Entradas

Representación conceptual de una inteligencia artificial fragmentada y reconstruida mediante datos y sistemas digitales, simbolizando la evolución regulatoria del AI Act y los nuevos desafíos de gobernanza de la inteligencia artificial en Europa.

Primera reforma del Reglamento IA de la UE: Digital Omnibus on AI

/0 Comentarios/en /por
I. Introducción

La IA ha dejado de ser una tecnología emergente para convertirse en una infraestructura transversal presente en prácticamente todos los sectores económicos, administrativos y sociales. Su incorporación a procesos de decisión, actividades industriales, servicios públicos, sanidad, educación, transporte o servicios financieros ha transformado el contexto regulatorio europeo y ha obligado al legislador de la Unión a afrontar uno de los mayores desafíos jurídicos de las últimas décadas: fomentar la innovación sin comprometer la protección de los derechos fundamentales, la seguridad de las personas y el correcto funcionamiento del mercado interior.

La respuesta europea se materializó en el AI Act, que adoptó una aproximación horizontal basada en la clasificación de los sistemas según su nivel de riesgo para los derechos fundamentales, la salud, la seguridad y demás intereses públicos. Su arquitectura descansa sobre el principio esencial de que, cuanto mayor sea el riesgo, mayores serán las obligaciones impuestas a quienes lo desarrollan, comercializan o utilizan. Esa lógica permitió conciliar dos objetivos a menudo contrapuestos, de un lado, garantizar un elevado nivel de protección y, de otro, preservar la competitividad, la innovación y el desarrollo tecnológico, evitando cargas desproporcionadas sobre tecnologías de impacto limitado. Su objeto, alcance y complejidad técnica hicieron previsible desde un primer momento que ciertas cuestiones precisarían ajustes incluso antes de la plena aplicación de sus disposiciones, conforme a la experiencia de otros instrumentos de extraordinaria complejidad, como el Reglamento General de Protección de Datos, la normativa financiera o la legislación sobre seguridad de productos.

La finalidad del Digital Omnibus on AI no consiste en sustituir el modelo del AI Act ni en modificar los pilares de la regulación europea de la IA, ni en reducir el nivel de protección de los derechos fundamentales, sino en mejorar la aplicabilidad del Reglamento mediante ajustes técnicos, organizativos y procedimentales. El legislador vincula expresamente el aplazamiento de algunas de sus disposiciones, no solo a la falta de normas armonizadas, sino también al retraso en la implantación de las estructuras nacionales de gobernanza y evaluación de la conformidad, sin perjuicio de que las consultas a los interesados evidenciaron la necesidad de medidas adicionales de clarificación.

La adopción por el Parlamento de su posición en primera lectura constituye, así, la primera revisión legislativa del AI Act, cuya relevancia no deriva del número de disposiciones modificadas, sino de ofrecer una primera oportunidad para valorar cómo concibe el legislador la evolución futura del Reglamento. No se trata de un mero ajuste técnico carente de relevancia jurídica, pero tampoco una revisión sustancial del modelo. El análisis revela un propósito intermedio, orientado a preservar íntegramente los principios estructurales del AI Act perfeccionando los mecanismos de su aplicación, si bien, algunas modificaciones, especialmente las que afectan al calendario y al artículo 5,  poseen un alcance que trasciende lo puramente procedimental.

Supone, además, una oportunidad para ampliar las prohibiciones de sistemas que debieron calificarse de riesgo inadmisible desde un inicio. A la vista del texto, considero, no obstante, que nos hallamos ante una nueva oportunidad perdida, en la medida que ni siquiera se valoró contemplar realidades desbordantes como la IA agéntica, ni incorporar unos principios generales mínimos exigibles a cualquier sistema inteligente, cualquiera que sea su nivel de riesgo, incluidos los agentes más autónomos, con origen en los marcos éticos de mayor consenso internacional. Tales principios llegaron a incorporarse al proyecto del AI Act en su última fase de tramitación como artículo 4 bis, pero finalmente fueron obviados, quedando de nuevo en el ámbito de lo dispositivo y no vinculante.

II. El contexto jurídico y político de la primera reforma

La primera modificación no se comprende al margen del contexto político, económico y regulatorio en que se produce. A diferencia de otras reformas impulsadas tras largos periodos de aplicación, el Ómnibus se adopta cuando una parte significativa de las obligaciones del AI Act todavía no es exigible. Esta circunstancia podría sugerir una revisión prematura, sin embargo, un examen más contextual evidencia que la finalidad no es corregir un eventual fracaso del Reglamento, sino adaptar determinados mecanismos a la realidad económica y tecnológica existente en el momento de su exigencia.

La reforma se inserta en una estrategia más amplia de simplificación normativa impulsada por la Comisión. La agenda de competitividad parte de la premisa de que la acumulación progresiva de obligaciones derivadas de los distintos instrumentos del Derecho Digital de la Unión -protección de datos, ciberseguridad, servicios y mercados digitales, resiliencia operativa, gobernanza de datos o IA- puede generar costes de cumplimiento especialmente gravosos para pymes, empresas emergentes y, según incorpora ahora el Reglamento, las denominadas pequeñas empresas de mediana capitalización («small mid-cap enterprises» o SMC), categoría definida por remisión a la Recomendación (UE) 2025/1099 y a la que se extienden diversas medidas de apoyo antes reservadas a las pymes. De este modo, la simplificación deja de concebirse como una reducción del nivel de protección para convertirse en una técnica orientada a alcanzar los mismos objetivos mediante mecanismos menos complejos y administrativamente más eficientes.

Lejos de cuestionar el enfoque basado en el riesgo, la reforma pretende reforzarlo eliminando cargas de utilidad limitada o de aplicación desproporcionada, sin reducir las obligaciones esenciales ni alterar la naturaleza del AI Act como Reglamento directamente aplicable, su fundamento competencial o su arquitectura. El enfoque basado en el riesgo, la clasificación de sistemas, la estructura de obligaciones, el régimen de los modelos de propósito general, la función coordinadora del AI Office y la vigilancia del mercado permanecen inalterados. La mayor parte de las modificaciones son de naturaleza organizativa o procedimental, de modo que no alteran los deberes materiales de los operadores, sino la forma de cumplirlos, acreditarlos o supervisarlos.

El rasgo que mejor caracteriza esta primera revisión es el desplazamiento del foco desde la creación de nuevas obligaciones hacia la mejora de los mecanismos que garantizan el cumplimiento efectivo de las existentes, en la medida que el legislador asume que la eficacia del AI Act dependerá tanto de la calidad de las obligaciones como de la posibilidad real de integrarlas en los procesos de gestión y cumplimiento de empresas y Administraciones.

III. Las principales modificaciones introducidas

El texto adoptado permite agrupar las modificaciones en varios bloques con el objetivo de posibilitar la aplicabilidad práctica del AI Act sin alterar los elementos esenciales de su arquitectura. Conviene, no obstante, distinguir las de carácter estrictamente técnico u organizativo de aquellas que, por su contenido, presentan una dimensión material que merece tratamiento singular.

