley española de IA».

El texto publicado el 12 de junio propone una estructura descentralizada de vigilancia: AESIA para buena parte de los sistemas, AEPD para determinados usos biométricos y fronterizos, autoridades financieras en su ámbito, CGPJ para justicia y otras autoridades sectoriales en productos. También prevé una ventanilla de reclamaciones, sandboxes, medidas para el sector público y una clasificación nacional de infracciones. Sus umbrales se apoyan en el artículo 99, pero su tipificación y distribución competencial pueden cambiar durante la tramitación.

Además, el Proyecto es anterior al Ómnibus definitivo. Durante su tramitación debe contrastarse con reformas posteriores —entre ellas pequeñas empresas de mediana capitalización, artículo 4 bis, artículo 25, nuevos plazos, Oficina de IA y maquinaria— para asegurar coherencia en remisiones, tipificación y competencias. Mientras no se apruebe, deben distinguirse tres planos: obligaciones europeas directamente aplicables; potestades ya existentes bajo normativa general o sectorial; y futuras reglas nacionales propuestas.

20. RIA y RGPD: coordinación normativa

El nuevo artículo 2.7 reafirma que el Derecho de protección de datos, intimidad y confidencialidad de las comunicaciones se aplica a los datos tratados en relación con el RIA. Salvo los artículos 4 bis y 59, el Reglamento no afecta al RGPD, al Reglamento 2018/1725 ni a las Directivas 2002/58 y 2016/680. El RIA añade requisitos de producto, gobernanza y uso; el RGPD determina bases, principios y derechos cuando existe tratamiento de datos personales.

Una organización puede cumplir la documentación técnica del RIA y vulnerar el RGPD por carecer de base jurídica; o cumplir formalmente el RGPD y no disponer de supervisión humana o registros suficientes bajo el RIA. La evaluación de impacto de protección de datos analiza riesgos del tratamiento para derechos y libertades. La FRIA del artículo 27 examina el impacto del uso del sistema de alto riesgo en un contexto institucional y sobre colectivos afectados. El Ómnibus permite reutilizar secciones, no sustituir una por otra.

La coordinación es especialmente relevante en datos sensibles para sesgos, biometría, reconocimiento de emociones, monitorización laboral, decisiones automatizadas y sandboxes. El objetivo correcto no es escoger entre RIA y RGPD, sino diseñar un expediente de cumplimiento que demuestre cómo se satisfacen conjuntamente. Esta convergencia también conecta con el debate profesional de ENATIC sobre RGPD e inteligencia artificial.

21. Competitividad y soberanía tecnológica europea

La soberanía tecnológica no equivale a autarquía. Es la capacidad para tomar decisiones estratégicas sin dependencias que condicionen seguridad, democracia o prosperidad; acceder a infraestructura crítica; desarrollar o controlar tecnologías esenciales; y competir en cadenas globales. En IA incluye cómputo, semiconductores, nube, datos, talento, modelos, capital y conversión de investigación en empresas escalables.

La competitividad tampoco consiste solo en reducir regulación. Depende de productividad, inversión, mercado integrado, financiación, energía, talento e infraestructura. El informe Draghi diagnosticó presiones estructurales; la Brújula para la Competitividad convirtió la reducción de cargas, el cierre de la brecha de innovación y la disminución de dependencias en ejes transversales; y el Plan de Acción para un Continente de IA vinculó productividad y soberanía con cómputo, datos, capacidades, adopción y reglas claras, incluida la movilización de inversión para fábricas y gigafábricas de IA. El Ómnibus debe entenderse dentro de esa política más amplia, no como sustituto de ella.

El Ómnibus tiene así una dimensión geopolítica, pero no autoriza causalidades fáciles. No está probado que RIA o RGPD expliquen por sí solos la brecha con Estados Unidos o China. Fragmentación financiera, capital de crecimiento, energía, cómputo, nube y escala también importan. Sí es razonable afirmar que una regulación cuya infraestructura de cumplimiento no está lista puede retrasar lanzamientos, crear costes fijos y favorecer a operadores grandes.

La tesis defendible es condicional: una regulación clara, proporcionada y técnicamente aplicable puede generar confianza y un mercado único de soluciones fiables; una regulación duplicada o prematura puede ser barrera. Simplificar es positivo cuando elimina trámites redundantes sin rebajar protección.

El Reglamento 2026/1744 intenta esa vía: aplaza hasta disponer de estándares, reconoce equivalencias sectoriales, facilita documentación y sandboxes y centraliza vigilancia; simultáneamente prohíbe daños sexuales y habilita inspecciones intensas. Su éxito dependerá de actos delegados, estándares utilizables, autoridades con recursos y cooperación contractual. También de inversión en fábricas y gigafábricas de IA, datos, talento y scaleups. La soberanía no se decreta: se construye cuando regulación, mercado e infraestructura apuntan en la misma dirección.