1. El aplazamiento del calendario de aplicación

La modificación de mayor calado práctico afecta al calendario del artículo 113. El legislador considera que la indisponibilidad de normas armonizadas, especificaciones comunes y orientaciones, unida al retraso en la constitución de las autoridades nacionales competentes, comprometía la entrada en aplicación efectiva de las obligaciones sobre sistemas de alto riesgo y amenazaba con un incremento injustificado de los costes de implementación. En consecuencia, la fecha de aplicación de las secciones 1, 2 y 3 del capítulo III se difiere hasta el 2 de diciembre de 2027 para los sistemas de alto riesgo del artículo 6.2 y el anexo III, y hasta el 2 de agosto de 2028 para los del artículo 6.1 y el anexo I. La distinción reproduce la diferencia de plazos ya prevista en el AI Act y condiciona la efectividad del nuevo calendario a que la Comisión asegure la disponibilidad oportuna de los instrumentos de apoyo al cumplimiento.

La reforma precisa, además, el alcance del periodo transitorio del artículo 111.2, en la medida que bastará que una sola unidad de un tipo y modelo de sistema de alto riesgo se haya comercializado o puesto en servicio antes de la fecha relevante para que las restantes unidades de ese mismo tipo y modelo puedan seguir ofreciéndose sin obligaciones adicionales, siempre que el diseño permanezca inalterado. Cualquier modificación sustancial posterior reactivará la plena exigibilidad de los requisitos. Se introduce asimismo un periodo transitorio de cuatro meses para los proveedores de sistemas de IA generativa sujetos a las obligaciones de marcado del artículo 50.2 comercializados antes del 2 de agosto de 2026, que dispondrán hasta el 2 de diciembre de 2026 para etiquetar sus contenidos sintéticos. Tales precisiones, lejos de relajar el régimen, dotan de seguridad jurídica a la transición y evitan que determinadas exigencias resulten formalmente aplicables antes de que existan los medios técnicos para satisfacerlas.

2. Las nuevas prohibiciones del artículo 5. Material íntimo no consentido y material de abuso sexual infantil

La reforma incorpora al catálogo de prácticas prohibidas del artículo 5 la comercialización, puesta en servicio o uso de sistemas de IA destinados a generar o manipular material íntimo no consentido -fenómeno asociado a las aplicaciones de “nudificación”- y material de abuso sexual infantil, incluido el total o parcialmente sintético. Es la modificación de mayor trascendencia desde la perspectiva de los principios que inspiran la reforma, pues no perfecciona un mecanismo de aplicación, sino que amplía el núcleo de lo prohibido en atención a desarrollos tecnológicos y sociales sobrevenidos.

El legislador delimita cuidadosamente su alcance. Respecto de los proveedores, la prohibición no impide desarrollar las capacidades técnicas de generación o manipulación de imágenes, vídeos o audio, sino que se proyecta sobre dos supuestos. De un lado, los sistemas concebidos para producir ese material y aquellos en que tal resultado sea razonablemente previsible y reproducible y no se hayan implantado medidas técnicas de seguridad adecuadas -por ejemplo, depuración de datos, entrenamiento orientado al rechazo, filtros y clasificadores de contenido, restricciones de uso o mecanismos de detección de abusos- conformes al estado de la técnica. La responsabilidad del proveedor no se limita, así, al diseño intencionado, sino que alcanza los resultados previsibles cuando faltan tales salvaguardas.

La prohibición relativa al material íntimo se circunscribe a representaciones realistas de partes íntimas de personas identificables o de actividad sexual explícita, y excluye expresamente los usos legítimos -aplicaciones médicas, obras artísticas no realistas, supuestos amparados por el consentimiento libre, específico, informado e inequívoco de la persona representada o, tratándose de material de abuso sexual infantil, las actividades cubiertas por una excepción del Derecho nacional y las tareas de evaluación y “red-teaming”-. El uso de un sistema de IA que genere o manipule el material o las actuaciones precitadas solo estará prohibido cuando el responsable del despliegue utilice el sistema con el fin de generar o manipular dicho material o dicha actuación.

El propio texto justifica la proporcionalidad de la medida y precisa que respeta el contenido esencial de la libertad de expresión y de la libertad de empresa (artículos 11 y 16 de la Carta), a la vez que la sustenta en la protección de los derechos reconocidos en los artículos 1, 3.1, 4, 7, 8, 21, 23 y 24 de la propia Carta y a la coherencia con la Directiva 2011/93/UE y la Directiva (UE) 2024/1385, recordando la vigencia del principio “ne bis in idem”» cuando la misma conducta resulte sancionable en vía penal. La incorporación de estas prohibiciones confirma que el modelo europeo no es un sistema cerrado, sino un marco llamado a actualizar su umbral de lo inaceptable a medida que la tecnología habilita nuevas formas de lesión de la dignidad y de los derechos fundamentales, singularmente de mujeres y menores.

3. Proporcionalidad, alfabetización en IA y simplificación documental

Diversas modificaciones refuerzan la proporcionalidad de las obligaciones administrativas, sin contemplar un régimen privilegiado por razón del tamaño, en la medida que el nivel de obligaciones sigue respondiendo al riesgo del sistema. Así, la evaluación de la conformidad simplificada para el sistema de gestión de la calidad, antes reservada a las microempresas, se extiende ahora a todas las pymes, incluidas las empresas emergentes. El instrumento reformula además el artículo 4, sustituyendo la obligación de garantizar la alfabetización en IA del personal por un deber de adoptar medidas que fomenten su desarrollo, atendiendo al conocimiento técnico, la formación y el contexto de uso, sin exigir un nivel concreto de competencia individual. De este modo transforma una obligación de resultado en un deber de medios, que la Comisión y los Estados miembros deberán facilitar, especialmente a pymes. Racionaliza también las obligaciones documentales y de registro, simplificando el contenido exigible para la inscripción de los sistemas del artículo 6.3 en la base de datos de la UE conforme al anexo VIII, sin merma de las exigencias esenciales de documentación, trazabilidad y gestión del riesgo. Por último, el nuevo artículo 4 bis habilita el tratamiento excepcional de categorías especiales de datos personales, con estrictas salvaguardias, para la detección y corrección de sesgos, y extiende esa base jurídica -antes circunscrita a los proveedores de alto riesgo- a proveedores y desplegadores de otros sistemas y modelos, reconociendo que el sesgo discriminatorio no es exclusivo de los sistemas de alto riesgo y reforzando la articulación con el RGPD.

4. Normalización, evaluación de la conformidad e interacción con la legislación sectorial

El recurso a normas armonizadas y especificaciones comunes es inherente al modelo europeo de regulación tecnológica. La reforma no lo altera, pero refuerza su operatividad y la coordinación con la legislación sectorial. Cuando la legislación de armonización de la sección A del anexo I garantice un nivel de protección equivalente o superior, la Comisión podrá limitar mediante actos delegados la aplicación de determinados requisitos del Reglamento para evitar duplicidades. Se prevé una solicitud y un procedimiento únicos de evaluación para los organismos notificados ya designados conforme a aquella -como los Reglamentos (UE) 2017/745 y (UE) 2017/746 sobre productos sanitarios- y se precisa que la clasificación como alto riesgo no impone automáticamente evaluación por tercero cuando quepa acudir a normas armonizadas. En la misma línea se traslada el Reglamento (UE) 2023/1230 sobre máquinas de la sección A a la sección B del anexo I y se incorpora la regla del artículo 12 del Reglamento (UE) 2024/2847 (Cyber Resilience Act), de modo que el cumplimiento de sus requisitos esenciales de ciberseguridad se reputa cumplimiento del artículo 15 del AI Act. Del mismo modo, la reforma redefine el concepto “componente de seguridad” del artículo 3.14 -que ahora exige una función de seguridad determinada por la finalidad prevista-, evitando una expansión de la clasificación de alto riesgo más allá de lo justificado por el enfoque de riesgo. La disponibilidad de los futuros estándares técnicos incrementará la seguridad jurídica y favorecerá una interpretación homogénea de las obligaciones.

5. Gobernanza, competencias del AI Office y espacios de pruebas

La reforma incrementa la coherencia de la supervisión sin centralizar más la aplicación ni alterar el reparto competencial. Se especifica la competencia exclusiva del AI Office sobre los sistemas construidos a partir de modelos de propósito general, que alcanza no solo a los supuestos en que sistema y modelo proceden del mismo proveedor, sino también a aquellos en que ambos son desarrollados por proveedores integrados en una misma empresa, y se atribuye a la Comisión la condición de autoridad de vigilancia del mercado cuando el sistema de IA constituya o se integre en una plataforma o motor de búsqueda de muy gran tamaño en el sentido del Reglamento (UE) 2022/2065 (Digital Services Act), con coordinación entre ambos regímenes conforme a los principios de cooperación leal, proporcionalidad y “non bis in idem”. En materia de innovación, se habilita al AI Office para establecer un espacio de pruebas o sandbox regulatorio a escala de la Unión, con acceso prioritario a pymes, empresas emergentes y SMC, y se amplían las pruebas en condiciones reales fuera de los sandboxes a los sistemas de alto riesgo cubiertos por la legislación sectorial del anexo I. No se crean nuevas estructuras ni se redistribuyen las competencias, sino que se pretende mejorar el funcionamiento de las instituciones ya previstas, favoreciendo la consolidación progresiva del modelo.

IV. Impacto sobre los distintos operadores

Los efectos de la reforma no se proyectan de manera uniforme. La estructura subjetiva del AI Act -proveedores, desplegadores, importadores, distribuidores, representantes autorizados y operadores de modelos de propósito general- permanece intacta, pero la intensidad con que cada categoría experimentará las consecuencias difiere según la naturaleza de las modificaciones. Para los proveedores de sistemas de alto riesgo, no se modifica el contenido de las obligaciones esenciales -gestión del riesgo, gobernanza de los datos, documentación técnica, registros, transparencia, supervisión humana, robustez, precisión, ciberseguridad y vigilancia poscomercialización-, pero se mejora la forma de acreditarlas y se concede, sobre todo, un margen temporal adicional de adaptación derivado del nuevo calendario. La principal dificultad de muchas organizaciones no residía en comprender las obligaciones, sino en integrarlas en procesos existentes, integración que la reforma facilita sin rebajar el estándar de diligencia. Las relativas a los modelos de propósito general aportan mayor previsibilidad mediante la clarificación del reparto competencial entre el AI Office y las autoridades nacionales, relevante para operadores de dimensión transfronteriza.

Las pymes y las empresas emergentes figuran entre los principales beneficiarios. La extensión a todas ellas del sistema de gestión de la calidad simplificado y el acceso prioritario a los sandboxes favorecen la entrada de nuevos operadores, y la categoría de las SMC evita que el tránsito de pyme a gran empresa se traduzca en un salto regulatorio abrupto. Las Administraciones Públicas, autoridades supervisoras y a la vez usuarias de sistemas de IA, se beneficiarán de una aplicación más homogénea derivada de la mejor coordinación institucional, debiendo a la par adaptar sus procedimientos internos. Y los desplegadores y usuarios profesionales verán facilitada la identificación de las responsabilidades de cada operador dentro de cadenas de suministro complejas, cuestión creciente cuando las soluciones se basan en modelos de terceros integrados mediante múltiples relaciones contractuales.

V. Valoración jurídica

Un análisis conjunto, tras esta primera aproximación, permite formular varias conclusiones preliminares, al margen de la valoración profunda que el instrumento requerirá una vez aprobado y publicado en los idiomas oficiales. La primera es que la reforma responde a una lógica de continuidad y no de ruptura. El legislador no cuestiona ninguno de los principios estructurales precitados del AI Act -enfoque basado en el riesgo, régimen de prohibiciones, clasificación de sistemas, régimen de los de alto riesgo, obligaciones de los modelos de propósito general, vigilancia del mercado y arquitectura institucional-. La segunda concierne a la simplificación, que no constituye necesariamente una técnica de desregulación. Su objetivo es reforzar la eficacia del sistema eliminando obstáculos de utilidad limitada, de modo que opera al servicio del cumplimiento.

Esta lectura debe, sin embargo, matizarse. El aplazamiento del calendario y la ampliación del artículo 5 demuestran que la reforma no se agota en la dimensión procedimental, en la medida que el primero incide sobre la exigibilidad temporal de obligaciones nucleares y la segunda amplía el perímetro de lo prohibido. Ambas son coherentes con los fines del Reglamento, la primera, al supeditar la efectividad de las obligaciones a la disponibilidad real de instrumentos de apoyo y, la segunda, al extender la protección a bienes jurídicos de primer orden, pero advierten frente a su caracterización como mero ajuste técnico. La tercera conclusión es que dicho aplazamiento comporta necesariamente la extensión de un período de menor seguridad consecuente a la inexigibilidad de sus obligaciones, al margen de quienes ya invirtieron importantes esfuerzos en prepararse para dicha exigencia en las fechas primigenias. La cuarta conclusión es la importancia creciente de los mecanismos de coordinación institucional, de los que depende la aplicación uniforme del AI Act. Y la quinta, que la primera revisión pone de manifiesto la capacidad de adaptación del modelo europeo frente a quienes lo consideraban excesivamente rígido. El Ómnibus demuestra que el legislador dispone de mecanismos suficientemente flexibles para introducir ajustes cuando la experiencia lo aconseja o exige, preservando la estabilidad de los principios fundamentales. El texto adoptado deberá aún ser aprobado formalmente por el Consejo de la Unión Europea.