Hay, además, una dimensión distributiva. Las cargas fijas de cumplimiento pesan proporcionalmente más sobre startups y scaleups, pero los daños de un sistema inseguro también recaen con mayor intensidad sobre quienes tienen menos capacidad de impugnación. El criterio adecuado no es «menos regulación», sino regulación proporcional al riesgo y acompañada de apoyo técnico. La extensión selectiva de facilidades a pequeñas empresas de mediana capitalización busca atender ese desequilibrio sin concederles la misma protección ante las infracciones más graves del artículo 5.

El Ómnibus tampoco resuelve la competitividad por sí solo. Un calendario realista reduce incertidumbre, pero no sustituye inversión, demanda, contratación pública innovadora o mercado de capitales. Su valor estratégico consiste en evitar que la regulación añada fricciones innecesarias mientras esas políticas industriales se desarrollan.

Conclusiones: qué exige el RIA tras el Ómnibus

El Ómnibus Digital sobre IA no ha detenido el RIA. Ha corregido su calendario y piezas de implementación. A 8 de agosto de 2026 se aplican definiciones, alfabetización reformulada, prohibiciones originarias, gobernanza, GPAI, artículo 50, sanciones respecto de obligaciones exigibles y facultades generales de vigilancia. Las nuevas prohibiciones sexuales comenzarán en diciembre de 2026; las secciones 1 a 3 del capítulo III, en diciembre de 2027 para Anexo III y agosto de 2028 para Anexo I.

La reforma redefine el artículo 4 sin hacerlo voluntario; crea una base garantista para datos sensibles; afina el componente de seguridad; permite limitar duplicidades mediante actos delegados; refuerza contratos de cadena de valor; amplía sandboxes; diferencia pymes y pequeñas empresas de mediana capitalización; y convierte a la Oficina de IA en supervisor directo de determinados sistemas.

El artículo 99 obliga a abandonar eslóganes. La consecuencia depende de precepto, categoría, operador, tamaño, fecha y autoridad competente. Toda organización necesita un calendario propio y evidencia trazable.

El significado político es mayor: Europa reconoce que la protección de derechos necesita aplicabilidad técnica, seguridad jurídica y proporcionalidad. El tiempo adicional solo será una ventaja competitiva y regulatoria si se utiliza para completar normas armonizadas, directrices, organismos notificados, autoridades con recursos y expedientes de cumplimiento reales. La prueba del Ómnibus no consiste en haber aplazado obligaciones, sino en llegar a diciembre de 2027 y agosto de 2028 con un marco más previsible, verificable y capaz de proteger derechos sin imponer duplicidades evitables.

Referencias normativas y documentales

1. Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, DOUE L de 12.7.2024.

2. Corrección de errores del Reglamento (UE) 2024/1689, DOUE L 2025/90802, de 9.10.2025, y corrección de 4.5.2026 (DOUE L 2026/90343).

3. Reglamento (UE) 2026/1744 del Parlamento Europeo y del Consejo, de 8 de julio de 2026, DOUE L de 24.7.2026.

4. Comisión Europea, «AI Omnibus enters into force», 27 de julio de 2026.

5. Comisión Europea, Directrices sobre las obligaciones de transparencia del artículo 50, 20 de julio de 2026; y preguntas frecuentes oficiales.

6. Comisión Europea, Código de Buenas Prácticas sobre Transparencia de Contenidos Generados por IA, 10 de junio de 2026.

7. Comisión Europea, Preguntas y respuestas sobre alfabetización en IA.

8. Comisión Europea, Directrices para proveedores de modelos de IA de uso general (GPAI), junto con el Código de Buenas Prácticas GPAI.

9. Comisión Europea, Proyecto de directrices sobre clasificación de sistemas de IA de alto riesgo, consulta específica cerrada el 23 de julio de 2026.

10. Parlamento Europeo, aprobación del Ómnibus, 16 de junio de 2026; Consejo de la Unión Europea, aprobación definitiva de 29 de junio de 2026.

11. Congreso de los Diputados, Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial (121/000096), situación a 8 de agosto de 2026.

12. AESIA, Recopilación de las dieciséis guías de orientación al cumplimiento del RIA, versión de 10 de diciembre de 2025 (documentación orientativa no vinculante).

13. Comisión Europea, Informe de Mario Draghi sobre el futuro de la competitividad europea, y Brújula para la Competitividad.

14. Comisión Europea, Plan de Acción para un Continente de IA, 9 de abril de 2025.