VI. Conclusiones

La primera reforma del Reglamento (UE) 2024/1689 constituye un hito en la evolución del marco regulador europeo de la IA, no por alterar los principios esenciales del AI Act, sino por confirmar la voluntad de las instituciones de perfeccionar progresivamente un instrumento central en la transformación digital de la Unión. La adopción por el Parlamento de su posición en primera lectura el 16 de junio de 2026 deja la reforma a falta únicamente de su adopción formal y publicación, y permite ya valorar su contenido previsiblemente definitivo. Los mecanismos organizativos adquieren un papel decisivo, pues la efectividad del Reglamento dependerá tanto de la calidad técnica de las obligaciones como de la organización institucional encargada de su aplicación homogénea, y el nuevo calendario concede a los operadores el tiempo de adaptación que la indisponibilidad de estándares e instituciones hacía necesario. Al mismo tiempo, la incorporación al artículo 5 de las prohibiciones frente al material íntimo no consentido y al material de abuso sexual infantil revela que el modelo europeo conserva la capacidad de actualizar su umbral de lo inaceptable a medida que la tecnología habilita nuevas formas de lesión de la dignidad humana.

La primera revisión consolida, en definitiva, un aprendizaje metodológico necesario en la regulación tecnológica, ya que la complejidad de las tecnologías reguladas exige marcos capaces de evolucionar mediante ajustes puntuales, técnicamente fundamentados y cuidadosamente delimitados, evitando tanto la rigidez excesiva como la inestabilidad legislativa permanente. El verdadero alcance de la reforma no debe medirse por el número de artículos modificados, sino por su contribución a hacer posible la aplicación efectiva de uno de los instrumentos normativos más complejos y relevantes aprobados por la Unión en la transformación digital. El AI Act continúa siendo el eje de la estrategia regulatoria europea, mientras que el Digital Omnibus on AI perfecciona los mecanismos necesarios para una aplicación más eficaz, proporcionada y homogénea de sus disposiciones. La reforma no altera el modelo europeo de regulación de la IA, sino que constituye, más bien, una manifestación de madurez regulatoria.

Referencias normativas
  • Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial (AI Act).
  • Resolución legislativa del Parlamento Europeo, de 16 de junio de 2026, sobre la propuesta de Reglamento por el que se modifican los Reglamentos (UE) 2024/1689, (UE) 2018/1139 y (UE) 2023/1230 en lo relativo a la simplificación de la aplicación de las normas armonizadas en materia de inteligencia artificial (Digital Omnibus on AI) [P10_TA (2026)0198; procedimiento 2025/0359(COD); COM (2025) 836]. Posición del Parlamento adoptada en primera lectura con vistas a la adopción del Reglamento (UE) 2026/… [texto consolidado P10_TC1-COD (2025)0359].
  • Tratado de la Unión Europea y Tratado de Funcionamiento de la Unión Europea.
  • Carta de los Derechos Fundamentales de la Unión Europea.
  • Directiva 2011/93/UE y Directiva (UE) 2024/1385, sobre lucha contra el abuso sexual de menores y contra la violencia sobre la mujer, respectivamente.
Bibliografía básica
  • MUÑOZ VELA, J. M. (2024). La regulación de la inteligencia artificial. Reto y oportunidad desde una perspectiva global e internacional. Madrid: Aranzadi La Ley.
  • MUÑOZ VELA, J. M. (2024). «Aspectos generales del Reglamento de IA» y comentarios a los anexos I, III, IV, V y VI, en BARRIO ANDRÉS, M. (dir.), Comentarios al Reglamento Europeo de Inteligencia Artificial. Madrid: Aranzadi La Ley.
  • MUÑOZ VELA, J. M. (2025). «El Reglamento IA de la UE. Cuestiones de actualidad», en GUILLÉN, R. (coord.), Derecho de datos, inteligencia artificial e internet en el sector público y privado. Aranzadi La Ley.
  • Comisión Europea, Proposal for a Regulation laying down harmonised rules on Artificial Intelligence, COM (2021) 206 final, y comunicaciones sobre competitividad y simplificación normativa.
  • OCDE, Recommendation of the Council on Artificial Intelligence; Consejo de Europa, Framework Convention on Artificial Intelligence, Human Rights, Democracy and the Rule of Law.
Resumen

El Reglamento (UE) 2024/1689 (AI Act) constituyó un hito sin precedentes al erigirse en el primer marco horizontal y vinculante destinado a regular el desarrollo, la comercialización, la puesta en servicio y la utilización de sistemas de IA desde un enfoque basado en el riesgo. Su complejidad técnica, la amplitud subjetiva de sus destinatarios y la acelerada evolución tecnológica y su despliegue aconsejaron introducir ajustes, antes incluso de que buena parte de sus obligaciones resultara plenamente exigible.

En ese contexto se promovió la primera modificación, articulada mediante el denominado Digital Omnibus on AI. El 16 de junio de 2026 el Parlamento Europeo adoptó, en primera lectura, su posición [P10_TC1-COD (2025)0359] sobre la propuesta de la Comisión [COM (2025) 836] de modificación de los Reglamentos (UE) 2024/1689, (UE) 2018/1139 y (UE) 2023/1230, cerrando el acuerdo provisional alcanzado con el Consejo y dejando la reforma a falta únicamente de su adopción formal y publicación. Lejos de constituir una revisión estructural del modelo europeo, persigue simplificar mecanismos de aplicación, reducir cargas administrativas innecesarias, reforzar la proporcionalidad del régimen y clarificar aspectos que habían suscitado dudas interpretativas. Su rasgo más visible y de mayor impacto práctico es el aplazamiento del calendario de aplicación de las obligaciones sobre sistemas de alto riesgo, acompañado de la incorporación al artículo 5 de nuevas prohibiciones frente a la generación de material íntimo no consentido y de material de abuso sexual infantil.

El presente artículo analiza, en una primera aproximación, el texto adoptado desde una perspectiva estrictamente jurídica, identificando las principales modificaciones, su fundamento y sus consecuencias previsibles. La conclusión es que la reforma mantiene intactos los pilares estructurales del AI Act -protección de los derechos fundamentales, enfoque basado en el riesgo, supervisión pública y fomento de la innovación responsable-, pero recalibra diversos instrumentos para una aplicación más eficiente, homogénea y proporcionada.

Ilustración de un despacho jurídico con libros de Derecho, mazo judicial y una tablet mostrando la propuesta COM(2025) 836 del Digital Omnibus on AI, simbolizando la reforma del Reglamento de Inteligencia Artificial en la Unión Europea.

Apuntes de emergencia sobre el Digital Omnibus on AI

/0 Comentarios/en /por

I. Introducción

Imaginen construir un puente mientras se cruza el río. Esa imagen, tan gráfica como incómoda, describe con precisión la situación en la que se encontraba la política europea de inteligencia artificial a finales de 2025. Es exactamente lo que la Comisión Europea propuso el 19 de noviembre de ese año con el llamado Digital Omnibus sobre inteligencia artificial: revisar parcialmente un marco regulatorio ambicioso cuando aún no había terminado de desplegarse. Apenas quince meses después de la entrada en vigor del Reglamento de Inteligencia Artificial, y justo cuando las primeras obligaciones comenzaban a perfilarse en el horizonte operativo de las empresas, Bruselas reconocía algo que pocas instituciones admiten con semejante franqueza: el calendario original corría el riesgo real de convertirse en una trampa para la innovación europea.

Este reconocimiento no es menor. Supone aceptar que una regulación concebida para proteger derechos fundamentales, seguridad y confianza pública podía, en determinadas condiciones, producir efectos contrarios a sus propios fines. El problema no residía en la ambición del Reglamento ni en su arquitectura conceptual basada en el riesgo, sino en la tensión entre ese diseño normativo y la capacidad real de cumplimiento de los operadores económicos llamados a aplicarlo.

La propuesta legislativa —identificada técnicamente como COM(2025) 836 final— no surge de la improvisación ni de un giro político repentino. Es el resultado de una constatación empírica incómoda, acumulada durante meses de diálogo con el mercado. Las empresas estaban bloqueadas. No por falta de voluntad de cumplimiento ni por resistencia ideológica a la regulación, sino porque se les exigía demostrar conformidad con normas técnicas que aún no existían o no estaban plenamente definidas. Es como si un profesor exigiera un examen perfecto sin haber entregado el temario completo, ni aclarado los criterios de evaluación. Ante ese escenario, la Comisión, en un ejercicio de pragmatismo poco habitual en la burocracia comunitaria, optó por corregir el rumbo antes de que el daño económico, tecnológico y reputacional resultara irreversible.

Este trabajo pretende desentrañar esa propuesta con una mirada crítica pero constructiva. No se trata de celebrarla acríticamente ni de condenarla por principio, sino de comprender qué problemas reales detectaron los técnicos de Bruselas, cómo pretenden resolverlos desde el punto de vista jurídico e institucional y qué consecuencias prácticas tendrá todo ello para quienes desarrollan o despliegan sistemas de inteligencia artificial en Europa en los próximos años.

II. El diagnóstico desde dentro: cuando la regulación amenaza con ahogar lo que pretende proteger

Para comprender el alcance de la propuesta resulta imprescindible entender el diagnóstico que la precede. Durante meses, en foros sectoriales, grupos de expertos y consultas públicas celebradas entre abril y octubre de 2025, los operadores económicos lanzaron señales de alarma cada vez más consistentes que la Comisión terminó por escuchar. No se trataba de quejas genéricas contra la regulación, sino de advertencias muy concretas sobre disfunciones operativas: ausencia de normas armonizadas, retrasos en la designación de organismos de evaluación de la conformidad, falta de orientaciones prácticas claras y divergencias interpretativas incipientes entre Estados miembros.

En conjunto, estos factores estaban transformando el Reglamento de Inteligencia Artificial en un lastre competitivo, especialmente para empresas innovadoras de tamaño pequeño y medio. Pensemos en una startup de treinta empleados que ha desarrollado un sistema destinado a optimizar diagnósticos médicos mediante aprendizaje automático. Dispone de la tecnología, del talento humano y de un mercado potencial claro. Sin embargo, se enfrenta a preguntas fundamentales sin respuesta: qué documentación técnica debe preparar, qué organismo evaluará su conformidad, bajo qué estándar y, quizá lo más decisivo, si su sistema será finalmente considerado de alto riesgo.

Ante tal nivel de incertidumbre regulatoria, los inversores —de manera perfectamente racional— se retraen. El capital riesgo busca previsibilidad jurídica, no entornos normativos en construcción permanente. El proyecto se congela, se retrasa o se traslada. Europa pierde así oportunidades concretas de innovación, empleo cualificado y liderazgo tecnológico, mientras otras jurisdicciones con marcos más ágiles avanzan sin esperar.

Este escenario no era anecdótico. Se reproducía por cientos en todo el continente. La Comisión lo ha descrito sin ambages como la existencia de “retrasos significativos” que incrementaban injustificadamente los costes de cumplimiento. Pero tras esa formulación institucional se esconde algo más profundo: la comprensión progresiva de que regular tecnologías emergentes exige equilibrar ambición protectora y viabilidad operativa. No basta con diseñar un marco normativo conceptualmente impecable si luego resulta impracticable en la realidad cotidiana de las empresas que deben aplicarlo.

La inteligencia artificial añade, además, una dificultad estructural frente a otras tecnologías reguladas en el pasado: su vertiginosa velocidad de evolución. Mientras que el Reglamento General de Protección de Datos o la Directiva de Servicios de Medios Audiovisuales permitían un ajuste progresivo, los sistemas basados en aprendizaje automático evolucionan semana a semana, tanto en capacidades como en riesgos. El Digital Omnibus aspira, precisamente, a introducir la agilidad mínima necesaria para que el marco regulatorio no quede obsoleto antes incluso de desplegarse plenamente.

III. La filosofía del ajuste: cirugía regulatoria sin anestesia general

Lo más llamativo del enfoque adoptado por la Comisión es su prudencia metodológica deliberada. No estamos ante una desregulación encubierta ni ante una cesión a presiones corporativas. Tampoco ante un cuestionamiento de los objetivos fundamentales del Reglamento. Se trata, más bien, de hacer viable lo ya regulado, ajustando calendarios, procedimientos y cargas administrativas sin alterar en lo más mínimo los fines esenciales de protección de derechos fundamentales, salud pública y seguridad.

Aquí se percibe claramente una lección aprendida, no sin costes, de experiencias regulatorias anteriores. Basta recordar mayo de 2018, cuando el Reglamento General de Protección de Datos entró en vigor y miles de empresas europeas se vieron desbordadas intentando implementar simultáneamente registros de actividades, análisis de riesgos, evaluaciones de impacto, políticas internas y designaciones de delegados, todo ello sin suficientes profesionales cualificados ni criterios interpretativos consolidados. El resultado fue un cumplimiento formal apresurado, costoso y, en muchos casos, poco eficaz.

Esta vez, la Comisión parece haber decidido anticiparse. El momento elegido resulta particularmente acertado. Reformar demasiado pronto habría proyectado una imagen de improvisación legislativa y debilidad normativa. Hacerlo demasiado tarde habría permitido la acumulación de costes empresariales innecesarios y la deslocalización silenciosa de proyectos estratégicos hacia jurisdicciones más permisivas. Noviembre de 2025 representa ese punto de equilibrio: lo suficientemente temprano para prevenir daños estructurales, y lo bastante tardío para apoyarse en datos empíricos derivados de las primeras experiencias de aplicación.

La distinción entre rigor sustantivo y rigidez procedimental contraproducente resulta aquí crucial. No asistimos a una claudicación regulatoria, sino a un ejercicio de racionalización consciente que reconoce que determinados elementos del diseño original podían generar efectos perversos no deseados: desincentivar la innovación europea, favorecer indirectamente a operadores de terceros países y levantar barreras de entrada desproporcionadas para pequeñas y medianas empresas innovadoras.

Ilustración de un despacho jurídico con libros de Derecho, mazo judicial y una tablet mostrando la propuesta COM(2025) 836 del Digital Omnibus on AI, simbolizando la reforma del Reglamento de Inteligencia Artificial en la Unión Europea.

IV. Las cinco medidas que cambian el juego

La propuesta introduce modificaciones de calado que merecen un análisis detallado por su impacto directo en la planificación del cumplimiento normativo de miles de empresas europeas.

En primer lugar —y quizá la medida técnicamente más relevante— se vincula explícitamente el calendario de aplicación de los requisitos para sistemas de alto riesgo a la disponibilidad efectiva de normas armonizadas. Ya no será, en todo caso, el 2 de agosto de 2026, sino el momento en que existan presunciones de conformidad formalmente publicadas en el Diario Oficial. Esta solución, ya ensayada con éxito en el Reglamento de Maquinaria, introduce una racionalidad elemental: no tiene sentido exigir el cumplimiento de requisitos técnicos detallados cuando no existen aún las especificaciones que permiten acreditarlo de manera objetiva.

Esta modificación transforma de forma profunda la planificación empresarial. Los proveedores podrán ajustar sus inversiones en procedimientos de conformidad a la publicación real de las normas, en lugar de trabajar anticipadamente con criterios provisionales que luego podrían resultar incorrectos o incompletos. Se reduce así el riesgo de invertir recursos en compliance que posteriormente deba rehacerse, con el consiguiente ahorro económico y organizativo.

En segundo lugar, la extensión del régimen simplificado a las denominadas small mid-caps —empresas de hasta 250 trabajadores y 50 millones de euros de facturación o 43 millones de balance— reconoce una realidad económica largamente ignorada. Muchas scale-ups tecnológicas europeas superan con rapidez los umbrales tradicionales de pequeñas y medianas empresas, pero siguen careciendo de la estructura organizativa y los recursos internos de compliance propios de las grandes multinacionales. Exigirles el mismo nivel de formalización documental que a corporaciones de decenas de miles de empleados resulta, en la práctica, desproporcionado y disuasorio.

Naturalmente, la fijación de umbrales numéricos genera situaciones frontera inevitables. Una empresa con 260 trabajadores quedará ligeramente fuera; otra que alcance los 52 millones de euros superará el límite. Sin embargo, resulta preferible una cierta arbitrariedad cuantitativa clara a un régimen único e inflexible aplicado indiscriminadamente a operadores con capacidades radicalmente distintas.

En tercer lugar, la transformación de la obligación genérica de alfabetización en inteligencia artificial en una obligación de fomento institucional constituye una solución jurídicamente equilibrada. Se mantiene la exigencia de formación específica para quienes despliegan sistemas de alto riesgo, pero desaparece la obligación genérica que recaía sobre cualquier proveedor con independencia del nivel de riesgo. La alfabetización es importante, pero convertirla en una obligación jurídica directa, sin criterios claros de contenido y acreditación, añadía presión normativa innecesaria.

El nuevo enfoque permite que Estados miembros y Comisión desarrollen programas formativos estructurados y coherentes, sin generar cargas individualizadas de difícil verificación. Al mismo tiempo, quienes operen sistemas de alto riesgo deberán acreditar que su personal dispone de formación técnica adecuada, lo que resulta plenamente coherente con una gestión responsable de riesgos.

En cuarto lugar, la supresión de la obligación de registro en la base de datos europea para sistemas que realizan tareas meramente preparatorias o auxiliares en ámbitos del Anexo III eliminará miles de registros administrativos innecesarios. Pensemos en un sistema que se limita a extraer datos estructurados de documentos digitales para alimentar un proceso decisional posterior. Aunque formalmente vinculado a un ámbito de alto riesgo, carece materialmente de riesgos significativos. Su registro habría generado ruido informativo y dificultado la supervisión efectiva de los sistemas verdaderamente problemáticos.

En quinto lugar, la centralización en la Oficina de Inteligencia Artificial de la supervisión de modelos de propósito general integrados en plataformas en línea de muy gran tamaño responde a un criterio elemental de eficiencia institucional. La supervisión fragmentada por veintisiete autoridades nacionales habría generado inconsistencias interpretativas, duplicidades costosas y una carga administrativa innecesaria tanto para autoridades como para operadores.

V. El artículo 4 bis del Reglamento de Inteligencia Artificial: resolviendo la paradoja de los sesgos ocultos

La propuesta introduce una novedad procedimental de enorme relevancia sistémica: la incorporación de un nuevo artículo 4 bis que permite expresamente el tratamiento de categorías especiales de datos personales con la finalidad exclusiva de detectar y corregir sesgos discriminatorios en sistemas de inteligencia artificial. Se trata de una modificación técnicamente precisa, pero con efectos potencialmente transformadores en la práctica del desarrollo y auditoría algorítmica en Europa.

Esta disposición responde a una paradoja regulatoria que venía paralizando a numerosos equipos técnicos y jurídicos. El artículo 10.5 del Reglamento original exigía identificar, evaluar y mitigar sesgos discriminatorios, mientras que el Reglamento General de Protección de Datos dificultaba de forma extrema —cuando no directamente impedía— el uso de los datos sensibles que resultan imprescindibles para esa identificación. ¿Cómo detectar un sesgo por origen racial sin procesar datos que revelen origen racial? ¿Cómo evaluar discriminaciones indirectas por género sin información relativa al sexo? La exigencia normativa era clara; el camino jurídico para cumplirla, no.

Durante meses, esta contradicción generó un efecto disuasorio significativo. Muchas empresas optaron por enfoques de auditoría incompletos o puramente teóricos, basados en proxies estadísticos de dudosa fiabilidad, por temor a infringir la normativa de protección de datos. Otras simplemente postergaron auditorías profundas, asumiendo un riesgo regulatorio latente. El resultado fue un ecosistema en el que la lucha contra la discriminación algorítmica quedaba debilitada por una colisión mal resuelta entre dos marcos normativos legítimos.

El nuevo artículo 4 bis introduce un marco jurídico claro para ese tratamiento excepcional, sometiéndolo a salvaguardias técnicas y organizativas estrictas. Entre ellas destacan la minimización rigurosa de datos, la anonimización o seudonimización robusta cuando sea técnicamente viable, la limitación estricta de finalidad a la detección y corrección de sesgos, garantías reforzadas de seguridad y una prohibición expresa de usos secundarios o incompatibles. No se trata de una carta blanca, sino de una excepción cuidadosamente acotada.

El impacto práctico será considerable. Los equipos técnicos y de data science podrán llevar a cabo auditorías sistemáticas de sesgo con respaldo normativo sólido. Será posible, por ejemplo, analizar empíricamente si un sistema automatizado de selección de personal presenta sesgos de género procesando datos relativos al sexo de los candidatos, siempre bajo controles estrictos y exclusivamente con fines correctivos. Lo mismo ocurrirá en ámbitos como la concesión de crédito, la detección de fraude o la priorización de pacientes en sistemas sanitarios.

Más allá de su utilidad inmediata, la introducción de este artículo evidencia una comprensión más madura de las tensiones internas del derecho digital contemporáneo. La protección estricta de la privacidad de datos sensibles y la lucha eficaz contra la discriminación algorítmica no son objetivos incompatibles, pero sí requieren mecanismos de ponderación explícitos. Ignorar el conflicto o resolverlo mediante silencios normativos solo conduce a la inacción. El artículo 4 bis representa, en este sentido, un avance metodológico relevante en la regulación de sistemas complejos.

VI. Innovar con seguridad: la expansión de los sandboxes regulatorios

La propuesta amplía de forma significativa las posibilidades de prueba en entornos reales para sistemas de alto riesgo, incluidos aquellos integrados en productos regulados por legislación sectorial armonizada, como vehículos de motor, dispositivos médicos o aeronaves civiles. Además, se crea expresamente un sandbox regulatorio europeo centralizado, gestionado por la Oficina de Inteligencia Artificial a partir de 2028, lo que supone un salto cualitativo en la arquitectura institucional del marco regulatorio.

Esta ampliación responde a una necesidad técnica difícilmente discutible. Los sistemas basados en aprendizaje automático no alcanzan niveles aceptables de fiabilidad únicamente mediante pruebas en entornos controlados. Su rendimiento depende de la exposición a datos del mundo real, con toda su complejidad, ruido estadístico y variabilidad contextual. Limitar en exceso las pruebas a escenarios de laboratorio puede dar lugar a sistemas formalmente conformes, pero operativamente frágiles o incluso peligrosos.

Un sistema de asistencia a la conducción autónoma puede funcionar de manera impecable en un circuito cerrado y fallar estrepitosamente en tráfico urbano denso, con peatones impredecibles, ciclistas que incumplen normas, meteorología cambiante y señalización ambigua. Esa brecha entre rendimiento simulado y comportamiento real es precisamente lo que los sandboxes permiten identificar y corregir de forma temprana, antes de un despliegue comercial a gran escala.

La creación de un sandbox europeo centralizado constituye, además, una innovación organizativa de primer orden. Hasta ahora, los sandboxes dependían de iniciativas nacionales fragmentadas, con criterios heterogéneos de acceso, metodologías dispares y niveles variables de exigencia técnica. Un sandbox europeo permitirá establecer estándares comunes de calidad, compartir aprendizajes metodológicos entre Estados miembros, facilitar el acceso a empresas que operan en múltiples jurisdicciones y concentrar recursos técnicos altamente especializados.

Desde una perspectiva estratégica, este enfoque también refuerza la competitividad europea. Ofrecer un entorno regulatorio que permita experimentar de forma controlada, pero realista, reduce incentivos a trasladar proyectos de investigación y desarrollo a jurisdicciones menos exigentes. Innovar con seguridad no es un eslogan, sino una condición para que la regulación no se convierta en un factor de deslocalización tecnológica.

Naturalmente, las pruebas en entornos reales plantean cuestiones delicadas de responsabilidad civil, protección de derechos fundamentales y gestión de riesgos. ¿Qué ocurre si, durante una prueba controlada, un sistema experimental causa daños a terceros? La propuesta mantiene salvaguardias robustas: consentimiento informado cuando proceda, supervisión continua por autoridades competentes, capacidad de intervención inmediata ante anomalías y exigencia de seguros de responsabilidad civil adecuados. El equilibrio alcanzado parece razonable y coherente con experiencias previas en sectores regulados.

VII. Lo que esto cambia en el día a día de las empresas

Para las empresas europeas que preparan sus estrategias de cumplimiento para 2026 y 2027, la propuesta implica cambios sustanciales tanto en la planificación estratégica como en la operativa cotidiana. No se trata de ajustes marginales, sino de modificaciones que afectan directamente a la asignación de recursos, a la organización interna y a la toma de decisiones de inversión.

La documentación técnica y los sistemas de gestión de calidad podrán ser sensiblemente más ligeros para aquellas empresas que califiquen como small mid-caps. Una empresa de 200 empleados que había previsto contratar varios perfiles especializados adicionales para gestionar el compliance podrá reducir esa necesidad, liberando recursos financieros y humanos para inversión directa en desarrollo tecnológico, pruebas de producto o captación de talento.

Los sistemas que realicen tareas meramente preparatorias o auxiliares en ámbitos del Anexo III podrán excluirse del registro obligatorio en la base de datos europea. Esta exclusión no solo reduce carga administrativa, sino que clarifica prioridades internas: los equipos podrán concentrar esfuerzos en la evaluación de riesgos reales, en lugar de dedicar tiempo a trámites formales de escaso valor protector.

La centralización de la supervisión de modelos de propósito general integrados en grandes plataformas en la Oficina de Inteligencia Artificial simplifica de forma notable la interlocución institucional. En lugar de coordinar comunicaciones paralelas con múltiples autoridades nacionales, las empresas dispondrán de un canal único de diálogo técnico, reduciendo riesgos de interpretaciones divergentes y duplicidades costosas.

La habilitación expresa para tratar datos sensibles con fines de detección de sesgos elimina una de las principales trabas que afrontaban los equipos técnicos. El nuevo artículo 4 bis permite diseñar procesos de auditoría de equidad más rigurosos, integrados desde fases tempranas del ciclo de vida del sistema, en lugar de como ejercicios defensivos posteriores.

Desde una perspectiva organizativa, las empresas deberán revisar sus hojas de ruta regulatorias. Los calendarios de inversión en procedimientos de conformidad podrán ajustarse con mayor racionalidad, especialmente en sistemas de alto riesgo vinculados a la publicación efectiva de normas armonizadas. Los departamentos jurídicos actualizarán matrices de riesgo, mientras que los equipos técnicos explorarán posibilidades de prueba antes inviables.

VIII. Una valoración que atiende no solo al texto, sino también a su espíritu

La propuesta del Digital Omnibus demuestra que es posible corregir el rumbo regulatorio sin traicionar los objetivos originales del Reglamento de Inteligencia Artificial. Se mantiene intacta la arquitectura conceptual basada en el riesgo —sistemas prohibidos, de alto riesgo, de transparencia y de riesgo mínimo—, pero se introduce flexibilidad procedimental allí donde la rigidez amenazaba con convertirse en un obstáculo estructural.

Resulta especialmente acertada la decisión de actuar mediante modificación legislativa formal y no limitarse a orientaciones interpretativas. Las guías pueden aclarar conceptos, pero no pueden modificar calendarios legalmente fijados, crear excepciones explícitas al tratamiento de datos personales ni redefinir competencias supervisoras. Aquí era necesaria una intervención normativa plena, y la Comisión la ha propuesto con rapidez poco habitual.

Queda por ver la reacción del Parlamento Europeo y del Consejo. La tramitación urgente parece justificada: cada mes adicional de incertidumbre regulatoria implica costes reales para empresas que toman decisiones estratégicas en tiempo real sobre dónde localizar proyectos de investigación y desarrollo.

Algunos críticos sostendrán que modificar un Reglamento apenas quince meses después de su entrada en vigor transmite una imagen de precipitación inicial. Esa lectura ignora la naturaleza dinámica de las tecnologías reguladas. La alternativa —persistir en un diseño disfuncional por coherencia formal— habría sido mucho más dañina. La capacidad de rectificación basada en datos empíricos es, en este contexto, una virtud institucional.

Tampoco puede sostenerse seriamente que las modificaciones diluyan la ambición protectora original. Las obligaciones sustantivas permanecen intactas. Lo que se ajusta son calendarios, procedimientos y cargas documentales. No se reduce la supervisión; se hace practicable.

IX. Conclusiones

Nos encontramos, en definitiva, ante un ejercicio de corrección normativa que refuerza, y no debilita, la credibilidad del modelo regulatorio europeo en materia de inteligencia artificial. El Reglamento no es perfecto —ningún marco que aborde tecnologías en rápida evolución puede serlo—, pero la propuesta corrige sus principales rigideces prácticas sin comprometer su ambición protectora.

La intervención responde de forma proporcionada a problemas empíricos concretos: la ausencia de normas armonizadas, los retrasos en la designación de organismos de evaluación y las tensiones no resueltas con otros marcos normativos, en particular la protección de datos. Su filosofía es clara: simplificación procedimental sin desprotección sustantiva.

La vinculación del calendario a la disponibilidad de normas armonizadas introduce racionalidad regulatoria. La extensión del régimen simplificado a las small mid-caps reconoce la realidad de empresas innovadoras sin estructuras complejas de compliance. El nuevo artículo 4 bis resuelve una paradoja que bloqueaba auditorías de sesgo, la centralización supervisora evita fragmentación y la ampliación de los sandboxes responde a necesidades técnicas ineludibles.

Las implicaciones prácticas para los operadores son significativas en términos de planificación, inversión y demostración de conformidad. La propuesta merece apoyo decidido, sin perjuicio de un seguimiento atento durante su tramitación legislativa para asegurar que el equilibrio alcanzado entre innovación y protección se mantenga. En un ámbito tan dinámico como la inteligencia artificial, regular bien no significa regular más, sino regular mejor.

Resumen:

La propuesta COM(2025) 836 final de la Comisión Europea, conocida como Digital Omnibus on AI, constituye la primera modificación sustancial del Reglamento (UE) 2024/1689 sobre Inteligencia Artificial, apenas quince meses después de su entrada en vigor. Este trabajo analiza el diagnóstico que subyace a la propuesta, centrado en los retrasos en la publicación de normas armonizadas y en la designación de organismos de evaluación, y examina las principales medidas de flexibilización introducidas: vinculación de calendarios a la disponibilidad de normas, extensión del régimen simplificado a small mid-caps, transformación de la obligación de alfabetización, supresión de registros innecesarios, centralización de la supervisión de modelos de propósito general y creación del nuevo artículo 4 bis sobre tratamiento de datos sensibles para detección de sesgos. Se valoran críticamente las implicaciones prácticas para los operadores y se concluye que la propuesta logra el difícil equilibrio entre mantener la ambición protectora del Reglamento original y corregir rigideces que amenazaban con frenar la innovación europea en inteligencia artificial.

X. Referencias normativas y bibliográficas

1) Normativa de la Unión Europea

Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial (Reglamento de Inteligencia Artificial).

Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento General de Protección de Datos).

Reglamento (UE) 2018/1139 del Parlamento Europeo y del Consejo, de 4 de julio de 2018, sobre normas comunes en el ámbito de la aviación civil.

Reglamento (CE) número 2006/42/CE del Parlamento Europeo y del Consejo, de 17 de mayo de 2006, relativo a las máquinas (Reglamento de Maquinaria).

Recomendación 2003/361/CE de la Comisión, de 6 de mayo de 2003, sobre la definición de microempresas, pequeñas y medianas empresas.

2) Documentos institucionales

Comisión Europea, Propuesta de Reglamento del Parlamento Europeo y del Consejo que modifica los Reglamentos (UE) 2024/1689 y (UE) 2018/1139 en lo que respecta a la simplificación de determinadas disposiciones (Digital Omnibus on AI), COM(2025) 836 final, Bruselas, 19 de noviembre de 2025.

Comisión Europea, Documento de trabajo de los servicios de la Comisión que acompaña la propuesta COM(2025) 836 final, evaluación de impacto, Bruselas, 19 de noviembre de 2025.

Sobre el autor

Diego Fierro Rodríguez es Letrado de la Administración de Justicia en ejercicio, Codirector de la Revista Acta Judicial y Doctorando en Derecho. Desarrolla su actividad profesional en el ámbito de la Administración de Justicia española, siendo actualmente el Jefe del Área penal del Servicio Común de Ejecución del Tribunal de Instancia de Málaga.

Sobre la publicación

Se han utilizado Google Gemini para la imagen y Google Gemini y Perplexity para recabar y contrastar toda la información disponible.

Diego Fierro Rodríguez
Letrado de la Administración de Justicia
Codirector de la Revista Acta Judicial
Doctorando en Derecho

Ómnibus: El Futuro de la Gobernanza Digital

/0 Comentarios/en /por

El próximo 18 de diciembre se celebrará una nueva sesión del Foro ENATIC, un espacio de análisis y debate jurídico orientado, en esta ocasión, a examinar la propuesta Ómnibus de la Comisión Europea y su impacto en el actual marco de gobernanza digital, con especial atención a ámbitos como el Derecho Digital, la inteligencia artificial, la privacidad y la ciberseguridad.

La jornada, que tendrá lugar en formato online, reunirá a profesionales de referencia del ámbito jurídico y tecnológico para compartir primeras reflexiones jurídicas y estratégicas sobre esta iniciativa normativa, así como para contrastar posiciones en torno a su posible incidencia en el ordenamiento jurídico europeo y en la configuración futura del ecosistema regulatorio digital de la Unión.

Durante el foro se abordarán cuestiones relativas a la coherencia y articulación del conjunto de normas que integran el Digital Rulebook de la Unión Europea, analizando los retos que plantea la convivencia entre los nuevos instrumentos regulatorios y los marcos ya consolidados en materia de inteligencia artificial, protección de datos, ciberseguridad y servicios digitales.

La mesa redonda contará con las intervenciones de Carlos Alberto Saiz Peña, José Manuel Muñoz Vela, José Leandro Núñez García y Rodolfo Tesone Mendizábal, y estará moderada por Belén Arribas Sánchez, todos ellos miembros de la junta de ENATIC y profesionales con una amplia trayectoria en el ámbito del Derecho Digital. El encuentro se concibe como un espacio para profundizar, contrastar enfoques y anticipar escenarios relevantes para profesionales, organizaciones e instituciones ante el nuevo contexto regulatorio europeo.

Ya puedes inscribirte.